Wireguard vom einen auf den anderen Tag Tot!

[der_Sparky]

Hallo zusammen,

Kontext:
Ich bin wie fast jeder in Deutschland nicht mit einer richtigen IPv4 versorgt von meinem Provider (HabNET) sondern nur über CGN verbunden, daher habe ich vor einem Halben Jahr mir einen 1€ Server bei Ionos gehosted und einen PI 5 zugelegt.

Volgender Aufbau:
Der PI stellt per WireGuard einen VPN tunnel zum VPS her und auf dem VPS wird via. Routing und Nginx die Anfragen von der Öffentlichen IP des VPS welche auch mit einer Domain verknüpft ist, über den PI in mein Heimnetz Umgeleitet. Soweit so gut.
Das lief dann für 1/2 Jahr einwandfrei!
Und heute geht auf einmal die Nextcloud nicht mehr, und ich stelle fest nichts geht mehr.

Fehlerbild:
Der Handshake des Wireguard schlägt fehl und der Tunell kann nicht aufgebaut werden, das Paket wird vom PI versendet, vom Server empfangen und Beantwortet und kommt nie am PI an.

Was ich schon Gemacht habe:
Public Keys neu eintragen
Firewalls überprüft
mit Port 443 getestet
mit niedrigerem MTU getestet (1100; 1400)
Alle eingehenden IPs erlauben

config:

PI:
[Interface]
Address = 10.0.0.2/24
SaveConfig = true
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
ListenPort = 56206
FwMark = 0xca6c
PrivateKey = ***

[Peer]
PublicKey = ***
AllowedIPs = 10.0.0.0/24
Endpoint = ...:51820
PersistentKeepalive = 25

VPS:
[Interface]
Address = 10.0.0.1/24
SaveConfig = true
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens6 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o ens6 -j MASQUERADE
ListenPort = 51820
PrivateKey = ***

[Peer]
PublicKey = ***
AllowedIPs = 10.0.0.0/24, 192.168.50.0/24
Endpoint = 93.113.208.26:30747
PersistentKeepalive = 25

wg show:

PI:
interface: wg0
public key: ***
private key: (hidden)
listening port: 56206
fwmark: 0xca6c

peer: ***
endpoint: ...:51820
allowed ips: 10.0.0.0/24
transfer: 0 B received, 3.47 KiB sent
persistent keepalive: every 25 seconds

Server:
interface: wg0
public key: ***
private key: (hidden)
listening port: 51820

peer: ***
endpoint: 93.113.208.26:30747
allowed ips: 10.0.0.0/24, 192.168.50.0/24
transfer: 4.91 KiB received, 3.92 KiB sent
persistent keepalive: every 25 seconds

Die "wg show" sind mit ca. 30s - 1min Zeitlicher verzögerung entstanden.

Ich bedanke mich hier schonmal bei jedem der Antwortet.

 

[kieleich]

der Endpoint : 30747 ist doch sicher quatsch, bzw dynamisch, kommt das vom saveconfig oder woher? saveconfig braucht man ja normal gar nicht. solang der vps ne statische ip hat und der pi sich keepalive meldet

solange der pi hinter irgendeinem router steckt. kommen pakete vom vps ja nur an wenn der pi vorher ein paket raus geschickt hat. connection tracking. wenn du sicher bist das pakete nicht ankommen - dann wirds irgendwo eben nicht zugeordnet bzw geblockt. schneidest du direkt am router mit oder wie machst du das?

oder wireguard selbst verwirft das paket, das macht es aber nur wenn es falsch ist also falscher key

setz auf dem pi den keppalive ein zwei sekunden unter den vps. sorgt dafür das der immer zuerst schickt, wird beim probelm an sich aber nicht helfen

systemuhr ist richtig auf den maschinen?

 

[der_Sparky]

@kieleich Systemuhr hab ich schon geschaut ist beides erfolgreich ntp synchronisiert

 

[der_Sparky]

Ich habe das Problem gelöst!
Ich habe den Port auf dem Pi auf 51820 gestellt und alles hat wieder funktioniert. Es scheint, als wäre aus irgendeinem Grund das Hole Punching durch das CGNAT gescheitert, denn die Pakete verließen IONOS ohne Probleme, kamen aber nie an meinem Router an, geschweige denn am Pi, und jetzt mit Festem Port läuft alles wieder, trotzdem wundere ich mich das es ein halbes Jahr funktioniert und dann aufeinmal aufhört zu funktionieren.
mein Verdacht wäre das im Zuge des Abschlusses des Glasfaser Ausbaus vor 2 Tagen der ISP was an seinem CGN geändert hat oder so.

Vielen dank an @kieleich für die schnelle Antwort!

 

[kieleich]

Joa manchmal schon mysteriös. Hauptsache es tut wieder

nach dem ich mein wireguard kürzlich mal abgeschossen hab versehentlich

hab ich jetzt wireguard 2x, in der hoffnung, wenn ich eins kaputt konfiguriere, tut das andere noch

einfach wg0 und wg1, zwei ports, zwei subnetze ... kostet ja nichts