Bei WireGuard (PiVPN) NAT deaktivieren

jojohannes · September 2, 2024 at 4:54 PM New

Hallo,

hinter einem Lancom-Router habe ich mit Port-Forwarding ein Raspi gehängt mit einer statischen LAN-IP aus 192.168.115.0/24. Nennen wir das Netz (A).

Im Lancom habe ich eine Route für den WireGuard-Client-IP-Bereich 10.199.89.0/24 eingerichtet. Nennen wir es (B)

Nun funktioniert alles auf Anhieb reibungslos, ich kann alle IP-Adressen erreichen (A) zu (B) und (B) zu (A).

Split-Tunneling über die "allowed-ips" in der Client-Config funktioniert auch ohne Probleme.

Was mich jetzt aber stört ist, dass der Raspi NAT macht wenn ich vom Client (A) eine Verbindung zum internen Server im IP-Netz (B) mache.

Das heißt der Ziel-Server in (B) Sieht nicht welcher Client eine Verbindung aufbaut, sondern immer nur die IP vom Raspi.

Das brauche ich nicht, weil der Lancom (Standard-Gateway) die Routen von (A) und (B) ja kennt.

Ich habe schon viel rumgesucht, aber irgendwie bringt alles nichts.

Was ich bereits probiert habe:

PiVPN legt automatisch eine Masquarading-Regel in IP-Tables an, die habe ich gelöscht, ändert aber nichts.

Code

root@raspberrypi:~# sudo iptables -nvx -L -t nat
Chain PREROUTING (policy ACCEPT 73090 packets, 7037844 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain INPUT (policy ACCEPT 66201 packets, 6582431 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 568 packets, 54783 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain POSTROUTING (policy ACCEPT 334 packets, 25343 bytes)
    pkts      bytes target     prot opt in     out     source               destination
    3833   277827 MASQUERADE  0    --  *      enxb827eb79298d  0.0.0.0/0            0.0.0.0/0
       0        0            0    --  *      enxb827eb79298d  0.0.0.0/0            0.0.0.0/0

Display More

IP-Forwarding habe ich aktiviert

Code

root@raspberrypi:~# cat /proc/sys/net/ipv4/ip_forward
1

Inhalt von /etc/wireguard/wg0.conf

Code

[Interface]
PrivateKey = *****
Address = 10.199.89.1/24
MTU = 1420
ListenPort = 51820
### begin 123 ###
[Peer]
PublicKey = *****
PresharedKey = *****
AllowedIPs = 10.199.89.2/32
### end 123 ###

Display More

Client-Config:

Code

[Interface]
PrivateKey = *****
Address = 10.199.89.2/24
DNS = 192.168.115.150, 192.168.115.151

[Peer]
PublicKey = *****
PresharedKey = *****
Endpoint = *****
AllowedIPs = 192.168.115.0/24, ::0/1,8000::/1

Hat jemand eine Idee woran es noch liegen könnte?

Besten Dank.

Bot · Vor 5 Minuten

Bei WireGuard (PiVPN) NAT deaktivieren? Schau mal ob du hier fündig wirst!

rpi444 · September 2, 2024 at 5:28 PM New

Quote from jojohannes

Was mich jetzt aber stört ist, dass der Raspi NAT macht wenn ich vom Client (A) eine Verbindung zum internen Server im IP-Netz (B) mache.
Das heißt der Ziel-Server in (B) Sieht nicht welcher Client eine Verbindung aufbaut, sondern immer nur die IP vom Raspi.
Das brauche ich nicht, weil der Lancom (Standard-Gateway) die Routen von (A) und (B) ja kennt.

Poste mal eine Skizze von deiner Konstellation und vom PI die Ausgabe von:

Code

sudo nft list ruleset

jojohannes · September 2, 2024 at 6:35 PM New

Quote from rpi444

Poste mal eine Skizze von deiner Konstellation

Ich hoffe du kannst damit was anfangen.

Der Server "sieht" nur dass IP 192.168.115.135 angefragt hat und nicht, dass es der Client 10.199.89.2 ist.

Quote from rpi444

Poste mal eine Skizze von deiner Konstellation und vom PI die Ausgabe von:

Code

table ip filter {
        chain INPUT {
                type filter hook input priority filter; policy accept;
                iifname "enxb827eb79298d" udp dport 51820  counter packets 119689 bytes 54753200 accept
                meta l4proto tcp tcp dport 22 counter packets 9898 bytes 762615 jump f2b-ssh
        }

        chain FORWARD {
                type filter hook forward priority filter; policy accept;
                iifname "wg0" counter packets 30641 bytes 39595469 accept
                oifname "wg0" counter packets 25813 bytes 4652049 accept
                iifname "wg0" counter packets 0 bytes 0 accept
                oifname "wg0" counter packets 0 bytes 0 accept
                iifname "wg0" counter packets 0 bytes 0 accept
                oifname "wg0" counter packets 0 bytes 0 accept
        }

        chain OUTPUT {
                type filter hook output priority filter; policy accept;
        }

        chain f2b-ssh {
                ip saddr 105.174.43.194 counter packets 14 bytes 1100 reject
                ip saddr 157.230.185.9 counter packets 19 bytes 1508 reject
                ip saddr 203.190.153.26 counter packets 20 bytes 1552 reject
                ip saddr 182.72.235.172 counter packets 11 bytes 588 reject
                ip saddr 103.101.160.198 counter packets 22 bytes 1724 reject
                ip saddr 128.199.202.79 counter packets 23 bytes 1728 reject
                ip saddr 49.65.102.127 counter packets 54 bytes 3608 reject
                ip saddr 63.41.9.210 counter packets 21 bytes 1096 reject
                ip saddr 85.222.79.58 counter packets 0 bytes 0 reject
                counter packets 8564 bytes 673069 return
        }
}
# Warning: table ip nat is managed by iptables-nft, do not touch!
table ip nat {
        chain PREROUTING {
                type nat hook prerouting priority dstnat; policy accept;
        }

        chain INPUT {
                type nat hook input priority 100; policy accept;
        }

        chain OUTPUT {
                type nat hook output priority -100; policy accept;
        }

        chain POSTROUTING {
                type nat hook postrouting priority srcnat; policy accept;
                oifname "enxb827eb79298d" counter packets 5792 bytes 416764 masquerade
                oifname "enxb827eb79298d" counter packets 0 bytes 0
        }
}

Display More

Bot · Vor einem Moment

rpi444 · September 2, 2024 at 9:32 PM New

Quote from jojohannes

Der Server "sieht" nur dass IP 192.168.115.135 angefragt hat und nicht, dass es der Client 10.199.89.2 ist.

Das ist auch richtig so. Wenn Du das willst, könntest Du den Server auch als WireGuard-Peer konfigurieren.
Aber warum ist es für dich wichtig, dass der Server die IP-Adresse vom WireGuard-Interface des Clienten, sehen soll/kann?

jojohannes · September 3, 2024 at 9:52 AM New

Quote from rpi444

Aber warum ist es für dich wichtig, dass der Server die IP-Adresse vom WireGuard-Interface des Clienten, sehen soll/kann?

Naja zum einen macht unnötiges NAT an einigen Stellen potentiell Probleme (VOIP z.B.), zum anderen kann ich am Server nicht so gut debuggen oder verschiedene Clients unterschiedlich behandeln.

Die IPSeC VPN-Clients die sich zum Lancom verbinden machen das nicht so, da sehe ich die Client-IP am Server.

rpi444 · September 3, 2024 at 10:38 AM New

Quote from jojohannes

Naja zum einen macht unnötiges NAT an einigen Stellen potentiell Probleme (VOIP z.B.), zum anderen kann ich am Server nicht so gut debuggen oder verschiedene Clients unterschiedlich behandeln.

WireGuard macht cryptokey-routing. Versuch mal auf den WG-Peers (Server und Clients) mit:

Code

AllowedIPs = 10.199.89.0/24, 192.168.115.0/24

Wie ist auf dem PI die Ausgabe von:

Code

sysctl -a | grep -i forwarding

? Warum benutzt Du VoIP mit Wireguard? VoIP ist i. d. R. doch schon verschlüsselt.

Bot · Vor einem Moment

jojohannes · September 3, 2024 at 12:19 PM New

Quote from rpi444
Quote from jojohannes

Naja zum einen macht unnötiges NAT an einigen Stellen potentiell Probleme (VOIP z.B.), zum anderen kann ich am Server nicht so gut debuggen oder verschiedene Clients unterschiedlich behandeln.

WireGuard macht cryptokey-routing. Versuch mal auf den WG-Peers (Server und Clients) mit:
Code
AllowedIPs = 10.199.89.0/24, 192.168.115.0/24

Auf den Clients ist das schon so eingestellt, wegen Split-Tunneling.

Wenn ich das auf dem Raspi in der Datei /etc/wireguard/wg0.conf mache (bei einem Peer) und dann den Dienst neustarte, dann kann ich kann nicht mal mehr den Raspi aus dem 192.168.115.0-Netz anpingen, VPN Clients können auch nichts mehr erreichen.

Quote from rpi444
Wie ist auf dem PI die Ausgabe von:
Code
sysctl -a | grep -i forwarding

Code

root@raspberrypi:~# sysctl -a | grep -i forwarding
net.ipv4.conf.all.bc_forwarding = 0
net.ipv4.conf.all.forwarding = 1
net.ipv4.conf.all.mc_forwarding = 0
net.ipv4.conf.default.bc_forwarding = 0
net.ipv4.conf.default.forwarding = 1
net.ipv4.conf.default.mc_forwarding = 0
net.ipv4.conf.enxb827eb79298d.bc_forwarding = 0
net.ipv4.conf.enxb827eb79298d.forwarding = 1
net.ipv4.conf.enxb827eb79298d.mc_forwarding = 0
net.ipv4.conf.lo.bc_forwarding = 0
net.ipv4.conf.lo.forwarding = 1
net.ipv4.conf.lo.mc_forwarding = 0
net.ipv4.conf.wg0.bc_forwarding = 0
net.ipv4.conf.wg0.forwarding = 1
net.ipv4.conf.wg0.mc_forwarding = 0
net.ipv6.conf.all.forwarding = 0
net.ipv6.conf.all.mc_forwarding = 0
net.ipv6.conf.default.forwarding = 0
net.ipv6.conf.default.mc_forwarding = 0
net.ipv6.conf.enxb827eb79298d.forwarding = 0
net.ipv6.conf.enxb827eb79298d.mc_forwarding = 0
net.ipv6.conf.lo.forwarding = 0
net.ipv6.conf.lo.mc_forwarding = 0
net.ipv6.conf.wg0.forwarding = 0
net.ipv6.conf.wg0.mc_forwarding = 0

Display More

Quote from rpi444

? Warum benutzt Du VoIP mit Wireguard? VoIP ist i. d. R. doch schon verschlüsselt.

Den lokalen Asterisk-Server möchte ich nicht von außen erreichbar machen und im Homeoffice SIP-Clients benutzen, PhoneSuite in dem Fall.

rpi444 · September 3, 2024 at 12:26 PM New

Quote from jojohannes

Wenn ich das auf dem Raspi in der Datei /etc/wireguard/wg0.conf mache (bei einem Peer) und dann den Dienst neustarte, dann kann ich kann nicht mal mehr den Raspi aus dem 192.168.115.0-Netz anpingen, VPN Clients können auch nichts mehr erreichen.

Versuch mal auf dem Raspi und auf den Clients, mit source-NAT (MASQUERADE) für WireGuard-Interface (wg0).
Da wird eine zusätzliche definierte Route für das 192.168.115.0-Netz (mit dem WG-Interface als gateway) vorhanden sein.
Wie ist in diesem Fall, die Ausgabe von:

Code

ip r

?

EDIT:

BTW: An welchem Internetanschluss und in welchem lokalen Subnetz (mit welcher IP) befindet sich der VPN-Client?

jojohannes · September 3, 2024 at 12:45 PM New

Erstmal Vielen Dank für deine Hilfe.

Quote from rpi444

Quote from jojohannes

Wenn ich das auf dem Raspi in der Datei /etc/wireguard/wg0.conf mache (bei einem Peer) und dann den Dienst neustarte, dann kann ich kann nicht mal mehr den Raspi aus dem 192.168.115.0-Netz anpingen, VPN Clients können auch nichts mehr erreichen.

Versuch mal auf dem Raspi und auf den Clients, mit source-NAT (MASQUERADE) für WireGuard-Interface (wg0).

Sorry, verstehe hier nur Bahnhof

Meinst du diese dynamischen Firewall-Regeln in der wg0.conf (habe ich irgendwo im Netz gefunden)

Die haben irgendwie nichts geändert:

Code

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o enxb827eb79298d -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o enxb827eb79298d -j MASQUERADE

Quote from rpi444
Da wird eine zusätzliche definierte Route für das 192.168.115.0-Netz (mit dem WG-Interface als gateway) vorhanden sein.
Wie ist in diesem Fall, die Ausgabe von:
Code
ip r

Code

root@raspberrypi:~# ip r
default via 192.168.115.46 dev enxb827eb79298d proto static metric 100
10.199.89.0/24 dev wg0 proto kernel scope link src 10.199.89.1
192.168.115.0/24 dev enxb827eb79298d proto kernel scope link src 192.168.115.135 metric 100

Vorletzte Zeile meinst du?

Quote from rpi444

EDIT:
BTW: An welchem Internetanschluss und in welchem lokalen Subnetz (mit welcher IP) befindet sich der VPN-Client?

Unterschiedlich, meistens Fritzbox-Standard (192.168.178.0/24) oder eben Mobilfunk-Netz

Bot · Vor einem Moment

rpi444 · September 3, 2024 at 12:52 PM New

Quote from jojohannes
Meinst du diese dynamischen Firewall-Regeln in der wg0.conf (habe ich irgendwo im Netz gefunden)
Die haben irgendwie nichts geändert:
Code
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o enxb827eb79298d -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o enxb827eb79298d -j MASQUERADE

Nein, ich meine:

Code

sudo iptables -t nat -I POSTROUTING 1 -o wg0 -j MASQUERADE

Die Ausgabe von "ip r" ist jetzt aber ohne die Änderung bei AllowedIP (in der wg0.conf), oder?

jojohannes · September 3, 2024 at 1:16 PM New

Quote from rpi444

Die Ausgabe von "ip r" ist jetzt aber ohne die Änderung bei AllowedIP (in der wg0.conf), oder?

Ja, mit den AllowedIPs, gibt es noch zusätzlich die Zeile:

Code

192.168.115.0/24 dev wg0 scope link

Quote from rpi444
Nein, ich meine:
Code
sudo iptables -t nat -I POSTROUTING 1 -o wg0 -j MASQUERADE

Für den Fall, dass ich damit was zerschieße, ist der Befehl zum Löschen der gleiche nur mit -D statt -I?

rpi444 · September 3, 2024 at 5:22 PM New

Quote from jojohannes
Ja, mit den AllowedIPs, gibt es noch zusätzlich die Zeile:
Code
192.168.115.0/24 dev wg0 scope link

Dann poste mal bei vorhandensein dieser Zeile (definierten Route) auf deinem PI, von deinem PI die Ausgaben von:

Code

ip route get 192.168.115.200
ping -c 3 192.168.115.200

Quote from jojohannes

Für den Fall, dass ich damit was zerschieße, ist der Befehl zum Löschen der gleiche nur mit -D statt -I?

Ja, löschen geht mit:

Code

sudo iptables -t nat -D POSTROUTING 1

oder mit reboot des PI, denn diese iptables-Regel ist (noch) nicht persistent gesetzt.

Bot · Vor einem Moment

jojohannes · September 3, 2024 at 5:50 PM New

Quote from rpi444

Dann poste mal bei vorhandensein dieser Zeile (definierten Route) auf deinem PI, von deinem PI die Ausgaben von:

Code

root@raspberrypi:"# ip route get 192.168.115.200
192.168.115.200 dev enxb827eb79298d src 192.168.115.135 uid 0 cache

root@raspberrypi:"# ping -c 3 192.168.115.200
PING 192.168.115.200 (192.168.115.200) 56(84) bytes of data.
From 10.199.89.1 icmp_seq=1 Destination Host Unreachable
ping: sendmsg: Es ist eine Zieladresse notwendig
From 10.199.89.1 icmp_seq=2 Destination Host Unreachable
ping: sendmsg: Es ist eine Zieladresse notwendig
From 10.199.89.1 icmp_seq=3 Destination Host Unreachable
ping: sendmsg: Es ist eine Zieladresse notwendig
192.168.115.200 ping statistics ---
3 packets transmitted, o received, +3 errors, 100% packet loss, time 2052ms

Display More

Code

	sudo iptables -t nat -I POSTROUTING 1 -o wg0 -j MASQUERADE

hat nichts geändert...

Rasp-Berlin · September 4, 2024 at 8:36 AM New

Du musst die beiden WireGuard-Seiten so konfigurieren, dass sie "Client-zu-Netz" sondern "Netz-zu-Netz"-Kopplung machen.

Dann kannst du die jeweils lokale WireGuard-IP als Gateway in das andere Netz einrichten. und der Verkehr in das andere Netz erscheint dort mit seiner echten IP, wenn er durch den Tunnel geht.

eine Beschreibung hierzu findest du z.B. auf

WireGuard Site to Site VPN - Zwei Netzwerke sicher verbinden

Eine sehr einfache Anleitung eine WireGuard Site to Site VPN Verbindung herzustellen. Copy and Paste Anleitung für Einsteiger.

schroederdennis.de

Hier wird am Ende auch beschrieben, wie man (bei Fritz-Boxen), ohne die Systeme im lokalen Netz anzupassen, sie davon unterrichtet, wie sie das andere Netz finden.

Also die Route in dieses andere Netz über den WireGuard-Tunnel.

Denn viele DHCP-Systeme erlauben es einem nicht, den Geräten mehr als einen, und damit den Default, Gateway mitzuteilen.

(Auch spart man sich so die Umkonfiguration der Systeme mit fester IP )

rpi444 · September 4, 2024 at 9:26 AM New

Quote from jojohannes

Quote from rpi444

Dann poste mal bei vorhandensein dieser Zeile (definierten Route) auf deinem PI, von deinem PI die Ausgaben von:

Code

root@raspberrypi:"# ip route get 192.168.115.200
192.168.115.200 dev enxb827eb79298d src 192.168.115.135 uid 0 cache

root@raspberrypi:"# ping -c 3 192.168.115.200
PING 192.168.115.200 (192.168.115.200) 56(84) bytes of data.
From 10.199.89.1 icmp_seq=1 Destination Host Unreachable
ping: sendmsg: Es ist eine Zieladresse notwendig
From 10.199.89.1 icmp_seq=2 Destination Host Unreachable
ping: sendmsg: Es ist eine Zieladresse notwendig
From 10.199.89.1 icmp_seq=3 Destination Host Unreachable
ping: sendmsg: Es ist eine Zieladresse notwendig
192.168.115.200 ping statistics ---
3 packets transmitted, o received, +3 errors, 100% packet loss, time 2052ms

Display More

Wie sind auf deinem PI die Ausgaben von:

Code

ip n s
sudo arp-scan -I enxb827eb79298d -l
sudo sysctl -a | grep -i _filter

?

Bot · Vor einem Moment

jojohannes · September 4, 2024 at 11:05 AM New

Quote from rpi444

Code

pi@raspberrypi:~ $ ip n s
192.168.115.204 dev enxb827eb79298d lladdr 00:15:5d:73:aa:c5 STALE
192.168.115.92 dev enxb827eb79298d lladdr 90:1b:0e:69:fe:8c STALE
192.168.115.46 dev enxb827eb79298d lladdr 00:a0:57:3c:90:54 REACHABLE
192.168.115.24 dev enxb827eb79298d lladdr 70:85:c2:9e:2a:cd REACHABLE
192.168.115.237 dev enxb827eb79298d lladdr f4:6d:04:9c:34:45 STALE
192.168.115.235 dev enxb827eb79298d lladdr d0:bf:9c:bf:72:3e STALE
192.168.115.200 dev enxb827eb79298d lladdr 00:15:5d:73:b4:c1 STALE
192.168.115.67 dev enxb827eb79298d lladdr ec:8e:b5:76:d9:0c STALE
192.168.115.211 dev enxb827eb79298d lladdr 00:15:5d:73:aa:b6 STALE
192.168.115.6 dev enxb827eb79298d lladdr fc:3f:db:11:4b:9a STALE
192.168.115.233 dev enxb827eb79298d lladdr 38:63:bb:d7:7e:37 STALE
192.168.115.150 dev enxb827eb79298d lladdr 84:34:97:11:b4:28 REACHABLE
192.168.115.196 dev enxb827eb79298d lladdr 00:15:5d:73:aa:cd REACHABLE
192.168.115.219 dev enxb827eb79298d lladdr 00:15:5d:73:b4:cd STALE
192.168.115.7 dev enxb827eb79298d lladdr 90:1b:0e:36:7e:8d STALE
192.168.115.151 dev enxb827eb79298d lladdr 00:15:5d:73:aa:c8 STALE
192.168.115.216 dev enxb827eb79298d lladdr 00:15:5d:73:b4:b8 STALE

sudo arp-scan -I enxb827eb79298d -l
-> listet alle Geräte mit MAC-Adresse aus dem 115er Netz auf

pi@raspberrypi:~ $ sudo sysctl -a | grep -i _filter
net.ipv4.conf.all.arp_filter = 0
net.ipv4.conf.all.rp_filter = 0
net.ipv4.conf.default.arp_filter = 0
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.enxb827eb79298d.arp_filter = 0
net.ipv4.conf.enxb827eb79298d.rp_filter = 0
net.ipv4.conf.lo.arp_filter = 0
net.ipv4.conf.lo.rp_filter = 0
net.ipv4.conf.wg0.arp_filter = 0
net.ipv4.conf.wg0.rp_filter = 0

Display More

rpi444 · September 4, 2024 at 11:18 AM New

Quote from jojohannes
Quote from rpi444
Code
192.168.115.200 dev enxb827eb79298d lladdr 00:15:5d:73:b4:c1 STALE

Installier arping:

Code

sudo apt install iputils-arping
sudo dpkg --configure -a

und teste danach mit:

Code

sudo arping -c 3 -I enxb827eb79298d 192.168.115.200

Quote from jojohannes

Quote from rpi444

Code

pi@raspberrypi:~ $ sudo sysctl -a | grep -i _filter
net.ipv4.conf.all.arp_filter = 0
net.ipv4.conf.all.rp_filter = 0

Teste auch mit:

Code

net.ipv4.conf.all.arp_filter = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.all.src_valid_mark = 1

wirksam in der /etc/sysctl.conf

Wie sind auf deinem PI, die Ausgaben von:

Code

apt policy ufw
systemctl status ufw

?

jojohannes · September 4, 2024 at 2:33 PM New

Kurze Zischenfrage:

Brauchst du die Ausgaben jeweils mit der wg0.conf: "AllowedIPs = 10.199.89.0/24, 192.168.115.0/24"?

Das kann ich nur direkt am Raspi machen.

Bot · Vor einem Moment

rpi444 · September 4, 2024 at 4:25 PM New

Quote from jojohannes

Brauchst du die Ausgaben jeweils mit der wg0.conf: "AllowedIPs = 10.199.89.0/24, 192.168.115.0/24"?

Ja.

jojohannes · September 4, 2024 at 6:07 PM New

Code

root@raspberrypi:# ip n s
192.168.115.204 dev enxb827eb79298d lladdr 00:15:5d:73:aa:c5 STALE
192.168.115.92 dev enxb827eb79298d lladdr 90:1b:0e:69:fe:8c STALE
192.168.115.46 dev enxb827eb79298d lladdr 00:a0:57:3c:90:54 REACHABLE
192.168.115.24 dev enxb827eb79298d lladdr 70:85:c2:9e:2a:cd STALE
192.168.115.237 dev enxb827eb79298d lladdr f4:6d:04:9c:34:45 STALE
192.168.115.110 dev enxb827eb79298d lladdr 18:e7:28:65:d5:c6 STALE
192.168.115.235 dev enxb827eb79298d lladdr d0:bf:9c:bf:72:3e STALE
192.168.115.200 dev enxb827eb79298d lladdr 00:15:5d:73:b4:c1 STALE
192.168.115.67 dev enxb827eb79298d lladdr ec:8e:b5:76:d9:0c STALE
192.168.115.211 dev enxb827eb79298d lladdr 00:15:5d:73:aa:b6 STALE
192.168.115.6 dev enxb827eb79298d lladdr fc:3f:db:11:4b:9a STALE
192.168.115.233 dev enxb827eb79298d lladdr 38:63:bb:d7:7e:37 STALE
192.168.115.150 dev enxb827eb79298d lladdr 84:34:97:11:b4:28 STALE
192.168.115.196 dev enxb827eb79298d lladdr 00:15:5d:73:aa:cd STALE
192.168.115.219 dev enxb827eb79298d lladdr 00:15:5d:73:b4:cd STALE
192.168.115.7 dev enxb827eb79298d lladdr 90:1b:0e:36:7e:8d STALE
192.168.115.151 dev enxb827eb79298d lladdr 00:15:5d:73:aa:c8 STALE
192.168.115.216 dev enxb827eb79298d lladdr 00:15:5d:73:b4:b8 STALE


root@raspberrypi:# sysctl -a | grep -i _filter
net.ipv4.conf.all.arp_filter = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.arp_filter = 0
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.enxb827eb79298d.arp_filter = 0
net.ipv4.conf.enxb827eb79298d.rp_filter = 0
net.ipv4.conf.lo.arp_filter = 0
net.ipv4.conf.lo.rp_filter = 0
net.ipv4.conf.wg0.arp_filter = 0
net.ipv4.conf.wg0.rp_filter = 0

root@raspberrypi:# sudo arping -c 3 -I enxb827eb79298d 192.168.115.200
ARPING 192.168.115.200 from 192.168.115.135 enxb827eb79298d
Unicast reply from 192.168.115.200 [00:15:5D:73:B4:C1]  1.318ms
Unicast reply from 192.168.115.200 [00:15:5D:73:B4:C1]  1.047ms
Unicast reply from 192.168.115.200 [00:15:5D:73:B4:C1]  1.395ms
Sent 3 probes (1 broadcast(s))
Received 3 response(s)

root@raspberrypi:# apt policy ufwufw:
  Installiert:           (keine)
  Installationskandidat: 0.36.2-1
  Versionstabelle:
     0.36.2-1 500
        500 http://deb.debian.org/debian bookworm/main armhf Packages
		
root@raspberrypi:#	systemctl status ufw
Unit ufw.service could not be found.

Display More

Bei WireGuard (PiVPN) NAT deaktivieren

Participate now!

Users Viewing This Thread