iptables: Как перенаправить UDP и TCP порты на сервер за соединением VPN WireGuard

У меня есть VPS (KVM) сервер с Debian bullseye и публичным IP. Этот сервер также работает как сервер wireguard. Дома у меня есть еще один сервер (за NAT) с клиентом wireguard, который подключен к моему VPS. Тоннель работает, что означает, что я могу правильно общаться через VPN wireguard.

+----------------------------------+             +-------------------------------
| Домашний сервер (за NAT)         |             | VPS (KVM) с публичным IP     |
| 192.168.1.10                     |             | 1.2.3.4                      |
|         +------------------------|             |--------------------+         |
|         | wg-homeserver          | - - - - - - | wg-vps             |         |
|         | 192.168.200.2          |             | 192.168.200.1      |         |
|         +------------------------|             |--------------------+         |
|                                  |             |                              |
+----------------------------------+             +------------------------------+

Мой домашний сервер запускает несколько контейнеров Docker, которые прослушивают порты (на всех IP-адресах), что означает, что эти порты доступны из 192.168.1.0/24. Теперь мне нужно перенаправить один TCP и один UDP порт на публичном IP-адресе моего VPS и перенаправить трафик через ссылку wireguard на те же порты на моем домашнем сервере:

1.2.3.4:10000/tcp -> 192.168.200.2:10000/tcp
1.2.3.4:10001/udp -> 192.168.200.2:10001/udp

IP-проброс включен на обеих машинах, что означает, что cat /proc/sys/net/ipv4/ip_forward показывает 1.

Чтобы перенаправить TCP-порт, у меня есть эти правила:

iptables -A FORWARD -d 192.168.200.2/32 -i wg-vps -p tcp --dport 10000 -j ACCEPT
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 10000 -j DNAT --to-destination 192.168.200.2:10000

Когда я пытаюсь выполнить ssh -p 10000 1.2.3.4, я не вижу никаких пакетов, которые регистрируются wireguard -i wg-vps. Я пробовал множество других вещей, но не смог выяснить, что я делаю неправильно или чего мне не хватает.

Что касается UDP-порта, я создал это правило, с чуть большей успешностью:

iptables -t nat -A PREROUTING -d 1.2.3.4/32 -i eth0 -p udp --dport 10001 -j DNAT --to-destination 192.168.200.2:10001

Вот как я отправляю свой тестовый UDP-пакет:

echo -n test | nc -4 -u 1.2.3.4 10001

Когда я это делаю, я вижу, что tcpdump -i wg-vps на моем VPS регистрирует это (4.5.6.7 – это мой публичный IP-адрес):

11:35:47.497622 IP 4.5.6.7.43357 > 192.168.200.2.10001: UDP, длина 4

Что-то похоже на то, что он пытается сделать правильные вещи, взять пакет, обновить адрес назначения на 192.168.200.2 и затем передать его на интерфейс wireguard wg-vps. Но tcpdump -i wg-homeserver на моем домашнем сервере никогда не показывает, что этот пакет приходит.

На самом деле, я заметил, что когда я watch ip -s link show wg-homeserver на моем домашнем сервере, каждый раз, когда я отправлял UDP-пакет на этот порт, количество RX ошибок увеличивалось на один. Так что что-то доходит до туда, но что бы это ни было, это не отображается с tcpdump и, похоже, теряется где-то ниже. Что странно, потому что и UDP, и TCP через ссылку wireguard работают отлично в обе стороны.

Насколько я понимаю, tcpdump показывает пакеты перед iptables, так что, по моему предположению, даже если пакет, кажется, записан в интерфейс wireguard, он где-то теряется.

ОБНОВЛЕНИЕ:
Окей, я нашел способ включить ведение журнала wireguard:

echo module wireguard +p > /sys/kernel/debug/dynamic_debug/control

И когда я просматриваю журналы с dmesg --follow, похоже, что wireguard отбрасывает пакет по следующей причине:

wireguard: wg-homeserver: Пакет имеет ненадлежащий исходный IP (4.5.6.7) от пира 20 (xxxxxx)

Так что я думаю, что это значит, что ему не нравится тот факт, что адрес источника – оригинальный адрес откуда запрос пришел. Я не хочу делать SNAT, поэтому, похоже, мне нужно как-то научить его, что он должен разрешать любой исходный адрес.

Что оказывается является настройкой AllowedIPs в разделе [Peer] моей конфигурации wireguard. Это решает проблему:

AllowedIPs = 0.0.0.0/0, ::0/0

Ранее я установил маски интерфейса подобно тому, что есть в разделе [Interface], не осознавая, что это ограничит исходные адреса пакетов.

Однако это перехватывает весь трафик и пытается маршрутизировать его через ссылку wireguard, так как wg-quick смотрит на AllowedIPs и считает, что должен добавить маршрут и перенаправить весь трафик через VPN. Это явно не желательно, но, к счастью, есть решение: добавление Table = off в раздел [Interface] предотвратит это.

Посмотрите на свою таблицу правил, чтобы понять, как маршрутизируются исходящие пакеты на домашнем сервере. wg-quick добавит некоторые правила.

ip rule show

Для меня мне пришлось удалить некоторые правила, сгенерированные wg-quick (которые заставляют перенаправлять все пакеты на wg) и затем добавить правила, которые перенаправляют необходимые порты. Вы можете увидеть wg таблицу из предыдущей команды.

ip -4 rule add sport 80 table XXXXX
ip -4 rule add sport 443 table XXXXX

Вышеуказанное работало некоторое время. Но systemd-networkd будет удалять пользовательские правила, когда истекает аренда DHCP или когда сетевой кабель отключается и подключается снова. Поэтому я полностью удалил wg-quick и использую systemd-networkd для настройки интерфейса wg и правил маршрутизации.