VPN (Wireguard) Zugriff auf die kaskadierte Fritzbox (das Subnetz hinter der FB die am Internet hängt.

[frank_m24]

die config Datei die ensteht ist m.E nicht nutzbar, da die ja davon ausgeht dass die 7520 im Internet hängt. Tut sie aber nicht.

Doch, tut sie. Durch die Portweiterleitung hast du dafür gesorgt, dass der Wireguard Port der 7520 im Internet hängt, auf der IP der 7590.

Wie also muss man die config Datei ändern? Da muss ja irgendwie der dyndns Dienst vorkommen. Ich verstehe allerdings die Einstellungen abseits der keys nicht.

Grundsätzlich empfehle ich, dich mit den Grundlagen von Wireguard vertraut zu machen. Die Fritzbox bietet da zwar einige Besonderheiten, aber dennoch kann man viel davon lernen. Du wirst das nicht nur für die dyndns Adresse brauchen, sondern vor allem auch für Address- und Allowed IPs Einstellungen. Die an deine Bedürfnisse anzupassen, ist noch viel wichtiger, sonst tut das VPN am Ende nicht das, was du willst.

Auf der 7520 nützt mir dyndns nicht, weil wie bereits mehrfach erwähnt keine öffentlich ipv4 vorhanden ist.

Das ist bei myfritz ja egal. Da kannst du die öffentliche IPv4 der 7590 mit der IPv6 der 7520 kombinieren. Du könntest myfritz so einrichten, wie du es brauchst, wenn es noch nötig ist.

Aber mein Netzwerk ist ein 192.168.3.x/24 Netzwerk???

Ja, das schon, aber das heißt noch lange nicht, dass es überall so in der VPN Config stehen darf. Da muss man sehr genau aufpassen, in welche Zeile man was einträgt, und da muss auch ein einer Stelle /32 stehen. Wie gesagt, schau dir die Wireguard Grundlagen an.

 

[starbright]

Das ist bei myfritz ja egal. Da kannst du die öffentliche IPv4 der 7590 mit der IPv6 der 7520 kombinieren. Du könntest myfritz so einrichten, wie du es brauchst, wenn es noch nötig ist.

Das myfritz ist mir unklar. Wenn ich mich über das webif einlogge zeigt es mir die Adresse die dann so aussieht, aber nur manchmal wird ein ping auf diese Adresse aufgelöst. Das verstehe ich nicht...
Auf jeden Fall wird dass wenn, dann auf eine IPv6 aufgelöst - logischerweise.

MyFRITZ!-Adresse:

xxxxxxxx.myfritz.net

 

[frank_m24]

Wenn ich mich über das webif einlogge zeigt es mir die Adresse die dann so aussieht, aber nur manchmal wird ein ping auf diese Adresse aufgelöst.

Wenn du nur eine IPv6 Adresse hinterlegt hast, wird die auch nur aufgelöst, wenn deine Endgeräte IPv6-tauglich sind.

Grundsätzlich sollte myfritz auf der Box eingerichtet werden, die am Internet hängt, in deinem Fall also auf der 7590. Die eigentliche myfritz Domain abcdef.myfritz.de gehört dann der 7590 und enthält deren IPv4 und IPv6 Adresse. Dann kannst du aber eine sogenannte myfritz-Freigabe in der Fritzbox einrichten, z.B. auf den Wireguard Port deiner 7520. Das Ergebnis heißt dann z.B. "7520.abcdef.myfritz.de", enthält die IPv4 der 7590 und die IPv6 der 7520 - und gleich dazu die passende Portweiterleitung in der 7590. Damit ist deine 7520 dann unter allen Umständen von draußen zu erreichen - per IPv4, per IPv6, und Adress- bzw. Prefixänderungen seitens des Providers bekommt man auch mit. Das ist die perfekte Lösung, wenn man kaskadierte Geräte von außen erreichbar machen will.

 

[starbright]

Hallo Frank, ok eine xxx.myfritz.net für die 7590 ist angelegt. Mit ping bekomme ich die ipv6, mit ping -4 die ipv6+ipv4 Adresse angezeigt.

"Dann kannst du aber eine sogenannte myfritz-Freigabe in der Fritzbox einrichten, z.B. auf den Wireguard Port deiner 7520"

Ich hab das mit der "myfritz-Freigabe" erst nicht richtig verstanden. Aber ich hab dann also sowas konfiguriert:

Überraschend kommt dann "TCP" auf.



-- Zusammenführung Doppelpost gemäß Boardregeln by stoney

Tatsächlich gibt es dann bei mir nicht nur
xyz.myfritz.net sondern auch noch
UDPfritzbox-7520.xyz.myfritz.net

Aber die angepingt liefert nix zurück
"Der Name oder der Dienst ist nicht bekannt"

 

[Grisu_]

UDP sollte denk ich schon dort stehen, damit es funktionieren kann.

 

[frank_m24]

Möglicherweise kollidierte das mit einer bereits vorhandenen Freigabe. Es geht nur Entweder-Oder: Portweiterleitung oder myfritz-Freigabe.

 

[starbright]

Ich denke dass das TCP steht liegt daran, dass es ein "myfritz" Freigabe ist - die die Ports und das Protokoll (UDP) includiert.

Ja, es gibt noch weitere Portfreigaben für die alte VPN-Weiterleitung. Mh mal sehen ob ich das noch rausnehme. Kann man leider die nicht einfach disablen, nur löschen.

Edit
Also nachdem ich alle anderen Freigaben/Portfreigaben entfernt habe, habe ich eine neue myfritz-Freigabe (wie im Screenshot oben) gemacht. Funktioniert hat es leider nicht. Entweder weil es anders gedacht ist oder evtl ist es auch ein Bug. Meist sitzt aber das Problem vor dem Rechner.
Ich habe nun wieder eine Portfreigabe eingerichtet, damit geht es.

Edit2:
Zusammenfassung:
Um zu einer kaskadierte Fritzbox einen VPN-Tunnel aufzubauen benötigt es ein paar Schritte.
Im Wesentlichen ist es beschrieben in

VPN-Verbindungen in FRITZ!Box als kaskadierter Router einrichten | FRITZ!Box 7590

Sie können VPN-Verbindungen zur FRITZ!Box auch dann einrichten, wenn Sie die FRITZ!Box als kaskadierten Router hinter einem anderen Router betreiben. Da die Internetverbindung von dem anderen Router hergestellt und verwaltet wird, ist dazu bei einzelnen Punkten ein von unseren VPN-Anleitungen...

at.avm.de

Ich hatte Probleme zu verstehen was auf welcher Box gemacht werden muss. Ich rede hier von BoxA die am Internet hängt und BoxB, die kaskadiert mit getrennten Netz an der BoxA hängt.

Hinweis zu Schritt 2)
Das dyndns wird (bei mir in für IPv4) auf Box A angelegt - logisch, denn diese Box hat eine öffentliche IP-Adresse
Wireguard (WG) wird in der BoxB eingerichtet.
Die WG Configuration kann in die Android App als QRCode eingelesen werden. Aber diese muss noch geändert werden.
Unter Teilnehmer/Endpunkt muss statt der IP der BoxB die dynds-Adresse der BoxA eintragen.

Hinweis zu Schritt 3)
Die Portnummer zu diesem Endpunkt (auch zu sehen in Diagnose/Sicherheit) muss dann in der BoxA als Portweiterleitung eingerichtet
werden.
Also in der BoxA unter Internet/Freigaben/Portfreigaben für die BoxB eine Freigabe des obengenannten Ports für UDP einrichten.

 

[antonvm]

@starbright Hallo, kannst Du mir bei meinem Problem behilflich sein?

wireguard - Fritz.Box_2 hinter Fritz.Box_Master - Fritz!Box 7590 mit FRITZ!OS: 8:00

Hallo Forum, was habe ich zu beachten, wenn ich wireguard nur auf einer Fritz.Box_2 hinter der Fritz_Master freigeben möchte? D. h. der wireguard-User soll unter keinen Umständen Zugriff auf die Fritz.Box_Master bekommen. Der wireguard-User aus dem Internet soll in einem "Tunnel durch...

www.ip-phone-forum.de

Mein Thread wurde als Kaugummithread tituliert und ich habe leider zu wenig Grundkenntnisse.

Danke

antonvm

 

[starbright]

Was stört denn noch an der von mit beschriebenen Lösung? Wie du siehst habe ich auch Hilfe benötigt. Viele haben hier zwar echt Ahnung, aber uns fällt es manchmal schwer das Problem richtig zu berschrieben und den Experten sich auf unser Niveau herabzubegeben ....
Bin gerade unterwegs, deswegen diese Woche wenig Zeit.

 

[Jstessi]

@starbright, hast du auch gut und nachvollziehbar beschrieben; auch funktional gibt's nichts einzuwenden IMO

 

[starbright]

Was ich nicht geschafft hab, ist der zweiten Box eine öffentliche IPv6 zu geben/geben zu lassen, so dass diese dann direkt adressiert werden kann (wenn auch nur über IPv6).
Beim dyndns server sind meine (natürlich nur locale und damit nutzlose) IPv4 und eine IPv6 gespeichert. Die IPv6 ist die, die ich in der kaskadierten Box auch unter Internet/Online Monitor/Verbindungsdetails/IPv6 sehe. Ist das eine theoretisch global erreichbare?
Ausserdem ist diese Adresse im Präfix-Bereich der Box1 (zu sehen ebenfalls unter Internet/Online Monitor/Verbindungsdetails/IPv6)

 

[frank_m24]

Ist das eine theoretisch global erreichbare?

Kommt drauf an, wie die Box davor eingerichtet ist. Es kann auch eine ULA Adresse sein. Zeig uns doch einfach die ersten 4 Blöcke der IP, dann wissen wir es.

 

[starbright]

2003:ea:7f1f:9700

 

[frank_m24]

Das ist eine öffentliche IP. Die kannst du für VPN verwenden.

 

[starbright]

Dafür muss in der Box1 die Freigabe für die Box2 auch umfassen: Ping6 freigeben, FW für delegierte IPv6 Präfixe öffnen, komplett fürs Internet via IPv6 freigeben (exposed host)? Gerade letzteres sieht ja mit dem Warndreieck jetzt nicht unkritisch aus.
Wobei ich gar nicht verstehe wo der Unterschied liegt zwischen "FW für delegierte Präfixe öffnen" und komplett? Ist nicht eh alles in dem delegierte Präfix?

 

[antonvm]

Beim dyndns server sind meine (natürlich nur locale und damit nutzlose) IPv4 und eine IPv6 gespeichert. Die IPv6 ist die, die ich in der kaskadierten Box auch unter Internet/Online Monitor/Verbindungsdetails/IPv6 sehe. Ist das eine theoretisch global erreichbare?

Genau die zweite Box möchte ich auch über einen Tunnel erreichen. Tunnel kann für mich in diesem Fall für mich auch eine Portweiterleitung sein.

@Jstessi Hast Du konkrete eigene Hinweise? Mit Youtube komme ich nicht zurecht.

 

[frank_m24]

Dafür muss in der Box1 die Freigabe für die Box2 auch umfassen: Ping6 freigeben, FW für delegierte IPv6 Präfixe öffnen, komplett fürs Internet via IPv6 freigeben (exposed host)?

Wenn du einfach nur VPN auf der 2. Box willst, dann brauchst du nichts davon. Einfach nur eine Port- oder myfritz-Freigabe.

Wobei ich gar nicht verstehe wo der Unterschied liegt zwischen "FW für delegierte Präfixe öffnen" und komplett?

Grundlagen IPv6. Die 2. Box hat eine IP aus dem Prefix der ersten Box, verteilt ihre lokalen Adressen aber aus den delegierten Prefixen. Beides ist natürlich grundsätzlich unterschiedlich. Wenn du der 2. Box erlauben willst, Portfreigaben für ihre lokalen Clients anzulegen, braucht sie dafür natürlich erst mal die Freigabe der 1. Box für ihre deligierten Prefixes - ist klar, oder?

Genau die zweite Box möchte ich auch über einen Tunnel erreichen. Tunnel kann für mich in diesem Fall für mich auch eine Portweiterleitung sein.

Ja, genau so macht man es. Wo ist das Problem? Siehe #23.

 

[starbright]

Das ist eine öffentliche IP. Die kannst du für VPN verwenden.

Ich hab meinem dyndns die ipv4 verbotene (kommt ja eh nix sinnvolles raus). Mit "dig ... any" sehe ich auch nur noch den AAAA record. Aber wenn ich die dyndns-Adresse+WG-Port in die wireguard.conf eintrage (statt der dyndns der Box1) dann klappt es nicht. Sollte doch aber, oder?
Also mit der dyndns von Box1 hab ich zwar eine Lösung, aber würde mich trotzdem interessieren - irgendwann muss man es ja mal verstehen lernem