VPN-kompatibler Router gesucht

[fredlcore]

Hallo zusammen,

ich bin gerade für eine längere Zeit im Ausland und habe hier in unserer Wohnung Zugang zu einem sehr guten WLAN, das von der Hausverwaltung allen Mietparteien zur Verfügung gestellt wird. Da ich wegen Geoblockings verschiedene Streaming-Dienste nicht ohne Weiteres nutzen kann und mein Apple TV keinen VPN-Client besitzt, suche ich nach einem Router, der über WiFi als IP-Client funktioniert und gleichzeitig in der Lage ist, als Router eine VPN-Verbindung zu meiner heimischen Fritz-Box aufzubauen und allen Traffic darüber zu routen.
Laut AVM können Fritz-Boxen nicht über WLAN als IP-Client fungieren, deswegen suche ich nach Alternativen, die dann aber wegen des Fritz-Box-VPN-Servers entweder IPSec oder WireGuard "sprechen" können müssen.
Gibt es solche Router überhaupt und wenn ja, welche könntet Ihr empfehlen? Hier vor Ort sind Asus-Router gut erhältlich, aber das soll keine Bedingung sein.
Vielen Dank schon mal für jeden Hinweis!

F.

 

[Peter_Lehmann]

Hallo @fredlcore!

Nun, mit einer billig in der Bucht erhältlichen F!B 7412 einen mit OpenWrt laufenden WireGuard-Endpunkt zu basteln ist keine Raketentechnik. Mit einer guten Anleitung (c't aus dem Jahr 2019) bringst du das selbst beim ersten Versuch in max. einer Stunde hin.

Und jetzt das ABER:
Damit das VPN den Tunnel aufbauen und vor allem Daten übertragen kann, müssen bestimmte UDP-Ports freigegeben/in der Firewall weitergeleitet werden und statische Routen (im Router vor Ort) werden auch benötigt. Ob du das, wo du ja nur einen nicht näher bezeichneten WLAN-Zugang hast, hinbekommst, wage ich zu bezweifeln. Ich sehe also weniger das WLAN als vielmehr das Vorgenannte als das Problem.
Mein "Reiserouter" (auch eine 7412) kann nach entsprechender Konfiguration sehr wohl gleichzeitig je einen WLAN-Stream "nach außen" als auch "nach innen" aufbauen.

Was aber mit recht großer Wahrscheinlichkeit funktionieren wird, ist die Einrichtung eines WireGuard-Clients direkt auf den beteiligten Endgeräten. Diese gibt es für alle gängigen Betriebssysteme (Rechner und Smartphones.) Aber für den Apple TV garantiert nicht. Vlt. gibt es eine Möglichkeit, den Stream mit einem Rechner "anzuzapfen" und dann den TV als "Bildschirm" zu benutzen.

vy 73 de Peter

BTW: Wenn deine Signatur aktuell ist, dann solltest du dich schnellstmöglich um ein Firmwareupdate für deine 7590 AX kümmern!

 

[dbru61]

Mit Mikrotik und RouterOS geht das.

MikroTik

MikroTik makes networking hardware and software, which is used in nearly all countries of the world. Our mission is to make existing Internet technologies faster, more powerful and affordable to wider range of users.

mikrotik.com

 

[fredlcore]

Danke Euch beiden! Dass das mit den Ports etc. ein Problem sein könnte, ist mir bewusst, ich bin nur jetzt erst einmal davon ausgegangen, dass es gehen könnte, weil ich von meinem iPhone aus dem hiesigen WLAN problemlos einen VPN-Zugang zur heimischen FB aufbauen kann. Deswegen dachte ich jetzt auch erstmal an IPSec, weil ich darüber die VPN-Verbindung herstelle. WireGuard habe ich noch nicht geprüft.

@Peter_Lehmann: Hast Du sonst eine Anleitung, wie Du Deine 7142 dazu bekommen hast, dass sie als IPClient über ein WLAN funktioniert? Dann wäre das ja das einfachste, weil die Box dann ja eine VPN-Verbindung zur heimischen FB aufbauen könnte.

@dbru61: Ist RouterOS eine eigene Firmware, die man aufspielen muss oder ist die standardmäßig auf diesen Routern dabei? Und macht die dann IPSec oder OpenWRT? Letzteres machen die ASUS nämlich auch, aber das bringt mir ja bei der FB nichts...

 

[Peter_Lehmann]

Eine Anleitung dafür habe ich nicht.
Ich habe die (mittlerweile 12) 7412 und auch 4040 mit OpenWrt geflasht und dann die Pakete WireGuard, DynDNS und noch einiges andere installiert. Und dann noch "spielerisch" mit dem Paket WiFi herumgebastelt.
Ich wusste ja vorher, dass bei den Freifunk-Routern diese (auch umgeflashte TP-Link, AVM und andere) Router zum einen per WLAN einen Stream mit dem VPN-Tunnel zum Server des Freifunk-Vereins bzw. zum Meshen untereinander, als auch den gewollten Nutzer-Steam mit der Freifunk-SSID bereitstellen. Und beides ist sauber durch Routing und Firewall voneinander getrennt.

Also habe ich, nachdem WireGuard und DynDNS perfekt funktionierte (also so, wie meine 9 aktiven WG-Endpunkte in drei Ländern mit dem bei mir zu Hause), zuerst eine WLAN-Verbindung zum WLAN-der Ferienwohnung (wo ich selbstverständlich als Freund Zugang zum Internetrouter habe und dort die Freigaben einrichten kann) eingerichtet. Und zusätzlich noch eine zweite Verbindung als reinen Accesspoint für mein "Remote-Hausnetz". Und dann intern je ein WLAN mit einer der beiden Seiten des VPN verknüpft. Also "Routing und Firewalling".

Und noch einmal: auch wenn die Hardware "nur" eine 7412 oder 4040 ist, OpenWrt ist eben etwas anderes als FRITZ!OS.

 

[fredlcore]

Ah, wieder was gelernt, mir war nicht bekannt, dass man eine FB auf OpenWrt umflashen kann. Das klingt auf jeden Fall nach dem, was ich mir auch vorstelle. Wenn Du Dir das alles selber ohne Anleitung erschlossen hast, muss ich dann wohl mal nach entsprechenden Tutorials suchen.
Aber würde das letztlich bedeuten, dass ich das Vorhaben mit jedem OpenWrt-fähigen Router umsetzen kann?

 

[smodo1977]

Hallo,

ich schmeisse noch GL.iNet in den Raum. Hier ist eine vereinfachte Oberfläche drauf, aber man kann
auch zum vollen OpenWrt umschalten.

 

[fredlcore]

@smodo1977: Sieht sehr schick aus - könnte der das out-of-the-box?

-- Zusammenführung Doppelpost by stoney

Dieser hier z.B.?

Opal (GL-SFT1200) Gigabit Wireless Router | AC1200 | OpenWrt | VPN | IPv6EU+UK plug

Opal (GL-SFT1200) is an OpenWrt AC1200 wireless travel VPN router. It fits your pocket and it provides private gigabit internet access for small businesses, small departments or business travelers with limited budgets.

store.gl-inet.com

 

[Peter_Lehmann]

Wenn Du Dir das alles selber ohne Anleitung erschlossen hast,

Nun, ganz so "ohne Anleitung" war es natürlich nicht.
Vor über 10 Jahren habe ich begonnen, mich mit "Freifunk" (www.freifunk.net) zu befassen. Und da gibt es massenhaft Anleitungen für ONU für jedes Gerät, welches unter OpenWrt läuft. Für die TP-Link Router ist das alles sehr einfach und für AVM-Geräte sagen wir, ein klein wenig anspruchsvoller. Nur, im Freifunk ist die Übung nach dem Flashen der völlig vorkonfigurierten FF-Firmware praktisch schon beendet.

Und Mitte 2019 gab es in der c't etliche sehr gute Artikel zum Thema WireGuard. Grundlagen, WG auf dem RasPi, WG auf der 7412 und der 4040. Und hierbei ging es eben nicht nur um das plumpe Flashen des OS, sondern auch um Feinheiten der Konfiguration (Generierung der Schlüssel, Routing, Firewall usw.) Und da ich mich ab 2000 in den letzten Jahren meines Arbeitslebens lange mit einem sehr großen und vor allem sehr sicheren VPN befasst habe, habe ich mich entschlossen, mein altes und langsames AVM-IPsec-Netz auf WireGuard - und vor allem auf externe Geräte!!! - umzustellen. Und viel schneller als gedacht, wurde dieses Projekt realisiert. Und ich gebe zu, dass mir das im Beruf erworbene Wissen hinsichtlich Netzwerkkonfiguration usw. sehr geholfen hat.

 

[fredlcore]

Ok, dann schaue ich mal, ob ich die c'T auftreiben kann, denn unabhängig von der Routerfrage ist WireGuard für mich Neuland. Nachdem ich bisher schon drei Standorte über IPSec der FBs verbunden hatte, war bei mir eher die Einstellung "Never change a running system". Aber jetzt ist eine gute Gelegenheit, dann mal etws Neues auszuprobieren...

 

[Peter_Lehmann]

Damit du nicht so viel suchen musst: (in der Reihenfolge, wie ich die Beiträge abgelegt habe)
2020, Heft 9, Entfritzt 7412
2019, Heft 10, Schwesterkiste, 4040
2020, Heft 10, Eintrittsduo, Grundlagen
2023, Heft 8, Fritz'sche Brücke Zusammenarbeit mit AVM-Geräten
2021, Heft 19, Netzkumpel Hotspots in OpenWrt
2019, Heft 15, Schutz ausrollen, Grundlagen WireGuard
2020, Heft 4, VPN-Nachsorge, RasPi
2019, Heft 14, Geschützter Verkehr, Tipps fürs Unterwegssein mit WG
2019, Heft 18, FAQ WireGuard
2019, Heft 5, Besser tunneln, Grundlagen
2021, Heft 9, Fertigtunnel, RasPi als Fertig-VPN-Dongle

Und, von vielen nicht beachtet, die offiziellen Dokumentationen für WireGuard und OpenWrt

Viel Spaß!

 

[fredlcore]

Super, danke!

 

[erik]

Eine 7590 kann sich in ein Wlan einklinken und sich dann per VPN mit einer anderen Fritzbox verbinden, auch ohne openWRT. Wer schreibt denn, Fritz Boxen können das nicht? Ach so, ich sehe gerade, meine 7520 könnte das auch.

 

[RIB]

Vielleicht die einfachere Lösung........................

VPN nun auch offiziell fürs Apple TV

Mit tvOS 17 ermöglicht Apple, Virtual Private Networks direkt auf Apple-TV-Boxen zu nutzen. Die genaue Umsetzung ist noch nicht ganz klar.

www.heise.de

 

[fredlcore]

Eine 7590 kann sich in ein Wlan einklinken und sich dann per VPN mit einer anderen Fritzbox verbinden, auch ohne openWRT. Wer schreibt denn, Fritz Boxen können das nicht? Ach so, ich sehe gerade, meine 7520 könnte das auch.

Vielleicht hat sich das inzwischen geändert, aber zumindest früher ging das nicht (und dieser Link war der erste, der mir bei Google angezeigt wurde):

FRITZ!Box für Betrieb mit anderem Router einrichten | FRITZ!Box 7270

Die FRITZ!Box kann die vorhandene Internetverbindung eines anderen Routers mitbenutzen (IP-Client-Modus). Dadurch können Sie die FRITZ!Box an einem Internetanschluss einsetzen, bei dem der Internetanbieter den Einsatz eines speziellen, von ihm gelieferten Routers mit fest eingetragenen...

avm.de

Der Betrieb als IP-Client per WLAN wird von der FRITZ!Box nicht unterstützt.

 

[fredlcore]

Vielleicht die einfachere Lösung........................

VPN nun auch offiziell fürs Apple TV

Mit tvOS 17 ermöglicht Apple, Virtual Private Networks direkt auf Apple-TV-Boxen zu nutzen. Die genaue Umsetzung ist noch nicht ganz klar.

www.heise.de

Sehr cool, danke!

 

[Joe_57]

Versuch es doch mal mit einer FRITZ!Box, die du als (eigenen) Router in das fremde Wlan hängst:

"Vorhandener Zugang über WLAN" in FRITZ!Box einrichten | FRITZ!Box 7490

Die FRITZ!Box kann über eine WLAN-Funkverbindung mit dem WLAN-Router (z.B. eines Nachbarn) verbunden werden, damit alle Geräte im FRITZ!Box-Heimnetz die Internetverbindung dieses Routers verwenden können. Die FRITZ!Box arbeitet dabei selbst als Router und stellt ein eigenes Netzwerk mit einem...

avm.de

Mit welchen anderen FRITZ!Box-Modellen das funktioniert, siehst du, indem du oben auf "FRITZ!Box 7490" klickst, dann wird die Liste angezeigt.

 

[ktw2003]

Auch wenn es nicht deiner Vorgabe bzgl. Fritzbox-VPN-Server entspricht, schau dir doch mal Tailscale an in Verbindung mit dem bereits genannten tvOS 17. Damit kann man ein MESH VPN aufbauen und wenn man einen Endpunkt in DE hat, problemlos TV schauen. Den Client gibt es quasi für jede Plattform.

Vgl. https://tailscale.com/blog/apple-tv/

 

[fredlcore]

Danke! Der Tipp mit tvOS 17 und der VPN-Möglichkeit hatte mich auch schon zu Tailscale geführt - als Endpunkt hat dann zwar nicht meine FB zu Hause gedient, wohl aber die Synology NAS, die dort eh' 24/7 läuft. Klappt super und erspart mir jede weitere Hardware .
Da der GL.iNET Router aber schon bestellt und auf dem Weg ist, werde ich das Ergebnis damit auch noch mal berichten, falls jemand in Zukunft auch auf den Thread trifft und als Gegenstelle wirklich nur eine FB zur Verfügung hat.
Danke Euch allen auf jeden Fall sehr für die vielen und hilfreichen Tipps und Hinweise, ich weiß das sehr zu schätzen!

 

[fredlcore]

So, meine Erfahrungen mit Tailscale sind ziemlich gut, so dass ich mit der Lösung auf jeden Fall leben kann, aber nun ist inzwischen auch der GL.iNET Router angekommen und ich versuche gerade mit diesem eine WireGuard-Verbindung mit der heimischen FritzBox aufzubauen.

Leider klappt das nicht so, wie gewollt, was vermutlich daran liegt, dass mir nicht ganz klar ist, wie beide Seiten konfiguriert werden müssen.
Wenn ich in der Fritz-Box sage, dass eine Einzelverbindung eingerichtet werden soll und ich diese Konfiguration dann beim GL.iNET-Router hineinkopiere, kommt zwar eine Verbindung zustande, aber die einzige IP, die ich aufrufen kann, ist die, die der Router von der FritzBox bekommen hat. Ich komme da also auf die Admin-Seite des Routers.
Ansonsten kann ich nur die lokalen IP-Adressen des GL.iNET-Routers aufrufen, also 192.168.8.x. Externe Adressen (google.com) sind nicht aufrufbar, erst dann, wenn ich die WireGuard-Verbindung auf dem GL.iNET-Router trenne.

Wenn ich die Variante "Netzwerke koppeln" wähle und dann auf die Fragen "Wurde diese WireGuard®-Verbindung bereits auf der Gegenstelle erstellt?" und "Soll die neue WireGuard®-Verbindung gleichzeitig zu einer bestehenden Verbindung der Gegenstelle genutzt werden?" mit "Nein" antworte, und bei "Handelt es sich um ein Einzelgerät (Laptop, Smartphone, Tablet) oder um einen WireGuard®-fähigen Router ( z.B. eine FRITZ!Box)?" mit "WireGuard-fähiger Router" antworte, dann gelange ich auf eine Seite, wo ich dann die IP-Konfiguration der Gegenstelle angeben muss. Hier trage ich dann die 192.168.8.1 als Adresse des GL.iNET-Routers ein, bei Subnetz 255.255.255.0 und lasse die erweiterten Einstellungen zum Netzwerkverkehr deaktiviert.
Auch hier komme ich weder auf das Netzwerk der entfernten FB, noch ins Internet, so dass ich die Verbindung wieder beenden muss.

Die Fritz-Box trägt in die Konfiguration automatisch ihre MyFritz-Adresse samt Port mit ein und die jeweiligen Einträge haben immer das grüne LED-Icon in der Übersicht, allerdings unabhängig davon, ob ich vom GL.iNET-Router aus die Verbindung gestartet habe.
EDIT: In beiden Fällen sehe ich im GL.iNET-Router, dass der Upload-Counter hochzählt (vermutlich wegen der Webseiten-Aufrufe), aber der Download-Counter bleibt bei 92 Byte stehen...

Könnte es damit zu tun haben, dass ich hier im Ausland über NAT ins Netz gehe und der Router dann ja noch einmal NAT macht? Aber wenn ich hier als WireGuard-Client agiere, sollte das ja so wie bei Tailgate eigentlich kein Problem sein, oder?

Hat da noch jemand von Euch einen Tipp, wie ich das hinbekommen könnte? Vielen Dank schonmal!