41 lines
3.0 KiB
Plaintext
41 lines
3.0 KiB
Plaintext
# TP21.1 — crs326-core WAN + WG-Hub + NAT restore (2026-08-08)
|
|
#
|
|
# Kontext: Beim Core-Cutover (ap1 -> crs326-core als L3-Router) fehlten nach dem
|
|
# ap1-Plattmachen auf core noch WAN-Egress und der WG-Hub. DHCP wurde separat
|
|
# via tp21-core-dhcp-from-ap1.rsc wiederhergestellt.
|
|
# Quelle = letztes ap1-Backup routeros/ap1-pre-core-cutover-20260806-073616.rsc.
|
|
#
|
|
# WICHTIG (disabled-Falle): ap1 hatte 3 Masquerade-Regeln, davon 2 disabled=yes
|
|
# (out-interface=bridge / out-interface=ether1). Auf core NUR die WAN-Variante
|
|
# (out-interface-list=WAN, wobei WAN-Liste = vlan100). Die disabled-Regeln NICHT
|
|
# übernehmen.
|
|
#
|
|
# Der WG-Privkey ist ein Secret und steht NICHT hier -> aus routeros/ap1-wg-hub.privkey
|
|
# (gitignored) einsetzen. Der abgeleitete Hub-Pubkey bleibt identisch
|
|
# (P/bztIk13cAmLHbN6oHGGnWAKLZsqR5TXAbFP+NGGBk=), damit FM/DW-Spokes weiter matchen.
|
|
|
|
# --- WG-Hub (TP10 Multi-Site VPN) ---
|
|
:do { /interface wireguard add name=wg-hub listen-port=51821 mtu=1412 comment="TP10 Multi-Site VPN Hub (FM/DW spokes)" } on-error={}
|
|
:do { /interface wireguard set [find name=wg-hub] private-key="<aus routeros/ap1-wg-hub.privkey>" } on-error={}
|
|
:do { /interface wireguard peers add interface=wg-hub name=fm comment=fm allowed-address=10.101.0.0/24 endpoint-address=abxhutfgsid9snmy.myfritz.net endpoint-port=52476 public-key="dzRY0lnnUygijChWe5wXZmXPeNcbdALpqBptA3fyiVE=" } on-error={}
|
|
:do { /interface wireguard peers add interface=wg-hub name=dw comment=dw allowed-address=10.95.10.0/24 public-key="FqYZLztQ/qME5VDie5QLGH++5299WJiE1dPpQnPbzUw=" } on-error={}
|
|
:do { /ip route add dst-address=10.101.0.0/24 gateway=wg-hub comment="TP10: FM spoke -> wg-hub" } on-error={}
|
|
:do { /ip route add dst-address=10.95.10.0/24 gateway=wg-hub comment="TP10: DW spoke -> wg-hub" } on-error={}
|
|
|
|
# --- NAT (nur WAN-Variante; bridge/ether1-Masquerade bewusst NICHT) ---
|
|
:do { /ip firewall nat add action=accept chain=srcnat dst-address=10.40.0.0/16 comment="TP4: no-NAT inter-VLAN (LAN-internal, before masquerade)" } on-error={}
|
|
:do { /ip firewall nat add action=masquerade chain=srcnat out-interface-list=WAN ipsec-policy=out,none comment="defconf: masquerade" } on-error={}
|
|
|
|
# --- WAN dhcp-client auf vlan100 (Liwest); Blackhole-Selbst-Default-Route weg ---
|
|
:do { /ip dhcp-client add interface=vlan100 use-peer-dns=no use-peer-ntp=no comment="WAN Arris DHCP (Liwest) via vlan100" } on-error={}
|
|
:do { /ip route remove [find dst-address=0.0.0.0/0 gateway=10.40.99.1] } on-error={}
|
|
|
|
# --- DNS-Resolver (PROVISORISCH plain, DoH-TODO s.u.) ---
|
|
# core hatte allow-remote-requests=no + leeren Upstream -> Client-DNS tot + FM-Hub
|
|
# konnte myfritz nicht auflösen. Fix (plain, weil core keine CA-Certs hat -> certs=0,
|
|
# verify-doh-cert unmöglich):
|
|
:do { /ip dns set allow-remote-requests=yes servers=1.1.1.1 } on-error={}
|
|
# TODO (spätere Session, VOR/mit WLAN-Rebuild): CA-Bundle auf core importieren, dann
|
|
# DoH-Cloudflare-Gateway wie ap1 setzen:
|
|
# /ip dns set use-doh-server=https://px35ynlol3.cloudflare-gateway.com/dns-query verify-doh-cert=yes
|