Kết nối dây chuyền 2 mạng Wireguard để chuyển hướng mạng sử dụng Docker

Mới đây, mình nhận được 1 yêu cầu hướng dẫn cách cấu hình kết nối dây chuyền 2 mạng Wireguard với nhau để chuyển hướng mạng gián tiếp. Mô hình hoạt động sẽ như hình minh hoạ dưới đây:

Sau khi nghiên cứu, mình đã tìm ra được cách thiết lập chuyển hướng dây chuyền 2 mạng Wireguard để chia sẻ trong bài viết hôm nay.

Bài viết này được dựa trên 2 bài viết mình đã chia sẻ trước đây về Wireguard Docker

I. Yêu cầu chuẩn bị

Máy tính / điện thoại làm client kết nối, đã được cài đặt WireGuard client
Một VPS (VPS A) làm trung gian đã được cài đặt sẵn Docker và Docker Compose. IP: 111.111.111.111
Một VPS (VPA B) làm đã được thiết lập sẵn WireGuard VPN Server, sử dụng wg-easy để thiết lập. IP: 222.222.222.222
File cấu hình WireGuard client được tạo ra bởi WireGuard Server trên VPS B, có dạng như dưới đây

1
[Interface]
2
PrivateKey = sO7U9OS0s5vxxxdfY1aNHzVYXpJhKAaU/HG9MyfaWU=
3
Address = 10.9.0.2/24
4
DNS = 1.1.1.1
5

6
[Peer]
7
PublicKey = 9NknLwkQRaxxxsfNr9wKIC15KsqRvN5eOwUZxuhDFWI=
8
PresharedKey = xhqj9bnxxxuuFtzbVJ5GJPD6D4YAMHdk6RbL5JVkT+M=
9
AllowedIPs = 0.0.0.0/0
10
PersistentKeepalive = 25
11
Endpoint = 252.222.96.107:51822

II. Tạo Wireguard Server (VPS B)

Tạo Wireguard Server trên VPS B theo hướng dẫn ở đây

https://thuanbui.me/wg-easy-wireguard-vpn-server-web-ui/

III. Tạo Docker network (VPS A)

Để có thể điều hướng mạng bằng routing table, container Wireguard client cần sử dụng IP tĩnh để tránh rắc rối về sau. Mình sẽ tạo 1 mạng docker bridge mới với tên gọi wgnet bằng lệnh

1
docker network create --subnet 10.10.0.0/24 wgnet

Kiểm tra lại thông số của wgnet bằng lệnh docker inspect wgnet

1
[
2
    {
3
        "Name": "wgnet",
4
        "Id": "3776c37e5afbac33ccb583122a0d86aade3714c551c6d1770db906e4e54652b0",
5
        "Created": 2023-07-22,
6
        "Scope": "local",
7
        "Driver": "bridge",
8
        "EnableIPv6": false,
9
        "IPAM": {
10
            "Driver": "default",
11
            "Options": {},
12
            "Config": [
13
                {
14
                    "Subnet": "10.10.0.0/24",
15
                    "Gateway": "10.10.0.1"
16
                }
17
            ]
18
        },
19
        "Internal": false,
20
        "Attachable": false,
21
        "Ingress": false,
22
        "ConfigFrom": {
23
            "Network": ""
24
        },
25
        "ConfigOnly": false,
26
        "Containers": {},
27
        "Options": {},
28
        "Labels": {}
29
    }
30
]

IV. Cấu hình WireGuard server (VPS A)

Tạo Wireguard Server trên VPS A cũng dùng wg-easy tương tự như trên VPS B. Tuy nhiên, cần chú ý thay đổi thông số WG_DEFAULT_ADDRESS khác với subnet đã sử dụng trên VPS B.

Ví dụ:

VPS B: WG_DEFAULT_ADDRESS=10.9.0.x
VPS A: WG_DEFAULT_ADDRESS=10.8.0.x

Nếu hai subnet trùng nhau sẽ khiến phần cấu hình routing table ở phần sau gặp lỗi.

Ngoài ra, cần phải cấu hình cho container này kết nối vào network wgnet bằng cách thêm vào các dòng sau

1
networks:
2
  default:
3
    name: wgnet
4
    external: true

File docker-compose.yml trên VPS A sẽ tương tự như sau

1
version: "3.8"
2
services:
3
  wg-easy:
4
    environment:
5
      # ⚠️ Required:
6
      # Change this to your host's public address
7
      - WG_HOST=22.22.22.22
8

9
      # Optional:
10
      - PASSWORD=10h30
11
      - WG_PORT=51820
12
      - WG_DEFAULT_ADDRESS=10.8.0.x
13
      # - WG_DEFAULT_DNS=1.1.1.1
14
      # - WG_MTU=1420
15
      # - WG_ALLOWED_IPS=192.168.15.0/24, 10.0.1.0/24
16
      # - WG_PRE_UP=echo "Pre Up" > /etc/wireguard/pre-up.txt
17
      # - WG_POST_UP=echo "Post Up" > /etc/wireguard/post-up.txt
18
      # - WG_PRE_DOWN=echo "Pre Down" > /etc/wireguard/pre-down.txt
19
      # - WG_POST_DOWN=echo "Post Down" > /etc/wireguard/post-down.txt
20

21
    image: weejewel/wg-easy
22
    container_name: wireguard-server
23
    volumes:
24
      - .:/etc/wireguard
25
    ports:
26
      - "51820:51820/udp"
27
      - "51821:51821/tcp"
28
    restart: unless-stopped
29
    cap_add:
30
      - NET_ADMIN
31
      - SYS_MODULE
32
    sysctls:
33
      - net.ipv4.ip_forward=1
34
      - net.ipv4.conf.all.src_valid_mark=1
35
networks:
36
  default:
37
    name: wgnet
38
    external: true

Tiếp theo, tại file cấu hình Wireguard client và cài đặt trên máy tính / điện thoại dùng để kết nối.

V. Cấu hình Wireguard client (VPS A)

1. Tạo file cấu hình wg0.conf

Trong bài này mình sẽ lấy file cấu hình từ Wireguad VPN Server từ VPS B đã được thiết lập bằng wg-easy. Truy cập vào dashboard của wg-easy, tạo client mới và tải file cấu hình về, có nội dung tương tự như dưới đây

1
[Interface]
2
PrivateKey = sO7U9OS0s5vxxxdfY1aNHzVYXpJhKAaU/HG9MyfaWU=
3
Address = 10.9.0.2/24
4
DNS = 1.1.1.1
5

6
[Peer]
7
PublicKey = 9NknLwkQRaxxxsfNr9wKIC15KsqRvN5eOwUZxuhDFWI=
8
PresharedKey = xhqj9bnxxxuuFtzbVJ5GJPD6D4YAMHdk6RbL5JVkT+M=
9
AllowedIPs = 0.0.0.0/0
10
PersistentKeepalive = 25
11
Endpoint = 252.222.96.107:51822

Với cấu hình này, một đường truyền tunnel sẽ được tạo ra và tất cả kết nối bên trong WireGuard container sẽ đi qua tunnel này. Tuy nhiên, chúng ta muốn còn kết nối của máy chủ, nằm ngoài container đi qua Wireguard Tunnel. Do đó, cần phải cấu hình NAT để kết nối đi đúng hướng bằng lệnh sau:

1
iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADE

Để thiết lập tự động, mình sẽ dùng thông số PostUp và PreDown trong file cấu hình của WireGuard.

PostUp: lệnh sẽ chạy sau khi WireGuard tunnel được tạo.
PostDown: lệnh sẽ chạy trước khi WireGuard tunnel bị hủy.

1
PostUp = iptables -t nat -A POSTROUTING -o wg+ -j MASQUERADE
2
PreDown = iptables -t nat -D POSTROUTING -o wg+ -j MASQUERADE

Lưu lại cấu hình cuối cùng trong thư mục ~/wireguad-client/config/wg0.conf

1
mkdir -p ~/wireguard-client/config
2
nano ~/wireguard-client/config/wg0.conf

Nhập vào nội dung sau và lưu lại

1
[Interface]
2
PrivateKey = sO7U9OS0s5vxxxdfY1aNHzVYXpJhKAaU/HG9MyfaWU=
3
Address = 10.9.0.2/24
4
DNS = 1.1.1.1
5
PostUp = iptables -t nat -A POSTROUTING -o wg+ -j MASQUERADE
6
PreDown = iptables -t nat -D POSTROUTING -o wg+ -j MASQUERADE
7

8
[Peer]
9
PublicKey = 9NknLwkQRaxxxsfNr9wKIC15KsqRvN5eOwUZxuhDFWI=
10
PresharedKey = xhqj9bnxxxuuFtzbVJ5GJPD6D4YAMHdk6RbL5JVkT+M=
11
AllowedIPs = 0.0.0.0/0
12
PersistentKeepalive = 25
13
Endpoint = 252.222.96.107:51822

2. Tạo Wireguard client container

Tạo file docker-compose.yml để thiết lập Wireguard Client

1
cd ~/wireguard-client
2
nano docker-compose.yml

Nhập vào nội dung sau

1
services:
2
  wireguard:
3
    image: lscr.io/linuxserver/wireguard
4
    container_name: wireguard-client
5
    cap_add:
6
      - NET_ADMIN
7
      - SYS_MODULE
8
    environment:
9
      - PUID=1000
10
      - PGID=1000
11
      - TZ=Asia/Ho_Chi_Minh
12
    volumes:
13
      - ./config:/config
14
      - /lib/modules:/lib/modules
15
    networks:
16
      default:
17
        ipv4_address: 10.10.0.2
18
    sysctls:
19
      - net.ipv4.conf.all.src_valid_mark=1
20
    restart: unless-stopped
21
networks:
22
  default:
23
    name: wgnet
24
    external: true

Các thông số cần chú ý:

Phần networks được cấu hình để WireGuard container kết nối vào Docker netwok wgnet đã tạo trước đó.
Dòng 17: cấu hình IP tĩnh cho container 10.10.0.2

Kích hoạt Docker container bằng lệnh docker-compose up -d

Để bảo đảm WireGuard Tunnel đã được tạo thành công, kiểm tra lại logs bằng lệnh docker logs wireguard-client. Nếu thấy nó kết thúc với nội dung như dưới đây nghĩa là Tunnel đã được tạo thành công

1
[#] ip -4 route add 0.0.0.0/0 dev wg0 table 51820
2
[#] ip -4 rule add not fwmark 51820 table 51820
3
[#] ip -4 rule add table main suppress_prefixlength 0
4
[#] iptables-restore -n
5
[#] iptables -t nat -A POSTROUTING -o wg+ -j MASQUERADE
6
[ls.io-init] done.

Nếu trong logs hiện ra lỗi như dưới đây, bạn cần chỉnh sửa lại dòng AllowedIPs trong file wg0.conf, xóa ::/0 và chỉ chừa lại 0.0.0.0/0. Sau đó khởi động lại container.

1
Error: IPv6 is disabled on nexthop device.
2
[#] resolvconf -d wg0 -f
3
[#] ip link delete dev wg0

Kiểm tra xem Wireguard-client đã kết nối thành công chưa bằng lệnh

1
docker exec wireguard-client curl -s ifconfig.me

Nếu thấy kết quả trả về là IP của VPS B nghĩa là Container đã kết nối thành công đến VPS B.

VI. Cấu hình routing table (VPS A)

1. Trước khi chỉnh sửa

Đầu tiên, kiểm tra thông số của mạng wgnet

1
docker network inspect wgnet

Kết quả sẽ hiện ra 2 container wireguard-client (đang kết nối đến VPS B) và wireguard-server (đang có kết nối từ máy tính ở nhà vào) đang được kết nối vào.

1
   "Containers": {
2
            "689ba546576337de722cf85f286c9fcb01229152a935f6aa41ca5b83b1d6639e": {
3
                "Name": "wireguard-client",
4
                "EndpointID": "7f56478d20d086570d121486e4f84b610387420841dc64cc87a03bff6d38ea8c",
5
                "MacAddress": "02:42:0a:0a:00:02",
6
                "IPv4Address": "10.10.0.2/24",
7
                "IPv6Address": ""
8
            },
9
            "9761f07474eab357e6369c8a69e0b677836699ff3e1519011b70690620e10c56": {
10
                "Name": "wireguard-server",
11
                "EndpointID": "a45ba1746bbc2d7dd94931f4d752bb303caebbfc051875340258373e0fd346f5",
12
                "MacAddress": "02:42:0a:0a:00:03",
13
                "IPv4Address": "10.10.0.3/24",
14
                "IPv6Address": ""
15
            }
16
        },

Kiểm tra IP của máy tính đang kết nối vào VPS A bằng cách truy cập https://ifconfig.me. Nếu đang kết nối thành công, kết quả sẽ hiện ra IP của VPS A 111.111.111.111

2. Chỉnh sửa routing table trên wireguard-server container

Trên VPS A, để chuyển kết nối từ container wireguard-server (IP: 10.10.0.3) đi qua wireguard-client (IP: 10.10.0.2), mình sẽ sửa lại routing table trong container Wireguard-server như sau

1
docker exec --privileged wireguard-server ip rule add from 10.8.0.0/24 table 120
2
docker exec --privileged wireguard-server ip route add default via 10.10.0.2 table 120

Giải thích:

Tạo routing table mới với id 120, các truy cập từ subnet 10.8.0.0/24 sẽ đi qua routing table này.
Chuyển hướng kết nối mặc định của routing table 120 sẽ đi qua IP 10.10.0.2, là IP của Wireguard-client.

Chú ý: Mỗi khi khởi động lại container wireguard-server, routing table sẽ tự động bị reset, bạn cần phải chạy lại 2 lệnh trên để thiết lập lại kết nối.

3. Xác nhận kết nối thành công

Trên máy tính đang kết nối vào VPS A, truy cập lại https://ifconfig.me.

Nếu thấy hiện ra IP của VPS B 222.222.222.222 nghĩa là kết nối bắc cầu đã được thực hiện thành công. Từ PC —> VPS A —> VPS B.

Chúc bạn thực hiện thành công