[Frage] SNAT/Masquerading auf der Fritzbox

[BlueEclipse]

Guten Tag,

ich habe bei mir gerade folgende Situation:

Ich halte zu meiner FB 7580 eine dauerhafte Wireguard-Verbindung offen.

Die Clients der Wireguard-Verbindung haben IP-Adressen, die in einem anderen Netzwerkbereich sind als mein Heimnetz. Ich kann die Wireguard-Clients aber nicht in den IP-Adressbereich des Heimnetzes legen, weil sonst das Routing nicht klappt und ich zwar aus dem Heimnetzwerk meine Wireguard-Clients erreichen kann, aber nicht anders herum.

Ich habe aber ein Gerät im Heimnetzwerk, auf das ich von fernem zugreifen möchte, das aber nur Anfragen aus seinem eigenen IP-Subnetz akzeptiert, in dem meine WG-Clients nun mal nicht sind.

Ich müsste also theoretisch SNAT/Masquerading auf der Fritzbox nutzen, um alle Pakete, die von meinen Wireguard-Clients kommen, so umzuschreiben, dass sie eine IP-Adresse aus meinem Heimnetzwerk bekommen.

Freetz NG habe ich bereits auf der Box, aber es scheint nicht wirklich etwas zu geben, mit dem ich das umsetzen könnte. iptables/nftables gibt es weder als Paket, noch als Kernel-Modul, noch als BusyBox-Applet. Eventuell könnte man sich das Ganze irgendwie über tc zurechtbiegen, aber ich glaube, das wird zu kompliziert.

Hat AVM da eventuell eine eigene Lösung, sodass ich theoretisch gar keine zusätzlichen Binaries brauche?

Vielen Dank im Voraus für eure Hilfe!

 

[chrsto]

Das letzte Mal, als ich eine WireGuard Verbindung in der Fritz!Box eingerichtet habe, hatte der "Client" eine IP Adresse aus dem Adressbereich der Fritz!Box, was genau deinen Anforderungen entsprechen würde. Wieso da was mit dem Routing nicht klappt, könntest du vielleicht näher erläutern.

 

[BlueEclipse]

[Edit Novize: Überflüssiges Fullquote des Beitrags direkt darüber gelöscht - siehe Forumsregeln]

Ich nehme an, du beziehst dich auf die WireGuard-Implementierung von AVM? Ich nutze das WireGuard-Paket von Freetz-NG.

Ich würde vermutlich sogar die AVM-Implementierung verwenden, wenn die Fritz!Box 7580 jemals Fritz!OS 7.50 erhalten hätte ...

Zum Fehler beim Routing: Manche Geräte sind erreichbar (anpingbar), andere nicht.
Ich habe einige Geräte getestet:

6 Geräte waren nicht anpingbar,
2 Geräte waren anpingbar (zusammen mit dem Router wären es dann drei).

Ich werde ich mir heute Abend
einmal den Schnittstellenmitschnitt aus dem lokalen LAN ansehen, um zu prüfen, ob die Pakete überhaupt bei den Geräten ankommen.

-- Zusammenführung Doppelpost by stoney

Interessanterweise waren alle 8 Geräte (mit dem Router 9) im Heimnetz zum selben Zeitpunkt anpingbar und wenn ich die WireGuard-Clients wieder außerhalb meines Heimnetz-Subnets lege ,funktioniert es bei allen Geräten auch per Wireguard.