Kein WireGuard VPN von Freifunk WLAN zur Fritzbox

[Kasimir4731]

->In diesem Thread<- hatte ich über Probleme beim IPV6 Zugriff von außen auf Devices hinter der FB berichtet, das ist inzwischen gelöst.
Ich habe aber ein weiteres Problem, das ich nicht erwähnen wollte, solange das erste nicht gelöst ist.
Kurz gesagt, bekomme ich seit dem Wechsel von 1&1 DSL zu Glasfaser von Hotels oder öffentlichem Freifunk APs keine VPN Verbindung zu meiner FB7590 OS 8.02 hin. Mein Nachbar, der wie ich eine FB 7590 hat und bei Deutsche Glasfaser ist, behauptet, dass er keine Probleme habe.
Diese Tests habe ich durchgeführt:

• Ich habe ein WireGuard VPN Profil in der FB erstellt und in meinem iPhone (iOS 18.4) in der WireGuard-App importiert.
• Wenn ich im iPhone das WLAN abschalte, über mobile Daten gehe und dann die VPN Verbindung aktiviere, wird das VPN Symbol angezeigt. Ein Zugriff auf lokale Devices im 192.168.3.0 Netz ist dann möglich. Auch Zugriffe auf externe Websites funktionieren, der gesamte Traffic geht wie gewünscht über die FB.
• Wenn ich WLAN im iPhone einschalte, habe ich identisches Verhalten, aber das sagt für mich nichts aus, weil wahrscheinlich alles im lokalen Netz abläuft. Ich erwähne es nur der Vollständigkeit halber.
• Wenn ich mich bei besagtem Nachbarn in sein WLAN begebe, funktioniert die VPN Verbindung zu mir nachhause einwandfrei.
• Der Nachbar hat für mich temporär ein Wireguard VPN Profil in seiner FB erstellt. Wenn ich eine VPN Verbindung zum Nachbarn von meinem WLAN aus aktiviere, funktioniert alles, sowohl mit Handy als auch mit Windows 11 Notebook. Ich komme an seine lokalen Devices und sämtlicher Traffic geht über seine FB.

Soweit alles prima. Prinzipiell funktioniert also die VPN Einrichtung in meiner FB und auch ein anderes VPN kann von meinem LAN aus genutzt werden. Aber was ist mit Freifunk? Es gibt fußläufig in der Nähe einen Freifunk WLAN AP, weitere Tests dort:

• Wenn ich Mobile Daten aus- und WLAN einschalte, komme ich ins Internet. WLAN funktioniert also, allerdings völlig ungesichert.
• Sobald ich VPN einschalte, zeigt das iPhone in der Kopfleiste VPN an. Aber ich kann zu nichts mehr verbinden, weder in mein lokales Netzwerk noch extern.
• Ich versuche das VPN des Nachbarn statt meines, identisches Fehlverhalten. Jetzt liegt natürlich sofort der Verdacht nahe, dass der Freifunk Router schlecht konfiguriert ist und kein IPv6 kann - ich kann das leider nicht prüfen, da ich keinen Kontakt zum Aufsteller habe.
• Aber was ist mit der Aussage meines Nachbarns, dass er nirgends Probleme mit VPN hat? Ich habe ihn deshalb gebeten, zum Freifunk AP zu kommen und mir das vorzuführen. Es hat es mit seinem Android Phone vorgeführt - es funktioniert! Ich wollte es nicht glauben, aber habe es mit eigenen Augen gesehen, seine Mobilen Daten waren abgeschaltet, der Traffic ging ausschließlich über WLAN. Er mit seinem Android kann es, ich mit meinem iPhone nicht (iPad geht auch nicht). Liegt es am iOS?
• Ich habe mich daraufhin mit meinem Notebook zum Freifunk AP begeben und die VPN Verbindungen zu mir und zu meinem Nachbarn getestet. Screenshot der WireGuard App auf dem Notebook beim Aktivieren der Verbindungen:
  
  Im Protokoll steht:
  

  2025-04-07 [TUN] [xxx] Starting WireGuard/0.5.3 (Windows 10.0.26100; amd64)
  2025-04-07 [TUN] [xxx] Watching network interfaces
  2025-04-07 [TUN] [xxx] Resolving DNS names
  2025-04-07 [TUN] [xxx] Unable to resolve one or more DNS hostname endpoints: The requested name is valid, but no data of the requested type was found.
  2025-04-07 [TUN] [xxx] Shutting down

Egal, welche VPN Verbindung ich wähle, es klappt auch mit Windows 11 nicht. Aber wieso geht es mit Android Smartphone? Ist Android fehlertoleranter?

 

[chrsto]

Es muss nicht zwingend etwas mit Android zu tun haben. Evtl. hat dein Nachbar eine öffentliche IPv4?

Lade dir die App Net Analyzer[*] auf iPhone und begebe dich erneut zum Freifunk WLAN. Damit kannst du sehen, ob IPv6 unterstützt wird.



[*] https://apps.apple.com/us/app/network-analyzer-net-tools/id562315041

 

[Kasimir4731]

Nein, er hat wie ich kein öffentliches IPv4, er ist ja wie ich bei Deutsche Glasfaser (CGNAT) und hat auch sonst nichts getrickst, er versteht viel zu wenig davon.
Selbst angenommen, er hätte eine öffentliche IPv4, dann hätte auch der Connect mit Notebook und iPhone klappen müssen.
Das mit dem Net Analyzer probiere ich gleich mal aus, Danke!
Hier Net Analyzer Screenshot vom Freifunk AP:

Kein IPv6. Mich wundert, dass keine SSID angezeigt wird. Mein iPhone sagt, es heißt "Jugendraum".
Nachtrag: ich hatte einen Fehler gemacht, der Screenshot wurde ohne VPN gemacht. Weiter unten ein korrekter Screenshot.

 

[chrsto]

Die SSID wird nur angezeigt, wenn du der App Standortrechte gegeben hast.

2025-04-07 [TUN] [xxx] Unable to resolve one or more DNS hostname endpoints: The requested name is valid, but no data of the requested type was found.

Das könnte darauf hindeuten, dass mit deinem Dyndns etwas nicht stimmt.

 

[Kasimir4731]

Das könnte darauf hindeuten, dass mit deinem Dyndns etwas nicht stimmt.

Klar, die Message deutet darauf hin - aber was soll nicht stimmen, leider erzählt das Protokoll nicht mehr.
Der DynDNS ist myfritz.net. Ich habe es mit 3 verschiedenen VPNs erfolglos probiert, sie haben alle gemeinsam, dass zu einer xxx.myfritz.net Adresse führen, wobei xxx jeweils unterschiedlich ist. Außerdem funktioniert es im WLAN mit IPv6 Router und über Mobilfunk.
An diesem Problem knacke ich seit 10 Monaten - solange habe ich Glasfaser. Was mich völlig kirre macht: wieso klappt es bei meinem Nachbarn? Ich hab's mit eigenen Augen gesehen, wollte es nicht glauben. An meiner VPN Konfiguration kann es nicht liegen, denn der VPN Zugang zu seiner FB geht ja auch nicht im Freifunk WLAN.

 

[chrsto]

Dann nimm im Freifunk WLAN mal einen anderen DNS Server, z.B. 8.8.8.8

 

[armin56]

Beim "Net Analyser" hätte wohl noch auf "reload" getippt werden müssen.

 

[Kasimir4731]

Zumindest sorgt das Ganze für ordentlich Bewegung bei mir, der AP ist ca. 500m entfernt
Ich hatte vorhin einen Fehler gemacht. Der Screenshot war bei NICHT bestehender VPN Verbindung. So sieht es aus, wenn VPN eingeschaltet ist:

Scheint, als würde IPv6 was machen. Das Loading... geht nicht weg.
So sieht's ohne VPN aus, mit manueller DNS:

 

[chrsto]

Was da steht, wenn du die VPN Verbindung aktivierst, ist vollkommen irrelevant.
Wenn du keine IPv6 besitzt, kannst du keine Verbindung zu einem VPN herstellen, das nur per IPv6 erreichbar ist.

Wenn du in dieser Situation eine VPN Verbindung zu deinem Nachbarn herstellen kannst, dann verfügt dieser über eine öffentliche IPv4.

 

[Kasimir4731]

Du hattest meine neueste Nachricht wahrscheinlich nicht gesehen, hat sich überlappt, der Screenshot war falsch.
Nochmal: Ich kann weder mit W11 Notebook noch mit meinem iPhone eine VPN Verbindung weder zu mir noch zu meinem Nachbarn herstellen.
Aber er mit seinem Android zu sich schon.

 

[chrsto]

Gut, dann besitzt er ebenfalls keine öffentliche IPv4 und bei dem Test waren bei ihm die mobilen Daten doch nicht ausgeschaltet.

 

[Kasimir4731]

Was soll ich sagen? Ich hab's mit eigenen Augen gesehen und kontrolliert, weil ich es ja selbst nicht glauben wollte. Mobile Daten waren aus.

 

[chrsto]

Die einzige Erklärung wäre die Nutzung eines IPv6 Tunnels auf Android.

 

[Kasimir4731]

Jetzt stoße ich langsam an meine Grenzen. Sowas wie IPv6Droid (nicht mehr verfügbar)? Dann bräuchte er aber auch einen Server, über den das V6<->V4 Tunneling geht, der wahrscheinlich auch noch Miete kostet. Wenn ich es richtig verstehe. Sowas müsste ihm jemand konfiguriert haben, er ist dazu keinesfalls in der Lage. Ich bin's jedenfalls nicht. Ich werde bei Gelegenheit nachfragen, ich kann es mir nicht vorstellen, denn dann hätte er es erwähnt. Aber 100% ausschließen kann ich es nicht. Danke für die Unterstützung bisher!

 

[Kasimir4731]

Ich habe mir heute Morgen den "iOS Net Analyser" Output genauer angesehen und versucht zu deuten. Dazu habe ich mein eigenes WLAN mit dem Freifunk WLAN verglichen und mir aufgefallen, dass ich gestern einiges missverstanden hatte - bin halt kein Netzwerk-Experte, sorry. Im Folgenden Screenshots, die ich in meinem WLAN (links) und im Freifunk WLAN (rechts) ohne aktivierte VPN Verbindung gemacht habe und meine Interpretationen dazu:

Eigenes WLAN:
Gateway und DNS Server ist meine FB.
192.168.3.1 ist die lokale IP4 meiner FB.
94.31.108.88 ist nicht die IP4 meines iPhones, sondern die von außen erreichbare IP4 des DG-Routers, die IP4 meiner FB ist 100.83.xx.xx und nur im lokalen DG Netz 100.83.0.0 zu erreichen - das sieht man nicht auf dem Screenshot, ich habe es aus der FB direkt ausgelesen.
Eine der IPv6 Adressen der FB ist FE80::xxxxxxxx (lokal) und FD00::53 (auch lokal). Die von außen erreichbare IPv6 ist meines iPhones ist 2A00:6020:xxxxxxx (stimmt, habe ich in den WLAN Eigenschaften des iPhones verifiziert)
Freifunk:
Der Router hat die lokale IP4 10.0.0.1, der DNS-Server steht auf 1.1.1.1 und 8.8.8.8, weil ich mein iPhone so konfiguriert hatte für dieses WLAN. Die externe IP des iPhones und des Routers ist 82.198.xx.xx.
IPv6 wird von diesem Router nicht unterstützt.

Habe ich das korrekt interpretiert?
Das würde bedeuten, dass der Freifunk AP kein IPv6 kann und erklären, warum VPN zu meiner FB nicht funktionieren kann. Warum es bei meinem Nachbarn mit seinem Android Smartphone funktioniert, ist mir ein Rätsel. Wie chrsto gestern schon schrieb - es muss über IPv4 laufen, wie auch immer. Ansonsten wäre es Zauberei. Ich habe zwar gesehen, dass er Mobilfunk abgeschaltet hatte, aber vielleicht lief da dennoch was - ich bin kein Android Spezialist - und muss wohl eine längere Session mit meinem Nachbarn einlegen und noch viele Experimente machen, auch in anderen WLANs. Das dauert ...

Frage an einen Spezialisten: wäre es technisch denkbar, dass im lokalen Netzwerk meines Nachbarn ein Server läuft, der irgendwelche tricky Services zur Verfügung stellt, die den Zugriff von außen über IPv4 ermöglichen, obwohl er im DG-Netz ist und keine öffentliche IPv4 hat? Geht sowas? Ich wüsste nicht, wie das technisch gehen soll. Hinweis: der VPN Server ist seine FB mit WireGuard.

 

[chrsto]

Habe ich das korrekt interpretiert?

Ja.

Frage an einen Spezialisten:

Damit bin dann wohl nicht ich gemeint, oder? *scnr*

Aber zum Thema, ja:

Feste-IP.NET- Feste-IP.Net

und

Feste IP Adresse - Deutsche Glasfaser - nur 11,90 Euro Monat

Feste öffentiche IP Adresse für Deutsche Glasfaser. Testen Sie unsere Lösung ganz einfach 7 Tage unverbindlich, rufen Sie uns an!

www.edv-kossmann.de

 

[Kasimir4731]

Danke für die Links.
Aua. 12€/Monat sind mir viel zu viel. Eine feste IP4 wäre mit Kanonen auf Spatzen geschossen.
Bei dem anderen Anbieter bin ich mir noch nicht sicher bzw ich habe noch nicht begriffen, ob und was ich genau von denen benötige. Mein einziges Ziel ist: WireGuard VPN zu meiner FRITZ!box von egal wo. Hauptsächlich, damit ich unterwegs in ungeschützten WLANs zusätzlich abgesichert bin. Ich benötige keinen Subdomain Zugriff wie zB meinewebcam.meine-ip.com. Wenn ich an ein lokales Gerät möchte, baue ich erst ein VPN auf und bin dann im lokalen Netz.
Problem: WireGuard nutzt UDP und der Portmapper von meine-ip nutzt TCP.
Kopie aus dem FAQ:
Warum geht mein VPN nicht über die Portmapper?
Über unsere Portmapper können nur TCP Verbindungen weitergereicht werden. Das VPN vieler Router verwendet IPSEC bzw. GRE-Protokolle die nicht über die Portmapper funktionieren.

 

[chrsto]

Mein einziges Ziel ist: WireGuard VPN zu meiner FRITZ!box von egal wo.

Dafür musst du

a) zu Hause eine öffentliche IPv4 + IPv6 bereithalten

oder

b) eine IPv6 immer dabei haben.



a) kostet nun mal soviel. Entweder es ist es dir wert, oder nicht. Ein kurzer Überblick, was IPv4 im Großhandel kosten:

IPv4 Address Auctions - Buy and Sell IP Addresses | IPv4.Global

IPv4.Globals online auction platform is an intuitive way to buy and sell blocks of IPv4 addresses. Register for the platform today to buy and sell IP addresses from the most trusted source in the industry.

auctions.ipv4.global

Dazu kommen noch Hosting, Traffic, Strom und Menschen, die bezahlt werden müssen. Am Ende steht dann ein Preis von 12€.

 

[Kasimir4731]

a) Interessante Page. Ist mir schon klar, dass das Geld kostet und auch, dass es berechtigte Kosten sind. Es ist mir persönlich für das, was ich machen will, nur nicht wert. Ich benötige keine feste IPv4 mit allen Ports. Mir reicht der eine Port, den ich für WireGuard benötige.

b) Die IPv6 meiner FB habe ich immer dabei: meine xxxx.myfritz.net Adresse. die steht in meinem Wireguard VPN Profil.

 

[KunterBunter]

b) Die IPv6 meiner FB habe ich immer dabei: meine xxxx.myfritz.net Adresse. die steht in meinem Wireguard VPN Profil.

Das hast du jetzt missverstanden. Du brauchst eine zweite IPv6-Adresse, von dort wo du dich befindest, um dich mit der IPv6-Adresse deiner Fritzbox zu verbinden. Dann muss der Freifunk eben eine solche bereitstellen.