[Problem] VPN mit Wireguard und FRITZ!App Fon: Kein Ton, keine Reaktion auf eingehende Anrufe

[Glowazowski]

Guten Tag zusammen,

ich habe ein Problem, von dem ich schon gelesen habe, dass ich es nicht alleine habe. Die diversen Threads dazu haben mir aber leider nicht weitergeholfen - ich fürchte das liegt daran, dass ich irgendwo eine Kleinigkeit nicht richtig verstanden habe. Deshalb erhoffe ich mir hier nun Hilfe.

Mein Problem: Wenn ich mein iPhone per Wireguard-VPN von unterwegs mit meinem Netzwerk zu Hause verbinde, kann ich mit der FRITZ!App Fon zwar Anrufe starten, allerdings kann ich weder meine Gespraächspartner*inen hören, noch diese mich. Außerdem reagiert die App nicht auf eingehende Anrufe.

Mein Setup ist folgendes:
- eine FRITZ!Box 7590 (192.168.24.1)
- ein PC (192.168.24.117)
. - darauf eine Wireguard-Installation in einem Docker-Container nach dieser Anleitung (Subnetz 10.13.13.0)
- ein Pi-hole-DNS-Server (192.168.24.6), dessen IP so auch in der Wireguard-Installation bekannt ist (siehe Anleitung im Punkt über diesem)

Soweit ich das hier im Forum gelesen habe, brauche ich wohl eine statische Route in der FRITZ!Box. Ist das richtig? Wenn ja, was genau muss ich eintragen? Ich hatte es so verstanden, dass folgende Einträge richtig sind:
IPv4-Netwerk: 10.13.13.0
Subnetzmaske: 255.255.255.0
Gateway: 192.168.24.117
IPV4-Route aktiv: Haken gesetzt
So funktioniert es allerdings nicht.

Daher zum Schluss die eigentliche Frage: Was mache ich falsch?

 

[HabNeFritzbox]

Sieht soweit ok aus mit der Route.

Wenn im Mobilfunk bist und dort eine 10ner IP erhältst, klappt ganze ggf. nicht korrekt mit Routing auf dem Smartphone.

Andere Punkt wäre Docker, kann sein dass der keine Daten durchreicht da alle eingehenden Port dicht sind?

 

[Glowazowski]

Ich fürchte, dass tatsächlich irgendwo bei Docker der Fehler liegt. Ich habe eben mal testweise die ein VPN in meiner Synology Diskstation eingerichtet. Subnetz 10.2.0.0 . Und dazu entsprechend die Statische Route in der FRITZ!Box - siehe da: Es funktioniert. Und dann testweise das gleiche VPN mit der Diskstation ohne Statische Route: geht nicht. Also alles erwartbar so.

Habe ich die Möglichkeit irgendwie zu testen, ob mit der Statischen Route für das Wireguard-VPN alles in Ordnung ist, um herauszufinden, ob es an der Route, am Handy oder der FRITZ!App Fon liegt?

 

[HabNeFritzbox]

Ich benutze VPN eher auf dem Synology NAS, da klappt es.

Denke liegt dann am Container, sonst statt ne Bridge direkt Host zuweisen, dann sollte Wiregurad direkt über die PC IP erreichbar sein und auch alles an Traffic bekommen. Auf der DS läuft auch Docker.

TCP findet Weg zurück, UDP was bei Telefonie verwendet wird eben nicht, da muss ganze sauber mit Routen laufen.

 

[Glowazowski]

Ich habe nur eine kleine DS216j - damit geht kein Docker. Sonst würde ich das auch lieber darauf machen. Andererseits läuft der Docker-PC sowieso (für einige andere Services). Deshalb ist der für das VPN schon der richtige Ort ;-)

Ich habe es jetzt testweise auch mal mit Host- statt Bridgenetzwerk für den Container versucht (die anderen Container habe ich vorher gestoppt). Leider hat das auch keinen Erfolg gebracht. Schlimmer sogar: damit hat das VPN gar nicht funktioniert.

Hier einmal die docker-compose.yml, mit der ich den Wireguard-Container starte:

version: "2.1"
services:
  wireguard:
    image: linuxserver/wireguard
    container_name: wireguard
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Europe/Berlin
      - SERVERURL=meinddns.meinedomain.de
      - SERVERPORT=51820
      - PEERS=3
      - PEERDNS=192.168.24.6
      - INTERNAL_SUBNET=10.13.13.0
    volumes:
      - /home/pascal/wireguard/config:/config
      - /lib/modules:/lib/modules
    ports:
      - 51820:51820/udp
#    network_mode: "host"
    sysctls:
      - net.ipv4.conf.all.src_valid_mark=1
    restart: unless-stopped

Muss der Contatiner evtl. auch die Route kennen?

 

[HabNeFritzbox]

Kann dir da nicht wirklich helfen bei Docker oder Wireguard. Ich nutze lieber openVPN und so was der NAS liefert.

 

[Glowazowski]

OK. Aber trotzdem schon einmal vielen Dank bis hierhin. Vielleicht findet sich ja noch jemand, der auch da noch weiter weiß

 

[HabNeFritzbox]

Problem ist eher, kannst bei Bridge ja nur bestimme Ports angeben welche in Container geroutet werden.

Da auch noch andere Container und auf dem PC auch ggf. andere Dienste laufen hast, soll wohl eben nicht alles nur in den Wireguard Container.

Und wenn es auf Host läuft, hätte der Container eben auch die Host IP und keine 10ner Bridge IP, heißt da könnte Wireguard Dienst auf falscher IP warten dass es zu keiner Verbindung kommt.

 

[Modem Man]

Ich habe es jetzt testweise auch mal mit Host- statt Bridgenetzwerk für den Container versucht (die anderen Container habe ich vorher gestoppt). Leider hat das auch keinen Erfolg gebracht. Schlimmer sogar: damit hat das VPN gar nicht funktioniert.
Muss der Contatiner evtl. auch die Route kennen?

Ich denke, Bridge ist an sich schon richtig. Jedenfalls würde ich das bei Virtuellen Maschinen so machen. Mit Docker habe ich nur ganz ganz wenig Erfahrung, denke aber, dass das auf der Netzwerk-Ebene sehr ähnlich laufen muss.

Was mich eigentlich hertreibt ... ich habe exakt das selbe Problem, das Du beschreibst:

1. Fritz!Fon App bimmelt nicht bei eingehenden Rufen,
2. zeigt aber nach ein paar Sekunden an, dass ich den Anruf verpasst habe
3. Rückruf/ausgehende Rufe kann ich starten, aber
4. kein Ton

Bei mir unter einer Deinem Setup sehr, sehr ähnlicher Konfiguration:

• Smartphone mit Android >= 8 und "Fritz!Phone App" und "MyFritz! App"
• ist in irgendeinem Netz, das _nicht_ 192.168.168.x und _nicht_ 192.168.167.x lautet (WAN 89.204.x.y, Hotel-WiFi 10.x.x.x)
• Fritte ist per IPv4 und IPv6 von außen erreichbar, bei dynv6 registriert
• Fritte hat am LAN 192.168.168.1 (nicht das Gastnetz)
• Raspi3 ist 192.168.168.2 im selben LAN
• Raspi3 mit Pi-Hole und mit WireGuard nach c't Anleitung
• DNS-Server für Fritte ist 192.168.168.2
• Smartphone hat IPv4 Tunnel aufgebaut -> 192.168.167.201
• Smartphone: Surfen, Chatten, WhatsApp-Telefonie, Mailen läuft alles, Pi-Hole greift die Werbung weg
• Smartphone: Administration der Fritte über "MyFritz! App" geht komplett
• ... nur FritzPhone App spielt, trotz beider grüner Balken oben rechts, lediglich den "Anruf-verpasst-Pager"

eine Route habe ich nirgendwo eingerichtet. Das ist nämlich meine Achilles-Ferse beim Netzwerken :-( ich vergesse es immer wieder, wie, wo, was.
Frage an Dich: hast Du eine Route in Deiner Fritte für die WireGuard-Teilnehmer eingetragen? kannste die bitte mal posten?

a pro pos "bridged", hilft Dir vllt dieser Artikel weiter? Docker Network Magic – der elegante Umgang mit Netzwerken
Den hatte ich mir mal in die Favoriten gezogen, als ich vor 2 Jahren mit Docker gespielt habe.

Cheers,
MM