Wireguard und Heimnetz

[shack75]

Hallo,

ich habe einen kleinen vServer gemietet, dort läuft Wireguard und PiHole. Funktioniert auch einwandfrei.

Problem: zu Hause kann ich so mein Netzwerk (192.168.178.0 - 192.168.178.255) natürlich nicht erreichen (z. B. den Netzwerkdrucker).

Die Wireguard Client-Config ist:

[Interface]
PrivateKey = ***
Address = 10.191.194.34/32
DNS = 10.2.3.1

[Peer]
PublicKey = ***
PresharedKey = ***
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = mein vServer mit Port

Mir ist mittlerweile klar, dass mit "AllowedIPs = 0.0.0.0/0, ::/0" der gesamte Traffic durch den Tunnel geht somit auch jede Anfrage an mein Heimnetz und das dadurch nicht erreichbar ist.

Mir ist auch klar, dass ich nicht einfach mein Heimnetz "192.168.178.0 schräg irgendwas" nicht einfach ausnehmen kann.

Ich glaube zu wissen, dass ich jetzt unter "AllowedIPs" quasi alles eintragen muss, außer meinem Heimnetz und ich so zu Hause mein Heimnetzwerk erreichbar mache.

Hier bin ich jetzt aber überfordert.

Weiß jemand Rat?

Danke und Gruß,
Shack.

 

[Korben2206]

Wenn ich das richtig verstanden hab kommt unter AlowedIPs dein Heim-Subnetz.

https://www.stavros.io/posts/how-to-configure-wireguard/

 

[shack75]

Dann würde mein Heimnetz komplett über Wireguard laufen, das tut es ja bereits mit "AllowedIPs = 0.0.0.0/0, ::/0".

Was ich aber möchte ist, dass ein Aufruf des Heimnetzes 192.168.178.0 - 192.168.178.255 (ist das 192.168.178.0/24 ?) gerade nicht in den Tunnel geht.

Alles andere aber schon.

 

[Korben2206]

Oh.. du wählst dich zu Hause per Wireguard auf dem vServer in dein Heimnetz ein? Ok...

 

[shack75]

Ursprünglich hatte ich zu Hause einen Raspi mit PiHole laufen. Geht auch von unterwegs aus, ich weiß, aber der vServer ist einfach schneller. So lasse ich jetzt einfach mein Pihole hinter Wireguard extern laufen und bin damit sehr zufrieden. Alles geht schnell, der Filter läuft und man hat alles unter Kontrolle.

Ich könnte zu Hause parallel noch den Raspi betreiben, aber warum 2 x, wenn es auch anders geht.

Nur eben wie?

Ergänzung (5. November 2022)

Ich bin auf das hier gestoßen, falls das jemandem helfen sollte, mir zu helfen, ich bin da, äh, zu doof unbewandert dazu:

https://www.lautenbacher.io/lamp/wireguard-eine-einzelne-ip-adresse-ausschliessen/

 

[Korben2206]

vllt. hilft das: https://www.procustodibus.com/blog/2021/03/wireguard-allowedips-calculator/

 

[shack75]

Ouuuuu, das sieht klasse aus. Super!

Eine Frage noch.

192.168.178.0 - 192.168.178.255 ist das 192.168.178.0/24 ?

 

[Korben2206]

PS: auch unten unter "A better alternative" lesen

Ergänzung (5. November 2022)

Eine Frage noch.

192.168.178.0 - 192.168.178.255 ist das 192.168.178.0/24 ?

ja

 

[shack75]

vllt. hilft das: https://www.procustodibus.com/blog/2021/03/wireguard-allowedips-calculator/

Juhuuuu, es läuft.

Für andere, die vielleicht das gleiche Problem haben zum Nachbauen:

Ich habe dort unter unter AllowedIPs "0.0.0.0/0, ::/0" und unter DisallowedIPs "0.0.0.0/8, 10.0.0.0/8, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.168.0.0/16, 240.0.0.0/4, fc00::/7, fe80::/10" eingegeben, also einfach mal alle privaten Netzwerke ausgeschlossen.

Daraufhin wurde mir das ausgegeben:

AllowedIPs = 1.0.0.0/8, 2.0.0.0/7, 4.0.0.0/6, 8.0.0.0/7, 11.0.0.0/8, 12.0.0.0/6, 16.0.0.0/4, 32.0.0.0/3, 64.0.0.0/3, 96.0.0.0/4, 112.0.0.0/5, 120.0.0.0/6, 124.0.0.0/7, 126.0.0.0/8, 128.0.0.0/3, 160.0.0.0/5, 168.0.0.0/8, 169.0.0.0/9, 169.128.0.0/10, 169.192.0.0/11, 169.224.0.0/12, 169.240.0.0/13, 169.248.0.0/14, 169.252.0.0/15, 169.255.0.0/16, 170.0.0.0/7, 172.0.0.0/12, 172.32.0.0/11, 172.64.0.0/10, 172.128.0.0/9, 173.0.0.0/8, 174.0.0.0/7, 176.0.0.0/4, 192.0.0.0/9, 192.128.0.0/11, 192.160.0.0/13, 192.169.0.0/16, 192.170.0.0/15, 192.172.0.0/14, 192.176.0.0/12, 192.192.0.0/10, 193.0.0.0/8, 194.0.0.0/7, 196.0.0.0/6, 200.0.0.0/5, 208.0.0.0/4, 224.0.0.0/4, ::/1, 8000::/2, c000::/3, e000::/4, f000::/5, f800::/6, fe00::/9, fec0::/10, ff00::/8

Das habe ich dann im Client als AllowedIPs eingetragen.

Läuft!

Die Alternative mit PreUp und PostDown verstehe ich nicht, aber das macht nichts, es läuft und ich kann sehr gut damit leben.

Danke!!!

 

[Digitalzombie]

Benutzt du den Softwareclient zu Hause?

Vielleicht wäre es sinnvoll WG auf deinen Router zu verlegen (wenn möglich) und so alle deine Netzwerkgeräte drüber laufen zu lassen. Dann musst du deine internen IPs auch nicht einzeln ausschließen. Vllt ein Upgrade für die Zukunft

 

[riversource]

Genau die "better Alternative" aus dem verlinkten Artikel ist der Weg. Das Eintragen eines riesigen Blocks erlaubter IPs ist nicht zu empfehlen!

Dein Gerät hat ein Netzwerkinterface im Heimnetz und folglich eine passende Subnetzroute dahin. Das einzige, wofür du sorgen muss, ist, dass diese Subnetzroute eine kleinere Metrik hat, als die Wireguard Default Route. Routen mit kleinerer Metrik werden bevorzugt. Danach geht alles von allein.

 

[shack75]

Benutzt du den Softwareclient zu Hause?

Vielleicht wäre es sinnvoll WG auf deinen Router zu verlegen (wenn möglich) und so alle deine Netzwerkgeräte drüber laufen zu lassen. Dann musst du deine internen IPs auch nicht einzeln ausschließen. Vllt ein Upgrade für die Zukunft

Ist leider nicht möglich, das das meine aktuelle Fritz nicht kann. Bestimmt könnte man was mit dem Raspi basteln, aber das ist mir zu hoch.

Zumal ich verschiedenen Clients verschiedene Filter zuweise. Das Handy und der PC meines Großen sind da deutlich eingeschränkter als meines ;-)

Das Eintragen eines riesigen Blocks erlaubter IPs ist nicht zu empfehlen!

Wieso? Zuvor war als Standard 0.0.0.0/0, ::/0 (also alles) eingetragen.

Dein Gerät hat ein Netzwerkinterface im Heimnetz und folglich eine passende Subnetzroute dahin. Das einzige, wofür du sorgen muss, ist, dass diese Subnetzroute eine kleinere Metrik hat, als die Wireguard Default Route. Routen mit kleinerer Metrik werden bevorzugt. Danach geht alles von allein.

Puuuuuuh... Das klingt kompliziert.

Wenn Du möchtest, kannst Du es mir gerne erklären, ich lerne sehr gerne dazu.

Ergänzung (5. November 2022)

Ergänzung:

Außer dem Block an Freigaben bleibt bei Mobilgeräten nichts anderes übrig.

As you can see, subtracting one block of IP address from another block can result in a painfully long list of blocks to add to the AllowedIPs setting. On some platforms, like mobile phones, you don’t have any other options — but on Linux, you have some powerful routing tools available that can simplify the situation.

 

[riversource]

Wieso? Zuvor war als Standard 0.0.0.0/0, ::/0 (also alles) eingetragen.

Ja, es ist ein Eintrag. Das ist ok.

Das Problem ist: Viele Einträge erlaubter Subnetze führt zu vielen einzelnen Routen, die benutzt werden müssen. Da die Routing Tabelle bei jedem Paket abgeklappert wird, ist das sehr schlecht für die Performance des Gerätes. Das ganze wird sehr träge und zäh werden.

Dazu kommt: Du kannst dein Handy ab sofort nur noch zu Hause einsetzen. Da du alle anderen Subnetze nun explizit aufs VPN legt, wird weder Mobilfunk noch ein anderes WLAN funktionieren. Oder du lässt bei jedem IP Wechsel die Liste der Netze neu berechnen und richtest das VPN neu ein. Nicht sonderlich praktisch.