Probabil ar trebui să începeți cu utilizarea Table=off în wg-quick conf atât pe S cât și pe P. Valoarea lui AllowedIPs= atunci nu va provoca modificări ale rutelor / regulilor de rutare a politicii asupra acestora.
EDIT: De fapt, ar trebui să fie bine să pleci Tabel= neatins pe P cu excepția cazului în care aveți nevoie AllowedIPs= de S pe ea să fie 0.0.0.0/0 în loc de 192.168.60.0/24 din anumite motive, de ex. nevoie de trafic provine de la sine pentru a fi direcționat S. Nu trebuie să vă încurcați singur cu rutele și regulile de rutare de pe P, deoarece chiar și prefixul din Adresa=192.168.60.2/24 ar trebui să configureze ruta necesară. Următorul paragraf probabil nu se aplică la ceea ce aveți nevoie -- deși vă poate oferi câteva informații suplimentare despre cum funcționează lucrurile.
Și probabil ar trebui să utilizați o subrețea IP suplimentară pentru S și P, de exemplu. 192.168.59.0/30. Acest lucru vă va economisi bătălia de a avea nevoie de regulă IP suplimentară. Nu uitați să adăugați ruta de subrețea pentru 192.168.60.0/24 pe P totuși, ca și cu Table=off, numai rutele de prefix vor fi adăugate de nucleu pentru prefixul(ele) din Adresa= câmpuri). Folosește bine PostUp= (și PreDown=) la fel.
Presupun că nu doriți să direcționați traficul care provine din S în sine către P, așa că probabil că doriți următoarea regulă ip:
# regulă ip adăugați iif wg0 din 192.168.60.0/24 căutare 200
Dacă într-adevăr aveți nevoie să faceți ruta de ex. alte traficuri decât răspunsurile serverului ssh și wireguard la P, puteți avea în plus:
# regulă ip adăugați iif la căutare 200
# ip rule add iif lo iproto tcp sport 22 principal de căutare
# regulă ip add iif lo iproto udp sport 51820 căutare principală
Notă: nu vă puteți potrivi doar cu din 192.168.60.1 adăugată în prima regulă și omiteți celelalte două, deoarece pentru traficurile care nu răspund, adresa sursă este adesea (dacă nu întotdeauna) aleasă pe baza traseului decis -- nu este încă setată în acest moment.
Rețineți că ordinea comenzii determină în mod normal prioritatea, așa că asigurați-vă că adăugați regula „superset” înaintea regulilor „subset”, altfel acestea din urmă vor fi suprascrise de prima.
De asemenea, cel mai bine este să păstrați tabelul 200 gol până când toate regulile de dorință sunt în poziție, altfel accesul de la distanță al gazdei ar putea fi întrerupt.
În cele din urmă, nexthop nu are sens în drumul către un tunel L3:
# ip route add default dev wg0 table 200
P.S. Asigurați-vă că nu ați permis doar redirecționarea IP în firewall, ci ați activat-o și cu sysctl.
