Fritzbox, DuckDNS und Wireguard - kein Zugriff von extern

[frazzlerunning]

Hilfe...

Ich komme von extern (mit oder ohne Wireguard) nicht ins Heimnetzwerk.

Folgende Konstellation:

Spusu Glasfaser
ONT von ZTE (Modell ZHN F2801S)
Fritzbox 7530 AX
Proxmox mit nginx über LAN
StandPC über LAN
diverse WLAN-Geräte

In der Fritz weboberfläche sind Portfreigaben für den nginx proxy gesetzt (80 und 443) sowie DuckDNS als DynDNS und die Wireguard-Verbindung zu meinem iPhone.

Wenn ich am StandPC die *.duckdns.org aufrufe komme ich auf die Weboberfläche der Fritzbox, wenn ich die öffentliche IP (lt. DuckDNS) aufrufe, lande ich auf der nginx landing-page (weil in nginx noch nichts eingerichtet ist).
Am iphone im WLAN (ohne Wireguard) habe ich dasselbe Ergebnis.

Über mobiles Internet am iPhone (ohne Wireguard) komme ich über die öffentliche IP auf die nginx, aber mit der *.duckdns.org nicht auf die Fritz-Web.
Und mit Wireguard im mobilen Internet geht am iPhone dann gar nichts mehr, da komme ich auch nicht auf google.at.

Ich vermute daher, dass in den Fritzbox Einstellungen irgendwo ein Fehler ist, aber wo?

 

[frazzlerunning]

Hat keiner eine Idee?

 

[redjack1000]

Wer ist denn

ip16Franz?

CU
redjack

 

[frazzlerunning]

Ja, mein iphone, halt die Wireguard Verbindung

 

[rezzler]

Was passiert denn, wenn du die Portweiterleitungen rausnimmst?

Davon ab bist du mit dem iPhone ja bereits im Heimnetzwerk, wenn die FB das anzeigt. Du müsstest dann auf die internen Geräte zugreifen können. Vielleicht per IP oder internem Namen ausprobieren?

Wenn ich mich aus dem Mobilfunknetz mit meinem Android via Wireguard mit meiner 7490 verbinde surfe ich dann über die 7490.

 

[TomH22]

Du solltest auf Deinem iPhone ein Tool wie HE Network Tools installieren, mit dem man Dinge wie ping, nslookup, usw. machen kann. Dann kannst Du z.B. rausfinden auf welche IP Adressen Namen aufgelöst werden. Nicht das irgendwo z.B. Deine CGNAT IPv4 (die 100.x.x.x) aufgelöst wird.

Mit Deinen bisherigen Erklärungen ist auch noch nicht so ganz klar, wie Dein Setup genau aussieht.

Ergänzung (Montag um 10:42)

Anstatt duckdns kannst Du auch einfach myfritz.net verwenden, der Vorteil ist, dass Fritzboxen das mehr oder weniger automatisch konfigurieren.

 

[frazzlerunning]

Anstatt duckdns kannst Du auch einfach myfritz.net verwenden, der Vorteil ist, dass Fritzboxen das mehr oder weniger automatisch konfigurieren.

Das hab ich schon versucht, bin noch mehr gescheitert als jetzt mit DuckDNS.
Ich hatte mit *.myfritz.link von extern (ohne Wireguard) gar keinen Zugriff auf die Fritzbox, und bin nicht zum nginx gekommen, und auch mit Wireguard konnte ich weder surfen, noch auf das Heimnetzwerk zugreifen.
Mit DuckDNS geht zumindest der externe Zugriff auf nginx.

Davon ab bist du mit dem iPhone ja bereits im Heimnetzwerk, wenn die FB das anzeigt. Du müsstest dann auf die internen Geräte zugreifen können. Vielleicht per IP oder internem Namen ausprobieren?

Ja, wie gesagt, das geht, im WLAN. Wireguard hat auch eine Ausnahme für die private SSID.

 

[hildefeuer]

Hatte es schon geahnt.
"Spusu bietet standardmäßig kein echtes Dual Stack (öffentliche IPv4 und IPv6). Der Internetanschluss nutzt stattdessen Carrier-Grade NAT (CGNAT), wodurch du dir eine öffentliche IPv4-Adresse mit anderen teilst und von außen nicht erreichbar bist."

Ist die selbe Geschichte wie hier in D mit DG. Hatte über 2 Jahre DG und Wireguard dort ausführlich getestet.
Du must im Mobil-Netz eine ipv6 Adresse haben, damit Dein Heimnetz erreichbar ist. Weil es ist eben nur über ipv6 erreichbar. Die Standard Konfig der APN in Deinem Smartphone hat keine ipv6 drin. Somit hast Du im Mobil-Netz kein Dual Stack.
Das heist auch das Du von Extern nie mit WLAN Dein Heimnetz erreichst. Egal wo Du Dich einloggst, Du hat meistens immer nur eine ipv4. Es gibt praktisch keine Gäste-Wlans oder öffentliche WLANs, wo Du dual Stack hast, Ausnahme Fritzboxen. Bei Zugängen identischer Provider und hier in D mit DG geht das dann auch. Weil dort eine öffentliche ipv6 vorhanden ist.
Auch an den ganzen Speedport Gäste WLANs gehts auch nicht.
Den ganzen Zirkus mit DuckDNS kann man sich sparen, indem man myfritz nutzt.
Dein Schluss, das myfrizt nicht funktioniert, war falsch, weil Dir nicht bewust war, das Dein Heimnetz nur via ipv6 erreichbar ist.

 

[TomH22]

Das hab ich schon versucht, bin noch mehr gescheitert als jetzt mit DuckDNS.
Ich hatte mit *.myfritz.link von extern (ohne Wireguard) gar keinen Zugriff auf die Fritzbox,

Das spricht für ein CGNAT Problem. MyFritz ignoriert nicht öffentlich erreichbare IPv4 automatisch und löst dann nur IPv6 auf. Wenn Dein Handy keine IPv6 Konnektivität hat, dann geht damit dann garnichts.
Ist aber auch geraten…
Hier hilft wirklich nur, Diagnose Tools auf dem iPhone installieren, und damit z.b. Namensauflösung prüfen. Alles andere ist geraten.

Am Handy auch mal einen der unzähligen IPv6 Tests aufrufen.

 

[rezzler]

Ja, wie gesagt, das geht, im WLAN. Wireguard hat auch eine Ausnahme für die private SSID.

Aber warum ist das iPhone im heimatlichen WLAN via Wireguard verbunden? Oder versteh ich da was falsch?

Wenn Dein Handy keine IPv6 Konnektivität hat, dann geht damit dann garnichts.

Dagegen spricht, das via Mobilfunk Zugriff auf den nginx gelingt, muss dann ja via IPv6 passieren.

Über mobiles Internet am iPhone (ohne Wireguard) komme ich über die öffentliche IP auf die nginx, aber mit der *.duckdns.org nicht auf die Fritz-Web.

Ist die öffentliche IP, mit der das klappt, v4 oder v6? Kommt du über *.duckdns.org auch auf den nginx?

 

[TomH22]

Dagegen spricht, das via Mobilfunk Zugriff auf den nginx gelingt, muss dann ja via IPv6 passieren.

Ja, so ganz schlau werde ich aus den Erklärungen des TE leider nicht. Deswegen ja mein Vorschlag mit entsprechenden Analysetools.

@frazzlerunning : Es wäre auch sinnvoll, wenn Du Deinen Mobilfunk Provider nennst.

 

[frazzlerunning]

Mobilfunk ist auch bei spusu.
Unten auch der Test von WieIstMeineIP.de, ich hab wohl mobil wirklich keine v6, aber der Test sagt auch "ohne Probleme"?

Ist die öffentliche IP, mit der das klappt, v4 oder v6?

Hab ich immer nur mit v4, also 100...* probiert.

Aber warum ist das iPhone im heimatlichen WLAN via Wireguard verbunden?

Hab ich anscheinend schlecht beschrieben:
Im iPhone ist in der Wireguard App eine Ausnahme hinterlegt, dass wenn ich im heimischen WLAN bin (SSID) kein VPN aufgebaut wird. Über Mobilfunk bzw. andere WLAN-Verbindungen sollte aber VPN zur FritzBox aufgebaut werden. Das klappt auch (der Verbindungsaufbau), aber über die VPN-Verbindung hab ich dann am iPhone gar kein Internet, kann keine Mails abrufen, keine Webseite ansteuern und auch nichts im Heimnetzwerk erreichen.

Dein Schluss, das myfrizt nicht funktioniert, war falsch, weil Dir nicht bewust war, das Dein Heimnetz nur via ipv6 erreichbar ist.

Warum geht es mit DuckDNS dann über die 100...*?

Nochmal zum Heimnetzwerk-Aufbau:
Vom Glasfaser-Anschluss über den ONT ist die Fritzbox angeschlossen.
An der Fritzbox sind mein StandPC und der Proxmox-MiniPC jeweils direkt per LAN-Kabel.
Für den Proxmox ist die Portfreigabe auf 80 und 443. Am Proxmox läuft nginx und immich, aber beides noch nicht weiter eingerichtet, solange ich nicht zuverlässig von extern (Mobilfunk) auch ins Heimnetzwerk komme.

 

[rezzler]

aber über die VPN-Verbindung hab ich dann am iPhone gar kein Internet, kann keine Mails abrufen, keine Webseite ansteuern und auch nichts im Heimnetzwerk erreichen.

Gerade letzteres erscheint mir komisch. Heimgeräte gehen nichtmal direkt per IP?

 

[redjack1000]

Warum geht es mit DuckDNS dann über die 100...*?

Da steht "nur" erfolgreich angemeldet. Das ändert nichts daran, dass mit CGNAT dein Vorhaben, bei IPv4 scheitert. Dir bleibt aktuell nur IPv6

Cu
redjack

 

[frazzlerunning]

Heimgeräte gehen nichtmal direkt per IP?

Nein, ich komme mit Wireguard aus dem Mobilfunknetz auch nicht auf die diversen shelly webinterfaces (192.168.178.58 zb. für das Küchenlicht)

 

[hildefeuer]

Weil duckdns kein klassischer dns Dienst ist. Sondern
"DuckDNS bietet eine kostenlose Domänen-Registrierung an. Registriert einfach eine Domäne Eurer Wahl, um ein persönliches Token zu erhalten."
Läuft also über eine Domain."