Настройка yggdrasil

1. Доступ к устройствам за NAT (компьютеры, мобильники).
2. Если устройства в одной локальной сети (например wifi), то соединение должно идти напрямую, а не через публичные пиры. Т.к. адреса устройств не изменяются, то должно получиться довольно удобно.
3. Изолировать устройства (насколько это возможно) от общей сети yggdrasil (настройкой firewall, параметрами в конфиге).

$ systemctl status yggdrasil.service
Startup complete
Starting multicast module
UNIX admin socket listening on /var/run/yggdrasil.sock
Interface name: ygg0
Interface IPv6: <ipv6>/7
Interface MTU: 53049
Your public key is <key>
Your IPv6 address is <ipv6>
Your IPv6 subnet is <ipv6>::/64
Listening for TLS on: [<ipv6>%wlan0]:36455

/etc/yggdrasil.conf
...
  MulticastInterfaces:
  [
    {
      Regex: .*
      Beacon: true
      Listen: true
      Port: 0
    }
  ]
...

table inet filter {
  chain input {
    type filter hook input priority filter
    policy drop

    iif lo accept comment "Accept any localhost traffic"
    ct state invalid drop comment "Drop invalid connections"
    ct state established,related accept comment "Accept traffic originated from us"

    iifname ygg0 jump yggdrasil_input
    #pkttype { broadcast,multicast} accept

    meta l4proto ipv6-icmp accept comment "Accept ICMPv6"
    meta l4proto icmp accept comment "Accept ICMP"
    ip protocol igmp accept comment "Accept IGMP"

    meta l4proto udp ct state new jump udp_chain
    meta l4proto tcp tcp flags & (fin|syn|rst|ack) == syn ct state new jump tcp_chain

    meta l4proto udp reject
    meta l4proto tcp reject with tcp reset
    counter reject with icmpx type port-unreachable
  }

  chain forward {
    type filter hook forward priority filter
    policy drop
  }

  chain output {
    type filter hook output priority filter
    policy accept
  }

  chain tcp_chain {
    #tcp dport <port> accept comment "allow ssh on port <port>"
    #tcp dport 1714-1764 accept comment "allow KDE Connect"
  }

  chain udp_chain {
    #udp dport 1714-1764 accept comment "allow KDE Connect"
  }

  chain yggdrasil_input {
    #ip6 saddr { <ipv6_устройств> } accept
  }
}

vantu5z
yggdrasil

vantu5z
Если убрать публичных пиров из конфига,

indeviral
Так а как оно должно работать без их серверов?

indeviral
Просто выключить эту балалайку. т.к. устройства в одной локалке из и так будет видно.

vantu5z
А если

indeviral
Назад включите. Всё равно без их серверов, доступа в сеть за nat у вас не будет.

vantu5z
для другого

indeviral
Вы пробовали генерировать их конфиг заново и запускать с параметрами по умолчанию?

vantu5z
Да, конечно пробовал. Сейчас еще раз специально потер все конфиги и запустил с созданными по умолчанию (с выключенным firewall).
1. Сервис запускается, генерируется ipv6 сети yggdrasil, он (peer) как и написано в документации получается изолированным. Он пингуется, но только с локальной машины.
2. Запускаю сервис на телефоне, генерируется ipv6 сети yggdrasil, отображается подключение к VPN (особенность приложения).
3. Дальше они должны автоматом найтись и установить соединение, но этого не происходит: sudo yggdrasilctl getpeers ничего не показывает и пинг не проходит).

Из доп информации, стоит NetworkManager, может в нем что-то подкрутить нужно?

jim945
Только что попробовал. Телефон моментально нашел комп. Приложение для Android отсюда.
Ничего не настраивал. NetworkManager не трогал.