Beiträge von NehCoy

  • Zugriff auf Heimnetzwerk mit wg-easy

    Hallo frank_m ,

    vielen Dank für deine konstruktive Kritik. Gehen wir sie mal im Detail durch:

    Zitat von frank_m

    Zum einen hast du die Grundlagen der Fritzbox Doku nicht beachtet. Die Box macht Proxyarp, die IP der Box sollte aus ihren Subnetz kommen und es sollte kein Transportnetz benutzt werden.

    Diese Bemerkung kann ich nicht nachvollziehen. - Die Fritz!Box hat doch in ihrer Config ihre eigene IP-Adresse 192.168.10.10 stehen 🧐

    Zitat von frank_m

    Im Server machst du NAT und gibst die Defaultroute für die Fritzbox an. Dein Server wird ab sofort seinen gesamten Internet-Datenverkehr über die Fritzbox abwickeln, nicht nur die des Smartphones, auch seinen eigenen! War das wirklich das Ziel deiner VPN Versuche, dass ein V-Server seinen gesamten Internetverkehr durch dein Heimnetz leitet? Seine Updates und alles Weitere?

    Nein das tut er nicht. Das Wireguard-Netzwerk wird nur im Docker-Container angelegt und nicht auf dem Host. Dem Host ist das Netzwerk und die Routen nicht bekannt. Ich kann weder von dem Host-System auf das Heimnetz zugreifen, noch wird der gesamte Traffic darüber geleitet.
    Ein traceroute geht auf eth0 des VPS raus.

    Zitat von frank_m

    Durch die NAT Regeln ist der Rückweg aus deinem Heimnetz auf dem Server und seine VPN Clients nicht möglich. Das mag bei einem einzelnen Smartphone als VPN Client in Ordnung sein, aber wenn weitere Clients hinzukommen, ist das kontraproduktiv. Vollwertiges Routing ist in dem Fall eher zu empfehlen, und NAT würde ich auf die Fälle einschränken, wo das Smartphone den Internetzugang über VPN bekommen soll.

    Damit könntest du durchaus recht haben. - Das primäre Szenario ist allerdings nur der Zugriff auf das Heimnetzwerk von meinem Smartphone aus.
    Alles weitere sind nur Hirngespinste, die vielleicht irgendwann mal kommen könnten. Du hast aber gesehen, wie lange ich gebraucht habe bis ich mich um den eigentlichen wichtigen Remotezugriff kümmern konnte. 🫣

    Viele Grüße

    NehCoy

  • Zugriff auf Heimnetzwerk mit wg-easy

    Hallo zusammen!

    Sorry, dass ich mich erst jetzt melde, aber leider kam ich früher nicht dazu mich dem Problem anzunehmen.
    Doch nun habe ich es endlich geschafft! - Im doppelten Sinne.
    Ich habe mir nicht nur endlich Zeit genommen mich darum zu kümmern, sondern ich habe den Remote Zugriff nun auch wirklich zum laufen bekommen.
    Daher danke euch noch mal für eure Hilfe!

    Das Gesamtergebnis möchte ich euch nun nicht vorenthalten!

    Erste wichtige Erkenntnis: Ich habe es nativ mit Wireguard und nicht mit wg-easy gemacht! Mit wg-easy habe ich es einfach nicht hinbekommen.

    Wireguard läuft bei mir in Docker. Das docker-compose.yml sieht wie folgt aus:


    Die wg0.conf im Verzeichnis ./conf/wg_confs sieht wie folgt aus:

    Wobei 192.168.10.10 die IP-Adresse meiner Fritz!Box ist.

    Die Peer-Config für die Fritz!Box sieht so aus:

    Die Peer-Config für mein Smartphone wie folgt

    Der verwendete Port ist der Standardport 51820.

    Hoffe das hilft dem einem oder anderen! 😉

    Viele Grüße
    NehCoy

  • Zugriff auf Heimnetzwerk mit wg-easy

    Zitat von frank_m

    Das Einzige, was eine wichtig werden könnte, sind die keep-alive Pakete, die nötig werden, damit ein Client hinter einem NAT Router erreichbar bleibt.

    Du brauchst gar kein Transfernetz bei einer LAN-2-LAN Verbindung. Das bräuchtest du erst, wenn Road Warrior Clients hinzukommen. Und dann auch nur für die, in den Fritzbox taucht es dann nur als allowed IP auf.

    Genauso. Wie gesagt: LAN-2-LAN Verbindungen brauchen kein Transfernetz.

    Wenn die Fritzbox das Laden einer korrekten VPN-Konfig verweigert, dann gibt es häufig einen Konflikt mit einer anderen existierenden VPN-Konfiguration. Ggf. hilft es, alle (!) existierenden VPN Konfigurationen für Wireguard und IPSec zu löschen. Reicht das nicht, muss man einen Reset auf Werkseinstellungen durchführen.


    Hallo frank_m ,

    danke für deine Antwort. Beachte meinen ersten Beitrag in diesem Thread. Mein Hauptziel ist es ja mit dem Smartphone von unterwegs unabhänig von IPv6 und IPv4 auf das Netzwerk zu Hause zugreifen zu können. Also genau das "Road Warrior Client" Szenario.
    Das mit der Kopplung einer zweiten Fritz!Box ist nachträglich hinzugekommen. - Damit könnte ich dann leicht auf das Netzwerk meiner Eltern zugreifen.

    Das mit einem Reset braucht Zeit. Ist ja nicht nur eine Fritz!Box, sondern alles was dazu gehört mit Mesh-Netzwerk, eingerichtete Filter und Telefonie.

    Zitat von philw95

    FRITZ!Box 5590 Fiber

    FRITZ!OS: 8.02


    Die selbe habe ich auch :/


    Ich wünsche euch allen frohe und besinnliche Weihnachtsfeiertage! 🎄🎁

  • Zugriff auf Heimnetzwerk mit wg-easy

    Zitat von philw95

    Deswegen hier mal meine Aktuelle Konfiguration:

    Spoiler anzeigen

    FritzBox <1>

    Code
    [Interface]
Address = 192.168.10.1/24

[Peer]
AllowedIPs = 10.100.0.0/24, 192.168.190.0/24

    FritzBox <2>

    Code
    [Interface]
Address = 192.168.190.1/24

[Peer]
AllowedIPs = 10.100.0.0/24, 192.168.10.0/24

    Hallo philw95 ,
    danke nochmal für das Teilen deines Posts. Ich gehe davon aus, dass deine FritzBox 1 die IP 192.168.10.1 und deine FritzBox 2 die IP 192.168.190.1 hat.
    Diese Konfiguration entspricht eigentlch auch genau meiner und die wird von meiner FritzBox nicht geladen, da sie einen IP-Adresskonflikt meldet:

    Zitat von NehCoy

    Edit: Die Fritz!Box verweigert das Laden des Konfigfiles wenn in der Interface Section irgendeine IP-Adresse aus ihrem Adressbereich angegeben ist.

    Welche FritzBox'en mit welcher FW-Version verwendest du?

  • Zugriff auf Heimnetzwerk mit wg-easy

    Zitat von philw95

    Deswegen hier mal meine Aktuelle Konfiguration:


    Cool! Vielen Dank! ich hoffe ich komme über die Feiertage dazu es mal auszuprobieren.

    Zitat von frank_m

    Die Konfig mit der IP der Fritzbox muss ja auch nicht in die Fritzbox, sondern in den anderen Router (also den VPS).

    Naja, es kommt darauf an wer den Verbindungsaufbau initialisieren soll.
    Ich möchte ja, dass sich die Fritz!Box mit dem Server verbindet und nicht umgekehrt.
    Daher muss die Konfiguration vom VPS in die Fritz!Box.

    Damit ist mir auch die öffentliche IP der Fritzbox egal.

  • Zugriff auf Heimnetzwerk mit wg-easy

    Zitat von SN7404

    Genau. Der Vorteil dabei ist, dass weder IP-Routing noch Forwarding oder sonstige Netzwerkkonfigurationen auf dem VPS benötigt werden und auch kein WireGuard erforderlich ist. Die beiden Socat-Prozesse leiten die Daten einfach transparent weiter.

    Hier mein Beispiel:

    ....

    Hi SN7404,
    vielen Dank für das ausführliche Beispiel!
    Anstatt socat direkt auf dem VPS auszuführen, habe ich die Lösung in zwei Docker-Container (einer für IPv4 und einen für IPv6) gepackt, die im host-Network-Mode betrieben sind. Irgendwie hat das starten beider Services in einem Container mit einem Skript nicht so richtig funktioniert. Auch Port-Forwarding hat nicht gereicht. Vermutlich, weil ansonsten beim Forwarden die IP-Adresse des Docker-Containers verwendet wird.

    Zitat von frank_m

    Um noch kurz auf die ursprüngliche Frage zu antworten, falls du doch Wireguard auf dem VPS betreiben willst (das könnte spätestens dann interessant werden, wenn es ein zweites Heimnetz gibt, dass integriert werden soll, oder wenn du mehrere Roadwarrior Clients einbinden willst):

    Du hast die Hinweise in der AVM Doku nicht beachtet. AVM nutzt kein Transfernetz und routet dann auf die Heimnetz Clients. D.h., die die Fritzbox hat keine 10.8.x.y Adresse, sondern die Wireguard-Konfiguration muss um die Heimnetz-Adresse der Fritzbox herumgestrickt werden. Siehe in dieser Anleitung den Hinweis mit dem blauen Dreieck in Kapitel 2:

    https://fritz.com/apps/service/v…uter-einrichten

    Generell ist das die Anleitung, der du beim Einrichten deines Setups folgen solltest. Dann klappt’s auch mit dem Zugriff aufs Heimnetz.


    Hallo frank_m ,
    danke für den Hinweis. Ich gebe zu, dass habe ich irgendwie überlesen. Natürlich habe ich das gleich ausprobier, aber ich kann die Client-IP-Adresse in wg-easy nicht für einen Client ändern, ansonsten meldet wg-easy eine fehlerhafte Konfiguration. Ich müsste dann die IP-Adresse des Wireguard Transfernetzes auf das IP-Band der Fritz!Box (192.168.0.xxx) ändern, oder? Dann frage ich mich, wie das funktionieren soll, wenn ich wirklich eine zweite Fritz!Box reinhängen möchte.

    Edit: Die Fritz!Box verweigert das Laden des Konfigfiles wenn in der Interface Section irgendeine IP-Adresse aus ihrem Adressbereich angegeben ist.

  • Zugriff auf Heimnetzwerk mit wg-easy

    Hi!

    Vielen Dank für eure Antworten!

    SnowBerryZ :
    Ich habe bereits einige Videos von Dennis mir auf Youtube angeschaut. Aber hier habe ich bis jetzt noch keinen Aha-Effekt gehabt. :/

    SN7404 :
    Das ist echt ein cooler Ansatz! Die Public-IPv6 Adresse holst du dir dann vom My!Fritz-Service?
    Edit: Ich habe versucht deine Idee mit Nginx Proxy Manager nachzubauen, indem ich einen Stream konfiguriert habe. Klappt leider nicht. :(

  • Zugriff auf Heimnetzwerk mit wg-easy

    Hallo!


    Da ich mit meiner Fritz!Box an einem CGNAT Anschluss meines Internetprodivers hänge, hatte ich schon des öfteren Probleme per Wireguard auf das Heimnetzwerk zuzugreifen.
    Deshalb wollte ich einen Hub+Spoke Server mit wg-easy einrichten und habe mir hier bei netcup einen kleinen VPS geholt.


    Aber irgendwie klappt das Routing der IP-Adressen aus dem Heimnetz nicht.
    Das System soll so aussehen:

    wg-fritzbox.netcup.png




    Fritz!Box -Konfiguration aus wg-easy:

    Zusätzlich sind in wg-easy die "Server Allowed IPs" 192.168.0.0/24 und 10.8.0.2/32 gesetzt.
    fritzbox_server_allowed_ips.png

    Smartphone -Konfiguration aus wg-easy:

    Ich habe testweise die Smartphone -Konfiguration bei einem anderen Rechner geladen.

    Ich kann die Fritz!Box als den WG-Peer 10.8.0.2 pingen und sehe in tracepath, das die Pakete korrekt über den wg-easy Server 10.8.0.1 geroutet werden.

    Bei einem Zugriff auf 192.168.0.xxx gehen die Pakete ebenfalls zum wg-easy Server, gehen dann aber in die große weite Welt hinaus und nicht zur Fritz!Box. :(

    Im Docker-Compose.yml von wg-easy auf dem VPS sind folgende Parameter (standardmäßig) gesetzt:

    Code
    cap_add:
- NET_ADMIN
- SYS_MODULE
# - NET_RAW # ⚠️ Uncomment if using Podman
sysctls:
- net.ipv4.ip_forward=1
- net.ipv4.conf.all.src_valid_mark=1
- net.ipv6.conf.all.disable_ipv6=0
- net.ipv6.conf.all.forwarding=1
- net.ipv6.conf.default.forwarding=1

    Was mache ich in der Konfiguration falsch?

    Vielen Dank für eure Hilfe!

    Viele Grüße

    NehCoy

  • de-Domain und DynDNS

    Virinum:
    Ah!- Okay! Das erklärt so einiges. Und dem ist es wohl auch so, denn jede beliebige Subdomain wird nämlich jetzt mit dem cname aufgelöst:
    pasted-from-clipboard.png

    Und ja: ich hatte da nur die Domain selbst geprüft.
    "CNAME flattening" ... das muss ich jetzt erstmal googeln ...

    bekenz:
    Deine Aussage ist ebenfalls korrekt und so verwende ich auch die MyFRITZ!-Adressen.
    in dem Screenshot von mir ist zu erkennen, dass die Subdomain fritzbox den cname <myfritzid>.myfritz.net hat, wohingegen die anderen Subdomains den cname vserver.<myfritzid>.myfritz.net verwenden ;)

  • de-Domain und DynDNS

    Guten Morgen!

    Zunächst habe ich die DNS Einträge über den Google-Service geprüft (siehe oben). Und bei einem nslookup konnte keine IP-Adresse aufgelöst werden.


    Gestern Abend habe ich noch u.a. ein cname-Eintrag für die Subdomain vserver vergenommen. - Und noch zwei mehr ;)
    Das sieht dann jetzt in den DNS-Einstellungen wie folgt aus:
    pasted-from-clipboard.png


    Heute morgen habe ich die DNS Eintragungen dann erneut geprüft. Sie da: Für die Subdomain vserver ist der cname eintrag vorhanden.

    pasted-from-clipboard.png



    und ich kann auch eine IP-Adresse auflösen.
    pasted-from-clipboard.png


    Die anderen Subdomains sieht es genau so erfolgreich aus.

    Soweit, so gut! - Aber nun kommen ZWEI ABER!

    1. Die Verwendung der Wildcard "*", um alles was an meine Domain angeht über den cname aufgelöst wird, scheint nicht zu funktionieren.
      Der nslookup findet nichts und die Prüfung des DNS Eintrag (über google) sie aus wie oben.
      pasted-from-clipboard.png

      Wünschenswert wäre aber, dass alles weitergeleitet wird...
    2. Ich kann die Webseite über den Reverse Proxy (noch) nicht aufrufen.

    Grüße
    Neh Coy

  • de-Domain und DynDNS

    Der Sync der DNS-Einstellungen ist wohl durch. Mit dem Ergebnis, dass keine IP(v6)-Adresse für meine aufgelöst Domain aufgelöst werden kann. =O
    Irgendetwas stimmt also mit den cname Einstellungen (noch) nicht...

  • de-Domain und DynDNS

    Hallo zusammen!

    Erst mal vielen Dank für die zahlreichen Antworten in so kurzer Zeit!

    Patrick0815 & Virinum:

    Zitat

    ... da fehlt noch ein Punkt am Ende

    Vertrauen ist gut, Kontrolle besser ;) - Ich habe den Punkt am Ende der URL ergänzt. Sicher ist sicher.

    Virinum:

    Zitat

    Wie sieht die Fehlermeldung denn genau aus? Hast du den DNS-Rebind-Schutz der Fritzbox berücksichtigt?

    Ich habe keine Fehlermeldung, sondern prüfe nur mit nslookup ob die gesetzen IPv6-Adressen beider Domains (Netcup-Domain und DynDNS-Dienstleister) identisch sind. Das mit dem Rebind-ist ebenfalls eine guter Hinweis, an den ich schon fast nicht mehr gedacht habe. Aktuell teste ich aber den Zugriff bewusst mit meinem Smartphone und mobilen Internetzugang, um solche Effekte zu vermeiden.

    MichaelOF:

    Zitat

    Du möchtest einen Reverse Proxy, der wie z.B. alle *.domain.tld von extern über Port 80/443 entgegen nimmt, diesen Traffic ggf. TLS terminiert und dann nach innen weiterreicht, korrekt?

    Ja, genau das habe ich vor! ;)

    Zitat

    Ich wüsste aber nicht, warum in deinem Szenario der Wildcard nicht passen sollte.

    Dank für den Hinweis. Dann lasse ich es erstmal bei * und kann später ja die Subdomains einzeln eintragen

    Zitat

    Über welche Challenge und welchen ACME Client möchtest du dir die Zertifikate denn holen?

    Ich verwende NPM (Nginx Proxy Manager) und wollte dir Let's Encrypt Zertifikate über die bereitgestellte Funktion abrufen (wenn möglich ohne DNS Challenge):pasted-from-clipboard.png

    Zitat

    Myfritz tut ja genau das für dich, mehr brauchst du IMHO erst einmal nicht, keinen externen DynDNS Dienst. Für deine eigene Domain via CNAME, siehe oben.

    Den (kostenpflichtigen) DynDNS dienst habe ich schon eine Weile, aber wenn das mit dem cname und MyFRITZ! funktioniert, werde ich das mir das sparen.
    ich wollte eben nicht so eine komplizierte URL von MyFRITZ! haben, die ich mir nicht merken kann ;)

    Zitat

    Schaut mal z.B. hier https://toolbox.googleapps.com/apps/dig/#CNAME/, speziell den RAW Mode

    Hmm ... Hier ist mein cname (noch) nicht gesetzt ... =O

    pasted-from-clipboard.png

    mart01:

    Klingt ja gut, nur habe ich von NetCup kein Webhosting, sondern nur die Domain gekauft. ;)

    Danke & Grüße

    Neh Coy

  • de-Domain und DynDNS

    Hallo zusammen!

    Ich bin gerade dabei im privaten Netzwerk bei mir zu Hause einen Reverse Proxy in Betrieb zu nehmen. Gerne würde ich im Heimnetz hierfür eine individuelle Domain verwenden, die ich bei Netcup geholt habe. Die Geräte sollen dann entsprechend über eine Subdomain adressierbar sein. Der ein oder andere Dienst (z.B. Fotogalarie) soll dann auch mal über das Internet erreichbar sein.
    Natürlich soll sämtliche Kommunikation auch über gültige Let's Encrypt Zertifikate erfolgen. Ferner ist es vielleicht wichtig zu wissen, dass mein Heimnetz nur über IPv6 erreichbar ist. Die IPv4-Adresse (A-Record) ist nicht über das Internet erreichbar und darf nicht gesetzt werden.

    Nun ist die Frage, wie ich die DNS-Einstellungen meiner Domain richtig konfiguriere!
    Wenn ich es richtig gelesen habe, funktioniert das Verwenden der DynDNS Funktion der Fritz!Box nicht. - Man kann mit Fritz!Box nicht die DNS-Adresse über das API setzen, wie zum Beispiel hier beschrieben: https://fritz.com/service/wissen…Box-einrichten/
    Die Verbindung mit einem speziellen (inoffiziellen) DynDNS Client und dem CCP DNS API stelle ich mir im Docker-Netzwerk im privaten Netzwerk etwas schwer vor, da die externe IPv6-Adresse (WAN und Präfix), die sich laufend ändert, im Container-Netzwerk nicht sichtbar ist.
    Dann habe ich in einem Post gelesen, dass man den DNS-Eintrag für cname auf den DynDNS Anbieter (bei mir dann z.B. MyFRITZ!) setzen soll.
    Das habe ich versucht und sieht bei mir so aus:
    pasted-from-clipboard.png

    Aber leider klappt der Zugriff damit nicht. Ist das überhaupt so richtig?

    Was mache ich falsch bzw. was ist für mein Szenario die beste Option und was muss ich dann wo wie konfigurieren?

    Danke für eure Hilfe und viele Grüße

    Neh Coy

    P.S.
    Links, die ich in der Wiki gefunden habe, aber mir nicht weitergeholfen haben:

  • Kosten API Key

    Hallo MichaelOF ,
    danke für deine Antwort!

    Aber besser ist vielleicht, wenn man da noch mal nachfragt ;)

    Hallo netcup -Team!
    Könnt ihr bitte die Frage beantworten und ggf. die Formulierung des Disclaimers etwas korrigieren, dass sie nicht missverständlich formuliert ist!?
    Dankeschön! ;)

  • Kosten API Key

    Hallo!

    Ich möchte gerade das selbe tun und bin dadurch auf diesen Post gestoßen.
    Wie in dieser Anleitung, die auch Benutzer tab in seinem Post genannt hat,beschrieben, benötigt man einen API-Key und muss hierzu die "Nutzungsbedingungen des API zur Domainregistrierung und Verwaltung von Handles für die Domainregistrierung" akzeptieren. Das ist doch die Domain-Reselling API, oder?
    pasted-from-clipboard.png

    Und welche Kosten hierfür entstehen steht auch in dem Artikel nicht dabei. :(
    Fallen jetzt Kosten an oder nicht? Und wenn ja: Warum überhaupt und wie hoch sind diese?

    Oder ist der Text nur etwas ungünstig formuliert und es geht um die Kosten, die bei der Anwendung der Keys zum Beispiel beim Kaufen/Regsitrieren von Domains entstehen?

    Danke & Grüße

    NehCoy