Fritzbox zu Fritzbox -> VPN Verbindung mit Wireguard

[Paddii]

Hallo zusammen,

ich nutze nun seit langem eine VPN (IPSec) um zwei Fritzboxen (2x 7590) an verschiedenen Anschlüssen (selber ORT) zu verbinden.

Das klappt soweit auch ohne Probleme, nur würde ich nun gerne auf Wireguard umsteigen. Nur funktioniert das leider nicht so richtig.

Mit IPSec kann ohne Probleme zB. auf das NAS oder PCs (Remote Desktop) an der anderen Fritzbox zugreifen.

Nur genau das funktioniert leider nicht wenn ich es mit Wireguard versuche. Laut der Fritzbox sollte die Verbindung stehen (wird Grün angezeigt), aber ich kann leider auf nichts im anderen Netzwerk zugreifen.

Hat irgendjemand eine Idee woran das liegen könnte?
Mir ist natürlich klar, dass sowas aus der Ferne schwer zu diagnostizieren ist, nur vlt. hatte ja jemand ein ähnliches Problem und konnte es lösen.

Gruß
Patrick

 

[Frettchen!]

Was sagt denn das Log?

 

[Paddii]

Laut dem Log sollte es eigentlich passen.

23.01.23
15:51:47
Es wurde erfolgreich eine WireGuard-Verbindung zur Gegenstelle "VPN" ([2003:c1:b7ff:XXXXX]:5XX55) aufgebaut.

Nur ich komme dann halt nicht mal mer ins Webinterface der anderen Fritzbox weil es nicht richtig funktioniert :-(

 

[Frettchen!]

Mmh, und wie sieht die Config aus? Kannst ja mal (geschwärtz) hier hochladen...

 

[Wilhelm14]

Ins Blaue geraten. Wenn du via Wireguard koppelst, hast du IPsec vorher ausgemacht?
Die IP-Adressen hast du beide angepasst oder genauer gesagt, geändert, damit nicht beide 178 haben?
https://avm.de/service/vpn/wireguard-vpn-zwischen-zwei-fritzbox-netzwerken-einrichten/
PS: Ich nutze weiterhin IPsec, weil das bei mir an die 100 MBit Grenze des einen Anschlusses stößt.

 

[chrigu]

Ich vermute mal ipsec war IPv4 und wireguard geht über IPv6. Hast du bei beiden Anschlüssen IPv6? Eventuell ist in der IPv6 Adresse noch eine Knackwurst

 

[T00L]

Ins Blaue geraten. Wenn du via Wireguard koppelst, hast du IPsec vorher ausgemacht?

Beide Verbindungen parallel funktionieren, habe IPSec am laufen gehabt, dann WireGuard eingeschaltet und IPSec deaktiviert.

PS: Ich nutze weiterhin IPsec, weil das bei mir an die 100 MBit Grenze des einen Anschlusses stößt.

IPSec liefert max ~1.5MByte/sec, WireGuard liefert Faktor 3. Damit schöpfst du eine 100MBps Anschluss (40MBps up) nicht aus.

 

[Wilhelm14]

Welche Fritzbox? Die 7590 kann IPSec in Hardware, was allerdings erst ab einer bestimmten Firmware genutzt wird. Damit gehen 100 MBit. (100/40 DSL gegen 400/200 Glasfaser). Siehe Screenshot.

 

[Paddii]

Ins Blaue geraten. Wenn du via Wireguard koppelst, hast du IPsec vorher ausgemacht?
Die IP-Adressen hast du beide angepasst oder genauer gesagt, geändert, damit nicht beide 178 haben?
https://avm.de/service/vpn/wireguard-vpn-zwischen-zwei-fritzbox-netzwerken-einrichten/
PS: Ich nutze weiterhin IPsec, weil das bei mir an die 100 MBit Grenze des einen Anschlusses stößt.

IPsec ist zwar noch aktiv (sonst komme ich ja nicht mehr ins webinterface der anderen FritzBox), aber sobald ich es ausschalte verliere ich auch die Verbindung ins andere Netzwerk.

Ich vermute mal ipsec war IPv4 und wireguard geht über IPv6. Hast du bei beiden Anschlüssen IPv6? Eventuell ist in der IPv6 Adresse noch eine Knackwurst

IPv6 ist bei beiden aktiv. Man scheint da aber auch keine Auswahl Möglichkeiten zu haben was man nutzen möchten

Welche Fritzbox? Die 7590 kann IPSec in Hardware, was allerdings erst ab einer bestimmten Firmware genutzt wird. Damit gehen 100 MBit. (100/40 DSL gegen 400/200 Glasfaser). Siehe Screenshot.

Also ich hab an einem 250/40 und an dem anderen 100/40. Beides mit der 7590.
Nur wenn ich zB. Remote Desktop nutze, merke ich halt schon öfters das es Grenzwertig wird. Daher dachte ich WireGuard bringt hier evtl. Etwas Besserung.

Zumindest laut der Fritzbox scheint die Verbindung ja aktiv zu sein. Sie funktioniert halt nur leider nicht :-(

Habe es jetzt mal komplett neu gemacht und das Problem besteht leider weiterhin…

 

[Wilhelm14]

Ich nutze halt noch kein Wireguard, kann da also kaum was zu sagen.
Sieht es in der Gegenstelle auch "grün" aus?
Kontaktierst du die Ziele mit 192.168.2.x oder via Namen?
Hast du es schon via IPv6 probiert?
tracert und ping auf eine IPv4 in der Gegenstelle?
Wie sieht es unter myfritz.net aus? Da finden sich Infos, wie die Fritzboxen aus dem Internet zu sehen sind.

 

[chrigu]

anders rum auch schon versucht, also von der anderen box aus?

 

[itschytoo]

Du kannst ja das Netzwerk nur für bestimmte clients freigeben. Hast Du das vielleicht gemacht?
Das verhält sich nicht so wie (zumindest ich) das erwartet hätte...

Gegenfrage:
Ich habe diverse andere Fritzboxen/Netze mittels wireguard mit meiner verbunden. Funktioniert super.
Wenn ich (ebenso per WG) von meinem Handy connecte kann ich zwar auf alle Geräte in meinem LAN zugreifen, nicht aber auf die weiteren verbunden Netzwerke. Auf die per ipsec verbundenen weiteren Netze kann ich zugreifen.
Wo kann ich da am Routing drehen?

 

[thompsen]

Hallo,
ich hatte das gleiche Problem... Alles step by step so gemacht wie in der Anleitung von AVM... Wireguard fritzbox <-> fritzbox. Verbindung steht (wird Grün angezeigt), aber ich kann leider auf nichts im anderen Netzwerk zugreifen.
Aber auch nachdem ich die Beiträge hier mehrfach gelesen habe war mir nicht klar, dass der letzte Beitrag über meiner Antwort, die Problemlösung ist!
"Das verhält sich nicht so wie (zumindest ich) das erwartet hätte..." trifft es voll und ganz, denn die Einstellung bzw. der berühmte falsch gesetzte Haken war zumindest in meinem Fall:

Nur bestimmte Geräte im Heimnetz sollen über diese WireGuard®-Verbindung erreichbar sein

der Satz müsste heißen:

Nur bestimmte Geräte im Heimnetz sollen diese WireGuard®-Verbindung verwenden können

Das "erreichbar sein" ist bidirektional zu verstehen. Es müssen also die Geräte zugelassen werden, die erreichbar sein sollen, aber auch die, die auf diese Verbindung zugreifen sollen!

Auch danach werden die Geräte des gekoppelten Netzes nicht sichtbar in z.B. der Windows Netzwerkumgebung erscheinen. Auch über die vergebenen Gerätenamen wirst du über diese Verbindung nicht auf deine Geräte im anderen Netz zugreifen können. Du kannst auf die anderen Geräte immer nur direkt mit deren IP Adresse des anderen Netzes zugreifen.

Hast du also deinem NAS und z.B. deinem Windows PC den Zugriff auf die WireGuard Verbindung erlaubt, kannst du dein NAS über die Adresszeile deines Explorers mit dessen IP Adresse erreichen:

Gib dazu folgendes ein:
\\<IP DES NAS>

wobei "\\" davor sein muss.

 

[xexex]

IPsec ist zwar noch aktiv (sonst komme ich ja nicht mehr ins webinterface der anderen FritzBox), aber sobald ich es ausschalte verliere ich auch die Verbindung ins andere Netzwerk.

Wie soll das eigentlich dann funktionieren? Es kann immer nur eine Route aktiv sein. Mal angenommen dein Netz ist 178 und die Gegenstelle 179 dann kann es nur über Ipsec oder Wireguard gehen und nicht beides gleichzeitig.

Das Webinterface kannst du ja für die Einrichtung auch direkt aus dem Internet erreichbar machen und nochmal ausprobieren.

 

[TitoP]

Ins Blaue geraten. Wenn du via Wireguard koppelst, hast du IPsec vorher ausgemacht?
Die IP-Adressen hast du beide angepasst oder genauer gesagt, geändert, damit nicht beide 178 haben?
https://avm.de/service/vpn/wireguard-vpn-zwischen-zwei-fritzbox-netzwerken-einrichten/
PS: Ich nutze weiterhin IPsec, weil das bei mir an die 100 MBit Grenze des einen Anschlusses stößt.

Kann mir vielleicht einer sagen, wie deren Begriffszuordnung "Filiale" und "Zentrale" gemeint sein soll? Welches ist die entfernte Fritzbox auf die ich zugreifen möchte? Konkreter Fall ich will von meinem Anschluss (FB 6591) auf die FB meiner Eltern (7490) zugreifen können, zwecks Wartung. Also ich bin sozusagen "Cheffe".

Wo ist denn meine Fritzbox dann zu sehen? Filiale? Zentrale? Ich finde dieses Wording total verwirrend, weil ja in der Kostellation Zentrale zu Filiale jede Verbindung sinnvoll sein kann. Sprechender fände ich "Master-Fritzbox" (in diesem Fall meine) hin zu "entfernter Fritzbox" (die meiner Eltern).

Was ist jetzt was?

 

[Wilhelm14]

Eine Wireguard Site2Site Koppelung habe ich noch nicht gemacht, aber bei IPSec zwischen zwei Standorten ist das im Grunde egal. Die Standorte sehen "spiegelbildlich" aus, da gibt es kein "Cheffe".
Bei Wireguard sieht das auf den ersten Blick genauso aus.
Probier es doch aus. Richte auf Deiner 6591 Wireguard ein und die erstellte Datei trägst Du zur 7490, wie in der Anleitung.
Wichtig ist halt, dass beide Fritzboxen verschiedene Netze haben und nicht beide 192.168.178.0. Z.B. statt der 178 jeweils die Hausnummer. Oder 100.0 und 200.0 usw.

 

[chrigu]

wireguard funktioniert nicht, wenn ipsec läuft.