App Zugriff über VPN Tunnel

[Daniel Albert]

Hallo, möchte zu unseren Ferienwohnungen einen Wireguard VPN Tunnel erstellen und damit einige Geräte steuern. Die meisten Geräte sind in den Ferienwohnungen mit WLan verbunden und können über eine App gesteuert werden. Kann ich mein Handy bei mir zu Hause mit dem externen Fritzbox Router so verbinden das ich die Apps von da aus steuern kann ?

Gruß Daniel

 

[JumpingCat]

Ja mit Wireguard wenn du dein Router das kann. Du brauchst dann aber dyndns, IPV4 Public oder IPV6. Wenn du das nicht hast, dann wird es etwas komplizierter.
Geräte die man per App steuern kann, laufen aber in der Regel eh über public Internet/ chinesische Clouds.

 

[Avenger84]

Was hat die Ferienwohnung für einen Anschluss?
DSL oder LTE?

 

[Wilhelm14]

Die Fritzbox in der Ferienwohnung erreichst Du mit myfritz.net
myfritz.net ist der DynDNS-Dienst von AVM.
Damit erreiche ich auch einen LTE-Router mit Vodafone (Klarmobil-SIM) von außen.
Ich nutze allerdings kein WireGuard, sondern IPsec (weil meine Router das in Hardware können.)

Ob die "smarten" Apps die Geräte erreichen: Kommt darauf an, wie die das umsetzen.
Manche Apps blicken nur ins LAN und "sehen" nicht das andere Netz am entfernten Router.
Mir fällt aus der Vergangenheit eine TP-Link-App sein.
Meine Reolink-App sucht meiner Erfahrung nach auch erst im LAN, man kann aber manuell die IP aus dem anderen Netz angeben.

PS: Wenn "zu Hause " auch eine Fritzbox läuft, kann man auch Fritzboxen direkt site-to-site koppeln.

 

[keinFischBitte]

Wenn in den Ferienwohnungen andere Leute als deine Familie untergebracht werden, dann bitte keine site-to-site Kopplung. Wenn du unbedingt was steuern musst, dann mache eine normale Wireguard Verbindung mit MyFritz auf der Fritzbox für dein Handy, dass du dann bei Bedarf einschaltest.
Wichtig wäre, dass du den IP Bereich der Ferienwohnungen soweit verstellst, dass der nicht mit deinem IP Bereich zuhause überlappt.
Ansonsten ganz normal an die Anleitungen von Fritz halten und dann bekommst du das super einfach eingerichtet.

 

[Daniel Albert]

Ja mit Wireguard wenn du dein Router das kann. Du brauchst dann aber dyndns, IPV4 Public oder IPV6. Wenn du das nicht hast, dann wird es etwas komplizierter.
Geräte die man per App steuern kann, laufen aber in der Regel eh über public Internet/ chinesische Clouds.

Das mit den Public habe ich mir auch schon gedacht. Kann ich erst in einigen Wochen testen. DynDns usw. ist kein Problem

Ergänzung (Dienstag um 22:47)

Was hat die Ferienwohnung für einen Anschluss?
DSL oder LTE?

Das ist eine spannende Frage. Es soll dieses Jahr noch Glasfaser gelegt werden. Wenn das nicht klappt Starlink - was anderes macht dort keinen Sinn

Ergänzung (Dienstag um 22:51)

Wenn in den Ferienwohnungen andere Leute als deine Familie untergebracht werden, dann bitte keine site-to-site Kopplung. Wenn du unbedingt was steuern musst, dann mache eine normale Wireguard Verbindung mit MyFritz auf der Fritzbox für dein Handy, dass du dann bei Bedarf einschaltest.
Wichtig wäre, dass du den IP Bereich der Ferienwohnungen soweit verstellst, dass der nicht mit deinem IP Bereich zuhause überlappt.
Ansonsten ganz normal an die Anleitungen von Fritz halten und dann bekommst du das super einfach eingerichtet.

Stimmt oh man bin ich blöd. Ich kann ja auch einen Wireguard zu einem Handy aufbauen somit bin ich mit dem Handy ja in dem Netzwerk. Somit sollten wenn die Apps keine Cloudsystem verwenden ebenfalls steuerbar sein - Danke muss ich mal testen

 

[Avenger84]

Falls es ein privater LTE Vertrag ist: du kommst von außen nicht rein, die Mobilfunk Firewall lässt keine eingehenden Verbindungen zu.
Das wusste ich bis vor kurzem nicht.

Daher muss die LTE Seite die Verbindung initiieren.

Blöd nur wenn die LTE Seite keinen IPv6 Präfix bekommt und die andere Seite ein CGNAT/DS-Lite Anschluss ist.

 

[Wilhelm14]

Wie ich bereits schreib, geht das mit AVMs Fritzboxen.
Der myfritz-Dienst wird sich vom Mobilfunk-Router zu myfritz.net anmelden, sodass myfritz.net dann wieder zurück ins LAN des Mobilfunk-Routers kann.
Bei meiner Klarmobils-SIM gehe ich davon aus, dass es ein "privater" Vertrag ist.
Die ganzen Hinweise mit Mobilfunk-Firewall sind mir bekannt. Irgendwo habe ich sogar ein Thema damit, wo mir Probleme dahingehend prophezeit wurden.
(Edit:
Hier das Thema: https://www.computerbase.de/forum/t...sb-modem-fuer-fritzbox.2117725/#post-30214376
Da lag das Problem zuerst am LTE-Stick, mit einer "echten" LTE-Fritzbox hat es dann funktioniert.)

Allerdings trifft davon nichts bei mir zu, es funktioniert.
Was myfritz.net da genau macht und warum es dann funktionert, kann ich nicht sagen.

 

[Avenger84]

@Wilhelm14 hast du FritzBox LTE <->FritzBox DSL/GF per Wireguard am laufen bei dir? Läuft das reibungslos auch bei Neuverbindung?

 

[Wilhelm14]

Ich habe drei Fritzboxen, akutell DSL, Glas, Mobilfunk Site-2-Site mit IPSec gekoppelt (im Grunde im Dreieck). Dabei gibt man ja jeweils "spiegelverkehrt" die Gegensstellen ein - fertig. Mit Wireguard habe ich bis jetzt nur Client/Smartphone zur Fritzbox mit WireGuard geschafft. Versuche ich dort Site-2-Site, erstellt man irgendwie eine Wireguard-Konfiguration, welche man dann um die weiteren Firtizboxen "erweitern" soll. Ich habe mich einmal stumpf/dumm/naiv an die Anleitung gehalten, hat nicht funktioniert. Dann habe ich versucht die Konfiguration zu verstehen: habe ich nicht. In der Konfig kam mir einiges unlogisch vor, aber ich wusste nicht, wie ich es zu korrigieren hatte.

Daher habe ich eben IPSec genommen, obwohl immer Wireguard propagiert wird. Damit komme ich auch aus vom Smartphone, von unterwegs (Telekom) auf die LTE-Fritzbox (Vodafone/Klarmobil). Ohne Business-Anschluss. Warum das früher nicht ging, heute aber schon, kann ich nicht mit Bestimmtheit sagen. Öffentliche IP, IPv6, CG-NAT, DS-Lite, Firewall im Mobilfunknetz? Vielleicht hat der Myfritz-Dienst irgendeinen Trick eingeführt.

PS: Zur Grundfrage, bei WireGuard kann ich es nicht sagen, aber bei IPSec verbindet sich das auch bei Neuverbindung, seit Monaten (oder mittlerweile Jahren).

PPS: Die eigentliche Grundfrage ist ja der App-Zugriff.
Das ist nochmal ein anderes Thema, wenn die Apps per upnp, casts, nur im Netz, ... gucken, und man nicht manuell eine IP aus einem anderen Netz angeben kann.