WireGuard Netzwerk hinter Fritzbox erreichen

[Vogty79]

Habe auf einem Vserver WireGuard installiert und die Fritzbox als Client eingerichtet. Kann jetzt mit den Geräten die über die Fritzbox verbunden sind auf das WireGuard Netzwerk des Vservers zugreifen (10.0.7.1). Nur anders herum geht das nicht bzw nur bis zur Fritzbox, kann also mit z.B. einem Smartphone Client auf die Fritzbox (10.0.7.10) über den Tunnel zugreifen. Nur die Geräte hinter der Fritzbox sieht man nicht da sie ja nicht direkt einen Tunnel aufgebaut haben und natürlich auch eine IP des DHCP der Fritzbox haben (192.168.188.73) z.B. Muss man da jetzt eine Route in der Fritzbox erstellen oder geht das überhaupt nicht auf diesem Wege?

 

[Brati23]

Ja musst routen.

Spoiler: Routen

Route auf das remote LAN und interne VPN IP Netz konfigurieren​

Der Wireguard VPN Server spannt, wie oben bereits beschrieben, intern ein eigenes IP Netz auf. Damit externe VPN Clients alle Endgeräte des lokalen LANs erreichen können, muss der Internet Router natürlich wissen wie er das interne Wireguard IP Netz erreichen kann.
Das übernimmt eine feste, statische Route im Internet Router die allen Traffic für das Wireguard IP Netz (hier 100.64.64.0 /24) dann an den Wireguard VPN Server (192.168.188.254) sendet.
Die statische Route im Beispiel mit einem 18 Bit Prefix (255.255.192.0 Maske) routet alle remoten IP Netze von 192.168.0.0 bis 192.168.63.0 an den Wireguard Server. Dies muss ggf. an die eigene IP Adressierung entsprechend angepasst werden.

Wobei das auf nem vServer ggf. nochmal anders ist.

 

[DarkAngel2401]

Ich nehme an, dein Smartphone Client ist per Wireguard auf dem vServer verbunden? Hier muss erst mal per Routing bekannt gegeben werden, dass das interne FritzBox-Netz (192.168.188.0/24) über der WG-Tunnel erreichbar ist.

 

[Vogty79]

Also auf dem Vserver muss ich in der config eine Route erstellen zu 192.168.188.0/24? Wenn ja wie lautet der Befehl dafür? Vielen Dank und stimmt das Smartphone ist mit dem Vserver über WireGuard verbunden

 

[DarkAngel2401]

Etwa so

~]# ip route add 192.168.188.0/24 via 10.0.7.10 wg0

 

[Vogty79]

Muss ich den Route Befehl in der WireGuard config eintragen oder geht das auch per Terminal? Und als Interface wg0 also das von WireGuard oder das Interface des Vservers ens6?

 

[foofoobar]

Routen mit der Angabe von Interfaces machen nur bei Point2Point-Interfaces Sinn.

 

[Vogty79]

Mit der oben genannten Route Befehl kommt folgender fehler

Either to duplicate or wg0 is a garbage

 

[riversource]

Mit Fritzboxen funktioniert das nicht so, wie hier geplant. Wenn das LAN der Fritzbox mit ins Wireguard Netz soll, dann muss das Transfernetz des VPNs zwangsläufig identisch mit dem LAN der Fritzbox sein. Ist eine Sonderlocke bei AVM und geht aus den Anleitungen für die Wireguard LAN-LAN Setups bei AVM hervor.
https://avm.de/service/vpn/wireguard-vpn-zwischen-fritzbox-und-anderem-router-einrichten/

VPN-Verbindung in anderem Router einrichten​

Tragen Sie beim Erstellen der WireGuard-Verbindung für die FRITZ!Box keine IP-Adresse aus einem Transfernetz (Intermediate-Adresse), sondern die lokale IP-Adresse der FRITZ!Box ein (z.B. 192.168.20.1, Subnetzmaske 255.255.255.0).

 

[Pete11]

Je nach Fritzbox kann man auch Wireguard in der Fritzbox nutzen - und hat keine Probleme ins gesamte Heimnetz zu kommen.

 

[Vogty79]

Mit Fritzboxen funktioniert das nicht so, wie hier geplant. Wenn das LAN der Fritzbox mit ins Wireguard Netz soll, dann muss das Transfernetz des VPNs zwangsläufig identisch mit dem LAN der Fritzbox sein. Ist eine Sonderlocke bei AVM und geht aus den Anleitungen für die Wireguard LAN-LAN Setups bei AVM hervor.
https://avm.de/service/vpn/wireguard-vpn-zwischen-fritzbox-und-anderem-router-einrichten/

Kann ich der Fritzbox jetzt 10.0.7.10 geben und dann in dem Bereich auch DHCP einstellen? Mit der oberen ip ist die Fritzbox mit WireGuard verbunden. Gateway dann die ip von WireGuard Server 10.0.7.1, geht das?

Ergänzung (22. Juli 2023)

Oder soll ich dem VPN Netz 192.168.188.x zuweisen das Wireguard das Netz erstellt?

 

[riversource]

Oder soll ich dem VPN Netz 192.168.188.x zuweisen das Wireguard das Netz erstellt?

Ich würde das Netz der Fritzbox ändern. 188 ist eines der reservierten Netze der Boxen für den Betrieb hinter anderen Routern. Macht gerne mal Probleme. Nimm irgendwas kryptisches anderes, 122 oder 134 oder so.

Aber dann: Ja, richte das VPN in der Gegenseite der VPN Verbindung ein und sorge dafür, dass die VPN Clients der Gegenseite keine Adressen aus dem DHCP Bereich der Fritzbox bekommen.

 

[Vogty79]

Hatte gerade mal kurz versucht der Fritzbox die 10.0.7.10 zu geben also die Adreese die sie auch vom WireGuard Server bekommt und DHCP in den oberen Bereich zu setzen wo es keine WireGuard Clienten gibt. Funktioniert so leider nicht. Normal sollte ich dann im Netzwerk der Fritzbox ja auch den WireGuard Server sehen, aber den sehe ich auch nicht und Verbindung klappt auch nicht

Ergänzung (22. Juli 2023)

Hab die WireGuard Verbindung dann mal neu erstellt in der Fritzbox nachdem ich ihr 10.0.7.10 gegeben habe das ging nicht Netzwerkkonflikt…

 

[riversource]

Wo kommt die .10 denn her? Die Box hat üblicherweise die .1

Du musst dich schon präzise an die AVM Anleitung halten. Sonst wird das nichts.

 

[Vogty79]

Die .1 kann ich nicht nehmen da der WireGuard Server sie hat

 

[riversource]

Bei Wireguard gibts keinen Server. Es kommunizieren gleichberechtigte Knoten miteinander.

Du kannst versuchen, die IP der Box zu ändern, musst es dann aber konsequent überall durchziehen. IP Einstellungen, DHCP Server, DNS, und natürlich dann für saubere Verhältnisse in allen Clients sorgen. Kann funktionieren, muss aber nicht. Ich denke, die VPN Gegenseite anzupassen, dürfte unterm Strich deutlich weniger Arbeit sein.