Подключение Wireguard

koshak · 10/12/2019 06:16 PM

импортнул заведомо рабочий конфиг, соединения с дальним концом не происходит

(config)> show interface Wireguard0

               id: Wireguard0
            index: 0
             type: Wireguard
      description: fin_wg9
   interface-name: Wireguard0
             link: down
        connected: no
            state: up
              mtu: 1420
         tx-queue: 50
          address: 10.9.0.11
             mask: 255.255.255.0
           uptime: 267
           global: yes
        defaultgw: no
         priority: 175
   security-level: public

        wireguard:
           public-key: 01XUzOPM6fZLUz0xFvBQxLIjpKZQOtXIF+gGfQoGlCY=

                 peer:
               public-key:
                           ycQ23ShO0O0fJgQMJNIR7bEDCAR6olJvskbe7C9or3A=
                  rxbytes: 0
                  txbytes: 6364
           last-handshake: 1570885795
                   online: no

enpa · November 19

Подробные стать в базе знаний Keenetic:

Туннельный интерфейс Wireguard и пример настройки VPN соединения локальных сетей двух маршрутизаторов Keenetic

Доступ в Интернет через Wireguard-туннель

Подключение по протоколу Wireguard VPN из Android

Подключение по протоколу Wireguard VPN в iOS

Подключение по протоколу Wireguard VPN из Linux

Подключение по протоколу Wireguard VPN из Windows 10

Подключение компьютера с Windows 7 к удаленной сети Keenetic по туннелю WireGuard

Пример настройки WG-Server KN-1010 <> WG-Client KN-1010:

WG-Server:

!
interface Wireguard2
    description wg-server
    security-level public
    ip address 172.16.82.1 255.255.255.0
    ip access-group _WEBADMIN_Wireguard2 in
    ip tcp adjust-mss pmtu
    wireguard listen-port 16631
    wireguard peer gnp5gW8pBQK2rA9ah1hiib1+3Jl218ZM8dBIjxxxx= !wg-home-client
        keepalive-interval 25
        allow-ips 172.16.82.2 255.255.255.255
        allow-ips 192.168.11.0 255.255.255.0
    !
    up

где:

172.16.82.0/24 - адресация внутри туннеля, соответственно на концах туннеля будут адреса 172.168.82.1 и 172.16.82.2

ip address 172.16.82.1 255.255.255.0 - внутренний адрес туннеля сервера
wireguard listen-port 16631 - порт, который будет слушать клиент для установки соединения
wireguard peer gnp5gW8pBQK2rA9ah1hiib1+3Jl218ZM8dBIjxxxx= !wg-home-client - ключ клиента
keepalive-interval 5 - указываем интервал проверки доступности удаленной стороны

указываем разрешенные адреса, подсети, с которых будет допущен трафик, в моем примере:

allow-ips 172.16.82.2 255.255.255.255 - удаленный адрес клиента
allow-ips 192.168.11.0 255.255.255.0 - удаленная сеть клиента

WG-Client:

!
interface Wireguard2
    description wg-home-client
    security-level public
    ip address 172.16.82.2 255.255.255.0
    ip access-group _WEBADMIN_Wireguard2 in
    ip tcp adjust-mss pmtu
    wireguard peer 1YVx+x3C817V9YdhUtpUhzyDLVj5tnK2m//xxxxx= !wg-server
        endpoint 193.0.174.xxx:16631
        keepalive-interval 3
        allow-ips 172.16.82.1 255.255.255.255
        allow-ips 192.168.2.0 255.255.255.0
    !
    up

где:

172.16.82.0/24 - адресация внутри туннеля, соответственно на концах туннеля будут адреса 172.168.82.1 и 172.16.82.2

ip address 172.16.82.2 255.255.255.0 - внутренний адрес туннеля клиента
wireguard peer 1YVx+x3C817V9YdhUtpUhzyDLVj5tnK2m//xxxxx= !wg-server - ключ сервера
endpoint 193.0.174.xxx:16631 - публичный адрес сервера
keepalive-interval 3 - указываем интервал проверки доступности сервера

указываем разрешенные адреса, подсети, с которых будет допущен трафик, в моем примере:

allow-ips 172.16.82.1 255.255.255.255 - удаленный адрес сервера
allow-ips 192.168.11.0 255.255.255.0 - удаленная сеть сервера

Настройка нетфильтра на стороне сервера для входящих соединений:

! 
access-list _WEBADMIN_Wireguard2
    permit ip 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0

Аналогичную настройку делаете и на клиенте.

Настройка маршрутизации на сервере до сети клиента:

ip route 192.168.11.0 255.255.255.0 Wireguard2 auto

Настройка маршрутизации на клиенте до сети сервера:

ip route 192.168.2.0 255.255.255.0 Wireguard2 auto

Важно! После настройки не забываем заново поднять туннели.

Проверяем:

Сервер:

Клиент:

Пингуем клиента со стороны сервера 192.168.2.1:

enpa@enpa:~$ ping 192.168.11.1 -c 10 -s 100
PING 192.168.11.1 (192.168.11.1) 100(128) bytes of data.
108 bytes from 192.168.11.1: icmp_seq=1 ttl=63 time=6.49 ms
108 bytes from 192.168.11.1: icmp_seq=2 ttl=63 time=7.31 ms
108 bytes from 192.168.11.1: icmp_seq=3 ttl=63 time=9.13 ms
108 bytes from 192.168.11.1: icmp_seq=4 ttl=63 time=6.51 ms
108 bytes from 192.168.11.1: icmp_seq=5 ttl=63 time=7.71 ms
108 bytes from 192.168.11.1: icmp_seq=6 ttl=63 time=6.76 ms
108 bytes from 192.168.11.1: icmp_seq=7 ttl=63 time=7.33 ms
108 bytes from 192.168.11.1: icmp_seq=8 ttl=63 time=6.24 ms
108 bytes from 192.168.11.1: icmp_seq=9 ttl=63 time=6.67 ms
108 bytes from 192.168.11.1: icmp_seq=10 ttl=63 time=6.02 ms

--- 192.168.11.1 ping statistics ---
10 packets transmitted, 10 received, 0% packet loss, time 9015ms
rtt min/avg/max/mdev = 6.021/7.016/9.132/0.862 ms

Внутри туннеля, со стороны сервера 192.168.2.1, проверяем доступ по протоколу SMB на накопитель, который подключен к клиенту:

Edited November 19 by enpa
статьи

enpa · 11/06/2019 03:57 PM

Пример настройки подключения WG-Client AndroidOS MVNO Yota > WG-Server KN-1010:

По аналогии настраиваем WG-сервер и WG-клиент:

Настраиваем WG-клиента в VPN Client Pro (можно добавить готовый конфиг .conf):

[Interface]
PrivateKey = u8Vag8CdaM5g96DK5ZN59tu0wwo61qV10IZWuRxxxx
Address = 172.16.82.3/24
DNS = 192.168.2.1

[Peer]
PublicKey = 1YVx+x3C817V9YdhUtpUhzyDLVj5tnK2m//xxxx
AllowedIPs = 172.16.82.0/24, 192.168.2.0/24
Endpoint = 193.0.174.xxx:16631

Добавляем в настройки сервера ключ удаленного клиента:

Подключаем клиента к серверу:

Настраиваем WG-клиента в WireGuard (можно добавить готовый конфиг .conf):

Interface - настройки клиента
Peer - настройки сервера

Пингуем роутер внутри туннеля:

Проверяем доступность веб-интерфейса:

Доступ по протоколу SMB внутри туннеля на накопитель, который подключен к серверу:

r13 · October 12

Входящий порт не открыт,

Надо либо узнавать входящий порт через entware и открыть порт в сетевом экране, либо задать его через cli

interface Wireguard0 wireguard listen-port <port>

~~Далее открыть порт в сетевом экране, и все начинает бегать.~~

Достаточно назначить порт в cli на интерфейсе, после этого добавляется открывающее правило в межсетевом экране

Edited October 12 by r13

Кинетиковод · 10/12/2019 07:08 PM

16 минут назад, r13 сказал:

Достаточно назначить порт в cli на интерфейсе, после этого добавляется открывающее правило в межсетевом экране

Это сделано. При подключении с Винды:

2019-10-12 22:03:51.885872: [TUN] [keen] peer(fcxDтАжJ2wY) - Handshake did not complete after 5 seconds, retrying (try 2)
2019-10-12 22:03:52.104885: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake initiation
2019-10-12 22:03:52.152888: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:03:52.152888: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:03:57.205177: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake initiation
2019-10-12 22:03:57.535195: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:03:57.535195: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:04:02.529481: [TUN] [keen] peer(fcxDтАжJ2wY) - Handshake did not complete after 5 seconds, retrying (try 2)
2019-10-12 22:04:02.651488: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:04:02.651488: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:04:07.769781: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:04:07.769781: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:04:12.890074: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:04:12.890074: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response

В данном случае Кинетик в роли сервера.

r13 · 10/12/2019 07:16 PM

7 минут назад, Кинетиковод сказал:

Это сделано. При подключении с Винды:


2019-10-12 22:03:51.885872: [TUN] [keen] peer(fcxDтАжJ2wY) - Handshake did not complete after 5 seconds, retrying (try 2)
2019-10-12 22:03:52.104885: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake initiation
2019-10-12 22:03:52.152888: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:03:52.152888: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:03:57.205177: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake initiation
2019-10-12 22:03:57.535195: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:03:57.535195: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:04:02.529481: [TUN] [keen] peer(fcxDтАжJ2wY) - Handshake did not complete after 5 seconds, retrying (try 2)
2019-10-12 22:04:02.651488: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:04:02.651488: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:04:07.769781: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:04:07.769781: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:04:12.890074: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:04:12.890074: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response

В данном случае Кинетик в роли сервера.

тестю пока кинетик в качестве клиента, трафик по туннелю бегает.

koshak · October 12

добавил порт через cli, в фаерволле правила не появилось, добавил вручную, всё равно соединения нет

я в качестве клиента пытаюсь настроить

Edited October 12 by koshak

koshak · 10/12/2019 08:07 PM

не обратил внимания что порт по умолчанию tcp был, поменял на удп и всё заработало, жаль что сам автоматом не открылся

r13 · 10/12/2019 11:08 PM

3 часа назад, Кинетиковод сказал:

Это сделано. При подключении с Винды:


2019-10-12 22:03:51.885872: [TUN] [keen] peer(fcxDтАжJ2wY) - Handshake did not complete after 5 seconds, retrying (try 2)
2019-10-12 22:03:52.104885: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake initiation
2019-10-12 22:03:52.152888: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:03:52.152888: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:03:57.205177: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake initiation
2019-10-12 22:03:57.535195: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:03:57.535195: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:04:02.529481: [TUN] [keen] peer(fcxDтАжJ2wY) - Handshake did not complete after 5 seconds, retrying (try 2)
2019-10-12 22:04:02.651488: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:04:02.651488: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:04:07.769781: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:04:07.769781: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response
2019-10-12 22:04:12.890074: [TUN] [keen] peer(fcxDтАжJ2wY) - Received handshake initiation
2019-10-12 22:04:12.890074: [TUN] [keen] peer(fcxDтАжJ2wY) - Sending handshake response

В данном случае Кинетик в роли сервера.

С серверным вариантом у меня аналогично, пока не заводится.

koshak · 10/13/2019 08:27 AM

я нашёл закономерность - настроенный wg поднимается только после ребута роутера

вчера он у меня поднялся из-за ребута после обновления на 8.1

утром снёс конфиг вг, настроил заново - не работает, ребутнул - сам поднялся, возможно даже не надо порт добавлять, сейчас проверю

Le ecureuil · 10/13/2019 09:06 AM

Открытие порта поправим, спасибо за репорт.

koshak · 10/13/2019 09:29 AM

18 minutes ago, Le ecureuil said:

Открытие порта поправим, спасибо за репорт.

вг работает и без открытия порта, но только после ребута

без явного указания listen-port не проверял

Le ecureuil · 10/13/2019 09:32 AM

У нас порты по-умолчанию нестандартные, потому что не должны пересекаться для нескольких интерфейсов и им не рекомендуется попадать в зону 50000-61000, где сидят порты для NAT.

Родной порт по умолчанию 51820, потому возможно его стоит всегда явно задавать руками как минимум на ответной стороне.

koshak · 10/13/2019 09:51 AM

3 minutes ago, Le ecureuil said:

У нас порты по-умолчанию нестандартные, потому что не должны пересекаться для нескольких интерфейсов и им не рекомендуется попадать в зону 50000-61000, где сидят порты для NAT.

Родной порт по умолчанию 51820, потому возможно его стоит всегда явно задавать руками как минимум на ответной стороне.

порт на дальнем конце у меня тоже нестандартный, но меньше 50000

я сейчас сделал

(config)> interface Wireguard0 wireguard no listen-port
Wireguard::Interface: "Wireguard0": reset listen port.

вг по-прежнему работает,

выключил его в вэб-интерфейсе - тоже ничего не произошло

а, нет, произошло, но через минут 5 только

зато обратно включился без задержек, и работает, порт не указан, и не открыт вручную естественно

Le ecureuil · 10/15/2019 12:02 PM

У кого были проблемы, проверяйте.

Кинетиковод · 10/15/2019 12:49 PM

30 минут назад, Le ecureuil сказал:

У кого были проблемы, проверяйте.

Всё работает, клиенты в локалку ходят, друг друга видят. Но можно ли как-то научить wireguard ещё и натить? Что-то натить он отказывается наотрез.

r13 · 10/15/2019 04:33 PM

3 часа назад, Кинетиковод сказал:

Всё работает, клиенты в локалку ходят, друг друга видят. Но можно ли как-то научить wireguard ещё и натить? Что-то натить он отказывается наотрез.

Что-бы натило делаем:

interface WireguardX security-level private
ip nat WireguardX
system configuration save

Кинетиковод · 10/15/2019 05:06 PM

12 минуты назад, r13 сказал:
Что-бы натило делаем:
interface WireguardX security-level private
ip nat WireguardX
system configuration save

Вчера такое делал не работало, как и Wireguard в целом. На сегодняшнем апдейте что-то не проверил. Теперь работает.

MT7628 в лице Extra2 смог выдавить вот столько:

Но вот такой скорости нет и в помине.

Mineco KBR · 10/27/2019 09:36 AM

Я немного нуб и не совсем понял советы которые в этой темы давали. WG запущен на удаленном сервере. Клиент на андроид нормально заработал. Загрузил эту конфигурацию на роутер, но нет подключения. Можно немного подробнее что мне нужно сделать, чтобы заработало?

keenet07 · 10/27/2019 09:43 AM

На какой версии прошивки настраиваете? Порт открыли в межсетевом экране?

Andrey Che · 10/27/2019 05:54 PM

На последней 11 альфа - просто импорт рабочего конфига не работает. В межсетевом экране порт открывается, но соединения нет.

Le ecureuil · 11/01/2019 01:39 PM

В следующей сборке будет логирование того, что происходит. Попробуйте еще раз - возможно станет понятно, что не так.

Le ecureuil · 11/01/2019 01:39 PM

В 27.10.2019 в 12:43, keenet07 сказал:

На какой версии прошивки настраиваете? Порт открыли в межсетевом экране?

Порты больше открывать не надо, это делается автоматом.

enpa · 11/01/2019 03:53 PM

@Andrey Che случаем в конфиге не указано доменном имя пира? Например провайдер Azirevpn в своих конфигах использует доменное имя образца - no1.wg.azirevpn.net с указанием порта пира.

Такой конфиг корректно не добавляется в webui и поле пира заполняется "ручками", но это надо будет обсудить с @eralde

p.s.: обсудили с @eralde, будет исправление в новой версии драфта.

Andrey Che · 11/01/2019 09:12 PM

@enpa нет, проблема точно не в этом. Свой сервер, в конфиге указываю просто ip.

r13 · November 2

В 01.11.2019 в 16:39, Le ecureuil сказал:

В следующей сборке будет логирование того, что происходит. Попробуйте еще раз - возможно станет понятно, что не так.

@Le ecureuil

На B0 на которой включен лог wg

У меня теперь постоянный спам от wg сервера с попытками соединиться с клиентами, при этом ip клиентов отсутствует(wg типа сервер).

Можно с этим что-то сделать?

Скрытый текст

kernel: wireguard: Wireguard1: handshake for peer "OMmeMgDK+Vp7tk*****sAAflPe8kumWTk=" (8) (0.0.0.0:0) did not complete after 5 seconds, retrying (try 10)
Ноя 2 22:26:20
ndm
kernel: wireguard: Wireguard1: sending handshake initiation to peer "OMmeMgDK+Vp7tk*****sAAflPe8kumWTk=" (8) (0.0.0.0:0)
Ноя 2 22:26:22
ndm
kernel: wireguard: Wireguard1: handshake for peer "MYShsVjDwg9WLdJ*****tZz2BKltoZTuDA=" (7) (0.0.0.0:0) did not complete after 5 seconds, retrying (try 10)
Ноя 2 22:26:22
ndm
kernel: wireguard: Wireguard1: sending handshake initiation to peer "MYShsVjDwg9WLdJ*****tZz2BKltoZTuDA=" (7) (0.0.0.0:0)
Ноя 2 22:26:25
ndm
kernel: wireguard: Wireguard1: handshake for peer "OMmeMgDK+Vp7tk*****sAAflPe8kumWTk=" (8) (0.0.0.0:0) did not complete after 5 seconds, retrying (try 11)
Ноя 2 22:26:25
ndm
kernel: wireguard: Wireguard1: sending handshake initiation to peer "OMmeMgDK+Vp7tk*****sAAflPe8kumWTk=" (8) (0.0.0.0:0)
Ноя 2 22:26:27
ndm
kernel: wireguard: Wireguard1: handshake for peer "MYShsVjDwg9WLdJ*****tZz2BKltoZTuDA=" (7) (0.0.0.0:0) did not complete after 5 seconds, retrying (try 11)
Ноя 2 22:26:27
ndm
kernel: wireguard: Wireguard1: sending handshake initiation to peer "MYShsVjDwg9WLdJ*****tZz2BKltoZTuDA=" (7) (0.0.0.0:0)
Ноя 2 22:26:30
ndm
kernel: wireguard: Wireguard1: handshake for peer "OMmeMgDK+Vp7tk*****sAAflPe8kumWTk=" (8) (0.0.0.0:0) did not complete after 5 seconds, retrying (try 12)
Ноя 2 22:26:30
ndm
kernel: wireguard: Wireguard1: sending handshake initiation to peer "OMmeMgDK+Vp7tk*****sAAflPe8kumWTk=" (8) (0.0.0.0:0)
Ноя 2 22:26:32
ndm
kernel: wireguard: Wireguard1: handshake for peer "MYShsVjDwg9WLdJ*****tZz2BKltoZTuDA=" (7) (0.0.0.0:0) did not complete after 5 seconds, retrying (try 12)
Ноя 2 22:26:32
ndm
kernel: wireguard: Wireguard1: sending handshake initiation to peer "MYShsVjDwg9WLdJ*****tZz2BKltoZTuDA=" (7) (0.0.0.0:0)

Edited November 2 by r13

Кинетиковод · 11/03/2019 12:58 PM

17 часов назад, r13 сказал:

У меня теперь постоянный спам от wg сервера

У меня аналогично. Сервер в постоянном поиске клиентов, которые offline.

Le ecureuil · 11/05/2019 08:57 AM

В 03.11.2019 в 15:58, Кинетиковод сказал:

У меня аналогично. Сервер в постоянном поиске клиентов, которые offline.

Он это реально делает, потому и пишется. Если не будет писать, но будет трафик попыток на WAN - не возникнет ли лишних вопросов?

Наверное для варианта пира с 0.0.0.0 сделаю, чтобы выводилось только в режиме interface debug.

Кинетиковод · 11/05/2019 03:13 PM

6 часов назад, Le ecureuil сказал:

Если не будет писать, но будет трафик попыток на WAN - не возникнет ли лишних вопросов?

Сейчас фактически wg отключил логи. Ничего, кроме бесконечного зазывания wg клиентов там нет. Просмотреть другие события невозможно. Конечно такую невероятную активность wg в логах надо отключать.

Le ecureuil · 11/05/2019 03:24 PM

Фильтр по 0.0.0.0 сделал.

Остальное давайте после следующего выпуска посмотрим.

r13 · 11/05/2019 06:59 PM

3 часа назад, Кинетиковод сказал:

Сейчас фактически wg отключил логи. Ничего, кроме бесконечного зазывания wg клиентов там нет. Просмотреть другие события невозможно. Конечно такую невероятную активность wg в логах надо отключать.

Кстати, если на сервере не заполнять поле "Проверка активности" что в общем то и правильно, пусть этим клиент занимается, то попытки соединиться прекращаются, и лог возвращается к нормальному состоянию.

Sign In

Подключение Wireguard

Question

Share this post

Link to post

Share on other sites

75 answers to this question

Recommended Posts

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites

Share this post

Link to post

Share on other sites