Fritz!Box VPN Site to Site Wireguard subnet

[sangandi1]

Hallo,

Ich habe folgendes Problem. Ich möchte 2 Fritz!Boxen mit Wireguard per VPN Site to Site Verbinden. und anschliesen auf das subnet mit zugreifen. Nur gelingt mit das leider nicht.

Was geht ist beide Fritz!Boxen miteinander über Wireguard zu verbinden. Ich kann von beiden seiten auf das jeweilige netz zugreifen. aber nicht auft das dahinterliegende subnetzwerk.

Fritz!Box A: 192.168.140.0/24
Fritz!Box B: 192.168.160.0/24 subnetz: 192.168.110.0/24, 192.168.120.0/24, 192.168.130.0/24

Die subnetze haben untereinander eine verbindung. Sprich ich kann von 192.168.110 in das netz von 192.168.130 usw.
Von dem netz 192.168.140 komm ivh nur über VPN in das 192.168.160 netz, aber nicht weiter.

Ich hab jetzt schon viel gelesen, komm aber nicht weiter. Ich hab was von Nat und statischen routen gelesen. Ich kenn mach da aber nicht so gut aus.

In der Wireguard config sind die subnetze eingetragen:

[Interface]
PrivateKey = 1234567890123456789012345678901234567890
ListenPort = 55988
Address = 192.168.140.1/24
DNS = 192.168.140.1
DNS = fritz.box

[Peer]
PublicKey = 1234567890123456789012345678901234567890
PresharedKey = 1234567890123456789012345678901234567890
AllowedIPs = 192.168.160.0/24,192.168.110.0/24,192.168.120.0/24,192.168.130.0/24
Endpoint = domain.example.com
PersistentKeepalive = 25


Und ja ich weis das ist consumer hardware. Also bitte nicht schimpfen.

Mit freundlichen grüßen
Andreas

 

[Theo Tintensich]

Dein 'nahes' Netz weiß, wie es das entfernte Subnetz erreichen kann?
beim Aufbau der WireGuard-Verbindung wird dem lokalen Netz mitgeteilt, dass das entfernte Netz (und nur dieses) über den WG-Router zu erreichen ist.
Nun musst du den Systemen in deinem lokalen Netz noch mitteilen, dass das Subnetz über das entfernte Netz zu erreichen ist.
Denn da alles 192.168er Netze sind, gibt es keine (default) Routen in irgend eines dieser Netze.

Du hast dem WG zwar mitgeteilt, für welche Netze der verkehr erlaubt ist, doch da deine lokalen Systeme gar nicht wissen, dass sie durch den Tunnel sollen, .....

 

[sangandi1]

Wie kann ich das anstellen das mein lokales netz von meinem "5G" subnet weis? Brauch ich dafür ein VPN Gateway?

Ich hatte schonmal für testzwecke den gleichen aufbau, Allerdings mit OpenVPN und da hat alles geklappt. Allerdings war mir OpenVPN zu langsam.
Eigentlich würde mir reichen dass ich über mein "5G" subnet in die anderen subnetze komme. Die lokalen Subnetze müssen nicht zwingend in das "5G" subnet.

Gruß
Andreas

 

[Theo Tintensich]

Wenn die WG-Verbindung immer besteht, könntest du zwei Methoden nutzen, einmal die saubere und einmal die schmutzig.

Die Saubere wäre es, in der Fritz!BoxA die Subnetze der B, in der Routing-Tabelle einzutragen und hier dann die WG-Adresse in dem Netz der F!B-A, wohl dieser F!B, als Router zu nennen.

Die Schmutzige wäre es, einen sehr viel größeren Netzbereich als Routing-Ziel zu nutzen. Doch da du die weiteren Netze sehr weit auseinander gelegt hast, wäre das wirklich sehr schmutzig. ;-)

 

[sangandi1]

In beiden Fritz!Boxen sind eigentlich die subnetze der gegeseite eingetragen.

Könnte man diese schmutzige variante mit einem engeren Adressbereich realiesieren?
sprich mit 192.168.120.0/24, 192.168.121.0/24, 192.168.122.0/24, 192.168.123.0/24

 

[Theo Tintensich]

Alle Subnetze in der A?

sprich mit 192.168.120.0/24, 192.168.121.0/24, 192.168.122.0/24, 192.168.123.0/24

so sehen deine Subnetze ja nicht aus
Du müsstest die bei Allowed

AllowedIPs = 192.168.160.0/24,192.168.110.0/24,192.168.120.0/24,192.168.130.0/24

eingetragenen Netze beim Routing haben.
Da diese Netze so weit auseinander liegen, und dann auch noch das Netz der F!B mitten drin liegt (.140.0/24), das Netz der F!B-A aber, als 192.168.178.0/24, auch mit in 192.168.0.0, müsste/könnte man das schmutzige mit
192.168.0.0/17 und 192.168.160.0/24 hinzufügen.

 

[sangandi1]

so sehen deine Subnetze ja nicht aus
Du müsstest die bei Allowed

Ja noch nicht, aber ich könnte die ja ändern. Das einzige netz was ich nicht ändern kann/möchte ist das 192.168.120.0/24
das 192.168.178.0/24 ist nur von der Firewall aus erreichbar. Also müsste das nicht mit rein.