[Sammlung] Wireguard VPN von AVM ab FW 7.39

[H´Sishi]

Nur wenn Du eine Möglichkeit findest, dem Laptop zu sagen "Für *diese* Netzwerkadressen *diesen* Tunnel nehmen, für *jene* Adressen *jenen* Tunnel.

 

[Xantorix]

Kein Problem. Sind 2 verschiedene Ziele. 2 Tunnel starten mit wg0.conf und wg1.conf klappt so weit.

 

[H´Sishi]

Die Ziele sind nicht das Problem. Der Laptop muß das auseinandersortieren und entscheidet sich normalerweise für einen der beiden gelernten DNS-Server (sprich WG-Endpunkte) und nutzt den dann für alles.
Sollte natürlich nur ein Tunnel zur gleichen Zeit aktiv sein, ist das kein Problem.

 

[Xantorix]

Ich bin mit meinem Laptop in einem Handyhotspot Vodafone Mobilnetz.
Also wenn ich einen Tunnel aufbaue zur Fritzbox1 kann ich nur auf diese zugreifen. Die Fritzbox2 kann ich nicht erreichen obwohl zwischen den beiden Boxen auch ein WG Tunnel aktiv ist.
Wenn ich parallel einen zweiten Tunnel zur Fritzbox2 aufbaue kann ich auf beide Boxen zugreifen.
Beider Tunnel sind zusammen aktiv.

 

[H´Sishi]

Ok, jetzt verstehe ich. Jeder Tunnel vom Client zu einer der FritzBoxen funktioniert, aber der existierende Tunnel zwischen den FritzBoxen kann dann nicht verwendet werden.

Klingt nach einem Routing-Problem ... ich wüßte aber nicht, wo man ansetzen könnte außer bei beiden Boxen unter Mesh -> Netzwerk -> Netzwerkeinstellungen die Routing-Tabellen mit den IP's der jeweils anderen Box & deren Netzwerk zu füllen.
Ich kann bei mir gerade nicht nachsehen, was da wie eingetragen werden muß - die Seite wird bei mir nicht dargestellt (leere Konfig-Seite).

 

[NDiIPP]

Einerseits gibt es ja nun auch für einige Puma6-Modelle (6490, 6590) eine 7.39er Laborversion aber mit einer (negativen) Überraschung:

Nach der Installation der Laborversion wird eine Seite mit den neuen Funktionen angezeigt, die das neue FRITZ!OS bietet. Hier wird angezeigt, dass die FRITZ!Box nun Wireguard unterstützt. Dies ist für die FRITZ!Box 6590 und 6490 nicht korrekt.
[…]
Leider ist dieses neue Feature für diese beiden Geräte nicht umsetzbar.

Quelle: https://avm.de/fritz-labor/frisch-aus-der-entwicklung/bekannte-probleme/

Vermutlich kann man bei den Puma6-Modellen keinen neueren Linux-Kernel einsetzen der mit WG kompatibel wäre.

 

[Micha0815]

Beträfe dies auch das neuere IkeV2-Protokoll? Auch wenn WG den Königsweg darstellt, würde ein IkeV2-Protokoll vielerortens für Freude sorgen.
LG

 

[NDiIPP]

Beträfe dies auch das neuere IkeV2-Protokoll?

Halte ich für unwahrscheinlich. Also würde mich wundern, wenn das bei den Puma6-Modellen nicht enthalten wäre.

 

[Xantorix]

Hallo Leute.
Ich habe immer noch das Problem mit dem Zugriff von einem Linux Client.
Hab nochmal alle Tunnel gelöscht und nur den WG Tunnel zwischen den 2 Boxen 7490 aktiv. Dieser funktioniert wie er soll. Es ist Zugriff auf beide Netze möglich und die AVM Telefonie intern geht auch.

Wenn ich jetzt einen Tunnel für ein Linux Laptop zu Box1 erstelle wird es unstabil.
Der Tunnel lässt sich starten und das Netz von Box1 ist erreichbar.
So weit so wenig.
Wenn ich die Box2 versuche zu erreichen hakt es und der WG Tunnel zwischen Box1 Richtung Box2 wird unterbrochen.
Wie mache ich es richtig?
Ich möchte einen permanenten Tunnel zwischen Box1 und Box2 haben.
Zusätzlich möchte ich auf diese beiden Netze von unterwegs mit Handyhotspot und Linux Laptop zugreifen.

Gruß Xante

 

[lordgbyron58]

Hallo All,
wie kann man mit Cyberghost eine config-Datei mit Wireguard erstellen um die später mit FritzBox 7590 einzulesen.
Kein OpenWRT vorhanden.

 

[H´Sishi]

Erstelle die Datei mit der 7590. Evtl. ist es einfacher diese Datei in CG zu importieren als andersherum.

 

[armin56]

@Xantorix, hast du schon Mal vribiert einen WGvTunel vom Smartphone aufzubauen, und dann mit dem Linux System auf die beiden Netze zuzugreife? Eventuell müssen dann auf dem Linux System noch permanente Routen definiert werden.

Edit: Was auch sein könnte, ist dass du im Netz des Linux Systems einen weiteren Router benötigst, der je einen Tunnel zu den beiden FB aufbaut. Eventuell kann ja das durch das Linux System erledigt werden, wenn es als Router konfiguriert ist, andernfalls müsste noch eine FB verwendet werden, so das die drei FBen komplett untereinander mit Tunneln vernetzt sind.

 

[Xantorix]

Das "Linux System" ist ein Laptop von welchem ich von unterwegs auf die Fritzboxnetze zugreifen möchte.
Mit dem Smartphone funktioniert es.

 

[cdu0ng]

Hallo euch alle,
ich befinde mich im Moment in VN. Ich benutze ab und zu VPN (IPSec)von der Fbox . Es hat bis jetzt wunderbar aus der Fern funktioniert. Mit WireGuard hat verbunden. Leider könnte ich in VN nur MyFRITZ! öffnen, und meinFbOberfläche von Fern ansehen, eventuell Änderung vornehmen. Sämtliche Dinge im Inet nichts oder teilweise nur funktioniert.
Frage: Kann es sein, dass VN oder China ..z.B WireGuard nicht zulässt? Oder fehlt mir was bei der Einrichtung der Fb?
Viele Grüße

 

[NDiIPP]

Antwort auf einen Beitrag aus einem anderen Thema:

Naja. Laut einer von vielen Quellen bräuchte es wohl doch neuere Kernels und/oder "Backport".

Jein bzw. nein. Du musst schon unterscheiden zwischen direkter Integration von WireGuard in den Kernel (offiziell eben ab Ver. 5.6) oder eben "nur" als Kernel-Modul (also üblicherweise für Kernel <5.6, von Backports für ältere Kernel abgesehen). Also die Kernel Ver. 5.6 für WG ist eben keine Mindest-Voraussetzung für WG aber es gelten auch bei nicht direkter Integration (sondern "nur" als Kernel-Modul) die Mindestvoraussetzungen an den verwendeten Linux-Kernel und die sind hier aufgeführt:
https://www.wireguard.com/compilation/#kernel-requirements

Kernel Requirements​

WireGuard requires Linux ≥3.10, with the following configuration options, which are likely already configured in your kernel, especially if you're installing via distribution packages
[…]

Und damit sind wir wieder bei den in Beitrag #11 (aus dem oben verlinkten Thema, siehe auch unten) erläuterten Umständen…

Die Quizfrage lautet, wer denn die Arbeit des "Zurückportierens" auf ältere Kernelversionen vollbringt? Chiphersteller, Community, Anwender (hier AVM)?

Na weder noch. "Einfach" als Kernel-Modul integrieren… Die Frage bzgl. eines Backports wäre nur zu stellen, falls man dies direkt in den jeweiligen (älteren) Kernel integrieren wollte (was bei FRITZ!OS m.W.n. nicht der Fall ist).

---

Und hier dann noch ergänzend der oben erwähnte Beitrag #11 aus dem anderen Thema:

Nach meiner unmassgeblichen Vorstellung, läuft Wireguard auch auf einer "ähnlich" alten 7490, die lt. boxmatrix auch noch mit uclibc und älterem Kernel wergelt?

Nein. Bei der 7490 (VR9) kommt ein neuerer Kernel zum Einsatz als bei der 6490 (Puma6).

7490/VR9: Linux-Kernel Ver. 3.10.x
6490/Puma6: Linux-Kernel Ver. 2.6.39.x

Und letzterer dürfte wohl hoffnungslos zu alt sein für WireGuard. Und ich vermute mal für einen neueren Kernel bei den Puma6-Modellen müsste wohl auch der Hersteller des SoC (Intel bzw. nun MaxLinear) entspr. mitspielen (und das ist wohl nicht der Fall).

 

[musv]

Ich hab jetzt mal etwas mit 6to4 (und Wireguard) rumgespielt. Aus dem Ergebnis werd ich nicht so recht schlau.

Grund:

• Mein Anschluss: IPv6 mit CGN-IPv4
• Anschluss meiner Eltern: IPv4 nativ, kein IPv6

Ich hab beim Anschluss meiner Eltern auf der Fritzbox dann den 6to4-Tunnel aktiviert. Zu meiner Überraschung kam ich damit auf die Fritzbox. Ich konnte netterweise auch eine IPv6-Portfreigabe auf ein Gerät im Heimnetz einrichten. Auch auf das Gerät kam ich per SSH.

[Unwichtig]
Ich hab daraufhin auf dem Gerät im entfernten Heimnetz einen Wireguard-Server eingerichtet, der auch sofort funktioniert hat.

[Problem]
Ich wollte mal mit scp eine 100MB große Testdatei rüberschicken. Am Anfang werden noch Päckchen mit 32 kb/sec übertragen. Nach ein paar Sekunden seh ich nur noch ein --stalled--. Aufgefallen ist mir das erst über Wireguard, aber auch über VPN-lose Verbindung (IPv6-Adresse) war es genauso katastrophal.

Kann es sein, dass 6to4 extrem langsam ist?

 

[erik]

Anschluss meiner Eltern: IPv4 nativ, kein IPv6

Wozu dann einen 6to4 Tunnel aktivieren? Auf eine IPv4-Box kommt man drauf, auch wenn man selber keine öffentliche IPv4 hat.

6to4 sollte nicht mehr verwendet werden: https://de.wikipedia.org/wiki/6to4

 

[musv]

Wozu dann einen 6to4 Tunnel aktivieren? Auf eine IPv4-Box kommt man drauf, auch wenn man selber keine öffentliche IPv4 hat.

Meine Fritzbox (CGN-IPv4 + IPv6) -> Fritzbox meiner Eltern (IPv4): klappt.
Fritzbox meiner Eltern (IPv4) -> Meine Fritzbox (CGN-IPv4 + IPv6): klappt nicht.

Der Aufbau der VPN-Verbindung sollte nicht nur unidirektional erfolgen können.

6to4 sollte nicht mehr verwendet werden: https://de.wikipedia.org/wiki/6to4

Weiß ich. War die Empfehlung des regionalen Kabelnetzbetreibers, bei dem meine Eltern ihren Anschluss haben.

 

[KunterBunter]

Der Aufbau der VPN-Verbindung sollte nicht nur unidirektional erfolgen können.

Wieso nicht? Bei CG-NAT an deinem Anschluss kann bei einem VPN über IPv4 nur deine Seite der Initiator sein. Anders herum geht es nun mal nicht, denn deine Fritzbox ist ja nicht über IPv4 erreichbar.

 

[erik]

Bei meinem Setup mit Wireguard auf openWRT klappt es auch mit nur einer öffentlich erreichbaren Gegenstelle. Dabei muß aber ein Script aktiviert werden, damit die Verbindung nach Wechsel der öffentlichen IP von der Gegenstelle selbständig neu aufgebaut wird. Ob und wie das mit einer Fritzbox funktionieren würde kann ich nicht testen, weil es für die 6820v3 noch keine Wireguard-Firmware gibt.

Ein weiteres Problem ist, dass die Fritzbox sich nicht auf einen Port festlegen läßt, auf den sie lauscht. Aber das funktioniert bei einem meiner Testaufbauten trotzdem, ich kann damit aber nicht das Verhalten über längere Zeit testen.

@KunterBunter nach meinem Verständnis muß die Seite mit CG-NAT der Initiator sein, weil nur die ihre Gegenstelle (über IPv4) erreichen kann.