Wireguard, Fritzbox und Pihole + Unbound

[HabNeFritzbox]

Geht auch eher um Feedback, eine Alternative hatte ich dir ja aufgegeben dass zumindest zu einer Lösung kommst.

 

[SpecialFighter]

Ja Feedback habe ich bereits gegeben

[Edit Novize: Beiträge zusammengefasst - siehe Forumsregeln]

Habe testweise meine Synology NAS als Wireguard Server aufgesetzt (Port in der Fritzbox aufgemacht).
Damit klappt es tadellos! Kein Problem wie oben beschrieben.

Hier ist mir aber folgendes aufgefallen:
Während die Config meines WG Syno u.a. folgende Zeilen hat:

[Interface]
PrivateKey = xxx
Address = 10.8.0.3/24
DNS = 192.168.178.250

Sieht die Config, welche die Fritzbox generiert so aus:

[Interface]
PrivateKey = xxx
Address = 192.168.178.201/32
DNS = 192.168.178.250

 

[HabNeFritzbox]

Die DS mache eigenes Subnet, daher andere IP.

Bei der FB solltest auf /24 ändern, sonst macht der nur Routing für 192.168.178.201 mit /32

 

[SpecialFighter]

Ich probiere es mal aus.
habe noch einen Unterschied in der Config übersehen.

Syno:
PersistentKeepalive = 0

Fritzbox:
PersistentKeepalive = 25

Was wäre hier "richtig" / "besser"?

[Edit Novize: Beiträge zusammengefasst - siehe Forumsregeln]

Auch mit der Mask /24 kommt es wieder zum o.g. Fehler mit der FB

 

[HabNeFritzbox]

Auf die schnelle

By default, WireGuard peers remain silent while they do not need to communicate, so peers located behind a NAT and/or firewall may be unreachable from other peers until they reach out to other peers themselves (or the connection may time out). Adding PersistentKeepalive = 25 to the [Peer] settings of a peer located behind a NAT and/or firewall can ensure that the connection remains open.

Quelle: https://wiki.archlinux.org/title/WireGuard

 

[SpecialFighter]

okay also die 25.
Aber Problem bleibt besteht. Deutet also alles auf eine Problem der Beta hin

[Edit Novize: Beiträge zusammengefasst - siehe Forumsregeln]

hmmmmm. soo ab jetzt wird es interessant!
Kommen wir noch mal zum WG der Fritzbox zurück.

Wenn ich hier als DNS Server stehen lasse: 192.168.178.1, fritzbox
(also meinen pihole + unbound mit der IP 192.168.178.250) komplett raus lasse, funktioniert das VPN via Fritzbox auch tadellos.

Also scheint es hier Probleme zu geben, sobald ich DNS Anfragen nur über pihole laufen lasse (was aber mit der Syno ebenfalls problemlos funktioniert).

Jemand eine Idee ?? Wird immer interessanter

 

[NDiIPP]

Wird IPv6 verwendet bzw. bei der Fritzbox aktiviert?

 

[SpecialFighter]

ja ipv6 ist aktiviert.
Sorry!!

ipv6 WAR mal in der Fritzbox aktiviert - hatte ich aber doch deaktiviert vor einiger Zeit.

 

[frank_m24]

Bei der FB solltest auf /24 ändern, sonst macht der nur Routing für 192.168.178.201 mit /32

Nein, bei Address ist das egal. Bei AllowedIPs wäre es wichtig.

Nutzen deine Browser eine eigene Namensauflösung? Einige machen da ja DoH oder sowas.

Ich könnte mir ein Problem mit dem Proxyarp oder so vorstellen. Da die Box für die Clients ja ihr lokales Subnetz nutzt, muss sie ja sowas machen. Führe nach dem VPN Verbindungsaufbau mal mehrfach "arp -a" aus, bis die DNS Auflösung nicht mehr klappt. Prüfe dann, ob es für den VPN Client noch einen Eintrag gibt.

 

[SpecialFighter]

also ich konnte mittlerweile feststellen, dass wenn ich als DNS Server nur die Fritzbox angebe (pi hole komplett raus), klappt es tadellos. sobald die pihole dns spielt, treten die Probleme auf.

Noch mal zur Erinnerung.
Pihole läuft auf meiner synology nas.
auf dieser habe ich ebenfalls einen wireguard server gestartet.

Nutze ich den Wireguard Server meiner Syno in Kombination mit pi hole (auch auf syno), klappt es perfekt.
Nutze ich den WG Server der FB in Kombination mit pi hole => Fehler

 

[SpecialFighter]

so, hier noch mal eine gebündelte Zusammenfassung - die mich nach wie vor ratlos macht:



ALTE SITUATION:

• Syno DS718 als openVPN Server
• Syno unter Docker läuft pihole + unbound
• Fritzbox verteilt via DHCP die Information, das der DNS Server die IP meiner Syno ist (pi hole)
• Fritzbox openVPN Port zur Syno geöffnet
• Ergebnis: ALLES OK!

NEUE SITUATION:

• Fritzbox als Wireguard VPN Server
• Syno unter Docker läuft pihole + unbound
• Fritzbox verteilt via DHCP die Information, das der DNS Server die IP meiner Syno ist (pi hole)
• Fritzbox keine Portöffnung mehr notwendig
• Ergebnis: Keine Namensauflösung möglich

Wireguard Config für Client wird von der Fritzbox wie folgt generiert (.250 => pihole, .1 = fritbox):

[Interface]
PrivateKey = XXX
Address = 192.168.108.201/32
DNS = 192.168.108.250, 192.168.108.1, fritz.box

[Peer]
PublicKey = XXX
PresharedKey = XXX
AllowedIPs = 192.168.108.0/24, 0.0.0.0/24
Endpoint = vpn.meinDDNS.de:MEIN_PORT
PersistentKeepalive = 0

Die Config habe ich etwas angepasst:

[Interface]
PrivateKey = XXX
Address = 192.168.108.201/32
DNS = 192.168.108.250

[Peer]
PublicKey = XXX
PresharedKey = XXX
AllowedIPs = 192.168.108.0/24
Endpoint = vpn.meinDDNS.de:MEIN_PORT
PersistentKeepalive = 0

Ich möchte ja nur meinen pihole als DNS Server haben und auch nur das Netz tunneln, welches mein LAN ist - alles andere darf am tunnel vorbei.

Problem:
Namensauflösung funktioniert so nicht mehr.

Ich kann zwar google anpingen



nslookup geht nicht



ebenso bekomme ich keinen ping an meine lokalen Geräte (IP Fritzbox)







Wenn ich die Config so einstelle, dass DNS Server wieder nur Fritzbox ist, klappt alles. Das möchte ich aber so natürlich nicht
Hatte auch testweise mal einen Wireguard VPN Server auf der Syno aufgesetzt, nach diesem Schema:

• Syno DS718 als Wireguard Server
• Syno unter Docker läuft pihole + unbound
• Fritzbox verteilt via DHCP die Information, das der DNS Server die IP meiner Syno ist (pi hole)
• Fritzbox Wireguard Port zur Syno geöffnet

Damit hat es auch in Kombination mit dem pihole perfekt funktioniert.
Habt Ihr noch eine Idee, wo das Problem liegen kann, sobald die Fritzbox VPN Server spielt?

Ich scheine hier ja irgendwo ein Config Fehler auf Fritzbox und / oder Pihole Seite zu haben.
Danke!!



Hier noch meine PiHole Config (192.168.108.250#6153 => unbound):

 

[frank_m24]

Das Einzige, was mir auffällt: Die Search Domain ("fritz.box") muss man nicht aus der Konfig rausnehmen. Vermutlich schadet es nicht, aber es vereinfacht viele Dinge beim Heimnetzzugriff.

Ansonsten fällt mir wirklich nur die ARP Geschichte ein.

 

[SpecialFighter]

Was kann ich denn genau proben bezüglich ARP. Das sagt mir leider nichts :/

 

[frank_m24]

Wie ich sagte, muss AVM ja ProxyARP für die VPN Clients machen, damit die wie in lokales Gerät im LAN auftauchen. Auf dem Pihole kannst du mit "arp -a" testen, für welche Geräte ARP Einträge bekannt sind. Kurz nach dem VPN Aufbau, wenn alles noch funktioniert, sollte da ein Eintrag für den VPN Client sein. Der könnte irgendwann verschwinden, und dann weiß der Pihole nicht mehr, wo er den VPN Client zu suchen hat. Ähnliches gilt für die anderen Geräte im Netz.

Alternativ könnte es ein kompletter Abbruch der VPN Verbindung sein, denn Pings kommen ja auch nicht mehr durch (das stand am Anfang noch anders da, oder?)

Von wo baust du die Verbindung auf? Von extern über Mobilfunk oder so? Weil bei einem Verbindungsaufbau aus dem eigenen Netz kann es auch zu Problemen kommen.

 

[SpecialFighter]

lt. meinemn Post #31 ist Ping noch möglich - z.B. 8.8.8.8 aber nicht mehr an lokale ip adressen

[Edit Novize: Beiträge zusammengefasst - siehe Forumsregeln]

habe gerade mal arp abgesetzt am pihole, wenn die Namenausflösung nicht mehr funktioniert. kann meinen client in der arp tabelle aber nach wie vor sehen

 

[frank_m24]

lt. meinemn Post #31 ist Ping noch möglich - z.B. 8.8.8.8 aber nicht mehr an lokale ip adressen

Aber Internet geht ja nicht durch den Tunnel. Darüber leitest du ja nur den LAN Datenverkehr.

kann meinen client in der arp tabelle aber nach wie vor sehen

Und kannst du ihn auch pingen? Welche MAC Adresse taucht da auf?

 

[HabNeFritzbox]

Man kann auch in FB bei DNS vom „Anbieter“ seinen internen DNS eintragen, somit klappt auch fritz.box usw, und alles andere wird dann PiHole bzw. Unbound oder sonstiges befragt.