Lösning på VPN eller liknande där enheter får egna IP på LAN?

Låter som ett routing problem.
Har du lagt till alla IP adresser du vill nå i allowed IP?
Har du konfiguerat routern?

Vet inte hur du satt upp Adguard, men en lösning med headscale/tailscale (som i grunden kör wireguard). Då kan varje enhet få en egen IP och adguard-servern kan även den vara en klient i headscale/tailscale nätet.

Headscale är en opensource-lösning på tailscale som man kan hosta själv, men du kan ju alltid köra igång med tailscale gratisversion för att se att det fungerar om du vill komma igång snabbt.

Det beror helt och hållet på din uppsättning. Men låter som att du inte gjort allt som behövs.

Sätter du upp wireguard eller tailscale på samma maskin som kör adguard så blir det ett extra nätverkskort och den finns då på båda näten.

Alternativt kan du sätta upp routes som gör att både wireguard och dina andra LAN-enheter hittar rätt. Du kan på så sätt fortsätta använda wireguard som du har nu, men stänga av att trafiken NATas och istället lägga upp routes i din router som gör att både VPN-klienter och enheter på ditt LAN hittar rätt.

Löser du det inte så får du väl helt enkelt följa de regler du själv sätter upp för dina barn, jag tycker det verkar rättvist.

Varför kör du förresten adguard på två olika pi? Har ingen betydelse för lösningen, undrar bara varför man vill binda upp två hårdvaror på det viset när man dessutom har en VME ?

Satte upp en POC bara för att testa det och fick det att fungera. Så troligen är det något steg du missat, kanske en NAT-regel, blandat lite för mycket från olika guider eller något annan brandvägg i ditt nätverk som vi inte känner till här i tråden.

Vill poängtera att detta är ett sätt att göra det på, men finns såklart många fler. Jag kanske inte har något uppsatt som du vill ha eller missat config i Adguard , men utifrån informationen i tråden så fungerar det och Adguard är annars standard.

Detta är uppsatt med hjälp av docker (compose) på en maskin (VM eller LXC spelar ingen roll) eller om du vill köra på en RPi med lokalt installerade program. Enklast för mig var via docker.

Nätverken är påhittade och du skulle kunna ändra efter eget behov.
Dockernätet: 10.10.110.0/24 (kan ses som ditt LAN)
Wireguardnätet: 10.10.115.0/24

Adguard har 10.10.110.53
Wireguard har 10.10.110.2 och 10.10.115.1

Här är compose-filen som jag använt.
docker-compose.yml

Steg 1:
Configurera Wireguard-servern att inte NATa trafik till 10.10.115.53. Det för att rätt IP ska synas i Adguard. Görs genom att ändra PostUp/PostDown i wg0.conf:

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ ! -d 10.10.110.53/32 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth+ ! -d 10.10.110.53/32 -j MASQUERADE

När det är ändrat, starta om wireguard:

docker-compose restart wireguard

Steg 2:
Säg till Adguard-servern vart 10.10.115.0/24 finns, så att svaren kommer tillbaka till klienten:

docker-compose exec --privileged -it adguard ip route add 10.10.115.0/24 via 10.10.110.2

Beroende på om du vill att all deras trafik ska gå genom din VPN eller bara DNS-uppslag så får du ändra AllowedIPs i peerX.conf från 0.0.0.0/0 till 10.10.110.53/32.

Orkade inte fixa att routen är permanent i steg 2, men det är ett krav för att den ska klara av en omstart. Principen är ändå den samma.

Ansluter man från LAN (i POCen Dockernätet), så kommer man då att se det IPt. Vilket gör att alla klienter får 2 adresser, om dom är hemma eller om dom är utanför. För att komma runt det måste du köra en L2-VPN istället och trixa med din DHCP-server.

Hur du löser att dom automatiskt ansluter via VPN när dom inte är hemma, vet jag inte.

Så det viktiga är att se till att trafiken inte NATas och att Adguard hittar tillbaka till klienten.

Satte upp en POC bara för att testa det och fick det att fungera. Så troligen är det något steg du missat, kanske en NAT-regel, blandat lite för mycket från olika guider eller något annan brandvägg i ditt nätverk som vi inte känner till här i tråden.

Vill poängtera att detta är ett sätt att göra det på, men finns såklart många fler. Jag kanske inte har något uppsatt som du vill ha eller missat config i Adguard , men utifrån informationen i tråden så fungerar det och Adguard är annars standard.

Detta är uppsatt med hjälp av docker (compose) på en maskin (VM eller LXC spelar ingen roll) eller om du vill köra på en RPi med lokalt installerade program. Enklast för mig var via docker.

Nätverken är påhittade och du skulle kunna ändra efter eget behov.
Dockernätet: 10.10.110.0/24 (kan ses som ditt LAN)
Wireguardnätet: 10.10.115.0/24

Adguard har 10.10.110.53
Wireguard har 10.10.110.2 och 10.10.115.1

Här är compose-filen som jag använt.
docker-compose.yml

Steg 1:
Configurera Wireguard-servern att inte NATa trafik till 10.10.115.53. Det för att rätt IP ska synas i Adguard. Görs genom att ändra PostUp/PostDown i wg0.conf:

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ ! -d 10.10.110.53/32 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth+ ! -d 10.10.110.53/32 -j MASQUERADE

När det är ändrat, starta om wireguard:

docker-compose restart wireguard

Steg 2:
Säg till Adguard-servern vart 10.10.115.0/24 finns, så att svaren kommer tillbaka till klienten:

docker-compose exec --privileged -it adguard ip route add 10.10.115.0/24 via 10.10.110.2

Beroende på om du vill att all deras trafik ska gå genom din VPN eller bara DNS-uppslag så får du ändra AllowedIPs i peerX.conf från 0.0.0.0/0 till 10.10.110.53/32.

Orkade inte fixa att routen är permanent i steg 2, men det är ett krav för att den ska klara av en omstart. Principen är ändå den samma.

Ansluter man från LAN (i POCen Dockernätet), så kommer man då att se det IPt. Vilket gör att alla klienter får 2 adresser, om dom är hemma eller om dom är utanför. För att komma runt det måste du köra en L2-VPN istället och trixa med din DHCP-server.

Hur du löser att dom automatiskt ansluter via VPN när dom inte är hemma, vet jag inte.

Så det viktiga är att se till att trafiken inte NATas och att Adguard hittar tillbaka till klienten.

Antar att Adguard2 har 10.10.110.54 så skulle du kunna skriva nedan, det är bara ; som skiljer varje kommando.

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ ! -d 10.10.110.53/32 -j MASQUERADE; iptables -t nat -A POSTROUTING -o eth+ ! -d 10.10.110.54/32 -j MASQUERADE

Du skulle också kunna köra något liknande bara för att göra det lite enklare, men beror lite på vad du har på nätet som ska användas där, det handlar bara om att specificera dom IP-adresserna som ska exkluderas från NAT (MASQUERADE).

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ ! -d 10.10.110.52/30 -j MASQUERADE

I debian borde du kunna köra:

ip route add 10.10.115.0/24 via 10.10.110.2

Lite olika exempel på hur du lägger upp statiska routes, både temporärt (försvinner efter omstart) eller permanent.
https://linuxopsys.com/topics/permanently-add-static-route-in...

Jag kanske hade lite bråttom när jag tänkte med iptables-reglerna, tror den kanske NATar iaf eftersom det är två regler som kommer göra samma sak. Men ser också att du satt /24 och inte /32.

/24 betyder troligtvis hela ditt LAN.
/32 endast den hosten

LAN ser ut att var 192.168.1.0/24
Adguard1: 192.168.1.10
Adguard2: 192.168.1.30
Wireguard-server 192.168.1.97
Wireguard-nät 10.6.0.0/24

Jag hade först provat med:

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ ! -d 192.168.0.10/32 -j MASQUERADE

Testa att bara köra mot Adguard1, får den rätt IP? Om ja, så hade jag bytt så att båda adguard-servrarna ligger närmare varandra inom subnätet. Och då kört att Adguard1 har .10 och Adguard2 har .11 (eller något annat inom .9-.14.

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ ! -d 192.168.0.8/29 -j MASQUERADE

Om du fortfarande ser .97 och inte 10.6.0.X så kanske det finns någon annan NAT-regel på din wireguard-host då den installeras med pivpn som gör mycket automatiskt för en, vilket kan vara snällt. Men om du vill så skriv följade på din wireguard-server och klistra in här så kan vi se om det finns någon annan regel som NATar.

iptables -L -n
iptables -L -n -t nat

Det är denna raden som ställer till det för dig:

MASQUERADE  all  --  10.6.0.0/24          0.0.0.0/0            /* wireguard-nat-rule */[/b]

Ser ut att vara något som pivpn gör eller gjort att den läggs in (mer info: https://github.com/pivpn/pivpn/issues/1014). För att ta bort den om ditt interface på wireguard-servern heter eth0 då.

iptables -t nat -D POSTROUTING -s 10.6.0.0/24 -o eth0 -m comment --comment wireguard-nat-rule -j MASQUERADE

För att lägga till den igen, om du skulle vilja:

iptables -t nat -A POSTROUTING -s 10.6.0.0/24 -o eth0 -m comment --comment wireguard-nat-rule -j MASQUERADE

Chain POSTROUTING (policy ACCEPT)
target      prot opt source               destination         comment
MASQUERADE  all  --  10.6.0.0/24          0.0.0.0/0           /* wireguard-nat-rule */

Chain POSTROUTING (policy ACCEPT): Detta är namnet på regelgruppen eller kedjan i iptables som raden tillhör. I det här fallet kallas kedjan "POSTROUTING," och dess standardpolicy är att ACCEPTera all nätverkstrafik om inga andra regler gäller.

target: Detta är åtgärden som ska vidtas om trafiken uppfyller regeln.

prot: Detta är protokollet som regeln gäller för. I det här fallet står "all" för att regeln gäller för alla typer av nätverkstrafik oavsett protokoll.

opt: Detta står för alternativ, och det används vanligtvis för att specificera specifika egenskaper eller villkor som måste uppfyllas för att regeln ska gälla.

source: Detta är källan för trafiken, vilket betyder varifrån trafiken kommer. I detta fall är källan "10.6.0.0/24," vilket är en IP-adressomfattning som omfattar alla IP-adresser från 10.6.0.1 till 10.6.0.254.

destination: Detta är destinationen för trafiken, vilket betyder vart trafiken är på väg. I detta fall är destinationen "0.0.0.0/0," vilket är en wildcard som betyder att trafiken kan gå till vilken destination som helst.

comment: Detta är en kommentar som tillhandahåller en beskrivning av syftet med regeln. I detta fall är det en kommentar som anger "wireguard-nat-rule," vilket indikerar att regeln troligen är associerad med WireGuard VPN och används för nätverksadressöversättning (NAT).

Så sammanfattningsvis säger den här raden att all nätverkstrafik som kommer från IP-adressomfattningen 10.6.0.0/24 och ska vidare till vilken destination som helst ska underkastas MASQUERADE-åtgärden, vilket är vanligt i VPN-inställningar för att dölja källadressen för trafiken.

Det som kan sluta fungera om du tar bort den är kanske om du har något annat som skickas in i tunneln. Men om det bara är DNS-trafik så ska det vara lugnt. Är det internettrafik som tunnlas också, så borde den andra regeln klara det också.

Korrekt
Gött För att det ska fungera med den andra server (.30) så behövs regeln ändras så att både .10 och .30 inkluderas som jag skrev tidigare.
Alterantivt kan du testa med, men vet inte helt om det fungear så.

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ ! -d 192.168.1.10,192.168.1.30 -j MASQUERADE

Det var debian/ubuntu du körde va? Isåfall kör nedan för att se vad den gamla configen innehåll och spara som en backup, ifall att något går sönder.

cat /etc/iptables/rules.v4

För att sedan ändra till det du har (efter att du har kört iptables för att ta bort regeln):

iptables-save > /etc/iptables/rules.v4

Går ju att ändra i rules.v4 direkt också om man vill och sedan starta om eller ladda om iptables.

Okej men då får du köra på ett sätt där du får med både .10 och .30 om du inte vill byta ip på .30 till tex .11 och välja ett smalare subnät i iptables-regeln.

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ ! -d 192.168.1.8/29 -j MASQUERADE

Har du dubbla regler som exkluderar var sin så träffas den andra regeln istället.
Alternatvit:

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ ! -d 192.168.1.0/24 -j MASQUERADE

Gött att det löste sig. Vet du vilket OS och vilken version du kör på dina adguard raspberry pi?

Är det äldre brukar det vara /etc/network/interfaces som gäller och då kan man skriva följande:

auto eth0
iface eth0 inet static
    address 192.168.1.10
    netmask 255.255.255.0
    gateway 192.168.1.1
    up ip route add 10.6.0.0/24 via 192.168.1.97

Om det är nyare så brukar dhcpcd användas, ett exempel då är att lägga in det i /etc/dhcpcd.exit-hook:

ip route add 10.6.0.0/24 via 192.168.1.97

Antingen starta om nätverket eller maskinen så ska det appliceras. Kan hända att du kör med annan nätverkskonfigurator också. Men det görs helt enkelt där du har confat din statiska IP.