Перейти к содержанию
Как правильно добавить self-test и прочую отладку в тему
Где взять тестовые сборки
Официальное хранилище ПО в виде файлов
  • 2

Advanced security configuration (ASC) для WireGuard

Noatitauaggi

Ответ от Noatitauaggi,

 Поделиться

Вопрос

Noatitauaggi Новичок

Noatitauaggi

Опубликовано
Опубликовано

В обновлении было добавлено возможность подключить AmneziaWG, но никак не получается от слова совсем, одни ошибки.

Что я делаю не так?

Подключение WireGuard называется WG

Пытаюсь и так interface WG wireguard asc 9 50 1000 27 110 541972455 339647423 1461438265 117583223

При этом варианте ошибка 

{
	"prompt": "(config)",
	"status": [
		{
			"status": "error",
			"code": "6553609",
			"ident": "Wireguard::Interface",
			"message": "unable to find WG in \"Wireguard::Interface\"."
		}
	]
}


И так interface {WG} wireguard asc {9} {50} {1000} {27} {110} {541972455 } {339647423 } {1461438265 } {117583223} 

При этом варианта ошибка 

{
	"prompt": "(config)",
	"status": [
		{
			"status": "error",
			"code": "7405602",
			"ident": "Command::Base",
			"source": "jc",
			"message": "argument parse error."
		}
	]
}

 

 

  • Параметры advanced security configuration (ASC) для WireGuard теперь доступны в интерфейсе командной строки (CLI). [NDM-3202]

    • interface {name} wireguard asc {jc} {jmin} {jmax} {s1} {s2} {h1} {h2} {h3} {h4} — установить дополнительные параметры ASC для WireGuard {name} туннеля.

 

  • Ответы 87
  • Создана
  • Последний ответ

Лучшие авторы в вопросе

Популярные дни

Лучшие авторы в вопросе

Популярные дни

Популярные посты

FLK
FLK

Интересно будут ли вот эти настройки в WEB UI когда-нибудь?

lliax
lliax

4.2.1 realese KN-1811 Это работает! Без Amnezia! Достаточно дописать в конфиг WG (это пример) в разделе [Interface] где-то в конце: jc = 2 jmin = 6 jmax = 12 s1 = 0 s2 = 0 h1 = 2 h2 =

vasek00
vasek00

Изображения в теме

87 ответов на этот вопрос

Рекомендуемые сообщения

  • 0
pavelkarpov Новичок

pavelkarpov

Опубликовано
Опубликовано (изменено)

ошибка выделена  

читайте инструкции,  или на Avito Найдите мастера,  он настроит вам

Изменено пользователем pavelkarpov
  • 0
fse Новичок

fse

Опубликовано
Опубликовано
В 20.09.2024 в 21:59, Gonzik сказал:

А в чем смысл их оставлять 0 0?

Я так понял "фишка" AmneziaWG - это именно добавление мусора к пакетам рукопожатий, размер которого определяется значениями S1 и S2.

Или нет?

Все верно, значение S - это размер мусора в начале данных. Почему оставляем 0? Как я понял - с другими значениями S на стандартном (читай - бесплатном) сервере WG не взлетит, а платить за полноценный AmneziaWG не всем хочется. При этом стандартное подключение WG вообще без этих параметров, которое у меня стабильно работало больше года, в начале этого месяца перестало работать совсем, а с этими на первый взгляд нулевыми параметрами все вновь заработало и совершенно бесплатно. Каким образом остается загадкой.

  • Спасибо 1
  • 0
Gonzik Пользователь

Gonzik

Опубликовано
Опубликовано
4 часа назад, FLK сказал:

{jc} {jmin} {jmax} - мусор)

Это мусор к пакетам данных, отсылаемый перед началом сессии (кол-во, мин и макс размеры). А S1 и S2, как я понял, дополнительный мусор к хендшейкам.

  • 0
FLK NetFriend

FLK

Опубликовано
Опубликовано
11 минуту назад, Gonzik сказал:

Это мусор к пакетам данных, отсылаемый перед началом сессии (кол-во, мин и макс размеры). А S1 и S2, как я понял, дополнительный мусор к хендшейкам.

Это нам скорее всего точно пояснить сможет @Le ecureuil

  • 0
avn Старожил

avn

Опубликовано
Опубликовано (изменено)
Только что, Gonzik сказал:

Это мусор к пакетам данных, отсылаемый перед началом сессии (кол-во, мин и макс размеры). А S1 и S2, как я понял, дополнительный мусор к хендшейкам.

Все правильно. Так и есть. Когда вижу js=120, думаю, товарищ тебя скоро забанят за 120 пакетов спама.

s1,s1 мусок к handshake

    u16 init_packet_junk_size;
    u16 response_packet_junk_size;

 

jc - кол-во пакетов, jmin - минимальная длина, jmax - максимальная

image.png.45470e3fa99ec9a5716d708576bf3a95.png

Поэтому стандартные обмены по WG c ASC: 

jc jmin jmax 0 0 0 0 0 0
jc jmin jmax 0 0 1 2 3 4

 

Изменено пользователем avn
  • Спасибо 1
  • Лайк 1
  • 0
Ruster Новичок

Ruster

Опубликовано
Опубликовано

А как выглядит валидный лог подключения?

Переключил источник на предварительный. Обновился до 4.2.0(4.02.C.0.0-1).
 Вполнил конфигурацию через interface wireguard asc. Она даже сохранилась в конфигурации 

interface Wireguard0
    description home
    security-level public
    ip address 10.8.0.5 255.255.255.255
    ip mtu 1324
    ip global 16383
    ip tcp adjust-mss pmtu
    wireguard asc 5 50 1000 26 32 * * * *
    wireguard peer ********************************************
        endpoint *.*.*.*:12345
        preshared-key *****************************************
        allow-ips 0.0.0.0 0.0.0.0
        connect
    !
    up
!

Но само подключение продолжает быть пассивным, хендшейк не проходит (сам файл конфига амнезии валдиный, через приложение(amneziawg-windows-client) соединение устанавливается и работает)
Да и  в логе Управление -> Диагностика -> Показать журнал   
Каких-то ошибок нет 

[I] Sep 26 15:02:12 ndm: Network::Interface::Base: "Wireguard0": "base" changed "conf" layer state "disabled" to "running". 
[I] Sep 26 15:02:12 ndm: Network::Interface::Base: "Wireguard0": interface is up. 
[I] Sep 26 15:02:12 ndm: Core::System::StartupConfig: saving (http/rci). 
[I] Sep 26 15:02:13 ndm: Wireguard::Interface: "Wireguard0": resolved peer "*********" endpoint to "9.8.7.6". 
[I] Sep 26 15:02:13 ndm: Network::Interface::EndpointTracker: "Wireguard0": "*********": remote endpoint is "9.8.7.6". 
[I] Sep 26 15:02:13 ndm: Network::Interface::EndpointTracker: "Wireguard0": "*********": connecting via "L2TP0" (L2TP0). 
[I] Sep 26 15:02:13 ndm: Network::Interface::EndpointTracker: "Wireguard0": "*********": local endpoint is "1.2.3.4". 
[I] Sep 26 15:02:13 kernel: wireguard: Wireguard0: peer "*********" (4) created
[I] Sep 26 15:02:15 ndm: Core::System::StartupConfig: configuration saved. 
[I] Sep 26 15:02:18 ndm: Core::System::StartupConfig: configuration saved.

 

  • 0
kors Новичок

kors

Опубликовано
Опубликовано
В 26.09.2024 в 15:44, Ruster сказал:

А как выглядит валидный лог подключения?

Переключил источник на предварительный. Обновился до 4.2.0(4.02.C.0.0-1).
 Вполнил конфигурацию через interface wireguard asc. Она даже сохранилась в конфигурации 

interface Wireguard0
    description home
    security-level public
    ip address 10.8.0.5 255.255.255.255
    ip mtu 1324
    ip global 16383
    ip tcp adjust-mss pmtu
    wireguard asc 5 50 1000 26 32 * * * *
    wireguard peer ********************************************
        endpoint *.*.*.*:12345
        preshared-key *****************************************
        allow-ips 0.0.0.0 0.0.0.0
        connect
    !
    up
!

Но само подключение продолжает быть пассивным, хендшейк не проходит (сам файл конфига амнезии валдиный, через приложение(amneziawg-windows-client) соединение устанавливается и работает)
Да и  в логе Управление -> Диагностика -> Показать журнал   
Каких-то ошибок нет 

[I] Sep 26 15:02:12 ndm: Network::Interface::Base: "Wireguard0": "base" changed "conf" layer state "disabled" to "running". 
[I] Sep 26 15:02:12 ndm: Network::Interface::Base: "Wireguard0": interface is up. 
[I] Sep 26 15:02:12 ndm: Core::System::StartupConfig: saving (http/rci). 
[I] Sep 26 15:02:13 ndm: Wireguard::Interface: "Wireguard0": resolved peer "*********" endpoint to "9.8.7.6". 
[I] Sep 26 15:02:13 ndm: Network::Interface::EndpointTracker: "Wireguard0": "*********": remote endpoint is "9.8.7.6". 
[I] Sep 26 15:02:13 ndm: Network::Interface::EndpointTracker: "Wireguard0": "*********": connecting via "L2TP0" (L2TP0). 
[I] Sep 26 15:02:13 ndm: Network::Interface::EndpointTracker: "Wireguard0": "*********": local endpoint is "1.2.3.4". 
[I] Sep 26 15:02:13 kernel: wireguard: Wireguard0: peer "*********" (4) created
[I] Sep 26 15:02:15 ndm: Core::System::StartupConfig: configuration saved. 
[I] Sep 26 15:02:18 ndm: Core::System::StartupConfig: configuration saved.

 

У тебя dns over tls установлен и настроен?

https://help.keenetic.com/hc/ru/articles/360007687159-Прокси-серверы-DNS-over-TLS-и-DNS-over-HTTPS-для-шифрования-DNS-запросов

Я в него добавил IP сервера Амнезии + ещё 2 адреса:

94.140.14.14 dns.adguard-dns.com
94.140.15.15 dns.adguard-dns.com

  • 0
Ruster Новичок

Ruster

Опубликовано
Опубликовано
11 час назад, kors сказал:

У тебя dns over tls установлен и настроен?

https://help.keenetic.com/hc/ru/articles/360007687159-Прокси-серверы-DNS-over-TLS-и-DNS-over-HTTPS-для-шифрования-DNS-запросов

Я в него добавил IP сервера Амнезии + ещё 2 адреса:

94.140.14.14 dns.adguard-dns.com
94.140.15.15 dns.adguard-dns.com

Кажется, что амнезия на него не завязана? Или ошибаюсь? Но ок, попробую

  • 0
kors Новичок

kors

Опубликовано
Опубликовано
В 09.10.2024 в 09:51, 1qqq сказал:

Можно подробнее? Можно в личку. 

По ссылке инструкция как установить DNS-over-TLS - https://help.keenetic.com/hc/ru/articles/360007687159-Прокси-серверы-DNS-over-TLS-и-DNS-over-HTTPS-для-шифрования-DNS-запросов

После установки заходишь Сетевые правила -> Интернет фильтры -> Настройки DNS -> Добавить сервер

Тип сервера DNS: DNS-over-TLS
Адрес сервера DNS: IP-адрес твоего сервера Амнезия (перед этим нужно через приложение установить DNS-сервер Амнезии)
Домен оставляешь пустой
Любой интерфейс

+ я добавил два DNS-over-TLS сервера AdGuard, о которых выше упомянул. Тоже самое, только IP-адреса 94.140.14.14 и 94.140.15.15, а домен везде dns.adguard-dns.com.

  • Спасибо 1
  • 0
FLK NetFriend

FLK

Опубликовано
Опубликовано
В 10.10.2024 в 23:46, kors сказал:

По ссылке инструкция как установить DNS-over-TLS - https://help.keenetic.com/hc/ru/articles/360007687159-Прокси-серверы-DNS-over-TLS-и-DNS-over-HTTPS-для-шифрования-DNS-запросов

После установки заходишь Сетевые правила -> Интернет фильтры -> Настройки DNS -> Добавить сервер

Тип сервера DNS: DNS-over-TLS
Адрес сервера DNS: IP-адрес твоего сервера Амнезия (перед этим нужно через приложение установить DNS-сервер Амнезии)
Домен оставляешь пустой
Любой интерфейс

+ я добавил два DNS-over-TLS сервера AdGuard, о которых выше упомянул. Тоже самое, только IP-адреса 94.140.14.14 и 94.140.15.15, а домен везде dns.adguard-dns.com.

И с 8.8.8.8 все работает) зачем такие трудности?

  • 0
Gonzik Пользователь

Gonzik

Опубликовано
Опубликовано
2 часа назад, FLK сказал:

И с 8.8.8.8 все работает) зачем такие трудности?

И с DNS-over-HTTPS тоже. А то в инструкции прям уперлись в DNS-over-TLS.

  • 0
EcliptiC Пользователь

EcliptiC

Опубликовано
Опубликовано

Здравствуйте. 
Подскажите, если настраивать WireGuard с ASC между двумя Keenetic, то какие из параметров {jc} {jmin} {jmax} {s1} {s2} {h1} {h2} {h3} {h4} должны совпадать? Все или {jc} {jmin} {jmax} могут быть разные? Да и вообще возможно ли сконнектить два Кина через WireGuard с ASC? Сейчас у меня два Кина соединены через просто WireGuard и провайдер (после 17.10.2024) как-то стал блокировать нестандартные порты (22, 222, 3000, 8090 и прочие), 80 и 443 нормально работают. При этом если соединить через OpenConnect, то порты не блокируются при работе с одной локалки в другую.

Схема такая: роутер А (сеть 192.168.1.0/24) с сервисами на портах 22, 222, 3000, 8090 и я не могу на них попасть (после 17.10.2024) из роутера Б (сеть 172.16.1.0/24). При этом на сервисы с портами 80 и 443 из Б в А попадаю сразу.

  • 0
EcliptiC Пользователь

EcliptiC

Опубликовано
Опубликовано
23 hours ago, EcliptiC said:

Здравствуйте. 
Подскажите, если настраивать WireGuard с ASC между двумя Keenetic, то какие из параметров {jc} {jmin} {jmax} {s1} {s2} {h1} {h2} {h3} {h4} должны совпадать? Все или {jc} {jmin} {jmax} могут быть разные? Да и вообще возможно ли сконнектить два Кина через WireGuard с ASC? Сейчас у меня два Кина соединены через просто WireGuard и провайдер (после 17.10.2024) как-то стал блокировать нестандартные порты (22, 222, 3000, 8090 и прочие), 80 и 443 нормально работают. При этом если соединить через OpenConnect, то порты не блокируются при работе с одной локалки в другую.

Схема такая: роутер А (сеть 192.168.1.0/24) с сервисами на портах 22, 222, 3000, 8090 и я не могу на них попасть (после 17.10.2024) из роутера Б (сеть 172.16.1.0/24). При этом на сервисы с портами 80 и 443 из Б в А попадаю сразу.

Отвечу на свой вопрос. Параметры должны совпадать. jc может отличаться. 
Но вопрос с доступом из роутера Б к А так и остался. Всё что не 80 и 443 не доступно. В чём может быть проблема?

  • 0
allmoney Новичок

allmoney

Опубликовано
Опубликовано

Версия ОС 4.2.1

На роутере стоит стандартный WireGuard VPN

На VPS - стандартный WireGuard.

Help! Что где надо прописать/установить, чтобы заработал мусор с пакетами?

  • 0
lliax Пользователь

lliax

Опубликовано
Опубликовано
1 час назад, allmoney сказал:

Help! Что где надо прописать/установить, чтобы заработал мусор с пакетами?

4.2.1 realese KN-1811 Это работает! Без Amnezia! Достаточно дописать в конфиг WG (это пример) в разделе [Interface] где-то в конце:

jc = 2
jmin = 6
jmax = 12
s1 = 0
s2 = 0
h1 = 2
h2 = 4
h3 = 6
h4 = 8

 

На роутере 

interface Wireguard0 wireguard asc 2 6 12 0 0 2 4 6 8
system configuration save

И всё взлетело! Перестало тормозить. На роутере использую интерфейс сейчас отдельную зону (политику подключения) для части клиентов.

  • Лайк 3
  • 0
Николай МПК Новичок

Николай МПК

Опубликовано
Опубликовано
В 05.09.2024 в 21:38, Monstr86 сказал:

Стандартный сервер WG не поддерживает эти параметры, разворачивайте amnesia

https://habr.com/ru/companies/amnezia/articles/807539/

поддерживает! сервер wg на микротике, клиент кинетик с мусором подключается

  • 0
allmoney Новичок

allmoney

Опубликовано
Опубликовано
15 часов назад, lliax сказал:

4.2.1 realese KN-1811 Это работает! Без Amnezia!

Это через файл конфига или telnet надо прописать? Как понять какие точно цифры надо или можно эти из вашего примера взять?

  • 0
Monstr86 Поставщик контента

Monstr86

Опубликовано
Опубликовано
В 23.10.2024 в 10:06, Николай МПК сказал:

поддерживает! сервер wg на микротике, клиент кинетик с мусором подключается

Я говорил про сервер WG на Ubuntu, он такие параметры не принимает.

  • 0
FLK NetFriend

FLK

Опубликовано
Опубликовано (изменено)
3 часа назад, 1qqq сказал:

В описании ни к 4.2.1, ни к 4.2.2 не увидел поддержки asc для wg. Ткните

Она никуда не пропала со времен альфа-версий

Кого ткнуть? 🤣 

Изменено пользователем FLK

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить на вопрос...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку вопросов

  • Последние посетители   1 пользователь онлайн

×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю