Add awg+mikrotik.md

2026-08-11 21:30:26 +05:00
commit 4396ef1cdc
1 changed files with 866 additions and 0 deletions
@@ -0,0 +1,866 @@
 # Настройка MikroTik + Ubuntu + AmneziaWG + BGP
 ## Схема
 ```text
 Клиенты LAN
 192.168.0.0/24
      |
      v
 MikroTik
 192.168.0.3
 AS 64999
      |
      | маршруты, полученные по BGP
      | next-hop -> 192.168.0.253
      v
 Ubuntu 24.04
 192.168.0.253
      |
      v
 awg0
 AmneziaWG
      |
      v
 VPN / Internet
 ```
 Внешний BGP peer:
 ```text
 Peer IP: 45.148.244.55
 Remote AS: 65444
 Local IP: 77.79.185.98
 Local AS: 64999
 ```
 Задача:
 - MikroTik получает маршруты по BGP.
 - Для всех полученных маршрутов next-hop заменяется на `192.168.0.253`.
 - Ubuntu работает как шлюз в AmneziaWG.
 - Клиентам не нужно знать про Ubuntu.
 - Маршруты нигде не дублируются вручную.
 - SNAT на MikroTik автоматически применяется ко всему трафику, чей next-hop — `192.168.0.253`.
 ---
 # 1. Ubuntu: установка AmneziaWG
 Устанавливаем зависимости:
 ```bash
 apt update
 apt install -y \
    git \
    build-essential \
    dkms \
    linux-headers-$(uname -r) \
    iptables \
    resolvconf
 ```
 Клонируем kernel module:
 ```bash
 cd /root
 git clone https://github.com/amnezia-vpn/amneziawg-linux-kernel-module.git
 ```
 Устанавливаем через DKMS:
 ```bash
 cd /root/amneziawg-linux-kernel-module/src
 make dkms-install
 ```
 Проверяем:
 ```bash
 dkms status
 ```
 Загружаем модуль:
 ```bash
 modprobe amneziawg
 ```
 Проверяем:
 ```bash
 lsmod | grep amneziawg
 ```
 ---
 # 2. Установка awg-tools
 ```bash
 cd /root
 git clone https://github.com/amnezia-vpn/amneziawg-tools.git
 cd amneziawg-tools/src
 make
 make install
 ```
 Проверяем:
 ```bash
 awg --version
 awg-quick --help
 ```
 ---
 # 3. Конфигурация AWG
 Создаем каталог:
 ```bash
 mkdir -p /etc/amnezia
 ```
 Создаем конфиг:
 ```bash
 nano /etc/amnezia/awg0.conf
 ```
 Пример:
 ```ini
 [Interface]
 PrivateKey = CLIENT_PRIVATE_KEY
 Address = 10.9.9.2/32
 MTU = 1280
 Table = off
 Jc = ...
 Jmin = ...
 Jmax = ...
 S1 = ...
 S2 = ...
 H1 = ...
 H2 = ...
 H3 = ...
 H4 = ...
 [Peer]
 PublicKey = SERVER_PUBLIC_KEY
 PresharedKey = ...
 Endpoint = VPN_SERVER_IP:PORT
 AllowedIPs = 0.0.0.0/0
 PersistentKeepalive = 25
 ```
 Важно:
 ```ini
 Table = off
 ```
 Мы не хотим, чтобы `awg-quick` заменял default route самой Ubuntu.
 Права:
 ```bash
 chmod 600 /etc/amnezia/awg0.conf
 ```
 Поднимаем туннель:
 ```bash
 awg-quick up awg0
 ```
 Проверяем:
 ```bash
 awg show
 ip addr show awg0
 ```
 Проверяем выход через VPN:
 ```bash
 curl --interface awg0 https://ifconfig.io
 ```
 или:
 ```bash
 curl -4 --interface awg0 https://ipinfo.io/ip
 ```
 Должен вернуться IP VPN-сервера.
 ---
 # 4. Автозапуск AWG
 ```bash
 systemctl enable awg-quick@awg0
 ```
 Можно сразу включить:
 ```bash
 systemctl enable --now awg-quick@awg0
 ```
 Проверка:
 ```bash
 systemctl status awg-quick@awg0
 ```
 ---
 # 5. Статический IP Ubuntu
 Предполагаем:
 ```text
 Ubuntu:   192.168.0.253/24
 MikroTik: 192.168.0.3
 ```
 Пример Netplan:
 ```yaml
 network:
  version: 2
  ethernets:
    ens18:
      dhcp4: false
      addresses:
        - 192.168.0.253/24
      routes:
        - to: default
          via: 192.168.0.3
      nameservers:
        addresses:
          - 1.1.1.1
          - 8.8.8.8
 ```
 Применить:
 ```bash
 netplan try
 ```
 или:
 ```bash
 netplan apply
 ```
 Проверить:
 ```bash
 ip -br addr
 ip route
 ```
 ---
 # 6. Включаем forwarding на Ubuntu
 Временно:
 ```bash
 sysctl -w net.ipv4.ip_forward=1
 ```
 Постоянно:
 ```bash
 cat >/etc/sysctl.d/99-router.conf <<EOF
 net.ipv4.ip_forward=1
 EOF
 ```
 Применяем:
 ```bash
 sysctl --system
 ```
 Проверка:
 ```bash
 sysctl net.ipv4.ip_forward
 ```
 Должно быть:
 ```text
 net.ipv4.ip_forward = 1
 ```
 ---
 # 7. Policy routing на Ubuntu
 Поскольку Ubuntu сама должна использовать обычный интернет через MikroTik, а транзитный трафик от MikroTik должен уходить в AWG, создаем отдельную routing table.
 Добавляем имя таблицы:
 ```bash
 echo "100 awg" >> /etc/iproute2/rt_tables
 ```
 Добавляем default route через AWG:
 ```bash
 ip route add default dev awg0 table awg
 ```
 Все пакеты, пришедшие через LAN-интерфейс `ens18`, отправляем в таблицу `awg`:
 ```bash
 ip rule add iif ens18 lookup awg priority 100
 ```
 Проверяем:
 ```bash
 ip rule
 ```
 Должно быть:
 ```text
 0:      from all lookup local
 100:    from all iif ens18 lookup awg
 32766:  from all lookup main
 32767:  from all lookup default
 ```
 Проверяем таблицу:
 ```bash
 ip route show table awg
 ```
 Ожидаем:
 ```text
 default dev awg0 scope link
 ```
 ---
 # 8. iptables на Ubuntu
 Разрешаем forwarding:
 ```bash
 iptables -A FORWARD \
    -i ens18 \
    -o awg0 \
    -s 192.168.0.0/24 \
    -j ACCEPT
 ```
 Обратный трафик:
 ```bash
 iptables -A FORWARD \
    -i awg0 \
    -o ens18 \
    -d 192.168.0.0/24 \
    -m conntrack \
    --ctstate RELATED,ESTABLISHED \
    -j ACCEPT
 ```
 NAT при выходе через AWG:
 ```bash
 iptables -t nat -A POSTROUTING \
    -o awg0 \
    -s 192.168.0.0/24 \
    -j MASQUERADE
 ```
 Проверяем:
 ```bash
 iptables -L FORWARD -n -v
 iptables -t nat -L POSTROUTING -n -v
 ```
 ---
 # 9. MSS для AWG
 Если `awg0` использует MTU `1280`, можно дополнительно ограничить MSS.
 ```bash
 iptables -t mangle -A FORWARD \
    -i ens18 \
    -o awg0 \
    -p tcp \
    --tcp-flags SYN,RST SYN \
    -j TCPMSS \
    --set-mss 1200
 ```
 Обратное направление:
 ```bash
 iptables -t mangle -A FORWARD \
    -i awg0 \
    -o ens18 \
    -p tcp \
    --tcp-flags SYN,RST SYN \
    -j TCPMSS \
    --set-mss 1200
 ```
 Проверка:
 ```bash
 iptables -t mangle -L FORWARD -n -v
 ```
 ---
 # 10. Сохранение iptables
 Устанавливаем:
 ```bash
 apt install -y iptables-persistent
 ```
 Сохраняем:
 ```bash
 netfilter-persistent save
 ```
 Проверяем:
 ```bash
 cat /etc/iptables/rules.v4
 ```
 После изменения правил:
 ```bash
 netfilter-persistent save
 ```
 ---
 # 11. Автоматическое восстановление policy routing
 `iptables-persistent` не сохраняет:
 ```bash
 ip rule
 ip route table awg
 ```
 Их удобно добавлять через `PostUp/PostDown` в `awg0.conf`.
 Пример:
 ```ini
 [Interface]
 PrivateKey = ...
 Address = 10.9.9.2/32
 MTU = 1280
 Table = off
 PostUp = ip route add default dev %i table awg
 PostUp = ip rule add iif ens18 lookup awg priority 100
 PostDown = ip rule del iif ens18 lookup awg priority 100
 PostDown = ip route del default dev %i table awg
 ...
 ```
 Тогда при:
 ```bash
 systemctl start awg-quick@awg0
 ```
 маршрутизация будет создаваться автоматически.
 Проверить после перезапуска:
 ```bash
 ip rule
 ip route show table awg
 ```
 ---
 # 12. MikroTik RouterOS 6: BGP instance
 Создаем BGP instance:
 ```routeros
 /routing bgp instance
 add name=awg-bgp \
    as=64999 \
    router-id=77.79.185.98
 ```
 ---
 # 13. BGP input filter
 Все маршруты от внешнего peer должны использовать Ubuntu `192.168.0.253` как next-hop.
 ```routeros
 /routing filter
 add chain=awg-bgp-in \
    action=accept \
    set-in-nexthop=192.168.0.253
 ```
 Важно: **не ставить `set-routing-mark`**.
 Маршруты должны попадать в обычную main routing table.
 ---
 # 14. BGP peer
 ```routeros
 /routing bgp peer
 add name=awg-routes \
    instance=awg-bgp \
    remote-address=45.148.244.55 \
    remote-as=65444 \
    update-source=77.79.185.98 \
    multihop=yes \
    in-filter=awg-bgp-in
 ```
 Проверяем:
 ```routeros
 /routing bgp peer print status
 ```
 ---
 # 15. Проверка полученных BGP-маршрутов
 Например:
 ```routeros
 /ip route print detail where dst-address=149.154.160.0/20
 ```
 Ожидаем:
 ```text
 ADb
 dst-address=149.154.160.0/20
 gateway=192.168.0.253
 gateway-status=192.168.0.253 reachable
 received-from=awg-routes
 ```
 Главное:
 ```text
 gateway=192.168.0.253
 ```
 и маршрут должен быть активным:
 ```text
 A
 ```
 ---
 # 16. Проблема асимметричной маршрутизации
 Без дополнительного SNAT возникает такая ситуация:
 ```text
 Windows 192.168.0.6
        |
        v
 MikroTik 192.168.0.3
        |
        v
 Ubuntu 192.168.0.253
        |
        v
 AWG
 ```
 Но ответ Ubuntu отправляет напрямую:
 ```text
 AWG
 |
 v
 Ubuntu
 |
 +--------> 192.168.0.6
 ```
 потому что Ubuntu и Windows находятся в одной `/24`.
 Получается:
 ```text
 туда:
 PC -> MikroTik -> Ubuntu -> AWG
 обратно:
 AWG -> Ubuntu -> PC
 ```
 Это ломает симметрию TCP.
 ---
 # 17. Универсальный SNAT на MikroTik
 Нам нужно делать SNAT **для любого трафика, чей выбранный gateway — `192.168.0.253`**.
 Для этого используем `route-dst`.
 Сначала маркируем соединение:
 ```routeros
 /ip firewall mangle
 add chain=postrouting \
    src-address=192.168.0.0/24 \
    route-dst=192.168.0.253 \
    connection-mark=no-mark \
    action=mark-connection \
    new-connection-mark=via-awg \
    passthrough=yes \
    comment="Mark connections routed via AWG"
 ```
 Теперь универсальный SNAT:
 ```routeros
 /ip firewall nat
 add chain=srcnat \
    src-address=192.168.0.0/24 \
    connection-mark=via-awg \
    action=src-nat \
    to-addresses=192.168.0.3 \
    comment="SNAT traffic routed via AWG"
 ```
 Таким образом **не нужны address-list и отдельные NAT-правила для каждого BGP-префикса**.
 ---
 # 18. Как это работает
 Например BGP присылает:
 ```text
 149.154.160.0/20
 ```
 Input filter превращает маршрут в:
 ```text
 149.154.160.0/20 via 192.168.0.253
 ```
 Клиент обращается:
 ```text
 192.168.0.6 -> 149.154.167.99
 ```
 MikroTik выбирает:
 ```text
 next-hop = 192.168.0.253
 ```
 `route-dst` это видит:
 ```text
 route-dst=192.168.0.253
 ```
 соединению ставится:
 ```text
 connection-mark=via-awg
 ```
 после чего SNAT:
 ```text
 192.168.0.6
       |
       v
 192.168.0.3
 ```
 Ubuntu теперь видит:
 ```text
 192.168.0.3 -> 149.154.167.99
 ```
 и обратный пакет обязательно возвращается:
 ```text
 AWG
 |
 v
 Ubuntu
 |
 v
 MikroTik 192.168.0.3
 |
 v
 Windows 192.168.0.6
 ```
 ---
 # 19. Проверка с клиента
 Например Telegram:
 ```powershell
 tracert 149.154.167.99
 ```
 Должно быть примерно:
 ```text
 1  192.168.0.3
 2  192.168.0.253
 3  10.x.x.x
 4  ...
 ```
 TCP:
 ```powershell
 Test-NetConnection 149.154.167.99 -Port 443
 ```
 Ожидаем:
 ```text
 TcpTestSucceeded : True
 ```
 HTTPS:
 ```powershell
 curl.exe -4 -v https://web.telegram.org/
 ```
 Ожидаем:
 ```text
 Connected to web.telegram.org
 HTTP/1.1 200 OK
 ```
 ---
 # 20. Проверка на Ubuntu
 Посмотреть проходящий трафик:
 ```bash
 tcpdump -ni ens18 'host 149.154.167.99 and tcp port 443'
 ```
 При работающем SNAT источник должен быть:
 ```text
 192.168.0.3.xxxxx > 149.154.167.99.443
 ```
 А **не**:
 ```text
 192.168.0.6.xxxxx > 149.154.167.99.443
 ```
 Проверить AWG:
 ```bash
 awg show
 ```
 Проверить внешний IP самого туннеля:
 ```bash
 curl --interface awg0 https://ipinfo.io/ip
 ```
 ---
 # 21. Итоговая схема
 ```text
                        BGP peer
                 45.148.244.55 AS65444
                          |
                          | BGP prefixes
                          v
                  MikroTik RouterOS 6
                  77.79.185.98
                     AS64999
                          |
               BGP input filter
            set-in-nexthop=192.168.0.253
                          |
                          v
              main routing table
      149.154.160.0/20 -> 192.168.0.253
      другие BGP сети  -> 192.168.0.253
                          |
                   route-dst match
                          |
                connection-mark
                     via-awg
                          |
                    SNAT source
                 -> 192.168.0.3
                          |
                          v
                    192.168.0.253
                    Ubuntu 24.04
                          |
                  policy routing
                  iif ens18 -> awg
                          |
                          v
                        awg0
                          |
                          v
                   AmneziaWG VPN
 ```
 В результате BGP становится единственным источником списка сетей: новый префикс автоматически получает next-hop `192.168.0.253`, автоматически попадает через AWG и автоматически получает нужный SNAT на MikroTik.