via Wireguard auf heimische Geräte zugreifen

    Hallo Zusammen,

    ich hoffe mir kann bei meinem Problem jemand helfen.

    Ich habe auf einem kleinen RS einen Wireguard laufen.

    Mit diesem sind Smartphone, Tablet, PC und auch meine Fitzbox verbunden.

    Die Fritze ist mit Variante 2 LAN/LAN mit dem Wireguard verbunden, sodass der komplette Traffic über den WG Server läuft.

    Mein Problem ist, dass ich über den VPN nicht auf die Geräte hinter der Fritzbox zugreifen kann. Ganz genau möchte ich von außerhalb auf meine Synology zugreifen, sobald ich den VPN aktivieren. Ohne aktive VPN Verbindung soll nicht auf mein NAS verbunden werden können.

    Ich hab schon einiges im Netz gelesen und die meisten nutzen den WG der Fritz zur NAS. Das möchte ich nicht, da ich einen externen WG habe, der 1A funktioniert.

    Auch das Thema Routing habe ich aufgeschnappt um die WG Verbindung und die interne IP der Fritze zu Routen aber da komme ich auch nicht so ganz ans Ziel. Wobei das womöglich an mir liegt ^^

    Evtl. hatte jemand ja ein ähnliches Problem und kann mir weiterhelfen.

  • Zur hilfreichsten Antwort springen

    Wie sehen die resultierenden Konfigs und Adressen aus? Nutzt du ein Transfernetz? Falls ja: gibt es eine statische Route dazu? Macht das VPN NAT? Hast du die Hinweise aus dem AVM VPN Portal für die Einrichtung befolgt?

    aktuell habe ich nur die Standard Routen in meiner Config.

    PostUp = ufw route allow in on wg0 out on eth0; iptables -t nat -I POSTROUTING -o eth0 -j MASQUERADE; ip6tables -t nat -I POSTROUTING -o eth0 -j MASQUERADE

    PreDown =

    PostDown = ufw route delete allow in on wg0 out on eth0; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE; ip6tables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

    Table = auto

    Meine Router-Conf sieht folgendermaßen aus.

    [Peer]

    PublicKey = xxxx

    PresharedKey = xxxx

    AllowedIPs = 10.8.0.7/32,fd08:8:8:8::7/128

    PersistentKeepalive = 25

    Zitat von frank_m

    Wie sehen die resultierenden Konfigs und Adressen aus? Nutzt du ein Transfernetz? Falls ja: gibt es eine statische Route dazu? Macht das VPN NAT? Hast du die Hinweise aus dem AVM VPN Portal für die Einrichtung befolgt?

    Ich bin heute zufällig darüber gestoßen, dass man im WG die selbe IP Range nutzen soll wie die Fritzbox intern.

    Da mein WG aber schon vorher lief, bin ich da nicht mehr an die Config gegangen.

    Zitat von VeePay

    Ich bin heute zufällig darüber gestoßen, dass man im WG die selbe IP Range nutzen soll wie die Fritzbox intern.

    Genau das meinte ich. Die Fritzboxen nutzen kein Transfernetz. D.h., in den Allowed IPs der Router Config müsste das lokale Subnetz der Fritzbox auftauchen, umgekehrt in der Config der Fritzbox das lokale Netz der VPN Clients auf dem VPS.

    ungeachtet dessen, dass es nicht ganz zum Thema passt :

    Ich mache genau das mittels Tailscale. Also von unterwegs auf meinen Unraid Server, Drucker, Wasauchimmer zuzugreifen , trotz DS Lite beim Anbieter. Ich habe dazu Proxmox auf dem VPS Mikro laufen. Die Fritzbox kann es nicht, obwohl Tailscale eigentlich "Wireguard in einfach" ist. Trotzdem interessiert es mich schon aus Lernzwecken, wieso das mit einer Standard out of the box lösung von wireguard nicht funktioniert .

    WH 8000 SE BF22, VPS 500G11s BW24, VPS1000 G11 JA24, RS1000 G11, VPS2000 ARM G11 SE OST25, RS2000 G12 Pro ADV25

    Ich lebe im Netzwerk, ihr findet mich unter der IP-Adresse: 127.0.0.1

    3 Mal editiert, zuletzt von KrisAusEU (11. Juni 2024 um 11:00)

    Zitat von KrisAusEU

    Trotzdem interessiert es mich schon aus Lernzwecken, wieso das mit einer Standard out of the box lösung von wireguard nicht funktioniert .

    Doch, das geht mit einer Out of the Box Wireguard Lösung. Ich hab genau sowas bei mir am laufen: Zwei Heimnetze bauen jeweils dauerhaft einen Tunnel zum VPS auf, und die mobilen Knoten wählen sich auf dem VPS ein und haben dann Zugriff in die Heimnetze.

    Die Konfiguration braucht ein bisschen Feinschliff, besonders unter der Berücksichtigung der Besonderheiten in der Fritzbox. Dann wird das schon klappen.

    Zitat von VeePay

    Ich bin heute zufällig darüber gestoßen, dass man im WG die selbe IP Range nutzen soll wie die Fritzbox intern.

    Da mein WG aber schon vorher lief, bin ich da nicht mehr an die Config gegangen.

    Man kann das umgehen, wenn man z.B. einen lokalen Raspi als WG Client nutzt und so die FRITZ!Box außen vor lässt

    Einmal editiert, zuletzt von Hille (11. Juni 2024 um 17:03)

    Zitat von Hille

    poste mal noch route -n

    Kernel-IP-Routentabelle

    Ziel Router Genmask Flags Metric Ref Use Iface

    0.0.0.0 x.x.x.x 0.0.0.0 UG 0 0 0 eth0

    10.8.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wg0

    x.x.x.x 0.0.0.0 255.255.252.0 U 0 0 0 eth0

    Zitat von frank_m

    Genau das meinte ich. Die Fritzboxen nutzen kein Transfernetz. D.h., in den Allowed IPs der Router Config müsste das lokale Subnetz der Fritzbox auftauchen, umgekehrt in der Config der Fritzbox das lokale Netz der VPN Clients auf dem VPS.

    Wenn ich die IPs hinzufüge, bekomme ich mit der FRITZ!box keine Verbindung zum VPN.

    Habe auch 0.0.0.0/0 & ::/0 drin, um sämtlichen Traffic darüber laufen zu lassen. Ist das ein Problem?

    Zitat von Hille

    Man kann das umgehen, wenn man z.B. einen lokalen Raspi als WG Client nutzt und so die FRITZ!Box außen vor lässt

    Das möchte ich ungern, da ich ja einen laufenden WG habe. Sonst könnte ich das NAS ebenfalls als WG Server einrichten

    Zitat von VeePay

    Kernel-IP-Routentabelle

    Ziel Router Genmask Flags Metric Ref Use Iface

    0.0.0.0 89.58.48.1 0.0.0.0 UG 0 0 0 eth0

    10.8.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wg0

    89.58.48.0 0.0.0.0 255.255.252.0 U 0 0 0 eth0

    Hier fehlt die Route ins lokale Netz

    /usr/sbin/route add -net 192.168.178.0/24 dev wg0

    192.168.178.0/24 muss natürlich angepasst werden.

    Zitat von VeePay

    Kernel-IP-Routentabelle

    Ziel Router Genmask Flags Metric Ref Use Iface

    0.0.0.0 89.58.48.1 0.0.0.0 UG 0 0 0 eth0

    10.8.0.0 0.0.0.0 255.255.255.0 U 0 0 0 wg0

    89.58.48.0 0.0.0.0 255.255.252.0 U 0 0 0 eth0

    Das sieht soweit erst mal gut aus, nur sollte - wie gesagt - das lokale Subnetz der Fritzbox benutzt werden. Also Allowed IPs 10.8.0.0/24 durch 192.168.178.0/24 (oder was auch immer) austauschen.

    Zitat von VeePay

    Wenn ich die IPs hinzufüge, bekomme ich mit der FRITZ!box keine Verbindung zum VPN.

    Du hast die IPs aber nicht auf der Seite der Fritzbox hinzugefügt, oder? Die müssen natürlich in den VPS.

    Zitat von VeePay

    Habe auch 0.0.0.0/0 & ::/0 drin, um sämtlichen Traffic darüber laufen zu lassen. Ist das ein Problem?

    Ich hoffe, das steht in der Fritzbox. Im VPS wäre es fatal. Aber: Zum einen halte ich davon gar nichts*, zum anderen: Wenn das drin steht, ist alles andere egal, denn dann schickt die Box eh den gesamten Traffic über die VPN Verbindung.

    * Warum halte ich nichts davon? Wenn der gesamte Datenverkehr über den VPS geleitet wird, erzeugt das nur zusätzliches Delay. Außerdem taucht die öffentliche IP des VPS beim Aufruf der Dienste als Quell-IP auf, was zu Problemen führen kann. Einige Dienste gleichen die Quell-IP der Anfrage mit öffentlichen Listen ab und sehen, ob die Anfrage von Privatkunden-Anschlüssen, Servern oder VPN Anbietern kommt. Je nach Quelle kann das Probleme geben, z.B. bei Streaming Diensten.

    Zitat von Hille

    /usr/sbin/route add -net 192.168.178.0/24 dev wg0

    Nein, darum muss sich Wireguard über die Allowed IPs kümmern. Einfach eine zusätzliche Route aufs WG Interface zu legen bringt gar nichts, ohne Allowed IPs lässt WG den Traffic eh nicht durch.

    Zitat von frank_m

    Nein, darum muss sich Wireguard über die Allowed IPs kümmern. Einfach eine zusätzliche Route aufs WG Interface zu legen bringt gar nichts, ohne Allowed IPs lässt WG den Traffic eh nicht durch.

    Das ist korrekt, das müsste entsprechend ergänzt werden. Dann sollte das Setzen der zusätzlichen Route ebenfalls zum Erfolg führen.

    Aber genau das ist von mir gewollt. Ich merke im Alltag nicht, dass der Traffic über den VPN läuft und dass einige Anbieter damit ein Problem haben, ist mir relativ. Wenn zwingend notwendig, wird in der WG app der eine Dienst ausgeschlossen.

    Ich habe alles darüber laufen, da dann bei allen Geräten auch mein AdGuard Home greift. Der läuft auch auf dem Server.

    Den Eintrag der AllowedIPs habe ich in der Config für den Router Client eingefügt.

    Zitat von Hille

    Dann sollte das Setzen der zusätzlichen Route ebenfalls zum Erfolg führen.

    Das ist dann nicht mehr nötig. Wireguard setzt die Routen selber, die zu den Allowed IPs passen.

    Zitat von VeePay

    Aber genau das ist von mir gewollt.

    Und warum? Welchen Mehrwert soll das bringen? In öffentlichen Hotspots, ok. Aber vom heimischen Internetzugang?

    Zitat von VeePay

    Ich habe alles darüber laufen, da dann bei allen Geräten auch mein AdGuard Home greift. Der läuft auch auf dem Server.

    Das ist ein DNS Eintrag in der WG Config, aber definitiv kein Grund, die Default-Route über VPN zu leiten.

    Zitat von VeePay

    Den Eintrag der AllowedIPs habe ich in der Config für den Router Client eingefügt.

    Da darf er natürlich nicht rein. In der Router Config müssen die IPs rein, mit denen der Router auf Server-Seite kommunizieren soll.

    Allowed IPs bestimmen, welche IPs man ausgehend erreichen kann. Für eingehende Daten darf man keine Einträge machen, das gibt Routing Kuddel Muddel.

    Das habe ich zur Sicherheit gemacht.

    Ich wollte keine DNS Schleuder in die Welt setzen und da dieser nur mit meinem VPN erreichbar ist, habe ich diesbezüglich nichts zu befürchten.
    War auch nur mal so ein Projekt von mir und da das super geklappt hat, hab ich es dabei belassen ^^ -> bitte nicht steinigen :D:D

    Jetzt hab ich mein Subnetzwerk der Fritzbox via wg eingefügt aber kann leider nach wie vor nicht drauf zugreifen.

    Ich glaub ich belasse es bei einem Heimnetzwerk ^^

    Zitat von VeePay

    Ich wollte keine DNS Schleuder in die Welt setzen und da dieser nur mit meinem VPN erreichbar ist, habe ich diesbezüglich nichts zu befürchten.

    Ist ja auch völlig ok. Ich hab auch einen unbound und einen Pi-hole auf dem VPS - ebenfalls hinter dem VPN. Aber nur deshalb würde ich niemals die Defaultroute über VPN leiten.

    Zitat von VeePay

    Jetzt hab ich mein Subnetzwerk der Fritzbox via wg eingefügt aber kann leider nach wie vor nicht drauf zugreifen.

    Jetzt ist es an der Zeit, das Setup auf beiden Seiten zu prüfen. Stimmen alle Adressen? Alle Routen? Vor allem auch auf der Fritzbox-Seite.

    • Hilfreichste Antwort

    Hey,

    hab bei mir ne Side2Side Verbindung am Laufen über die Fritzbox und kann alles soweit erreichen. Kann hier gerne mal meine Konfiguration teilen:

    Server Seite (Netcup)

    Fritzbox

    Code
    [Interface]
PrivateKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Address = 192.168.178.1/24

[Peer]
PublicKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
AllowedIPs = 10.100.0.0/24, 10.0.1.0/24
Endpoint = IP-SERVER:51821
PersistentKeepalive = 25

    Wichtig hier ist das bei der Fritzbox Als Address Ihre eigene reinkommt und keine aus dem Tunnelnetzwerk! Seit dem ich das so drin hab kann ich auch vom Server aus auf mein Heimnetz zugreifen

    Das

    Code
    10.0.1.0/24

    und

    Code
    iptables -t nat -D POSTROUTING -o ens5 -j MASQUERADE

    ist nur für das VLAN bei mir.

    Hoffe das hilft vielleicht weiter

    2 Mal editiert, zuletzt von philw95 (12. Juni 2024 um 01:12) aus folgendem Grund: Delete SaveConfig = true

  • VeePay 12. Juni 2024 um 10:24

    Hat einen Beitrag als hilfreichste Antwort ausgewählt.