Wenn Du die netcup-Firewall abschaltest, dann funktioniert dein VPN aber?
Was ist eigentlich mit DNS: Benutzt Du die netcup DNS-Server oder andere? Im zweiten Fall würden nämlich Regeln für DNS in deiner Firewall fehlen.
Ja Netcup FW aus = funktioniert alles
Meinst du die DNS Server, die in WireGuard eingetragen sind? Das sind externe
Der Netcup Server selbst nutzt die NC DNS Server
So wie der Screenshot von Hille hatte ich es auch schon probiert. Nix geht
Dann fehlt ziemlich sicher eine Regel für DNS - Du hast ja auch noch deine Docker Container - setze die analog zu deiner NTP-Regel auf, nur mit Port 53 statt 123.
Im Endeffekt ist die NC Firewall kein Hexenwerk.
Ja, alles andere funktioniert auch wie erwartet.
Ich habe es jetzt aber direkt noch einmal ausprobiert, nur den wg-Port zuzulassen und bisher gibt es keine Probleme mit dem Handy. 
Allerdings mit dem Laptop, der aber auch etwas anders konfiguriert ist und den ich damals ausschließlich zum Testen genommen hatte, wenn ich mich richtig erinnere. Da fehlt mir dann vermutlich noch eine weitere UDP-Regel, die nichts mit WireGuard zu tun hat. Also sorry, falls ich hier Verwirrung gestiftet haben sollte!
Von daher sollte das Problem des OP auch nicht daran liegen.
Du kannst bei aktivierter nc-Firewall ja mal mit tcpdump auf dem Laptop und Server prüfen, ob der WireGuard-Traffic durchkommt.
Also beispielsweise mit tcpdump -nttt udp port 51820
Für Deinen Anwendungsfall sollte die Regel wie in #6 von Patrick0815 ja reichen. Bei mir habe ich auch nur eine eingehende Regel mit dem Zielport (sowie eine ausgehende Regel, da bei mir die impliziten Regeln beide auf DROP stehen).
Es lag an der fehlenden DNS Regel. Für WireGuard reicht eine Regel.
Jetzt gehts.
Danke!
Du kannst ja gerne den hilfreichsten Beitrag hervorheben, dann wissen zukünftige Leser gleich was geholfen hat. 
Es lag an der fehlenden DNS Regel. Für WireGuard reicht eine Regel.
dann wissen zukünftige Leser gleich was geholfen hat.
Noch hilfreicher wäre es, die Regel auch dazu zu schreiben...
Hast Du auf dem Server auch eine Webseite laufen? Falls nicht, solltest Du die eingehenden Regeln für HTTP(S), die in Deinem Screenshot zu sehen sind, nicht benötigen.
bei mir funktioniert es nur, wenn ich folgende regel hinzufüge:
eingehend udp 1024-65535
alle anderen vorschläge nicht. kann man die 1024-65535 noch einschränken? woher weiss mann welche ports alle gebraucht werden?
Da geht’s um die Ephemeral Ports, siehe https://en.wikipedia.org/wiki/Ephemeral_port
Zeig mal dein gesamtes Regelwerk, dann kann man dir besser helfen.
findet ihr im anhang, habe udp jetzt von 30000-end gesetzt, was auch funktioniert
Schaut für mich erst mal in Ordnung aus - hast Du absichtlich eine abweichende Portnummer für WireGuard verwendet (Default ist 51820)?
Und willst Du dich von extern per WireGuard verbinden oder von deinem vServer aus abgehend zu weiteren Systemen?
Edit: Die Regel für Port 51830 macht natürlich in Kombination mit der Regel für den Bereich 30000-65535 keinen Sinn, denn sie ist ja in dem Bereich enthalten.
abweichender ports ist richtig, weil ich noch wg-server habe auf die andere netze sich verbinden, die configs dafür habe ich nicht mitgesendet... die anderen tunnel funktionieren im übrigen auch, wenn ich nicht die portrange 30000-ende eintrage...
die anderen tunnel sind für andere netze, zb. mein netz zu hause der port 51830 soll als port für einen wg-server dienen auf den ich mit einem pc oder handy verbinden kann.
bei i-o-n-o-s, wo ich vorher war hat alles geklappt ohne die extra portrange einzutragen. und ja, beide regeln machen keinen sinn - ist dem geschuldet, weil ich gerade viel ausprobiere den wg-server auf 51830 zum laufen zu bekommen....
Und willst Du dich von extern per WireGuard verbinden oder von deinem vServer aus abgehend zu weiteren Systemen?
Die Frage hast Du leider nicht beantwortet und aus den übrigen Sätzen wird mir deine Netzwerkstruktur nicht so wirklich klar.
oh sorry, dann war es wohl nicht so klar, ich will mich von extern per wireguard verbinden.
zur struktur: auf dem netcup server laufen 3 wireguard server:
ports:
51830 - für externe verbindungen von einem beliebigen client/netz
51837 - für site-to-site verbindung netz1
51838 - für site-to-site verbindung netz2
die site-to-site verbindungen funktionieren auch ohne die extra portrange
jetzt klarer?
Danke, ja. Ich hätte allerdings erwartet, dass die zusätzlichen Ports für die site-to-site-Verbindungen benötigt werden und nicht für die Client-Einwahl - also gerade umgekehrt.
Du könntest die Regel fü den Bereich 30000-65535 noch einschränken, indem Du sie auf den erwarteten Quellport einschränkst.
Kann man denn die quellports in Wirecard konfigurieren? Ich verstehe nur den sinn einer firewall nicht wenn ich ports öffnen muss die eigentlich unnütz sind. Das Problem habe ich vorher noch nie gehabt nicht bei anderen Anbietern und selbst auf der Fritzbox zu Hause muss man nicht eine zusätzliche portrange öffnen Ist es in diesem Fall vielleich besser idie Firewall auszuschalten und dann die ufw vom linux system zu nutzen um das System abzusichern? Oder bietet netcup mit ihrer Firewall Vorteile?
Das Problem der netcup-Firewall ist, dass sie für UDP "stateless" ist, sich also nichts merkt. Eine "normale" Firewall merkt sich die konkrete ephemeral Portnummer, unter der eine Anfrage versendet wurde und öffnet diesen einen Port dann automatisch für die erwartete Antwort. Bei UDP weiß man allerdings nicht, wann und ob diese überhaupt kommt.
Ich würde daher auf jeden Fall empfehlen, die Firewall des Linux Systems zu nutzen. Die netcup-Firewall dient nur als zusätzliche Absicherung.
Ah okay, jetzt verstehe ich das ganze etwas besser. Ich habe eben auch gelesen dass netcup selbst empfiehlt eine eigene Firewall zusätzlich zu installieren. Dann werde ich das gleich mal machen.... herzlichen Dank für deine Zeit und alles Gute weiterhin
Kann man denn die quellports in Wirecard konfigurieren?
Im Interface Abschnitt der Wireguard Konfiguration ist das der ListenPort. Du brauchst dann zwei Regeln in der Netcup Firewall: UDP ausgehend mit diesem Source Port und UDP ankommend mit diesem Destination Port.
Wenn du ausgehende oder ankommende Regeln definierst, schaltet die Firewall für die entsprechende Richtung automatisch die default Policy auf Drop um. Du musst dann auch alles andere, was dein Server braucht, explizit durchlassen. Bei UDP kommt da zuerst DNS in den Sinn, und wenn du DHCP benutzt, muss auch das explizit konfiguriert werden, sobald die Firewall nicht mehr auf Durchzug steht. Wenn du NTP nicht durchlässt, funktioniert alles eine Weile, aber dann bekommst du merkwürdige Probleme, weil die Uhr irgendwann zu sehr falsch geht.
