<div dir="auto"><div><div class="gmail_extra"><div class="gmail_quote">On Nov 18, 2017 5:44 PM, "Ryan Whelan" <<a href="mailto:rcwhelan@gmail.com">rcwhelan@gmail.com</a>> wrote:<br type="attribution"><blockquote class="quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr">I'm working on a system where Wireguard machines can connect directly to one another as well as communicate with one another via an intermediary router (or 'server'). <div><br></div><div>When 2 machines directly connect to one another, the allowed-ips setting is obviously a non-issue; what i'm struggling with is if they are unable to communicate directly and build routes to one another via an intermediary router (which is also connected to each 'client' via wireguard).  Unless the 'server' NATs the traffic, the allowed-ips setting will prevent the 'clients' from communicating.  Am i missing something?</div><div><br></div><div>I'm trying to avoid building a wg interface for each peer connection if possible, but i'm failing to see any other way around it.  Either NAT at the intermediary router or create an interface per-peer.</div><div><br></div><div>Are there other options?</div></div></blockquote></div></div></div><div dir="auto"><br></div><div dir="auto">I have something kinda similar. I set up vxlan connections overtop of the wireguard connections and added the vxlan interfaces to bridges.</div><div dir="auto"><br></div><div dir="auto">-Reuben</div><div dir="auto"></div></div>