Кто-нибудь этим занимался? Я использую torguard и пытаюсь найти способ подключиться через WG. Подождите немного. Ха.

У меня небольшая проблема. По какой-то причине, когда я подключаюсь к сессии wireguard-клиента, кажется, что маршрут не работает правильно. Из логов видно, что сессия активна. Я следовал инструкции с https://community.ui.com/questions/Tips-for-setting-up-wireguard-site-to-site-VPN/9788ff62-3923-4b34-a6e0-316524438acb, но безрезультатно.

Вот конфигурация USG:  
{  
 "firewall": {  
   "group": {  
     "network-group": {  
       "remote_user_vpn_network": {  
         "description": "Remote User VPN subnets",  
         "network": [
           "10.13.41.0/24"  
         ]  
       }  
     }  
   }  
 },  
 "interfaces": {  
   "wireguard": {  
     "wg0": {  
       "description": "VPN for remote clients",  
       "address": [
         "10.13.41.1/24"  
       ],  
       "firewall": {  
         "in": {  
           "name": "LAN_IN"  
         },  
         "local": {  
           "name": "LAN_LOCAL"  
         },  
         "out": {  
           "name": "LAN_OUT"  
         }  
       },  
       "listen-port": "51820",  
       "mtu": "1500",  
       "peer": [{
         "<-- KEY -->": {  
           "allowed-ips": [
             "10.13.41.10/32"  
           ],  
           "persistent-keepalive": 60  
         }  
       }],  
       "private-key": "/config/auth/wireguard/wg_private.key",  
       "route-allowed-ips": "false"  
     }  
   }  
 }  
}

И сама сессия выглядит нормально:  
interface: wg0  
public key: <-- KEY -->  
private key: (скрыт)  
listening port: 51820  

peer: <-- KEY -->  
endpoint: <-- IP -->:49591  
allowed ips: 10.13.41.10/32  
latest handshake: 53 секунды назад  
transfer: 1.67 KiB получено, 3.55 KiB отправлено  
persistent keepalive: каждые 1 минуту

Но по какой-то причине данные просто не маршрутизируются...  

Ещё момент: я смог с помощью tcpdump проверить, что трафик уходит и приходит на USG, и трафик также проходит на клиенте.

Если ты про то сообщение на бета-форуме, то нет, потому что у меня там нет доступа.

@mbello Я пытался установить WG на одном из своих сайтов, где у меня стоит usg-pro-4, но немного запутался. Позволь подытожить, что я сделал:

Установил wireguard-ugw4-0.0.20191219-2.deb с GitHub по этим инструкциям:  
sudo dpkg -i wireguard-<board>-<version>-1.deb — для установки пакетов  
sudo -i — чтобы упростить все  
umask 077 && mkdir wireguard && cd wireguard — для ключей сервера  
wg genkey | tee wg_private.key | wg pubkey > wg_public.key — для создания ключей сервера  
wg genkey | tee client1_private.key | wg pubkey > client1_public.key — для создания ключей первого клиента. Для каждого клиента, подключающегося к VPN, понадобится свой набор ключей.

Затем я перешёл в UniFi контроллер, чтобы создать конфигурацию для VPN. После этого создал json-файл на CK:  
root@UniFi-CloudKey:/srv/unifi/data/sites/default# ls -lat  
total 16  
drwx------ 3 unifi unifi 4096 Jan 4 18:29 .  
drwx------ 3 unifi unifi 4096 Jul 3 2014 ..  
-rw-r--r-- 1 root root 1477 Jan 4 18:29 config.gateway.json  
drwx------ 2 unifi unifi 4096 Nov 4 2017 map

Но после применения настроек получаю следующую ошибку:  
configuration commit error. Error message: {"COMMIT":{"error":"Error: Private key /config/auth/wireguard/wg_private.key not found\n\nCommit failed\n","failure":"1","success":"1"},"DELETE":{"failure":"0","success":"1"},"SESSION_ID":"a8afd4bb371d5574bff0bb832f","SET":{"failure":"0","success":"1"}}

Пытался создать этот путь и файл самостоятельно — ошибка осталась. Неужели я что-то пропустил? Потому что, на мой взгляд, все инструкции не до конца полные (вот этот момент, например).

Вы недавно обновляли прошивку вашего USG? Недавно вышла версия 4.4.41, возможно, вы уже обновились до последней версии. Каждый раз при обновлении прошивки USG нужно заново устанавливать wireguard (просто скачайте и установите .deb файл).

@shagoy

Ты включил route-allowed-ips? Нужно включить. И ещё, настроил сетевые группы, как было написано раньше в этой теме? Именно сетевые группы автоматически настраивают PBR для тебя.  
Если проблемы всё ещё есть, пришли свой .json файл и расскажи, что именно не так. Также скажи, показывается ли в терминале USG при вводе команды «wg show» строка с «latest handshake». Если есть latest handshake — значит VPN работает, если нет — значит нет.  
И не забудь открыть порт 51820 (или тот, который ты используешь). Даже если VPN работает без открытия порта, всё равно создай явное правило в firewall для этого порта (в WAN_LOCAL).

Прости, @shagoy, я так и не разобрался. Решил поставить клиентов WireGuard на несколько устройств, вместо того чтобы делать VPN для всего дома. Это было слишком сложно на настройку и слишком хрупкая конфигурация, чтобы на неё можно было положиться.

@mbello

Я не настраивал, route-allowed-ips в интерфейсе WireGuard стоит на «false». Нужно ли отключать DHCP, если поставить «true»? Будет ли WireGuard раздавать IP? Как настроить диапазон используемых IP? Эта статья заставляет меня думать, что надо поставить в брандмауэре source-validation в «disable»?

У меня настроен интерфейс wg0 на USG, и я могу пинговать в обе стороны между ним и моим VPS. Пытался безуспешно настроить PBR, чтобы маршрутизировать трафик через туннель. Вот правила, которые я использовал:

configure  
set protocols static table 1 interface-route 0.0.0.0/0 next-hop-interface wg0 distance 5  
set firewall modify SOURCE_ROUTE rule 10 description "Traffic to egress to wireguard VPN"  
set firewall modify SOURCE_ROUTE rule 10 source address 192.168.1.0/24  
set firewall modify SOURCE_ROUTE rule 10 modify table 1  
set interfaces ethernet eth1 vif 10 firewall in modify SOURCE_ROUTE  
commit  
save  
exit

tcpdump на интерфейсе wg0 молчит.