既存NWに乗っかる形でゲストポートとVPNアクセスを構成しようとしている。
既存NWに乗るのでwanインターフェースは使用できない。lanブリッジにゲートウェイが接続される。
lanブリッジにデフォルトゲートウェイ(とDNS)を設定し、外部疎通へはOK。
ゲストポートに関しては先のdhcp設定と、DNSアクセスを許可し
lanゾーンへの転送を拒否しておけばいいだろう。
ゲストポートは別セグメントになるので、個別にNATするように設定しておく。
取り急ぎ、ゲストポートしては以上。
次はWireGuardをクライアントとして設定するのだが、WG-Easyの設定ファイルを読み込ませればだいたいいける。楽でありがたい。
許可されたIPにVPN接続先のIP帯を設定し、許可されたIPのルートにチェックを入れておく。
後はOpenWrtをデフォルトルートにしておけば繋がると思う。やったぜ。
では何が気に入らないかと言うと、lanゾーンにNATが必要。ここまでやって2重NATのオチ。
(戻りルート自体は問題無いのだが、非対称になる為ドロップする)
これを回避する場合、既存NWのルーターでVPN側IPへの静的ルートを設定すれば良い。解決。デフォルトルートも元のままで良くなる。
静的ルートでは非対称性は解消されないっぽい。DHCPでopsion121を設定して静的ルートを追加するのが良いようだ。
また、FW設定の無効なパケットを遮断するのチェックを外すと疎通可能。ゾーン単位で行う場合はゾーン設定の"invalid" トラフィックの許可にチェックを入れるらしい。うまくいったりいかなかったりしてる。どっちかにしろ。
とりあえず選択肢が増えたので、(ルータ買ったので)上位ルータのDHCPは残し、静的ルートでWGに飛ばして無効なパケットを遮断するのチェックを外してルートの非対称性を無視するのでやってみよう
問題は今NW設定中のココ、既存ルータがDHCPでデフォルトルートもDNSも広告できないし静的ルートも設定できないゴミってことぐらいか。*1
2重NATを許容すればいいだけなので悩む。どうしたものか。にせんえん握ってハードオフでBUFFALO買ってきた方がスマートではある。
*1:ワイもう一生Atermは買わん
