Brauche Hilfe für die Einrichtung Android Wireguard

[laurent]

Habe auf Native IPv4 Anbindung umgestellt.
Pingen mit Ping und Ping6 funktioniert jetzt aber nur mit ausgeschaltetem Wireguard.
Mit eineschaltetem wills nicht.

Liegt wohl an der Wireguard config?

DSL   
 
verbunden, ↓ 116,8 Mbit/s ↑ 46,7 Mbit/s
Internet, IPv4
    
 
    
verbunden seit 30.03.2022, 12:07 Uhr, Telekom, Geschwindigkeit des Internetzugangs (verfügbare Bitrate): ↓ 114,1 Mbit/s ↑ 45,6 Mbit/s,
IPv4-Adresse: 46.95.55.37
Internet, IPv6
    
 
    
verbunden seit 30.03.2022, 12:07 Uhr, Telekom, Geschwindigkeit des Internetzugangs (verfügbare Bitrate): ↓ 114,1 Mbit/s ↑ 45,6 Mbit/s,
IPv6-Adresse: 2003:de:d7ff:19fd:9a9b:cbff:fe33:940d, Gültigkeit: 14163/1563s,
IPv6-Präfix: 2003:de:d719:d000::/56, Gültigkeit: 14158/1558s
Genutzte DNS-Server     
 
8.8.8.8
8.8.4.4
2003:180:2:a000::53 (aktuell genutzt für Standardanfragen)
2003:180:2:b000::53

PING ipv6.google.com(muc11s10-in-x0e.1e100.net (2a00:1450:4016:808::200e)) 56 Datenbytes
64 Bytes von muc11s10-in-x0e.1e100.net (2a00:1450:4016:808::200e): icmp_seq=1 ttl=119 Zeit=10.1 ms
64 Bytes von muc11s10-in-x0e.1e100.net (2a00:1450:4016:808::200e): icmp_seq=2 ttl=119 Zeit=8.81 ms
64 Bytes von muc11s10-in-x0e.1e100.net (2a00:1450:4016:808::200e): icmp_seq=3 ttl=119 Zeit=8.79 ms
64 Bytes von muc11s10-in-x0e.1e100.net (2a00:1450:4016:808::200e): icmp_seq=4 ttl=119 Zeit=9.28 ms
64 Bytes von muc11s10-in-x0e.1e100.net (2a00:1450:4016:808::200e): icmp_seq=5 ttl=119 Zeit=9.12 ms
64 Bytes von muc11s10-in-x0e.1e100.net (2a00:1450:4016:808::200e): icmp_seq=6 ttl=119 Zeit=8.86 ms

VPN.conf
[Interface]
Address = 192.168.206.1/24
SaveConfig = true
PostUp = iptables -A FORWARD -i VPN -j ACCEPT; iptables -t nat -A POSTROUTING -o eno1 -j MASQUERADE; ip6tables -A FORWARD -i VPN -j ACCEPT; ip6tables -t nat -A POSTROUTING -o eno1 -j MASQUERADE; iptables -A FORWARD -o %i -j ACCEPT
PostDown = iptables -D FORWARD -i VPN -j ACCEPT; iptables -t nat -D POSTROUTING -o eno1 -j MASQUERADE; ip6tables -D FORWARD -i VPN -j ACCEPT; ip6tables -t nat -D POSTROUTING -o eno1 -j MASQUERADE; iptables -D FORWARD -o %i -j ACCEPT
ListenPort = 51820
PrivateKey =xxxxxxx6nXoTUserIGe+XEzNLlU=

[Peer]
PublicKey = xxxxxxxxTmdvs2HJuikPQOuH0K4UOLoVWkM=
PresharedKey = xxxxxxxP4eBC/bE0FU1SygSnnpe+srELgU=
AllowedIPs = 192.168.206.2/32, ::/0
Endpoint = 46.114.151.89:23348

[Peer]
PublicKey = xxxxxxxxxxxxdPpzPUrtlNamU0iUIi1Fg=
PresharedKey = xxxxxxxxxxxxxxxbE0FU1SygSnnpe+srELgU=
AllowedIPs = 192.168.206.3/32, ::/0
Endpoint = 84.132.161.66:53072

 

[erik]

Jetzt blicke ich es nicht mehr. Bisher war Dein Problem der Bekannte, aus dessen Wlan Du Deinen Server nicht erreichen konntest. Selber hast Du Dual-Stack, also kein Problem und keinen Bedarf an IPv6. Aus dem Netz des Bekannten muß Dein Server auch über IPv4 erreichbar sein, auch trotz dessen DS-lite. Es sei denn, irgend eine IP (sein Netz, Dein Netz oder das Wireguard-Netz) überschneiden sich. Oder die MTU ist zu groß.
Aus Deiner Konfig sieht man, dass für den Wireguard-Tunnel ausschließlich IPv4 eingesetzt wird, wozu wir also bisher an der IPv6-Unterstützung gebastelt haben, ist mir nun nicht mehr klar.

 

[laurent]

Aus Deiner Konfig sieht man, dass für den Wireguard-Tunnel ausschließlich IPv4 eingesetzt wird, wozu wir also bisher an der IPv6-Unterstützung gebastelt haben, ist mir nun nicht mehr klar.

Ich habe die IPv6-Unterstützung hinzugefügt (Hatte ich übersehen) .Aber sie funktioniert nicht .Ich weiss nicht ob die Adresse richtig ist.
Bekomme kein Ping mit IPv6 wenn WG eingeschaltet.

Un dann der Eintrag "FwMark = 0xca6c" ich weiss nicht wo der herkommt. Der wird automatisch gesetzt.

root@hp-server:/etc/wireguard# cat VPN.conf
[Interface]
Address = 192.168.206.1/24
Address = fda5:d577:7f7a:2c3a::/64
SaveConfig = true
PostUp = iptables -A FORWARD -i VPN -j ACCEPT; iptables -t nat -A POSTROUTING -o eno1 -j MASQUERADE; ip6tables -A FORWARD -i VPN -j ACCEPT; ip6tables -t nat -A POSTROUTING -o eno1 -j MASQUERADE; iptables -A FORWARD -o %i -j ACCEPT
PostDown = iptables -D FORWARD -i VPN -j ACCEPT; iptables -t nat -D POSTROUTING -o eno1 -j MASQUERADE; ip6tables -D FORWARD -i VPN -j ACCEPT; ip6tables -t nat - D POSTROUTING -o eno1 -j MASQUERADE; iptables -D FORWARD -o %i -j ACCEPT
ListenPort = 51820
FwMark = 0xca6c
PrivateKey = xxx

 

[frank_m24]

Ich habe die IPv6-Unterstützung hinzugefügt (Hatte ich übersehen) .

Was hast du denn da hinzugefügt? Weil ich sehe nicht viel von IPv6 in der Konfig. Vor allem keine Transportnetz Adressen.

Un dann der Eintrag "FwMark = 0xca6c" ich weiss nicht wo der herkommt. Der wird automatisch gesetzt.

Den nehme besser mal raus. Übrigens: Bei mir hat noch nie eine Wireguard Instanz automatisch ein FwMark in die Config eingefügt. Wenn du die Markierung nicht in weiteren Firewallregeln nutzt, dann brauchst du sie nicht.

Und noch mal der Hinweis von weiter oben: Auf dem Server hat die Defaultroute bei AllowedIPs nichts verloren! Weder für IPv4 noch für IPv6. Es ist klar, dass bei der Konfig keine IPv6 Daten mehr fließen, sobald eine VPN Verbindung besteht.

 

[laurent]

Vor allem keine Transportnetz Adressen.

Wie schaut so ein Eintrag aus?

Auf dem Server hat die Defaultroute bei AllowedIPs nichts verloren!

Habe ich gemacht Ipv6 Ping funktioniert jetzt.

Bei mir hat noch nie eine Wireguard Instanz automatisch ein FwMark in die Config eingefügt

Ich habe den gefühlt 1000 Mal aus der config genommen.Nach einiger Zeit ist der wieder vorhanden.
Meine Firewall ist ausgeschaltet.

 

[frank_m24]

Wie schaut so ein Eintrag aus?

Im "Address" Eintrag müssen sowohl auf Server- als auch auf Client Seite IPv6 Einträge aus dem passenden Subnetz sein - neben den IPv4 Einträgen. Wichtig ist eben, dass Prefix und Prefixlänge passen und dass es keinen Adress-Konflikt gibt. Da du IPv6 NAT Regeln in deiner Konfig hast, gehe ich davon aus, dass du mit ULA Adressen arbeiten willst, also fd00::/8.

Ich habe den gefühlt 1000 Mal aus der config genommen.Nach einiger Zeit ist der wieder vorhanden.

Komisch. Was ist denn das für ein Server bzw. für ein Wireguard Derivat?

Meine Firewall ist ausgeschaltet.

Was auf einem VPN Server erst mal schlecht ist. Ich hoffe, er hängt gut geschützt hinter einer anderen Firewall.