Configuración WireGuard - EdgeRouter 4 (v3.0.1)

Documentación técnica para la implementación de WireGuard VPN. Esta configuración permite el acceso a la red interna (LAN) y la salida a Internet (Full Tunnel) a través de la interfaz PPPoE.

INSTALL

Ejecutar estos comandos en el modo operativo (fuera de configure) para instalar el paquete y preparar las llaves criptográficas.

# Descarga del paquete compatible con kernel v2/v3
curl -OL [https://github.com/WireGuard/wireguard-vyatta-ubnt/releases/download/1.0.20220627-1/e300-v2-v1.0.20220627-v1.0.20210914.deb](https://github.com/WireGuard/wireguard-vyatta-ubnt/releases/download/1.0.20220627-1/e300-v2-v1.0.20220627-v1.0.20210914.deb)

# Instalación del módulo
sudo dpkg -i e300-v2-v1.0.20220627-v1.0.20210914.deb

# Preparación de credenciales
mkdir -p /config/auth
cd /config/auth
wg genkey | tee privatekey | wg pubkey > publickey

CONFIGURE

Acceder al modo de configuración:

configure

1. Configure Server (Interface wg0)

Configuración de la interfaz virtual de la VPN.

set interfaces wireguard wg0 private-key /config/auth/privatekey
set interfaces wireguard wg0 address 10.200.254.1/24
set interfaces wireguard wg0 route-allowed-ips true
set interfaces wireguard wg0 listen-port 51820

2. Configure Peer (Clientes)

Configuración del cliente HMAlH... Se deja sin 'endpoint' para que el router actúe como servidor pasivo.

set interfaces wireguard wg0 peer HMAlHHPMLvcDWhPoGbOkpDiKpZbdfkPZfIb7z6Q3XV0= allowed-ips 10.200.254.101/32
set interfaces wireguard wg0 peer HMAlHHPMLvcDWhPoGbOkpDiKpZbdfkPZfIb7z6Q3XV0= endpoint capsulecorp.duckdns.org:29922
set interfaces wireguard wg0 peer HMAlHHPMLvcDWhPoGbOkpDiKpZbdfkPZfIb7z6Q3XV0= persistent-keepalive 25

3. Configure Firewall

Reglas de seguridad para permitir la entrada del túnel y el tráfico hacia la LAN.

Apertura de puerto WAN (Local)

set firewall name INTERNET_LOCAL rule 10 description "Permitir WireGuard"
set firewall name INTERNET_LOCAL rule 10 action accept
set firewall name INTERNET_LOCAL rule 10 protocol udp
set firewall name INTERNET_LOCAL rule 10 destination port 51820

# Aplicar el ruleset a la interfaz PPPoE (Digi)
set interfaces pppoe pppoe0 firewall local name INTERNET_LOCAL

Tráfico hacia la red interna (Forward)

set firewall name WAN_IN rule 20 description "WireGuard to LAN"
set firewall name WAN_IN rule 20 action accept
set firewall name WAN_IN rule 20 source address 10.200.254.0/24

4. Configure NAT

Enmascaramiento para permitir que los clientes VPN naveguen por Internet a través de la interfaz de Digi.

set service nat rule 5010 description 'WireGuard NAT'
set service nat rule 5010 outbound-interface pppoe0
set service nat rule 5010 type masquerade
set service nat rule 5010 source address 10.200.254.0/24

Save changes

commit
save
exit

CLIENT CONFIGURATION (.conf)

Configuración recomendada para el dispositivo cliente (Móvil/PC).

[Interface]
Address = 10.200.254.101/32
PrivateKey = ****************
DNS = 1.1.1.1, 192.168.1.1

[Peer]
PublicKey = GMZb+gET9ccNeA6QwOvrQ1Xmhs0V+VuM931JvDYE
Endpoint = capsulecorp.duckdns.org:51820
AllowedIPs = 0.0.0.0/0, 192.168.1.0/24
PersistentKeepalive = 25

3.3 KiB Raw Permalink Blame History