Zugriff auf Heimnetzwerk mit wg-easy

Zitat von philw95

Deswegen hier mal meine Aktuelle Konfiguration:

Spoiler anzeigen

FritzBox <1>

Code

[Interface]
Address = 192.168.10.1/24

[Peer]
AllowedIPs = 10.100.0.0/24, 192.168.190.0/24

FritzBox <2>

Code

[Interface]
Address = 192.168.190.1/24

[Peer]
AllowedIPs = 10.100.0.0/24, 192.168.10.0/24

Hallo philw95 ,
danke nochmal für das Teilen deines Posts. Ich gehe davon aus, dass deine FritzBox 1 die IP 192.168.10.1 und deine FritzBox 2 die IP 192.168.190.1 hat.
Diese Konfiguration entspricht eigentlch auch genau meiner und die wird von meiner FritzBox nicht geladen, da sie einen IP-Adresskonflikt meldet:

Zitat von NehCoy

Edit: Die Fritz!Box verweigert das Laden des Konfigfiles wenn in der Interface Section irgendeine IP-Adresse aus ihrem Adressbereich angegeben ist.

Welche FritzBox'en mit welcher FW-Version verwendest du?

Zitat von frank_m

Das Einzige, was eine wichtig werden könnte, sind die keep-alive Pakete, die nötig werden, damit ein Client hinter einem NAT Router erreichbar bleibt.

Du brauchst gar kein Transfernetz bei einer LAN-2-LAN Verbindung. Das bräuchtest du erst, wenn Road Warrior Clients hinzukommen. Und dann auch nur für die, in den Fritzbox taucht es dann nur als allowed IP auf.

Genauso. Wie gesagt: LAN-2-LAN Verbindungen brauchen kein Transfernetz.

Wenn die Fritzbox das Laden einer korrekten VPN-Konfig verweigert, dann gibt es häufig einen Konflikt mit einer anderen existierenden VPN-Konfiguration. Ggf. hilft es, alle (!) existierenden VPN Konfigurationen für Wireguard und IPSec zu löschen. Reicht das nicht, muss man einen Reset auf Werkseinstellungen durchführen.

Hallo frank_m ,

danke für deine Antwort. Beachte meinen ersten Beitrag in diesem Thread. Mein Hauptziel ist es ja mit dem Smartphone von unterwegs unabhänig von IPv6 und IPv4 auf das Netzwerk zu Hause zugreifen zu können. Also genau das "Road Warrior Client" Szenario.
Das mit der Kopplung einer zweiten Fritz!Box ist nachträglich hinzugekommen. - Damit könnte ich dann leicht auf das Netzwerk meiner Eltern zugreifen.

Das mit einem Reset braucht Zeit. Ist ja nicht nur eine Fritz!Box, sondern alles was dazu gehört mit Mesh-Netzwerk, eingerichtete Filter und Telefonie.

Zitat von philw95

FRITZ!Box 5590 Fiber

FRITZ!OS: 8.02

Die selbe habe ich auch


Ich wünsche euch allen frohe und besinnliche Weihnachtsfeiertage! 🎄🎁

Hallo zusammen!

Sorry, dass ich mich erst jetzt melde, aber leider kam ich früher nicht dazu mich dem Problem anzunehmen.
Doch nun habe ich es endlich geschafft! - Im doppelten Sinne.
Ich habe mir nicht nur endlich Zeit genommen mich darum zu kümmern, sondern ich habe den Remote Zugriff nun auch wirklich zum laufen bekommen.
Daher danke euch noch mal für eure Hilfe!

Das Gesamtergebnis möchte ich euch nun nicht vorenthalten!

Erste wichtige Erkenntnis: Ich habe es nativ mit Wireguard und nicht mit wg-easy gemacht! Mit wg-easy habe ich es einfach nicht hinbekommen.

Wireguard läuft bei mir in Docker. Das docker-compose.yml sieht wie folgt aus:

services:
  wireguard:
    image: linuxserver/wireguard:latest
    container_name: wireguard
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
      # - NET_RAW # ⚠️ Uncomment if using Podman
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
      - net.ipv6.conf.all.disable_ipv6=0
      - net.ipv6.conf.all.forwarding=1
      - net.ipv6.conf.default.forwarding=1
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Europe/Berlin
      - SERVERURL=<URL/IP des Servers> oder auto
      - SERVERPORT=51820
      - INTERNAL_SUBNET=10.10.0.0
      - PERSISTENTKEEPALIVE_PEERS=all
      - PEERS=2
    volumes:
      - ./config:/config
    ports:
      # port of the wireguard server
      - "51820:51820/udp"
    mem_limit: 128m

Die wg0.conf im Verzeichnis ./conf/wg_confs sieht wie folgt aus:

[Interface]
Address = 10.10.0.1
ListenPort = 51820
PrivateKey = <hidden>
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth+ -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth+ -j MASQUERADE


[Peer]
# FritzBox
PublicKey = <hidden>
PresharedKey = <hidden>
AllowedIPs = 192.168.10.0/24, 0.0.0.0/0


[Peer]
# Smartphone
PublicKey = <hidden>
PresharedKey = <hidden>
AllowedIPs = 10.10.0.3/32

Wobei 192.168.10.10 die IP-Adresse meiner Fritz!Box ist.

Die Peer-Config für die Fritz!Box sieht so aus:

[Interface]
Address = 192.168.10.10/24
PrivateKey = <hidden>
ListenPort = 51820


[Peer]
PublicKey = <hidden>
PresharedKey = <hidden>
Endpoint = <URL/IP des Servers>:51820
AllowedIPs = 10.10.0.0/24
PersistentKeepalive = 25

Die Peer-Config für mein Smartphone wie folgt

[Interface]
Address = 10.10.0.3
PrivateKey = <hidden>
ListenPort = 51820
DNS = 192.168.10.10

[Peer]
PublicKey = <hidden>
PresharedKey = <hidden>
Endpoint = <URL/IP des Servers>:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

Der verwendete Port ist der Standardport 51820.

Hoffe das hilft dem einem oder anderen! 😉

Viele Grüße
NehCoy

Hallo frank_m ,

vielen Dank für deine konstruktive Kritik. Gehen wir sie mal im Detail durch:

Zitat von frank_m

Zum einen hast du die Grundlagen der Fritzbox Doku nicht beachtet. Die Box macht Proxyarp, die IP der Box sollte aus ihren Subnetz kommen und es sollte kein Transportnetz benutzt werden.

Diese Bemerkung kann ich nicht nachvollziehen. - Die Fritz!Box hat doch in ihrer Config ihre eigene IP-Adresse 192.168.10.10 stehen 🧐

Zitat von frank_m

Im Server machst du NAT und gibst die Defaultroute für die Fritzbox an. Dein Server wird ab sofort seinen gesamten Internet-Datenverkehr über die Fritzbox abwickeln, nicht nur die des Smartphones, auch seinen eigenen! War das wirklich das Ziel deiner VPN Versuche, dass ein V-Server seinen gesamten Internetverkehr durch dein Heimnetz leitet? Seine Updates und alles Weitere?

Nein das tut er nicht. Das Wireguard-Netzwerk wird nur im Docker-Container angelegt und nicht auf dem Host. Dem Host ist das Netzwerk und die Routen nicht bekannt. Ich kann weder von dem Host-System auf das Heimnetz zugreifen, noch wird der gesamte Traffic darüber geleitet.
Ein traceroute geht auf eth0 des VPS raus.

Zitat von frank_m

Durch die NAT Regeln ist der Rückweg aus deinem Heimnetz auf dem Server und seine VPN Clients nicht möglich. Das mag bei einem einzelnen Smartphone als VPN Client in Ordnung sein, aber wenn weitere Clients hinzukommen, ist das kontraproduktiv. Vollwertiges Routing ist in dem Fall eher zu empfehlen, und NAT würde ich auf die Fälle einschränken, wo das Smartphone den Internetzugang über VPN bekommen soll.

Damit könntest du durchaus recht haben. - Das primäre Szenario ist allerdings nur der Zugriff auf das Heimnetzwerk von meinem Smartphone aus.
Alles weitere sind nur Hirngespinste, die vielleicht irgendwann mal kommen könnten. Du hast aber gesehen, wie lange ich gebraucht habe bis ich mich um den eigentlichen wichtigen Remotezugriff kümmern konnte. 🫣

Viele Grüße

NehCoy