Fritzbox 6690 mit DS-Lite routet traffic nicht durch Wireguard VPN.

[moritzroessler]

Ich habe eine Fritzbox 6690 und würde diese gerne mit einem VPN (Surfshark) über Wireguard verbinden und allen Traffic durch das VPN routen.

Ich habe die VPN Verbindung über Wireguard hinzugefügt und das Häckchen gesetzt, dass IPv4 Traffic durch den Tunnel geroutet wird.

Die Wireguard Verbindung wird auch erfolgreich aufgebaut und ich habe bei den Endgeräten IPv6 deaktiviert.

Wenn ich jetzt meine IP anschaue habe ich allerdings immer noch eine öffentliche Vodafone IP. Wieso wird der Traffic nicht durch Wireguard geroutet und wie bekomme ich die Box dazu IPv4 Traffic durch Wireguard zu routen?

Noch besser wäre es IPv6 Traffic durch ein VPN zu routen, da weiß ich aber nicht wie das gehen soll.

 

[Drewkev]

Wenn ich jetzt meine IP anschaue habe ich allerdings immer noch eine öffentliche Vodafone IP.

Wo schaust du die an? Wer/was ist dein Standardgateway?

 

[Fujiyama]

Das du ne öffentliche IP bekommst sollte normal sein, ist normal mit irgend einer öffentlichen IP muss du ja im Internet unterwegs sein, mit der IP des verbundenen Ziel VPN Netzes.

 

[till69]

Noch besser wäre es IPv6 Traffic durch ein VPN zu routen

Das kann FritzOS wohl (noch) nicht

 

[moritzroessler]

Wo schaust du die an? Wer/was ist dein Standardgateway?

Auf https://www.wieistmeineip.de/

Da steht die IP von Vodafone, nicht die vom VPN Anbieter.

Das Standardgateway des Client ist natürlich die Fritzbox, IPv4 über DHCP, IPv6 deaktiviert damit es netzintern IPv4 Traffic ist.

Laut meinem Verständniss sollte die Fritzbox ausgehenden IPv4 Traffic durch den Wireguard Tunnel routen, nicht direkt durch DS-Lite

Das du ne öffentliche IP bekommst sollte normal sein, ist normal mit irgend einer öffentlichen IP muss du ja im Internet unterwegs sein, mit der IP des verbundenen Ziel VPN Netzes.

Ja, nur leider ist die öffentliche IP die von Vodafone, nicht die des VPN Anbieters

 

[Drewkev]

Da steht die IP von Vodafone, nicht die vom VPN Anbieter.

Warum sollte da die von WireGuard stehen? Das ist kein VPN-Anbieter wie NordVPN, sondern nur ein Client.

 

[zambolic]

Vermutlich willst du so etwas wie eine Site-to-Site Verbindung herstellen.
Ich kenne mich da aber mit den Details nicht aus.

 

[chrigu]

Ich habe eine Fritzbox 6690 und würde diese gerne mit einem VPN (Surfshark) über Wireguard verbinden und allen Traffic durch das VPN routen.

Nein. Du verwechselst zwei paar Schuhe mit zwei Äpfeln.
wireguard ipsec usw. Verwendet man um eine direkte und verschsselte Leitung zu einem anderen Router zu machen. Zb. Vom Betrieb zu dir nach Hause. Vorteil: alles verschlüsselt, niemand kann sehen was zwischen Betrieb und dir passiert. Nachteil: die Datenrate entspricht dem kleinsten nennen minus cpu Leistung des routers.

surfshark ist ein vpn-Dienstleister bei dem du dein gesamtes Internet-tun über seinen Server schickt, der danach deine Daten ins Internet schickt. Vorteil: du kannst geoblocking umgehen. Nachteil der vpn-Dienstleister kann mitlesen, mitloggen, deine Daten verkaufen, deine Suchmaschinen Anfragen manipulieren und noch vieles mehr. Im Gegenzug verspricht er dir Anonymität, kann dies aber nicht halten.

 

[riversource]

Wie dem auch sei, das müsste funktionieren, auch wenn es keinen Sinn macht. Und wenn man das Default-Gateway umleitet, dann muss auch die IP des VPN Providers auf den Infoseiten auftauchen, nicht die von Vodafone.

Hast du dich an die AVM Anleitung zur Einrichtung gehalten? Zeige mal die wg.conf, die du hochgeladen hast.

 

[moritzroessler]

Nein. Du verwechselst zwei paar Schuhe mit zwei Äpfeln.
wireguard ipsec usw. Verwendet man um eine direkte und verschsselte Leitung zu einem anderen Router zu machen. Zb. Vom Betrieb zu dir nach Hause. Vorteil: alles verschlüsselt, niemand kann sehen was zwischen Betrieb und dir passiert. Nachteil: die Datenrate entspricht dem kleinsten nennen minus cpu Leistung des routers.

surfshark ist ein vpn-Dienstleister bei dem du dein gesamtes Internet-tun über seinen Server schickt, der danach deine Daten ins Internet schickt. Vorteil: du kannst geoblocking umgehen. Nachteil der vpn-Dienstleister kann mitlesen, mitloggen, deine Daten verkaufen, deine Suchmaschinen Anfragen manipulieren und noch vieles mehr. Im Gegenzug verspricht er dir Anonymität, kann dies aber nicht halten.

Wüsste nicht was ich da verwechsle. IPSec wird von den meisten VPN Anbietern nicht mehr unterstützt. Nur OpenVPN oder WireGuard.

Ich will ja eine Verbindung von meinem Router zu einem VPN Server aufbauen. Ich will einfach nur mein Heimnetz Traffic durch ein VPN tunneln. Wüsste nicht was daran unüblich ist.

Da die FritzBox kein OpenVPN kann, muss ich Wireguard verwenden um einen Tunnel von der Fritzbox zum VPN Anbieter (Surfshark) aufzubauen.

Die Fritzbox sollte nach einrichten der VPN Verbindung allen Traffic durch den Wireguard Endpoint tunneln.

Das macht sie aber nicht, stattdessen läuft der Traffic direkt über DS-Lite.

Das alles macht durchaus Sinn und ich bin definitiv nicht der einzige der seinen Router verwendent um alle Clients hinter einen VPN zu packen.

Ich brauche das um meinen Fernseher der kein VPN kann durch ein VPN zu tunneln (und allen traffic von devices die mein WLAN nutzen, z.b. Gäste)..

Wie dem auch sei, das müsste funktionieren, auch wenn es keinen Sinn macht. Und wenn man das Default-Gateway umleitet, dann muss auch die IP des VPN Providers auf den Infoseiten auftauchen, nicht die von Vodafone.

Hast du dich an die AVM Anleitung zur Einrichtung gehalten? Zeige mal die wg.conf, die du hochgeladen hast.

Ich hab mich an die Anleitung von Surfshark gehalten. Es hat auch geklappt die VPN verbindung aufzubauen, aber die FB tunnelt den Traffic nicht...

 

[Raijin]

Ich will ja eine Verbindung von meinem Router zu einem VPN Server aufbauen. Ich will einfach nur mein Heimnetz Traffic durch ein VPN tunneln. Wüsste nicht was daran unüblich ist.

Lies dir bitte diesen Artikel zu VPN-Diensten durch. Es ist wirklich keine gute Idee, das Heimnetzwerk einem VPN-Dienstleister derart preiszugeben.

Ergänzung (26. September 2023)

Ich brauche das um meinen Fernseher der kein VPN kann durch ein VPN zu tunneln (und allen traffic von devices die mein WLAN nutzen, z.b. Gäste)..

VPNs nutzt man als Rasiermesser und nicht als Dampfhammer. Wenn du für deinen TV unbedingt VPN brauchst, dann löse dieses "Problem" so, dass nur der TV über das VPN geht, aber nicht das gesamte Netzwerrk mit j e d e m einzelnen Gerät und j e d e m Bit deiner Onlinepräsenz....

 

[riversource]

Gut finde ich die Lösung ebenfalls nicht.

Ich hab mich an die Anleitung von Surfshark gehalten.

Du solltest die Anleitung von AVM befolgen. Es sind bei Fritzboxen sind einige Besonderheiten bei der VPN Erstellung zu beachten. Das haben die Anbieteranleitungen nicht berücksichtigt.

 

[moritzroessler]

Lies dir bitte diesen Artikel zu VPN-Diensten durch. Es ist wirklich keine gute Idee, das Heimnetzwerk einem VPN-Dienstleister derart preiszugeben.

Ergänzung (26. September 2023)

VPNs nutzt man als Rasiermesser und nicht als Dampfhammer. Wenn du für deinen TV unbedingt VPN brauchst, dann löse dieses "Problem" so, dass nur der TV über das VPN geht, aber nicht das gesamte Netzwerrk mit j e d e m einzelnen Gerät und j e d e m Bit deiner Onlinepräsenz....

Danke für die ausführliche Antwort, ich werde das noch einmal überdenken.

Vermutlich hole ich mir einen FireTV Stick, da der Fernseher selbst kein VPN unterstützt. Dann läuft nur der FireTV stick durch den VPN.

Würde mich trotzdem interessieren warum der Traffic nicht durch den VPN geroutet wird. Fehlt da eine statische Route zu dem wireguard endpoint?

 

[Drewkev]

Fehlt da eine statische Route zu dem wireguard endpoint?

Nochmal. WireGuard ist kein VPN-Anbieter.

 

[zambolic]

Aber der VPN Anbieter (Surfshark) stellt doch den Wireguard Endpoint bereit!
Wenn man sich die Anleitung von Surfshark für die Frirtzbox ansieht, würde ich aus dem OP Text herauslesen, dass alles richtig eingestellt ist.

 

[Drewkev]

Wir wissen halt immer noch nicht wie genau der konfigurierte Tunnel aussieht, ergo kann man hier nur spekulieren.

 

[Raijin]

Vermutlich hole ich mir einen FireTV Stick, da der Fernseher selbst kein VPN unterstützt. Dann läuft nur der FireTV stick durch den VPN.

Wieso sollte er das? Ob TV oder FireTV-Stick, das ändert nichts an der VPN-Konfiguration im Router - wenn sie denn so funktioniert wie sie sollte.

Wenn du im Router das VPN so einstellst, dass alles über das VPN geroutet wird, dann ist es egal welches Gerät in deinem Heimnetzwerk eine Verbindung ins Internet herstellen will. Dein PC, auf dem du Fortnite zockst, der Laptop, auf dem du im Browser auf computerbase.de surfst, dein Smartphone, auf dem du gerade deine Banking-App benutzt oder der TV/Fire-TV-Stick, der gerade einen Stream aus der Mediathek abruft. Genau das ist ja das Ding, wenn man nur für den TV/FireTV ein VPN nutzen will, aber dann gleich alles andere auch noch über einen zweifelhaften VPN-Anbieter geht.

Das Harmloseste wäre es noch, wenn du beim Online-Gaming plötzlich wegen VPN in die USA auf nem US-Server mit entsprechend miesem Ping landest. Im Worst Case landen jedoch die gesammelten Daten deiner Online-Präsenz mit Nutzungsprofil und allem pipapo bei einer Firma mit Sitz in sonstwo und den dortigen geltenden Datenschutzgesetzen.

Deswegen nutzt man VPN explizit nur für bestimmte Ziele wie zB im HomeOffice-Szenario, bei dem das Firmennetzwerk und nur das Firmennetzwerk via VPN geroutet wird, oder andersherum nur bestimmte Quellen (zB nur der TV) durch das VPN gehen. Bei Router-VPNs muss man genau hinsehen ob das überhaupt geht und wenn ja wie man das konfigurieren muss. "Das-gesamte-Netzwerk-via-VPN" ist aber ganz allgemein eine sehr schlechte Idee, wenn dir das Ziel des VPNs nicht bekannt ist - bekannt im Sinne von Zugriff auf die VPN-Konfig des Servers bzw. des entsprechenden Admins.

 

[riversource]

Würde mich trotzdem interessieren warum der Traffic nicht durch den VPN geroutet wird.

Ich vermute, die Konfiguration passt nicht.

 

[moritzroessler]

Nochmal. WireGuard ist kein VPN-Anbieter.

Mir ist klar, dass WireGuard kein VPN Anbieter ist. Aber Surfshark ist ein VPN Anbieter und dieser stellt einen Wireguard Endpunkt bereit mit dem sich die FritzBox verbinden kann. Das ist jetzt nicht sonderlich kompliziert. Da wird einfach ein Tunnel von Fritzbox zu Surfshark über Wireguard aufgebaut...

Wieso sollte er das? Ob TV oder FireTV-Stick, das ändert nichts an der VPN-Konfiguration im Router - wenn sie denn so funktioniert wie sie sollte.

Wenn du im Router das VPN so einstellst, dass alles über das VPN geroutet wird, dann ist es egal welches Gerät in deinem Heimnetzwerk eine Verbindung ins Internet herstellen will. Dein PC, auf dem du Fortnite zockst, der Laptop, auf dem du im Browser auf computerbase.de surfst, dein Smartphone, auf dem du gerade deine Banking-App benutzt oder der TV/Fire-TV-Stick, der gerade einen Stream aus der Mediathek abruft. Genau das ist ja das Ding, wenn man nur für den TV/FireTV ein VPN nutzen will, aber dann gleich alles andere auch noch über einen zweifelhaften VPN-Anbieter geht.

Das Harmloseste wäre es noch, wenn du beim Online-Gaming plötzlich wegen VPN in die USA auf nem US-Server mit entsprechend miesem Ping landest. Im Worst Case landen jedoch die gesammelten Daten deiner Online-Präsenz mit Nutzungsprofil und allem pipapo bei einer Firma mit Sitz in sonstwo und den dortigen geltenden Datenschutzgesetzen.

Deswegen nutzt man VPN explizit nur für bestimmte Ziele wie zB im HomeOffice-Szenario, bei dem das Firmennetzwerk und nur das Firmennetzwerk via VPN geroutet wird, oder andersherum nur bestimmte Quellen (zB nur der TV) durch das VPN gehen. Bei Router-VPNs muss man genau hinsehen ob das überhaupt geht und wenn ja wie man das konfigurieren muss. "Das-gesamte-Netzwerk-via-VPN" ist aber ganz allgemein eine sehr schlechte Idee, wenn dir das Ziel des VPNs nicht bekannt ist - bekannt im Sinne von Zugriff auf die VPN-Konfig des Servers bzw. des entsprechenden Admins.

Naja, weil ich den VPN auf dem FireTV konfigurieren kann. Der VPN Tunnel auf dem Router funktioniert ja nicht, also scheint meine einzige alternative auf dem FireTV stick direkt eine Verbindung zu Surfshark aufzubauen und den Router so zu lassen wie er ist. (Wie gesagt, der Tunnel funktioniert ja eh nicht, bringt also im moment nichts).

Wenn ich das VPN über den Router konfiguriere kann ich auch selektiv nur Traffic vom Fernseher durch den VPN tunneln und alles andere wird direkt über DSLite geroutet.

Aber der VPN Anbieter (Surfshark) stellt doch den Wireguard Endpoint bereit!
Wenn man sich die Anleitung von Surfshark für die Frirtzbox ansieht, würde ich aus dem OP Text herauslesen, dass alles richtig eingestellt ist.

Ganz genau. Der Tunnel wird auch aufgebaut. Es wird nur nicht der Traffic durch den Tunnel geroutet, deshalb die Frage ob mir eine statische Route fehlt. Wüsste zwar nicht was ich als Standardgateway eintrage (die Wireguard endpoint IP?) aber das könnte zumindest ein Grund sein.

 

[riversource]

Es wird nur nicht der Traffic durch den Tunnel geroutet, deshalb die Frage ob mir eine statische Route fehlt.

Nein, da der Tunnel-Endpunkt ja auf der Fritzbox ist. Wäre der Tunnel-Endpunkt irgendwo bei dir im Heimnetz, dann könnte eine statische Route helfen, allerdings wird das mit der Default-Route auch schwierig.

Welche Netze über den VPN Tunnel geroutet werden und welche nicht, wird bei dir ausschließlich über die wg.conf bestimmt.