[Erledigt] WireGuard LAN 2 LAN Kopplung mit öffentlicher und privater IP

[cos77]

Hallo,

ich würde gerne wissen, ob es durch irgendwelche Konfiguration eine Lan 2 Lan Kopplung zwischen 2 Fritz Boxen über WireGuard möglich ist. Das funktioniert bisher mit IPSec durch spezielle KeepAlive Konfiguration, nun wäre es interessant, ob die performantere WireGuard Schnittstelle dies ermöglicht.

Dabei gibt es 2 FritzBoxen mit jeweils MyFritz DynDNS Adressen.
Die simple LAN 2 LAN Kopplung per WireGuard Einrichtungsassistent scheint auf dem ersten Blick zu funktionieren, aber der Zugriff ist nur von der privaten Fritzbox zur öffentlichen Fritzbox möglich und nicht anders herum.

Hat jemand damit schon Erfahrung gemacht und ggf. eine Lösung gefunden? Zumindest habe ich über die Suchfunktion keine Themen darüber gefunden.

Danke und Grüße

 

[cos77]

Ich habe es mit folgender Anleitung hinbekommen.

WireGuard-VPN zwischen drei oder mehr FRITZ!Box-Netzwerken einrichten | FRITZ!Box 7590 AX

avm.de

nur mit dem Part komme ich nicht zurecht

Nur, wenn Geräte in einer Filiale auch auf Geräte in der anderen Filiale zugreifen sollen, richten Sie in der "FRITZ!Box Filiale_1" eine Verbindung zu "FRITZ!Box Filiale_2" ein.

Hier wird also vorgeschlagen einfach zwischen den Boxen wie gehabt eine Verbindung nach der Anleitung zu erstellen.
Nur kommt ein "Konflikt" zwischen den bestehenden Verbindungen. Da weiss ich nicht weiter, da ich das nicht nachvollziehen kann.

 

[chrsto]

In deinem ersten Post schreibst du von 2 FritzBoxen bei dir. Die von dir verlinkte Anleitung behandelt aber die Vernetzung von ab 3 FritzBoxen: Zentrale, Filiale 1 und Filiale 2.

Ich verstehe daher nicht, was mit "Konflikt" gemeint ist.

 

[cos77]

Das stimmt. Zunächst war erst eine Zentrale Fritzbox mit öffentlicher IP und eine Fritzbox Filiale A per WireGuard einzurichten. Das war nur der erste Schritt, dass ich vorher klären wollte.
Nun ist es so, dass eine weitere Fritz Box Filiale B mit im VPN Netzwerk verbunden werden soll. Das blöde dabei ist, dass dieser per privater IP im Netz ist.
Eine Private IP stellt nicht das Problem da, da ich bereits eine Verbindung von der zentralen Fritzbox zur Fritzbox Filiale B ebenfalls wie Filiale A eingerichtet habe, nach dem selben Prinzip. zwei unterschiedliche WireGuard Verbindungen
FB Zentrale <-> FB A
FB Zentrale <-> FB B
Nun ist das Ziel FB A und FB B miteinander zu verkuppeln, damit auch die Netzwerke sich kennen, denn alle 3 Fritzboxen haben unterschiedliche Subnetze.

Eigentlich genau der 3. Punkt in der Verlinkten Anleitung, die einfach nicht detailliert genug ist. Da bereits (die o.g.) Verbindungen existieren, gibt es Konflikte.
Nun bin ich soweit gekommen, dass ich die Konfiguration der "Gegenstelle" importiere, da ja bereits Verbindungen entstehen, um Konflikte zu vermeiden. Dann gibt es aber noch den Fehler, dass die WireGuard Verbindung nicht eingerichtet werden konnte.

 

[stoney]

Netzwerkkonflikt?

FRITZ!Box meldet "Die konfigurierte WireGuard-Gegenstelle verursacht einen Netzwerkkonflikt" | FRITZ!Box 7590

Beim Versuch eine WireGuard-Verbindung in der FRITZ!Box einzurichten, wird die folgende Fehlermeldung angezeigt: "Ihre Einstellungen konnten leider nicht erfolgreich übernommen werden.Die konfigurierte WireGuard-Gegenstelle verursacht einen Netzwerkkonflikt.Klicken Sie auf 'Schließen', um zur...

avm.de

 

[cos77]

Netzwerk habe ich nicht mehr (habe alle IPsec verbindungen gelöscht)

nun kommt das
"Importierte Konfigurationsdatei der WireGuard-Gegenstelle löst einen Schlüsselkonflikt mit bestehenden Verbindungen aus."

FRITZ!Box meldet Schlüsselkonflikt beim Import einer WireGuard-Konfigurationsdatei | FRITZ!Box 7590

Beim Versuch, die Einstellungs-Datei für eine WireGuard-Verbindung zu importieren, wird von der FRITZ!Box die folgende Fehlermeldung angezeigt: "Ihre Einstellungen konnten leider nicht erfolgreich übernommen werden. Importierte Konfigurationsdatei der WireGuard-Gegenstelle löst einen...

avm.de

und daraus werde ich auch nicht schlau

-- Zusammenführung Doppelpost gemäß Boardregeln https://www.ip-phone-forum.de/threads/ip-phone-forum-regeln.297224/ by stoney

Um den Schlüsselkonflikt zu umgehen habe ich die "Einstellungen" von der Gegenstelle übernommen
sieht auch in Ordnung aus, nun stehe ich vor dem ursprünglichen Problem mit folgender Fehlermeldung:

Ihre Einstellungen konnten leider nicht erfolgreich übernommen werden.
Klicken Sie auf „Schließen“, um zur WireGuard®-Übersicht zu gelangen und erstellen Sie die WireGuard®-Verbindung bitte erneut.

 

[stoney]

Ich gehe davon aus, dass Du gewissenhaft alle Infos aus beiden Wissensdokumenten berücksichtigt hast.

Hast Du denn bereits alle beteiligten FRITZ!Boxen neu gestartet? (Ich würde ja immer einen Neustart durch stromlosmachen bevorzugen)

 

[cos77]

ja
tatsächlich ist mir aufgefallen, dass nach Löschen der WireGuard Verbindungen (die ja nicht funktioniert haben), immer noch in den WireGuard Einstellungen des Routers vorhanden sind (IP mäßig)
Nach Neustart sind die Einstellungen wieder sauber, sodass die zuvoreingestellten IPs auch entfernt werden.

Dennoch hat mir das nicht geholfen.
Es kommt einfach nur der Fehler "Ihre Einstellungen konnten leider nicht erfolgreich übernommen werden." und ich soll einfach mal alles neu einstellen ohne konkrete Problemlösung.


edit: gelöst

wireguard kopplung nein ja nein
manuell die internetadresse der gegenstelle und öffentliche key eingeben
auf der gegen stelle 3 mal versuchen zu importieren

genau das schlägt die fehlermeldung auch vor. neue verbindung erstellen, in anderen worten neu versuchen. warum es manchmal mehrere versuche braucht, verstehe ich nicht. aber so hats funktioniert.

 

[Geppo29]

Hallo, ich habe auch eine Fritz 7590 mit öffentlicher IP und eine 6850-LTE mit privater IP.
Ich kann vom 6850 nur das gesamte Netzwerk des 7590 sehen, aber vom 7590 sehe ich das 6850 nur über die vom VPN zugewiesene IP.
Ich möchte Netzwerke bidirektional sehen. Kannst du mir erklären, wie du es gelöst hast?
Danke !

 

[chrsto]

WireGuard-VPN zwischen zwei FRITZ!Box-Netzwerken einrichten | FRITZ!Box 7590 AX

Unsere Schritt-für-Schritt-Anleitung, um zwei FRITZ!Box Netzwerke über VPN (WireGuard) einfach und sicher miteinander zu verbinden. ✓

avm.de

Diese Anleitung ist genau für dich gemacht. Nur ein Endpunkt hat eine öffentliche IP. Bis wohin kommst du?

 

[Geppo29]

Netzwerk A: Fritz 7590 öffentliche IP und Myfritz.
Netzwerk B: Fritz 6850-LTE private IP und myfritz meldet private IP.
Ich habe alle gefundenen Anleitungen befolgt, aber von Netzwerk B aus sehe ich das gesamte Netzwerk A.
Von Netzwerk A aus sehe ich den 6850 nur über die IP, die ihm der VPN zugewiesen hat, und die Geräte in Netzwerk B sehe ich nicht.
Wenn möglich, möchte ich eine wechselseitige Sicht zwischen den beiden Netzwerken haben.
Wenn dies nicht möglich ist, möchte ich mich remote mit Netzwerk B verbinden (private IP).
Auf Netzwerk A kann ich das problemlos machen, aber es hat eine öffentliche IP.
Danke schön.

 

[chrsto]

Hast du denn auch eine LAN-LAN VPN Verbindung erstellt, oder ist eine der Boxen als VPN Client eingerichtet?

Am besten stellst du mal deine Konfiguration hier rein.

 

[Geppo29]

Der Benutzer „Novize“ hatte mir geschrieben, dass es mit privatem IPv4 und ohne IPv6 keine Möglichkeit gibt, aus der Ferne zuzugreifen.
Ich hatte alle im Internet gelesenen Möglichkeiten ausprobiert, aber keine davon funktionierte.
Das einzige, was funktioniert, ist, wie ich geschrieben habe, der VPN von der privaten IPv4 von 6850 zur öffentlichen Myfritz-IP von 7590 (das Gegenteil funktioniert nicht). Der 6850 erkennt problemlos das gesamte Netzwerk des 7590. Von der 7590 aus kann man nur mit der vom VPN zugewiesenen IP auf die 6850 zugreifen, nicht aber auf deren Netzwerk.
Das Netzwerk und/oder die Konfiguration des 6850-LTE (privates IPv4) ist für jede Konfiguration offen, die den Fernzugriff lösen kann.
Ich hatte gehofft, Wireguard würde das Problem beheben, aber ich muss aufgeben. Sünde...

 

[chrsto]

Du schreibst jetzt zum dritten Mal das gleiche, nur in unterschiedlicher Länge. Da du meine Fragen nicht beantwortest, bin ich raus.

 

[Geppo29]

Entschuldigung, aber ich verstehe Ihre Frage nicht.
Da ich keine Lösungen gefunden habe, habe ich keine Konfiguration auf dem 6850... Die beiden Fritzes sind Master.
Meine Konfiguration steht auch in der Signatur...

 

[cos77]

Das ist genau das, was ich auch beobachtet habe, wenn du eine simple 1:1 Verbindung machst. (Config erstellen, und mit Ja direkt importieren, zwischen Privat und öffentlich). Laut Anleitung soll das gehen (zumindest mit 7.56)
Beide Fritzboxen sollten eine MyFritz Adresse erhalten haben.

Du erstellst in der FritzBox mit der privaten IP eine normale Wireguard Netzwerk Konfiguration. Dabei gibst du die Information der Fritzbox der öffentlichen Fritzbox. Die kann ja jeder öffentlich jeder greifen. Andersrum geht es nicht, da die private ja nicht von außen erreichbar ist. (zumindest war es bei IPSec auch so).
Bei der Fritzbox mit der öffentlichen machst du dann den import.
Du müsstest dann bei beiden die Endpunkte sehen (MyFritz adresse und IP inklusive Ports)

Ansonsten versuch die Einstellungen des öffentlichen zum erstellen der Wireguard zu verwenden, indem du im WireGuard Assistenten die Fragen mit "Nein, Ja, Nein" beantwortest und den öffentlichen Schlüssel und die Adresse der Gegenstelle eingbist, die du in den Einstellungen der Gegenstelle erfährst (öffentlicher Seite).
Es kann auch sein, dass ich das "anders herum" gemacht habe, also das ganze war verwirrend. Du kannst es ja einfach ausprobieren, in einem der beiden Fälle muss es funktionieren. Wenn dieses mysteriöse Problem auftaucht, dass die Einstellung nicht importieren werden konnte, musst du es einfach nur ein paar mal wieder ausprobieren, bis es klappt. So ganz nutzerfreundlich ist das noch nicht.
Habe 3 Boxen damit gekoppelt, 2 davon öffentlich 1 privat. 1 von den öffentlichen ist nicht wirklich über myfritz erreichbar, dafür aber eine statische IP.
Desweiteren gibt es noch IPSec verbindungen zu einer öffentlichen und einer privaten IP, zusätzlich zu den Wireguard Verbindungen. (WireGuard für 7490 lässt sich ja leider noch warten)

 

[Geppo29]

Danke @cos77.
Ich werde weiterhin alle möglichen Tests noch einmal durchführen.
Ich hoffe, dass jeder, der eine Lösung findet, eine Schritt-für-Schritt-Anleitung mit Anweisungen zum Befolgen schreibt.
Selbst mit den Anleitungen von AVM verstehe ich nicht, ob das resultierende Netzwerk bidirektional ist.
Alle meine Versuche führen nur in eine Richtung: Von der privaten IP sehe ich das gesamte Netzwerk der öffentlichen IP. Vom Netzwerk der Fritz mit öffentlicher IP sehe ich leider nur die Fritz mit privater IP.

 

[chrsto]

@Geppo29 ich glaube, du würdest hier schneller weiterkommen, wenn einfach mal zeigst, was du gemacht hast. Screenshots, Konfigurationsdateien, irgendwas.

 

[Geppo29]

Gemäß der AVM-Anleitung habe ich myfritz auf den beiden Fritzes erstellt.
Der private sagt mir, dass die IP nicht öffentlich ist und möglicherweise nicht erreichbar ist (10.xxx.xxx.xxx – SIM Wind NAT).
Ich habe das VPN von der privaten Fritz (192.168.8.254) zur öffentlichen Fritz (192.168.10.254) erstellt, es funktioniert und ich sehe das Netzwerk.
Gleiches Ergebnis auch mit Wireguard.
Von der Öffentlichkeit sehe ich nur die Fritz privat über die dem VPN zugewiesene IP 192.168.10.225.
Keine Fehlermeldungen.
Wie auf einer anderen Website empfohlen, habe ich versucht, den APN auf der Sim zu ändern, erhalte jedoch kein IPv6, sondern nur IPv4.
Ich habe keine Kenntnisse, um andere Dinge zu tun.
Ich denke, dass jeder Screenshot dem Standard entspricht, da ich keine anderen aktiven Konfigurationen habe.
Vielen Dank an @chrsto für die Hilfe und vielen Dank an @cos77, denn nach dem, was er geschrieben hat, habe ich nicht verstanden, ob es funktioniert, wenn ich es dreimal versuche.
Wenn es funktioniert, bitte ich @cos77, alle Schritte aufzulisten. Danke schön.
Entschuldigen Sie, aber selbst die Übersetzungen Italienisch/Deutsch helfen mir nicht, mich so auszudrücken, wie ich es gerne hätte.

 

[cos77]

So probieren bitte.
Vom öffentlichen bereitest du die Verbindung normal vor:


vom privaten machst du folgende Einstellungen und folgst dem Assistenten.


Bild(er) als Vorschaubild(er) (siehe https://www.ip-phone-forum.de/threads/ip-phone-forum-regeln.297224/ ) eingebunden by stoney