Draytek LAN-to-LAN Wireguard lässt sich nicht speichern

[riversource]

Also tut es jetzt? Weil wenn man sich so durch die Foren googelt - gerade auch durchs Draytek Forum - dann haben die Leute kein Problem damit, Wireguard Konfigurationen abzuspeichern. Es gibt hier oder da Fragen zu speziellen Konstellationen, IPv6 oder besonderen Gegenstellen usw., aber ansonsten funktioniert das anscheinend super.

Du wirst keine zufriedenstellende Antwort vom Service bekommen. Lass es dir gesagt sein.

 

[Andy81]

Anscheinend... Auch mit dem 2766??

Wireguard VPN für Handy usw. ist was anderes als Lan-to-Lan.

Ich bin nicht der einzige bei dem es nicht geht mit dem 2766... wie oft denn noch, siehe Post 1. Vielleicht ist es auch nur bei dem Modell so.

Lassen wir das Thema jetzt vorerst. Mal sehen was der Support schreibt.

 

[riversource]

Auch mit dem 2766?

Gerade mit dem 2766. Gibt sogar Blogbeiträge über Wireguard mit dem 2766.

Ich bin nicht der einzige bei dem es nicht geht mit dem 2766... wie oft denn noch, siehe Post 1.

Ja super. Ein Bekannter, der das Gleiche eingetippt hat, wie du: Gleicher Fehler.

 

[Andy81]

Ich hab keine Lust mehr auf leere Behauptungen. Wenn du eh nichts glaubst, lass es. Hab deine Meinung und gut ist es.

 

[riversource]

Ich behaupte ja nicht, kann ich ja auch gar nicht. Ich sehe nur, dass andere dieses Problem nicht haben.

Es geht darum, Ursachen auszuschließen. Die Ursache einer fehlerhaften Konfiguration kannst nur du ausschließen. Ich frage mich, was dich davon abhält.

 

[Andy81]

In einem meiner Post ist ein Screenshot von den Einstellungen, dann sag mir bitte was falsch sein soll. Das Feld für den NAT-Modus kann es nicht sein, da ich auf Routing stehen habe, da wenn Zugriff von beiden Seiten erfolgen soll, dies von Draytek lt. deren Anleitung auf "Routing" eingestellt werden soll.
Bei Server-IP/Hostname habe ich wahlweise die IP der Gegenstelle eingegeben, aber auch mal eine DynDNS Adresse probiert. Funktioniert beides nicht. Und ja, die DynDNS-Adresse funktioniert auch, weil sie noch für andere Dinge verwendet wird, bevor du damit jetzt wieder anfängst hier den Fehler zu suchen.

 

[riversource]

In einem meiner Post ist ein Screenshot von den Einstellungen, dann sag mir bitte was falsch sein soll.

Die Adresse ist falsch, sowohl für NAT als auch für Routing. Eine gültige Adresse brauchst du in jedem Fall. Und bevor du fragst, was richtig ist: das kann ich dir nicht sagen, das hängt von deinem Netzaufbau ab. Deshalb schrieb ich ja: generiere eine für deine Konstellation gültige Wireguard-Konfiguration und übertrage die Parameter in den Vigor.

 

[Andy81]

Rückmeldung von Draytek erhalten:

Das Fehlverhalten konnte reproduziert werden und es wurde ein Ticket dazu erstellt.

 

[Bob.Dig]

Das Fehlverhalten konnte reproduziert werden und es wurde ein Ticket dazu erstellt.

Das ist schön.

@riversource Möglicherweise hat Andy81 nicht unrecht und das Feld kann leer gelassen werden, siehe z.B. hier und ich weiß, dass PM Hausen keinen Mist erzählt! Wenn man dann noch eine Route setzt (a la ip route add 10.0.0.0/8 dev wg0), sollte es für einen Router funktionieren. Sollte der Draytek NAT machen müssen, braucht es dort aber zwangsweise eine Adresse. Und deshalb ist dort auch dieser Hinweis für den NAT-Modus zu sehen.

 

[Andy81]

Mein logischer Menschenverstand sagt mir, dass das Feld im Routing-Modus leer bleiben kann. Es steht ja auch dahinter "für NAT-Modus". Wenn es für beide Modus ausgefüllt werden müsste, würde der Vermerk dahinter keine Sinn machen.

 

[Bob.Dig]

Hab es mal mit der pfSense nachgestellt und da funktioniert es ebenfalls, WireGuard ohne eigene IP-Adresse. 🤯🥳

 

[riversource]

Mein logischer Menschenverstand sagt mir, dass das Feld im Routing-Modus leer bleiben kann.

Wenn es eine konforme Wireguard Implementierung ist, die auch mit Gegenstellen anderer Hersteller und Implementierungen laufen kann, dann darf das Feld nicht leer bleiben. Das ist die Adresse fürs Transfernetz, und die muss bei Wireguard vorhanden sein.

 

[Bob.Dig]

Das ist die Adresse fürs Transfernetz, und die muss bei Wireguard vorhanden sein.

Das stimmt nicht. Man kann eine IP setzen, muss es aber nicht. Habe mir auch mal den Output von wg show auf Linux angeguckt, dort wird erst gar keine Interface IP-Adresse angezeigt, obwohl ich dort eine nutze, was für mich ein Hinweis ist, dass es nicht zwingend nötig ist.

 

[riversource]

Da wäre die Frage, wie du die IPs überprüft hast. ifconfig zeigt nicht alles an, "ip a" hingegen schon. wg show zeigt grundsätzlich nicht die Address an, nur die Allowed IPs. Genutzt wird sie trotzdem. Und nur, weil ein Interface keine IP hat, heißt das nicht, dass sie nicht benutzt wird.

 

[Harrdy]

Wireguard braucht nicht zwingend ein dediziertes transfernetz. Man kann als endpoint auch jeweils eine IP aus dem Zielnetz nutzen ohne das diese Netze zusammenhängend sein müssen. Macht z.b. Avm bei der fritzbox wireguard implementierung auch so

Macht aber z. B. Probleme wenn man ospf mit wg nutzen will

 

[riversource]

Wireguard braucht nicht zwingend ein dediziertes transfernetz. Man kann als endpoint auch jeweils eine IP aus dem Zielnetz nutzen ohne das diese Netze zusammenhängend sein müssen.

Ich vermute, du meinst hier die Address und nicht den Endpoint. Der Endpoint ist ja die öffentliche IP der Gegenseite.
Ja, du kannst eine Address aus dem Zielnetz angeben. Aber auch dann brauchst du einen Eintrag bei Address, gerade im Routing Modus, denn die Address kann das lokale Gerät ja nicht von allein kennen. Und das ist ja das Hauptargument hier, dass man diesen Eintrag nicht braucht und nicht abspeichern kann, wenn er nicht da ist.

 

[Andy81]

@riversource
Lass uns doch das Update abwarten und wann werden wir weitersehen, ob und wo was zwingend eingetragen werden muss.
Was ich nicht verstehe ist, wie andere - wie du geschrieben hast, gerade mit dem 2766 - Wireguard zum laufen gebracht haben, wenn es ein Bug ist und man die Einstellungen nicht speichern kann. Vermutlich meinen die nicht LAN-to-LAN.


Hier nochmal eine ergänzende Rückantwort von Draytek zum heutigen Tag:

Sehr geehrter Herr xxx,

dieser Bug wird mit der kommenden 4.4.5 behoben.
Ein Veröffentlichungstermin habe ich, Stand jetzt, nicht.

Mit freundlichen Grüßen

OT:
Andere Frage noch (möchte da jetzt keinen extra Thread aufmachen): Gibt es bei den Draytek Routern die Möglichkeit einem Gerät das eine IP automatisch vom Router bekommen hat, eine andere IP-Adresse manuell zuzuweisen, so wie es bei AVM möglich ist?
Ich habe zwar unter Diagnose die DHCP Tabelle gefunden, aber das ist nur eine Geräteübersicht, hier kann man zumindest nichts ändern.

 

[Findus]

LAN -> IP an MAC binden

kannst auch direkt als Liste hochlanden, wenn es viele sind

 

[Andy81]

Ah ok, so nennt sich das bei Draytek, danke!

Ergänzung (20. März 2024)

@Findus geht bei dir das Wiederherstellen über die Datei? Wenn ich testweise ein Backup anlege und dann den Import versuche, heißt es immer, dass die Config falsch ist...
Meldung: "Konfig-Dateiname stimmt nicht überein. Bitte prüfen!"
Frage mich, wie eine gerade vom Router erstellte Config falsch sein kann... nächster Bug?

 

[Findus]

hast du die Zeilen kopiert und die Leerstellen gelassen wie sie waren, also nur die Werte dann angepasst
außerdem muss in der letzten Zeile wohl

End of file!!!

stehen

sonst ggf Notepad++ verwenden, damit die Zeilenumbrüche korrekt erkannt werden

habe jedenfalls keine Probleme das File zu bearbeiten und wieder einzufügen