WireGuard auf Debian 13

VeePay

Hallo Zusammen,

ich benötige mal eure Unterstützung, da ich selbst mit meinem Latein am Ende bin.

Ich betreibe auf Debian 12 einen WireGuard, der hervorragend läuft. Da ich gerne auf einem aktuellen System arbeite, wollte ich auf Debian 13 Upgraden aber leider läuft dann nichts mehr.

Der WG ist so konfiguriert, dass der komplette Traffic drüber läuft.

Versuch 1:

Laufender Debian 12 auf Debian 13 upgraden -> Die Verbindung funktioniert, bis ich einen reboot durchführe, danach kann nicht mehr auf Internetseiten zugegriffen werden. Handshake ist vorhanden.

Versuch 2:

Komplette Neuinstallation auf Debian 13 -> keine Verbindung ins Internet. Handshake ist vorhanden, inkl. Daten bei senden und empfangen.

Versuch 3:

Komplette Neuinstallation auf Debian 12 nach exakt dem gleichen Vorgehen wie bei Versuch 2 -> WireGuard läuft problemlos und ich kann über den WG auf Internetseiten zugreifen.

Leider finde ich im Netz nichts passendes. Bei sämtlichen Anleitungen ist die Config unter Deb12 und Deb13 identisch 🤔

frank_m

Wir brauchen die Übersicht der Wireguard Konfiguration, der IP- und Routenkonfiguration des Servers und der Firewall-Regeln, ganz wichtig, inkl. der Forwarding und NAT Regeln. Am besten von Debian 12 und 13.

VeePay

Klar, überhaupt kein Problem.

Ich habe lediglich die IP´s unkenntlich gemacht.

Die Config ist 100% die gleiche, wie bei meinem funktionierenden Debian 12 Server.

wg0.conf

Code

[Interface]
Address = 10.8.0.1/24,fd08:8:8:8::1/64
ListenPort = 51820
PrivateKey = key
PostUp = ufw route allow in on wg0 out on eth0; iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE; ip6tables -t nat -I POSTROUTING -o eth0 -j MASQUERADE
PreDown = ufw route delete allow in on wg0 out on eth0; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; ip6tables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
PostDown =


# Name:         TestVPN
[Peer]
PublicKey = Key
AllowedIPs = 10.8.0.2/32,fd08:8:8:8::2/128
PersistentKeepalive = 25

Alles anzeigen

ip a

Code

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host noprefixroute
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 6a:97:a9:44:0b:ef brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    altname ens3
    altname enx6a97a9440bef
    inet xx.xx.xx.xx/22 brd xx.xx.xx.xxx scope global eth0
       valid_lft forever preferred_lft forever
    inet6 xxxx:xxxx:xx:xxx:xxxx:xxxx:xxxx:xxx/64 scope global
       valid_lft forever preferred_lft forever
    inet6 xxxx::xxxx:xxxx:xxxx:xxx/64 scope link proto kernel_ll
       valid_lft forever preferred_lft forever
3: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1450 qdisc noqueue state UNKNOWN group default qlen 1000
    link/none
    inet 10.8.0.1/24 scope global wg0
       valid_lft forever preferred_lft forever
    inet6 fd08:8:8:8::1/64 scope global
       valid_lft forever preferred_lft forever

Alles anzeigen

ip r

Code

default via xx.xx.xx.x dev eth0 onlink
10.8.0.0/24 dev wg0 proto kernel scope link src 10.8.0.1
xx.xx.xx.x/22 dev eth0 proto kernel scope link src xx.xx.xx.xx

ufw

Code

Status: active

To                         Action      From
--                         ------      ----
xxxxx/tcp                  ALLOW       Anywhere                   # ssh
51820/udp                  ALLOW       Anywhere                   # wg
xxxxx/tcp (v6)             ALLOW       Anywhere (v6)              # ssh
51820/udp (v6)             ALLOW       Anywhere (v6)              # wg

Anywhere on eth0           ALLOW FWD   Anywhere on wg0
Anywhere (v6) on eth0      ALLOW FWD   Anywhere (v6) on wg0

Alles anzeigen

sysctl.conf

Code

net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1

ndppd.conf

Code

proxy eth0 {
    rule fd08:8:8:8::1/64 {
        iface wg0
    }
}

netsch1967

Das Problem liegt am IP Forwarding.
Unter Debian 13 wurde das "Prinzip" der Config von sysctl.d geändert.

Die Datei sysctl gibt es nicht mehr und der Inhalt vom Ordner sysctl.d interessiert das System nicht mehr.

Setze mal manuell den Befehl ab:

sysctl -w net-ipv4.ip_foward=1

oder

echo 1 > /proc/sys/net/ipv4/ip_forward

Bei mir steht erster Befehl in der Datei

postup_wg0.sh

VeePay

Zitat von netsch1967

Das Problem liegt am IP Forwarding.
Unter Debian 13 wurde das "Prinzip" der Config von sysctl.d geändert.

Wow genau daran liegt es.

Mir war nicht bewusst, dass bei Deb13 die sysctl.conf abgeschafft wurde.

Wie kann ich das Forwarding für ipv4 und ipv6 unter debian13 dauerhaft aktivieren?

sysctl -w net-ipv4.ip_foward=1 --> geht nicht

echo 1 > /proc/sys/net/ipv4/ip_forward --> funktioniert bis zum nächsten reboot

netsch1967

Zitat von VeePay

Wie kann ich das Forwarding für ipv4 und ipv6 unter debian13 dauerhaft aktivieren?

sysctl -w net-ipv4.ip_foward=1 --> geht nicht

echo 1 > /proc/sys/net/ipv4/ip_forward --> funktioniert bis zum nächsten reboot

In meiner wg0.conf steht folgendes:

PostUp = /etc/wireguard/postup_wg0.sh

PostDown = /etc/wireguard/postdown_wg0.sh

In der postup... und postdown...sh baust du dann die echo Zeile ein.

Es gibt einen "komplizierteren Weg" die sysctl.conf wieder zu aktivieren.

Aber die Lösung da oben funktioniert bei mir auch nach einem Reboot.

Olivetti

https://www.debian.org/releases/trixie/release-notes/issues.html#etc-sysctl-conf-is-no-longer-honored

Hille

Wenn ich das richtig gelesen habe, wird nur die /etc/sysctl.conf nicht mehr unterstützt. Die .conf unter /etc/sysctl.d hingegen schon.

VeePay

Hab´s folgendermaßen gelöst und es scheint zu funktionieren.

/etc/sysctl.d/99-ipforward.conf

Code

net.ipv4.ip_forward=1
net.ipv6.conf.all.forwarding=1

99-ipforward.conf aktivieren

Code

sysctl -p /etc/sysctl.d/99-ipforward.conf

Ich danke euch vielmals

cltrmx

Zitat von VeePay

Mir war nicht bewusst, dass bei Deb13 die sysctl.conf abgeschafft wurde.

Zitat von Hille

Wenn ich das richtig gelesen habe, wird nur die /etc/sysctl.conf nicht mehr unterstützt. Die .conf unter /etc/sysctl.d hingegen schon.

So habe ich das auch verstanden und fairerweise sollte Debian beim Upgrade-Prozess eine entsprechende Warnung/einen entsprechenden Fehler angezeigt haben. Ich hatte exakt das gleiche Problem, bin allerdings nicht durch eine Nichtfunktion von Wireguard darauf gestoßen, sondern durch einen Fehler während `apt-get dist-upgrade`.

netsch1967

Zitat von cltrmx

und fairerweise sollte Debian beim Upgrade-Prozess eine entsprechende Warnung/einen entsprechenden Fehler angezeigt haben

Dafür gibt es die Seiten von Debian. Hier ist der ganze Release Stamm nachzulesen. Alle neuen Funktionen, überarbeitete und entfernte werden hier beschrieben.
Sollte als Debian Anwender die erste Anlaufstelle sein. Zudem gibt es ein Debian Forum, in dem diese Änderungen im Vorfeld diskutiert werden.

Anschließend ist es noch entscheidend welches Image installiert wird und was der Hoster zur Verfügung stellt.
Netcup, Hetz..., Ion..., usw. bieten unterschiedliche Images an und bei allen entsprechen diese NICHT dem Networkinstall von Debian.

Ggf. also das Netinstall Image von Debian laden und in der VPS installieren.

netsch1967

Zitat von Hille

Wenn ich das richtig gelesen habe, wird nur die /etc/sysctl.conf nicht mehr unterstützt. Die .conf unter /etc/sysctl.d hingegen schon.

Das hängt mit dem Image zusammen, welches der Hoster bereit stellt.
Ab Debian 13 gibt es die /etc/sysctl.conf nicht mehr. Dies ist im Debian Release auch beschrieben.

Allerdings gibt es bei verschiedenen Hoster Images, bei denen die Abarbeitung von /etc/sysctl.d erst aktiviert werden muss.

Hille

Ich habe mir gerade mal bei meinem Raspi mit Debian 13 die sysctl.conf angeschaut. Hier werden die eingetragen Werte nach wie vor übernommen. War allerdings ein dist-Upgrade von Debian 12.

VeePay

Bei mir wurde die sysctl.conf auch beim Upgrade tatsächlich nicht übernommen.

netsch1967

Netcup VPS Debian 13.1 Neuinstallation (BIOS):
/etc/sysctl.conf gibt es nicht und ein manuelles Anlegen wird nicht berücksichtigt.

/etc/sysctl.d Ordner existiert, aber einzelne .conf müssen aktiviert werden.

Ion... + Hetz... Debian 13.1 Neuinstallation (minimal):
/etc/sysctl.conf gibt es nicht und ein manuelles Anlegen wird nicht berücksichtigt.

/etc/sysctl.d Ordner existiert wird aber nicht berücksichtigt und muss erst manuell aktiviert werden.

ECHO Zeile (manuell) funktioniert bei allen.

Zitat von VeePay

Bei mir wurde die sysctl.conf auch beim Upgrade tatsächlich nicht übernommen.

Es kommt darauf an aus welcher Debian 12.x Version das Upgrade erfolgt ist und was unter /usr/lib/sysctl.d/ steht.

Da ich immer auf etwas Sicherheit gehe, werden diverse Einstellungen, wie z.B. IP Forwarding, immer nur mit aktivem VPN Tunnel aktiviert und ohne auch wieder deaktiviert. Daher regel ich das grundsätzlich nur noch über die Bash Dateien mit PostUp und PostDown.

Der Wireguard Tunnel (z.B. WG0) wird auch ausschließlich über CRON REBOOT aktiviert und somit auch alles aus der PostUp.

Auch der WatchDog zum jeweiligen Wireguard Tunnel läuft über CRON ab.

webdesignheld

ich hab keine sysctl.conf - son neumodischer kram, pfffff

Hille

Eher altmodisch

WireGuard auf Debian 13

VeePay 8. November 2025 um 21:59

Ähnliche Themen

Das längste Thema

Mein erster Server - Schritt für Schritt