temat Funbox 6, konfiguracja VPN, problem z UDP w Modemy i routery

Funbox 6, konfiguracja VPN, problem z UDP

yarowisnie — Fri, 03 Oct 2025 15:49:03 GMT

Od paru miesięcy próbowałem skonfigurowac prywatne połaczenie z moim domowym serwerem.

Ustawiłem przekierowanie portów UDP itp z wireguardem jednak pomimo poprawnego handshake nie mogłem połaczyć sie z internetem / tunel nie dziala poprawnie. Próbowałem z rożnymi konfiguracjami i contenerami dlatego przypuszczam że wina nie stoi po stronie konfiguracji.

Nastepnie spróbowalem tailscale, o ile połączenie przez relay TCP działa to tak znowu jesli otworze port UDP dla "direct" połaczenie przez tailnet to o ile urządzenie siebie widzą to nadal mam problem z połączeniem sie z moim serwerem. ERR_TIMED_OUT etc...
Sprawdziłem czy router nie gubi pakietow UDP. Zrobilem test netcatem, przyjaciel wysłał mi krótka wiadomosc do mnie i rzeczywiscie ją otrzymałem ale czy w przypadku bardziej intesywnego połączenie router nie gubi pakietów nie jestem pewien.

Sprawa nie wystepuję również po stronie DNS. Z tunelem próbowałem się łączyć korzystając z publicznego IP. Za równo wireguard jak i tailnet miał takie same problemy.

Obecnie metodą wykluczenia jedyną opcją jest złe zachowanie routera.

Router zdaje sie nie poprawnie przepuszczac pakietow UDP.

Czy jest cos co moge zrobic z tym problemem?

Funbox 6, konfiguracja VPN, problem z UDP

yarowisnie — Fri, 05 Sep 2025 17:44:39 GMT

Prawdopodobnie router ma blad w ustawieniach firewalla jesli chodzi o UDP.

dokumentacja tailscale: https://tailscale.com/kb/1257/connection-types

Blocked UDP packets

Tailscale can only establish direct connections if the device supports sending and receiving UDP packets. If a device can only use TCP connections, all connections go through the DERP relay servers. For the DERP links, Tailscale encapsulates the WireGuard frames in a TLS stream over TCP.

Devices can't establish a direct connection if something on the network blocks direct UDP connections. However, you can still use a relayed connection. The only remediation is to ask your provider to unblock UDP packets.

potwierdza to moje przypuszczenie co do firewalla jako ze tailscale nie byl w stanie polaczyc sie "direct" (korzystajac z udp)

wedlog relacji innych tailscale byl w stnaie polaczyc sie direct nawet za cgnatem bez otworych portow UDP (co ja musialem zrobic zeby handshake wgl przebiegl)

Funbox 6, konfiguracja VPN, problem z UDP

atlas_cudow — Fri, 05 Sep 2025 17:25:49 GMT

Nie używam Funboxa więc nie mam doświadczenia, ale już może nie męcz się i przerzuć się na zerotier. Co do WG to jest duże pole do popisu, że masz coś nie tak w configu... Poza tym WG i tilecale na tej samej maszynie może powodować konflikty z routingiem i trzeba robić routing statyczy.

Funbox 6, konfiguracja VPN, problem z UDP

yarowisnie — Fri, 05 Sep 2025 17:54:31 GMT

Odzielnie konfigurowalem wireguarda i tailscale wiec to nie jest problemem.

Z wireguarda korzystalem z gotowych konfigow jak wg-easy i linuxserver wireguard i pare innych i wszystkie mnie zawiodly (pisalem na forach poszczegolnych grup i nikt tez nie byl w stanie stwierdzic problemu, ostatecznie ktos zasugerowal opcje z firewallem routera)

Nie jestem pewny czym jest zerotier. Jesli chodzi o tailscale to miala byc to ta prostrza opcja ktora miala po prostu dzialac. Czemu myslisz ze zerotier zadziala jesli mam problemy jakie mam.

Funbox 6, konfiguracja VPN, problem z UDP

atlas_cudow — Fri, 05 Sep 2025 17:58:25 GMT

Bo tilecale działa na L3 i w sumie to WG. Zerotier działa na L2. Zerotier jest również darmowy do 25 urządzeń. Jest wspierany przez więcej systemów i jest po prostu niezawodny.

Funbox 6, konfiguracja VPN, problem z UDP

Samotnick — Fri, 05 Sep 2025 19:25:30 GMT

@yarowisnienapisał(-a)
Ustawiłem przekierowanie portów UDP itp z wireguardem jednak pomimo poprawnego handshake nie mogłem połaczyć sie z internetem / tunel nie dziala poprawnie.

Ustawiłeś NATowanie na maszynie gdzie został zainstalowany WG?

Funbox 6, konfiguracja VPN, problem z UDP

j131 — Fri, 05 Sep 2025 20:25:20 GMT

IMHO serwer za NATem to recepta na problemy. Próbowałeś zastosować rady dotyczące radzenia sobie z NAT? W sumie nie pokazałeś ani skrawka swojej konfiguracji, a oczekujesz od nas tylko potwierdzenia swoich hipotez jakoby FB6 blokował (w jakiś magiczny sposób?) UDP. Nic takiego IMHO się nie dzieje, ale zapora oczywiście blokuje wszystkie połączenia przychodzące w domyślnej konfiguracji. Zawsze możesz ją wyłączyć jeśli wiesz co robisz...

Funbox 6, konfiguracja VPN, problem z UDP

yarowisnie — Sat, 06 Sep 2025 03:08:26 GMT

Pokaże konfiguracja tailscale. Najmniej jest tu do konfigurowania wiec najłatwiej powinno byc znależć problem.

Server dns na LANie (domowy server 192.168.1.86) ma przekierowanie mojej publicznej domeny na prywatny adres IP.

Ustawienia w funboxie

tailscale chcial UPnP zeby dodac UDP forwarding bo inaczej nie moze sie polaczyc "direct" tylko korzysta z relayow ktore sa tak wolne ze nie uzywalne.

W tailscale. spearhead to server (192.168.1.86). Ma ustawiony subnet router --advertise-routers=192.168.1.0/24

I w tailscale dns ustawiony na ten domowy server.

```
pong from nordce2 (100.93.224.112) via <<IP>>:19412 in 27ms
```

Urzadzenie jest widoczne i moje je pingnac ale nie jestem w stanie ani wejsc na strone ani polaczyc sie z samba po adresie 192.168.1.86

Wiem czym jest NAT i hole punching ale nie jestem pewny za masz na mysli za terminem NATowanie.

Moglbys wytlumaczyc co masz na mysli?

Wczesniej kiedy czytalem instruckje linuxserver do wireguarda: https://github.com/linuxserver/docker-wireguard

Road warriors, roaming and returning home
If you plan to use Wireguard both remotely and locally, say on your mobile phone, you will need to consider routing. Most firewalls will not route ports forwarded on your WAN interface correctly to the LAN out of the box. This means that when you return home, even though you can see the Wireguard server, the return packets will probably get lost.

This is not a Wireguard specific issue and the two generally accepted solutions are NAT reflection (setting your edge router/firewall up in such a way as it translates internal packets correctly) or split horizon DNS (setting your internal DNS to return the private rather than public IP when connecting locally).

Both of these approaches have positives and negatives however their setup is out of scope for this document as everyone's network layout and equipment will be different.

Zbytnio nie zalezy mi na tym zeby korzystac z VPN na sieci lokalnej ale opisany problem jest dokladnie taki sam jaki mam. To znaczy urzadzenie jest widoczne to nic nie moge z nim zrobic.

Split horizon dns to chyba mam ustawiony jak pokazalem powyzej. A co do NAT reflection to nie mam pojecia czy da sie to zrobic na funboxie. Bylbym wdzieczny gdyby ktos mogl mnie nakierowac.

Przepraszam ze nie pokazalem calej konfiguracji wczesniej i zmarnowalem wasz czas.

Funbox 6, konfiguracja VPN, problem z UDP

Samotnick — Sat, 06 Sep 2025 06:40:07 GMT

@yarowisnie Pytałem czy ruch od zewnętrznych klientów podłączonych do serwera WG wychodzi do Internetu (czy też do sieci lokalnej) z adresem sieci WG czy z adresem urządzenia na którym jest zainstalowany serwer.

Funbox 6, konfiguracja VPN, problem z UDP

yarowisnie — Sat, 06 Sep 2025 06:48:55 GMT

Technicznie rzecz biorąc żaden z tych adresów. Ale zakładając konteneryzowanego klienta WireGuard, adresem źródłowym widocznym na wewnętrznym interfejsie routera będzie brama sieci Docker hosta, na którym działa WireGuard.

Funbox 6, konfiguracja VPN, problem z UDP

deest — Sat, 06 Sep 2025 07:05:41 GMT

Jeżeli masz skonteneryzowany klient WG to w dockerze możesz użyc opcji --net host

Funbox 6, konfiguracja VPN, problem z UDP

deest — Sat, 06 Sep 2025 07:20:35 GMT

Może Orange bawi się na produkcji 😉

Funbox 6, konfiguracja VPN, problem z UDP

Samotnick — Sat, 06 Sep 2025 07:23:29 GMT

@yarowisnie To zrób tak aby adresem źródłowym widocznym dla routera był adres hosta na którym jest zainstalowany WG (SNAT).

Funbox 6, konfiguracja VPN, problem z UDP

yarowisnie — Sat, 06 Sep 2025 07:24:33 GMT

Gdzie najlepiej napisac bezposrednio do orange? infolinia to chyba nie jest dobry pomysl

Funbox 6, konfiguracja VPN, problem z UDP

j131 — Sat, 06 Sep 2025 08:57:54 GMT

Infolinia to jedyna forma kontaktu. Jest też email, ale to i tak trafia wszystko w to samo miejsce.

PS. Na pewno masz połączenie FB6 z internetem zestawione w IPv4? Orange lubi zmienić to bez pytania, a zza CGNAT otwieranie portów dla połączeń przychodzących może nie działać tak jak oczekujesz, bo publiczny adres dzielisz wtedy z innymi.

Funbox 6, konfiguracja VPN, problem z UDP

j131 — Sat, 06 Sep 2025 10:43:55 GMT

@yarowisnienapisał(-a)
...

Urzadzenie jest widoczne i moje je pingnac ale nie jestem w stanie ani wejsc na strone ani polaczyc sie z samba po adresie 192.168.1.86
Wiem czym jest NAT i hole punching ale nie jestem pewny za masz na mysli za terminem NATowanie.
Moglbys wytlumaczyc co masz na mysli?
...

Chodzi mi o to, że używanie tego VPNa do udostępniania przez jeden z węzłów swojej sieci lokalnej innym węzłom jest nietrywialne. Konkretnie nie do końca jest jasne jak powinien wyglądać ruting pakietów, i jak go "prawidłowo" skonfigurować. Ta strona dość dobrze ilustruje na jakie rafy można wpaść:

https://tailscale.com/kb/1019/subnets

Tropy prowadzące do SNAT są dość czytelne... Co nie znaczy że łatwo to ogarnąć, zwłaszcza jeśli oczekujesz że to "po prostu zadziała".

Funbox 6, konfiguracja VPN, problem z UDP

yarowisnie — Sat, 06 Sep 2025 12:38:02 GMT

Nie jestem za cgnatem, mam wlasny adres IPv4

Tak jak mowisz, rozumiem ze tailscale duzo robi "pod maska" wiec jesli jeszcze byscie mogli spojrzec na moj konfig ktory mialby sluzyc tylko dla samby:```
[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = ffffffffffffffffff

[Peer]
PublicKey = ffffffffffffffffff
AllowedIPs = 10.0.0.2
```

``` telefon
[Interface]
PrivateKey = ffffffffffffffffffff
Address = 10.0.0.2/24

[Peer]
PublicKey = fffffffffffffffffff
Endpoint = PubliczneIPServera:51820
AllowedIPs = 10.0.0.0/24
PersistentKeepalive = 25
```

na LANie moge sie polaczyc z samba
kiedy przelacze sie na telefonie na komurkowy o ile nadal moge pingowac z terminala moj server (10.0.0.1) to nie da sie juz polaczyc z samba pod tym adresem.

Moze widzicie cos ewidetnie zlego w tej konfiguracji?

Tak jak piisalem, probowalem gotowych konfigow, i wszystkie te gotowe konfigi powoduja ten sam problem. Polaczenie na LAN ale nie na wanie.
Na chwile obecna nie mam pojecia jak ten SNAT zrobic. Macie jakies dobre zrodlo jak to zrobic?

Funbox 6, konfiguracja VPN, problem z UDP

Samotnick — Sat, 06 Sep 2025 16:55:34 GMT

@yarowisnie Jaki adres ma serwer SMB (na jakim adresie nasłuchuje)?

Funbox 6, konfiguracja VPN, problem z UDP

yarowisnie — Sat, 06 Sep 2025 17:04:21 GMT

Samba jest na 192.168.1.86 na lanie a na wg 10.0.0.1 (konfig wyzej)

samba nasluchuje na wszystkich adresach.

Funbox 6, konfiguracja VPN, problem z UDP

j131 — Sat, 06 Sep 2025 17:09:07 GMT

Ja bym po prostu ten komputer na którym jest samba także podłączył bezpośrednio do vpn, na nim bym odpalił klienta. Jeśli tak masz to nie wiem czemu miałoby nie działać.