Организовать VPN-сеть извне на уровне роутера Keenetic

Объединить локальные сети двух филиалов в одну через VPN-туннель Wireguard на роутерах Keenetic, чтобы компьютеры второго филиала имели доступ к серверу 1С первого филиала.

Когда есть два филиала с разными локальными сетями и роутерами Keenetic, и нужно объединить их в одну сеть. Для примера: роутер-сервер — 192.168.1.1, роутер-клиент — 192.168.2.1.

• На роутере, который будет сервером, должен быть белый (публичный) ip-адрес — без него объединить сети не получится;

• На обоих роутерах установлен компонент Wireguard: «Параметры системы» → «Изменить состав компонентов» → найти Wireguard → установить;

• После установки компонента оба роутера перезагружены.

Настройка серверного роутера (192.168.1.1):

1. Зайти в веб-конфигуратор → «Интернет» → «Другие подключения»;

2. В поле Wireguard нажать «+ Добавить подключение»;

3. Заполнить настройки подключения:

   • Имя — любое (например, wg-serv);

   • Использовать для выхода в интернет — да, поставить галочку;

   • Сгенерировать пары ключей — строка «Публичный ключ» заполнится — скопировать его;

   • IPv4-адрес — любой (например, 10.44.1.1/24);

   • Порт прослушивания — любой свободный (по умолчанию 1122);

   • IPv4 DNS — два адреса: ip роутера (192.168.1.1) и Google (8.8.8.8).

4. Настройки пока не закрывать — пир добавим позже.

Настройка клиентского роутера (192.168.2.1):

1. Повторить шаги 1-2 серверного роутера;

2. Заполнить настройки подключения:

   • Имя — любое (например, wg-client);

   • Использовать для выхода в интернет — да, поставить галочку;

   • Сгенерировать пары ключей кнопкой «Генерация пары ключей»;

   • IPv4-адрес — в той же подсети, что и сервер (например, 10.44.1.2/24).

3. Добавить пира кнопкой «+Добавить пир»:

   • Имя пира — wg-serv;

   • Публичный ключ — вставить скопированный ключ серверного роутера;

   • Адрес и порт пира — белый ip-адрес сервера с портом (например, 12.34.56.78:1122);

   • Разрешённые IPv4-подсети — два правила: 192.168.1.0/24 и 10.44.1.1/32;

   • Проверка активности — 15.

4. Сохранить изменения;

5. «Сетевые правила» → «Межсетевой экран» → выбрать интерфейс Wireguard → «+Добавить правило»:

   • Действие — Разрешать;

   • IP источника и назначения — Любой;

   • Протокол — IP;

   • Поместить в — Конец;

   • Расписание — Работает постоянно.

   • Поставить галочку «Включить правило» → сохранить.

6. «Сетевые правила» → «Маршрутизация» → «+Добавить маршрут»:

   • Тип — Маршрут до сети;

   • Адрес сети назначения — 192.168.1.0;

   • Маска — 255.255.255.0 (/24);

   • Интерфейс — wg-client;

   • Добавлять автоматически — да.

Возврат к серверному роутеру:

1. Добавить пира кнопкой «+Добавить пир»:

   • Имя пира — wg-client;

   • Публичный ключ — скопировать с клиентского роутера и вставить;

   • Разрешённые IPv4-подсети — два правила: 192.168.2.0/24 и 10.44.1.2/32;

   • Проверка активности — 15.

2. Сохранить изменения;

3. Повторить шаги 5 и 6 клиентского роутера (межсетевой экран и маршрутизацию), но в маршруте указать 192.168.2.0 и интерфейс wg-serv.

Финальные действия на обоих роутерах:

1. Перезагрузить оба роутера;

2. «Интернет» → «Другие подключения» → включить созданные Wireguard-соединения;

3. Проверить пинг туда и обратно.

Оба роутера видят друг друга. Все машины в подсети 192.168.2.0 могут подключаться к базе 1С в подсети 192.168.1.0.

❌ Проблема: туннель поднялся, но машины разных филиалов не видят друг друга.

✅ Решение: проверить, что в разрешённых IPv4-подсетях у каждого пира прописаны обе подсети — подсеть роутера и ip-адрес туннеля. Проверить маршруты на обоих роутерах.

❌ Проблема: туннель не устанавливается.

✅ Решение: убедиться, что на серверном роутере есть белый ip-адрес. Проверить правильность публичных ключей и что порт прослушивания открыт.

❌ Проблема: одинаковая подсеть у сервера и клиента, из-за чего не работает подключение.

✅ Решение: в список разрешенных ip-адресов добавить локальный ip-адрес сервера.

Связанные инструкции: Развернуть Wireguard под Windows в качестве сервера.

#Сеть и интернет