Привет @MacJuJu, огромное спасибо за совет. Я нашёл решение, при котором и мастер для S2S в Mobile Routing, и ручная настройка удалённых сетей на WireGuard VPN сервере работают. Оказывается, это ошибка в UniFi Network, которая неправильно проверяет IP-подсети. Решение выдерживает перезагрузки VPN-сервера, UDM или UMR без проблем.

Многие пользователи, вероятно, определили "классические" правила брандмауэра. Обычно для этого создают группу RFC1918, содержащую все локальные IPv4-сети. То есть 192.168.0.0/16, 172.16.0.0/12 и 10.0.0.0/8. Эта группа под "Профили" > "IP-группы" вызывает проблемы, поскольку она содержит все частные IP-адреса.

Временно удалите записи из этой группы (не саму группу!) и просто добавьте неиспользуемую частную сеть (например: 192.168.200.0/24), чтобы иметь возможность сохранить группу.

После сохранения группы мастер работает, и вы также можете определить удалённые сети во всех WireGuard VPN серверах. Когда закончите, просто добавьте старые локальные сети обратно.

Может быть, всё так просто.

Дополнительные настройки, такие как правила брандмауэра и т.д., не требуются. Как обычно с UniFi, сначала всё работает, а затем нужно ограничивать через правила брандмауэра.

Поделитесь этим решением во всех остальных обсуждениях. Я видел, что у многих есть эта проблема.

С уважением,
Stefan

Ещё одно замечание: возможно, не только эта группа RFC1918 содержит теоретически перекрывающуюся IP-сеть с удалённой сетью, которую нужно создать. Если это не работает, проверьте все группы на наличие теоретических перекрытий и временно удалите их. Если изменения должны быть внесены в существующего клиента - очистите группы, внесите изменения, добавьте содержимое групп снова. Группы не обязательно должны использоваться в брандмауэре. Они должны существовать, чтобы это не работало. Вам не нужно отключать какие-либо правила брандмауэра и т.д.

Я задокументировал поведение и решение и сообщил об этом в службу поддержки UI.

@MacJuJu Раздражение – это точное слово. Я уже около трех недель общаюсь с техподдержкой по этому вопросу. Включая сессии TeamViewer и кучу писем и тестов. Проблема, скорее всего, в Unifi Network. Нельзя задать удалённую сеть для конкретного клиента – это БАГ. Сети должны быть в конфигурации сервера, тогда маршруты настраиваются автоматически при старте. Настройка маршрутов вручную не имеет смысла или не работает. Я установил VPN – это работает – и потом изменил конфигурацию через SSH. Это тоже работает, но изменения вступают в силу только после перезапуска VPN-сервера. В этот раз, однако, они перезаписываются. @UI-Team пора бы уже кому-нибудь заняться этим.

Ну, это мне, конечно, не помогает. Сеть UMR всё ещё недоступна, хотя всё вроде правильно, и VPN-туннель тоже установлен. Я могу дойти до конца туннеля на UMR.In addition, после перезапуска VPN-сервера конфигурация переписывается, и сеть UMR снова пропадает.

Часть 4 – Настройка VPN S2S на UMR

Перейдите на https://mobility.ui.com/Go в Настройки -> VPN -> Site-to-Site VPN -> Создать новый.

Укажите все настройки вручную. Это основано на настройках, которые позволяют подключиться в Части 3.



Я оставляю все ключи здесь для удобства. Помните, не используйте свои собственные ключи в процессе.

Затем, на левой панели Устройства -> Ваш UMR -> Настройки устройства -> Найдите VPN Session.

Установите флажок VPN Connect и выберите профиль S2S.

В моем случае после этого шага

10.10.10.0/24 (VLAN1) на моем UniFi GW мог получить доступ к 10.90.1.0/24 на UMR.

10.15.20.0/24 (VLAN10) на моем UniFi GW НЕ мог получить доступ к 10.90.1.0/24 на UMR из-за правил меж-vlan блокировки.

10.90.1.0/24 мог получить доступ к 10.10.10.0/24 и 10.15.20.0/24.

Часть 2 - Настройка VPN-клиента, конфигурационный файл.

Это содержимое WG-конфига для UMR, сгенерированного Частью 1:

[Interface]
PrivateKey = cOH+lWUujf8WIBsiebf8ISTEcwR4nQGlHTCgzSt5p2c=
Address = 192.168.90.101/32
DNS = 192.168.90.1

[Peer]
PublicKey = gWj+ZGytX6yYXPBhwsvZUPF8Xk+K+ecwpVjbJxX+Txk=
AllowedIPs = 192.168.90.1/32,192.168.90.101/32,0.0.0.0/0
Endpoint = demo.ddns.org:51820

Хочу подробнее рассказать про AllowedIPs для новичков. Для wg-конф файла для клиента:
AllowedIPs = 192.168.90.1/32,192.168.90.101/32,0.0.0.0/0

192.168.90.1/32 – это Tunnel IP на UniFi GW.
192.168.90.101/32 – это Tunnel IP на UMR.
0.0.0.0/0 означает, что весь трафик на UMR будет проходить через WG-интерфейс.

В моей конфигурации я хочу, чтобы UMR подключался к сети через сотовую связь, кроме моей VLAN для домашних устройств (10.10.10.0/24) и IoT VLAN (10.15.20.0/24), поэтому я внес изменения:
AllowedIPs = 192.168.90.1/32,192.168.90.101/32,10.10.10.0/24,10.15.20.0/24

О настройке Endpoint:

Мой провайдер, подключенный к UDM-SE, не имеет фиксированного IP-адреса. Поэтому мне нужно управлять Endpoint, используя DDNS FQDN. Я обновляю свой DDNS через мой Home Assistant Server, но хотел бы, чтобы @UI-Team рассмотрели возможность улучшить/исправить поддержку DDNS.
Endpoint = demo.ddns.org:51820

Пожалуйста, замените на IP-адрес / FQDN, указывающий на ваш UniFi GW.