openconnect

[avn]

11 минут назад, slydiman сказал:

Очевидно нет. Даже wireguard в Кинетике не поддерживает IPv6 endpoint. Вопрос скорее не технический, а политический. Поддержка в Кинетике напрямую (без дополнительных серверов на линуксе) тоннелей поверх IPv6 слишком сильно меняет правила игры.

Все он поддерживает, и ipv6 в туннелях и  ipv6 в endpoint. 2 - прекрасно решается через wg-utils..

Но нативного задания ipv6 endpoint не хватает.

Изменено 12 июля пользователем avn

[slydiman]

6 часов назад, avn сказал:

Все он поддерживает, и ipv6 в туннелях и  ipv6 в endpoint.

Поддержка IPv6 в WG сервере только на днях заработала с 5.1.1. И то нужны пляски с 

set net.ipv6.conf.all.forwarding 1

 или 

ipv6 local-prefix default

(и на сервере и на клиенте) потому что в UI этого нигде нет и поди догадайся почему не работает.

6 часов назад, avn сказал:

2 - прекрасно решается через wg-utils.. Но нативного задания ipv6 endpoint не хватает.

Ну то есть не поддерживается. Костыли - это костыли.
Вообще WG - оффтоп в данной теме. Я упомянул про WG просто для общей картины. Все таки WG популярнее OC.

[avn]

6 часов назад, slydiman сказал:

Поддержка IPv6 в WG сервере только на днях заработала с 5.1.1. И то нужны пляски с 

set net.ipv6.conf.all.forwarding 1

 или 

ipv6 local-prefix default

(и на сервере и на клиенте) потому что в UI этого нигде нет и поди догадайся почему не работает.

Ну то есть не поддерживается. Костыли - это костыли.
Вообще WG - оффтоп в данной теме. Я упомянул про WG просто для общей картины. Все таки WG популярнее OC.

Маршрутизация ipv6 с версии 3.7 работает, когда добавили поддержку ipv6 rule. 

[slydiman]

9 часов назад, avn сказал:

Маршрутизация ipv6 с версии 3.7 работает, когда добавили поддержку ipv6 rule. 

Я не хочу ни о чем спорить, тем более в этой теме. Но WG сервер на Кинетике стал пускать WG клиентов в интернет только с 5.1.1 (NDM-4464). Речь про IPv6 NAT. Может оно и работало с версии 3.7, но о том как это сделать знает только маленькая группа посвящённых, ибо нет в открытом доступе никаких инструкций на эту тему. Обсуждение было тут 

там можно и продолжить. Но я не вижу о чем тут спорить. Вот эта фраза говорит обо всём

23 часа назад, avn сказал:

2 - прекрасно решается через wg-utils.. Но нативного задания ipv6 endpoint не хватает.

Гики могут знать кучу хитростей, совершенно не очевидных для всех остальных и использовать какие-то дополнительные тулсы. Для 99.999% пользователей "поддержка" - это когда девайс что-то умеет из коробки и включается это галочкой в настройках через UI.

 

[avn]

4 часа назад, slydiman сказал:

Я не хочу ни о чем спорить, тем более в этой теме. Но WG сервер на Кинетике стал пускать WG клиентов в интернет только с 5.1.1 (NDM-4464). Речь про IPv6 NAT. Может оно и работало с версии 3.7, но о том как это сделать знает только маленькая группа посвящённых, ибо нет в открытом доступе никаких инструкций на эту тему. Обсуждение было тут 

там можно и продолжить. Но я не вижу о чем тут спорить. Вот эта фраза говорит обо всём

Гики могут знать кучу хитростей, совершенно не очевидных для всех остальных и использовать какие-то дополнительные тулсы. Для 99.999% пользователей "поддержка" - это когда девайс что-то умеет из коробки и включается это галочкой в настройках через UI.

 

Тулза абсолютно стандартная для WG, достаточно документацию прочитать. Приложения Keenetic всегда имели поддержку ipv6, другой вопрос как подойти к этим настройкам.

 

[slydiman]

В 13.07.2026 в 15:03, avn сказал:

Тулза абсолютно стандартная для WG, достаточно документацию прочитать. Приложения Keenetic всегда имели поддержку ipv6, другой вопрос как подойти к этим настройкам.

Ок. Ну и где эта мифическая документация? Для opkg вижу только wireguard-tools kmod-wireguard и в них нет никаких wg-utils. Я правильно понял что имеется ввиду просто использование wg под opkg и это никак не управляется из UI и не взаимодействует с wg в UI? Или этот wg-utils - это какой-то bash скрипт специально для Кинетика? Что на счет конфликтов встроенного wg и wg в opkg? Кстати, при импорте wg конфига с ipv6 endpoint в UI получаю сообщение "invalid endpoint format".
Я понимаю что это оффтоп в данной теме, но раз уж сказал А, говори и Б.

Изменено 14 июля пользователем slydiman

[avn]

40 минут назад, slydiman сказал:

Ок. Ну и где эта мифическая документация? Для opkg вижу только wireguard-tools kmod-wireguard и в них нет никаких wg-utils. Я правильно понял что имеется ввиду просто использование wg под opkg и это никак не управляется из UI и не взаимодействует с wg в UI? Или этот wg-utils - это какой-то bash скрипт специально для Кинетика? Что на счет конфликтов встроенного wg и wg в opkg? Кстати, при импорте wg конфига с ipv6 endpoint в UI получаю сообщение "invalid endpoint format".
Я понимаю что это оффтоп в данной теме, но раз уж сказал А, говори и Б.

Поиск по форуму не работает? Темы жевались 10-ки раз. Ключевые слова wireguard iov6 в названии тем.

Какие конфликты? Opkg и ui это просто разные способы задать настройки для wg ядра. 

Изменено 14 июля пользователем avn

[slydiman]

1 час назад, avn сказал:

Поиск по форуму не работает?

Единственное что есть

То есть под "wg-utils" или "wg-утилита" надо понимать просто бинарник "wg" в opkg из wireguard-tools.
И всё сводится к костылям как на всякие события повесить хук с wg setconf и последующим маскарадингом.
Но у меня десяток wg подключений и замороченная логика. Этот костыль просто не будет работать в моих условиях.

[avn]

6 часов назад, slydiman сказал:

Единственное что есть

То есть под "wg-utils" или "wg-утилита" надо понимать просто бинарник "wg" в opkg из wireguard-tools.
И всё сводится к костылям как на всякие события повесить хук с wg setconf и последующим маскарадингом.
Но у меня десяток wg подключений и замороченная логика. Этот костыль просто не будет работать в моих условиях.

В вашей ситуации setconf не нужен. Есть много других приятных опций. 

[KoM27]

Поднял сервер Openconnect на двух Keenetic. Как я понимаю подключаться к нему можно не только клиентом openconnect, но и CiscoAnyConnect. Но в моем случае могу подключиться только клиентом openconnect, при подключении с помощью ciscoanyconnect запрашивает логин и пароль, но потом сбрасывает подключение, с сообщением: "The VPN client was unable to successfully verify the IP forwarding
table modifications. A VPN connection will not be established."

[AndyU]

22 hours ago, KoM27 said:

при подключении с помощью ciscoanyconnect запрашивает логин и пароль, но потом сбрасывает подключение, с сообщением: "The VPN client was unable to successfully verify the IP forwarding
table modifications. A VPN connection will not be established."

Странно. У меня все работает, что на Windows (хотя иногда ругается на сертификаты), что на android'е и iPhone. Какие у вас версии? Что на роутере, что на клиентах.

[KoM27]

3 часа назад, AndyU сказал:

Странно. У меня все работает, что на Windows (хотя иногда ругается на сертификаты), что на android'е и iPhone. Какие у вас версии? Что на роутере, что на клиентах.

Клиент Openconnect 1.6.2 для windows,  сервера на KeeneticOS 5.1.5 на Viva и на Hopper. С Android не пробовал.

[AndyU]

14 minutes ago, KoM27 said:

Клиент Openconnect 1.6.2 для windows,  сервера на KeeneticOS 5.1.5 на Viva и на Hopper. С Android не пробовал.

Cisco Secure Client для Windows находится, хоть и не самый последний. Для Android - прямо на Play Store. У меня и то и то работает. Попробуйте.

P.S. А клиент Openconnect, я помню, на habr.com не рекомендовали из-за характерной сигнатуры хендшейка.

[KoM27]

3 часа назад, AndyU сказал:

Cisco Secure Client для Windows находится, хоть и не самый последний. Для Android - прямо на Play Store. У меня и то и то работает. Попробуйте.

P.S. А клиент Openconnect, я помню, на habr.com не рекомендовали из-за характерной сигнатуры хендшейка.

Мне для Андройда не требуется подключаться. Для Windows CiscoAnyConnect ver. 4.10.08029

[AndyU]

9 hours ago, KoM27 said:

Мне для Андройда не требуется подключаться.

Ну проверить то можно... Кстати, и на другой машине с Windows.

9 hours ago, KoM27 said:

Для Windows CiscoAnyConnect ver. 4.10.08029

У меня 5.1.2.42, Увы, без права раздачи

И если текст вашей ошибки скормить google, то там вылезает много вариантов лечения...

[KoM27]

В 18.10.2026 в 12:57, AndyU сказал:

Кстати, и на другой машине с Windows 

Пробовал с разных, но клиент везде CiscoAnyConnect ver. 4.10.08029 или ниже.

[AndyU]

3 minutes ago, KoM27 said:

Пробовал с разных, но клиент везде CiscoAnyConnect ver. 4.10.08029 или ниже.

https://kb.itd.commonwealthu.edu/books/network/page/download-cisco-secure-client