Wireguard VPN Hetzner

[den221]

Hallo, ich hoffe, ich bin hier im richtigen Bereich und es findet sich jemand, der freundlicherweise helfen kann.

Folgende Ausgangslage:
Ich habe bei Hetzner einen Dedicated Server ersteigert und habe Windows Server 2022 als Add-on bestellt und darauf installiert bekommen. Auf dem Server soll 24/7 eine Automation einer Radio-Sendesoftware mit Stereotool laufen. Das heißt, 24/7 muss die Verbindung bzw. der Server stehen.

Mein Ziel: Nur ich soll mit meiner Heim-IP vom Laptop (und ggf. später einem zweiten anderen Gerät) über Remotedesktopverbindung und VPN-Adresse auf den Server kommen.

Wireguard habe ich mithilfe von WS4W eingerichtet und der Tunnel steht - aber ein einloggen über RDP ist nicht möglich und es ist auch kein Netzwerk verfügbar.

RDP Port und UDP Port sind abgeändert worden.

In der Windows Firewall habe ich die bisherigen RDP-Regeln deaktiviert. Und folgende angelegt:
1.) RDP über Port ...:
Protkokoll-Typ: TCP
unter Bereich - Lokale IP: 10.10.0.1; Remote-IP: 10.10.0.2

2.) Wireguard über UDP ...:
Protokoll-Typ: UDP
unter bereich - Lokale IP: beliebig, Remote-IP: beliebig

WS4W auf dem Server sieht so aus (schlechte Bildquali, weil ich momentan nur über die Konsole reinkomme):

allowedips bei server configuration: 10.10.0.2/32
gesendet/empfangen funktioniert

auf dem Laptop:

Schnittstelle:
Status: aktiv
public key: ...
Eingangsport: ... immer unterschiedlich
Adressen: 10.10.0.2/32
DNS: 8.8.8.8, 1.1.1.1

Teilnehmer:
public key: ...
Geteilter Schlüssel: aktiviert
Erlaubte IPs: 10.10.0.1/32
Endpunkt: Server-IP: mein gewählter UDP Port
persistentkeepalive: 25
Letzter Schlüsseltausch: funktioniert, vor ... minuten/sekunden
Übertragen: 2,75 KiB empfangen, 10,41 KiB gesendet

Einloggen würde ich mich auf dem Laptop bei Remotdesktopverbindung: 10.10.0.1:mein gewählter RDP Port

Die Hetzner-Firewall sieht so aus:

bei #1 ist Quell-IP meine Heim-IP/32. Ziel-Port ist der individuell gewählte UDP Port.

Was ich bisher geschafft habe ist nur, dass ich über RDP mit dem abgeänderten Port reinkomme ohne Netzwerkprobleme und entsprechender Firewall-Regelung bei Windows und Hetzner (hier jetzt nicht mehr zu sehen). Aber die Wireguard-Geschichte will mir einfach nicht gelingen. Auf meinem vorherigen Strato vServer war dies kein Problem.

Auf dem Laptop geht ping 10.10.0.1 nicht.

Hat jemand Ideen? Ich bin verzweifelt ... Danke vielmals!

 

[und tschüss]

Schon einmal Tailscale probiert?
Da musst du nichts großartig einrichten und basiert auch auf WireGuard.
Nutzt du einen Router mit WireGuard? Dann kannst du einfach den VPS dorthin verbinden.
Beide Sachen sind unabhängig von einer Firewall.

Alternativ einfach Ristdesk nutzen.

 

[den221]

Habe mich absichtlich für Wireguard entschieden, weil ich das für am sichersten halte.

Nein, kein Router mit Wireguard.

 

[und tschüss]

weil ich das für am sichersten halte.

Tailscale hat ja den Vorteil, dass sich die Clients zum Relay-Server verbinden und basiert auch auf WireGuard.

Nein, kein Router mit Wireguard.

Damit hättest du eine ähnliche Verbindung geschaffen

bei #1 ist Quell-IP meine Heim-IP/32.

Da es sich um die Firewall handelt, kannst du da doch nicht deine interne IP angeben. Da kommt deine externen rein. Oder noch besser 0.0.0.0 für alle, da sich die IPs ändern werden.. Das Gleiche gilt auch für die WireGuard Configs. Du bist ja nicht im gleichen Netzwerk!

Aus Interesse, um welche Software handelt es sich genau?

 

[Mojo1987]

Aus Interesse, um welche Software handelt es sich genau?

Das ist die Hetzner Firewall aus deren Weboberfläche, die ist vor den Server geschaltet und wird in deren Infrastruktur ausgeführt und läuft unabhängig des Servers.

 

[und tschüss]

@Mojo1987

Auf dem Server soll 24/7 eine Automation einer Radio-Sendesoftware mit Stereotool laufen.

Die Software, die 24/7 laufen soll.

Ergänzung (24. August 2025)

Da es sich um die Firewall handelt, kannst du da doch nicht deine interne IP angeben. Da kommt deine externen rein. Oder noch besser 0.0.0.0 für alle, da sich die IPs ändern werden.. Das Gleiche gilt auch für die WireGuard Configs. Du bist ja nicht im gleichen Netzwerk!

Die Firewall-Regel für RDP kannst du auch löschen, da du über WireGuard verbunden bist.
Um deinen Server zu erreichen, musst du nur WireGuard freigeben!

 

[den221]

Es funktioniert trotzdem nicht.

 

[und tschüss]

Was geht denn nicht?
Nur aus Interesse hast du auch 0.0.0.0/0 im Server angegeben?
Firewall ausschalten, bis WireGuard läuft. Danach aktivieren und testen.
Das siehst du, in welche Richtung der Fehler geht.

 

[gaym0r]

Firewall ausschalten, bis WireGuard läuft. Danach aktivieren und testen.

Wireguard läuft doch. Damit ist die Hetzner Firewall richtig konfiguriert.

 

[und tschüss]

Wireguard läuft doch.

Glaube ich noch nicht

aber ein einloggen über RDP ist nicht möglich und es ist auch kein Netzwerk verfügbar

allowedips bei server configuration: 10.10.0.2/32

 

[den221]

allowedips bei Server configuration bei WS4W ist 10.10.0.1/24.
address = 10.10.0.0/32

 

[und tschüss]

hast du auch 0.0.0.0/0 im Server angegeben?

 

[gaym0r]

Glaube ich noch nicht

Warum nicht? Er sagt der Tunnel steht und es laufen Pakete rüber.
"Übertragen: 2,75 KiB empfangen, 10,41 KiB gesendet"

Warum sollte er 0.0.0.0/0 angeben?

@den221 Ich schätze mal der Fehler ist, dass du /32 IPs genommen hast, fällt mir gerade erst auf. Nimm mal 10.10.0.1/24 (oder /30 o.ä.) und 10.10.0.2/24 als IPs. Bei allowed IPs kannst du aber theoretisch weiterhin mit den /32 arbeiten.

Wenns immer noch nicht geht, am besten mal beide Wireguard Configs komplett hier reinposten als Code-Block.

 

[und tschüss]

Warum nicht?

Warum sollte er 0.0.0.0/0 angeben?

Weil das 100 % funktionieren muss! Wenn das alles funktioniert, dann die Firewall, danach die anderen Änderungen. Wenn es denn klemmt, weiß man sofort, welche Änderung falsch ist.

Ich würde immer vom Minimum anfangen und nicht alle möglichen Einstellungen ändern und aktivieren, erst recht nicht, wenn man nicht weiß, was man da macht.

 

[den221]

Ich hab's, danke euch. Ich musste im Server bei IPEnableRouter eine "1" setzen. RDP-Login auf dem Laptop ist nun nur noch möglich mit: "VPN-IP : mein gewählter RDP Port" mit der Heim-IP, die in der Hetzner-Firewall festgelegt ist. Netzwerk läuft.

Haltet ihr die jetzigen Hetzner-Firewall-Einstellungen für sicher genug?
#1 ist weiterhin als quell-IP meine Heim-IP mit /32, einfach als zusätzliche Sicherheitsschicht (muss ich halt dann immer ändern, wenn mein Provider mir eine andere IP zuteilt, aber das macht mir nix).

 

[Tobias0]

1.) RDP über Port ...:
Protkokoll-Typ: TCP
unter Bereich - Lokale IP: 10.10.0.1; Remote-IP: 10.10.0.2

2.) Wireguard über UDP ...:
Protokoll-Typ: UDP
unter bereich - Lokale IP: beliebig, Remote-IP: beliebig

Wenn RDP über TCP läuft, dann muss WG konsequenterweise auch über TCP laufen.

Des Weiteren ist es nicht sinnvoll, eingehende und(!) ausgehende Regeln zu definieren und dabei 0.0.0.0/0 zu verwenden. Wenn ich mich nicht täusche, genügen die eingehenden Regeln aus.

 

[den221]

Wenn RDP über TCP läuft, dann muss WG konsequenterweise auch über TCP laufen.

WireGuard kann nicht über TCP betrieben werden, sondern nur über UDP. Ich weiß nicht, was du meinst.

 

[und tschüss]

Haltet ihr die jetzigen Hetzner-Firewall-Einstellungen für sicher genug?

Wofür brauchst du eingehend Regel 2 und 3? Ich würde sie wenigstens deaktivieren. Über welchen Port willst du den Dienst ausgehend betreiben? Nur diesen würde ich dann auch freigeben.

#1 ist weiterhin als quell-IP meine Heim-IP mit /32, einfach als zusätzliche Sicherheitsschicht

Das ist nicht nötig, und ob es eine Sicherheitsschicht ist, mag ich auch bezweifeln. Ich würde das für alle IPs erlauben. Ansonsten müsste ja jeder VPN-User Angst haben, nur weil ein Bot eventuell anklopft … Das haben Router auch nicht!

Da würde ich mir mehr um Windows Gedanken machen. Du kannst auch noch eine Domain (TLD) oder DynDNS dazwischen einrichten/umleiten, oder wie sollen andere deinen Stream oder was immer du vorhast erreichen?

 

[Tobias0]

WireGuard kann nicht über TCP betrieben werden, sondern nur über UDP. Ich weiß nicht, was du meinst.

RDP verwendet auch UDP. Deine Beschreibung war falsch.

Wie @snoogans schon geschrieben hat, dürfte eher hier Windows das schwächste Kettenglied sein.

Aber da keine Antworten auf Rückfragen mehr kommen, bin ich hier raus.

 

[gaym0r]

Wenn RDP über TCP läuft, dann muss WG konsequenterweise auch über TCP laufen.

Das ist natürlich absoluter Humbug und würde Wireguard ziemlich nutzlos machen.

Des Weiteren ist es nicht sinnvoll, eingehende und(!) ausgehende Regeln zu definieren und dabei 0.0.0.0/0 zu verwenden.

Weil? In dem Fall würde es ohnehin nur auf eine IP matchen, also egal.

Wofür brauchst du eingehend Regel 2 und 3? Ich würde sie wenigstens deaktivieren.

Dann würde nichts mehr gehen. Das ist keine stateful Firewall.

Das ist nicht nötig, und ob es eine Sicherheitsschicht ist, mag ich auch bezweifeln.

Natürlich ist es eine zusätzliche Sicherheitsschicht, warum auch nicht? Jemand der gar nicht erst eine Verbindung aufbauen kann, kann auch keine eventuell vorhandenen Lücken in der dahinterliegenden Software ausnutzen.

Aber da keine Antworten auf Rückfragen mehr kommen, bin ich hier raus.

Auf welche Rückfragen sollte er dir Antworten?