Wireguard Problem bei Fritzbox LAN-LAN-Kopplung

[JoeAverage62]

mit meinem Bruder habe ich eine LAN-LAN Kopplung der Fritzboxen eingerichtet (dort: 5690Pro, hier: 7960).

an der 5690Pro hängen drei Repeater (2x 1750e) per WLAN und eine 7590AX per LAN (umkonfigurierter WAN-Port).
Alle einge-mesh-t.
an der 7590AX hängen zwei Rechner.

ich kann auf die zwei Rechner per ssh zugreifen.
ich kann auch von hier aus auf die Oberflächen der 1750e und der 5690Pro zugreifen via cmdline: "firefox --new-window <jeweilige IP-Adresse>"

Ich kann aber noch nicht mal die 7590AX anpingen. - Alle Anderen gehen -
Auch NICHT nachdem wir die 7590AX aus myfritz rausgeschmissen, resettet, neu einge-mesh-ed und bei myfritz neu registriert haben.

Zusatzinfo's:
- "Internetzugriff auf die FRITZ!Box über HTTPS aktiviert" ist in beider Boxen AN
- hatte es schon mal laufen, bis ich meinem Spieltrieb nachgab ... => 7590AX flog aus dem Mesh ...

Einer eine Idee ?
(bevor ich wireguard komplett abreiße und neu aufsetze)

 

[frank_m24]

- "Internetzugriff auf die FRITZ!Box über HTTPS aktiviert" ist in beider Boxen AN

Die Option dürfte es auf der 7590 nicht geben, wenn sie als Repeater bzw. als IP-Client läuft.
Wie genau sind die Subnetze verteilt auf beiden Seiten des Tunnels? Wie exakt ist die 7590 konfiguriert? Bitte sehr präzise mit Screenshots aus dem Bereich Internetzugang, Heimnetz und WLAN.

 

[JoeAverage62]

Die Option dürfte es auf der 7590 nicht geben, wenn sie als Repeater bzw. als IP-Client läuft.

Doch, zumindest dort.

Wie genau sind die Subnetze verteilt auf beiden Seiten des Tunnels? Wie exakt ist die 7590 konfiguriert? Bitte sehr präzise mit Screenshots aus dem Bereich Internetzugang, Heimnetz und WLAN.

hier ist 192.168.200.x
dort ist 192.168.178.x, die 7590AX hat 192.168.178.201, die anderen Repeater dann .202 und .203

habe hier (kein DS-Lite) eine LAN-LAN-wireguard-Konfig erstellt und dann da importiert - oder war es anders rum ? - auf jeden Fall nach Anleitung der AVM Wissens-DB, da die Gegenseite vom Porvider eine DS-Lite-Anbindung hat (ip4 in ip6 getunnelt).

vorher die 7590AX werkresettet, eingemeshed, LAN-WAN-Port, feste IP auf .201 und obige Option auf AN.

Das lief auch schon; leider habe ich dran rumgefummelt ...

screnshots kann ich momentan keine liefern, da ich meinen Bruder gerade nicht erreiche.

was willst du mit wlan, 7590AX hängt am WAN port und die 1750e-iger (per wlan angebunden) sind doch erreichbar.

P.S.
habe beim AVM-Support ein Ticket aufgemacht ...
die meinten u.a. ich solle mal den LAN-Port probieren (anstelle WAN).

Ich bin mir nicht sicher, ob die LAN => WAN Umstellung nach oder vor der wireguard-LAN-LAN-Kopplung war.
meine danach.

 

[frank_m24]

Die Option "Internetzugriff auf die Fritzbox über HTTPS" macht nur Sinn, wenn die Box eine WAN Adresse hat, also als NAT Router arbeitet. Ich fürchte, wenn es diese Option gibt, ist sie falsch eingerichtet. Schlimmstenfalls sogar so, dass die an WAN und im LAN das gleiche Subnetz verwendet - das wäre dann Routing-Kuddel-Muddel vom Allerfeinsten. Das musst du klären.

dort ist 192.168.178.x, die 7590AX hat 192.168.178.201, die anderen Repeater dann .202 und .203

Schlecht. Wie AUSDRÜCKLICH in der AVM Doku steht, darf das Subnetz 192.168.178.x bei VPN LAN-LAN Kopplungen nicht verwendet werden. Dazu kommt, dass die 7590 und die Repeater Adressen aus dem Bereich der VPN Clients haben. Da bin ich mir nicht ganz sicher, aber das könnte ebenfalls problematisch sein.

was willst du mit wlan, 7590AX hängt am WAN port und die 1750e-iger (per wlan angebunden) sind doch erreichbar.

Wir müssen aus den oben geschilderten Gründen präzise wissen, wie die Fritzbox arbeitet, was sie am WAN und im LAN veranstaltet. Da es in der Fritzbox Oberfläche verschiedene Stellen gibt, wo man den Arbeitsmodus beeinflussen kann, müssen wir uns das alles ansehen.

P.S.
habe beim AVM-Support ein Ticket aufgemacht ...
die meinten u.a. ich solle mal den LAN-Port probieren (anstelle WAN).

Dann haben sie den gleichen Verdacht, wie ich. Aber das ist riskant: Wenn die 7590 als DHCP Server arbeitet, schaltest du damit das Heimnetz bei deinem Bruder ab ... 2 DHCP in einem Netz führen unweigerlich in die Katastrophe. Ein Grund mehr für die genannten Screenshots.

 

[JoeAverage62]

Die Option "Internetzugriff auf die Fritzbox über HTTPS" macht nur Sinn, wenn die Box eine WAN Adresse hat, also als NAT Router arbeitet.

ich meine, anders sehe ich die 7590 in myfritz erst gar nicht

Schlecht. Wie AUSDRÜCKLICH in der AVM Doku steht, darf das Subnetz 192.168.178.x bei VPN LAN-LAN Kopplungen nicht verwendet werden.

habe ich so in der Anleitung nicht gelesen, nur dass die unterschiedlich sein sollen (siehe [1])
Hast du einen link ?

Wir müssen aus den oben geschilderten Gründen präzise wissen, wie die Fritzbox arbeitet, was sie am WAN und im LAN veranstaltet. Da es in der Fritzbox Oberfläche verschiedene Stellen gibt, wo man den Arbeitsmodus beeinflussen kann, müssen wir uns das alles ansehen.

Dann haben sie den gleichen Verdacht, wie ich. Aber das ist riskant: Wenn die 7590 als DHCP Server arbeitet, schaltest du damit das Heimnetz bei deinem Bruder ab ... 2 DHCP in einem Netz führen unweigerlich in die Katastrophe. Ein Grund mehr für die genannten Screenshots.

der Arbeitsmodus wurde m.M.n. bereits beim einmeshen automatisch vergeben: Repeater per LAN
und m.M.n. ist DHCP der 7590 dann auch aus (meine dies gecheckt zu haben, andernfalls würden lokale Zugriffe (von hier aus via anydesk auf einen Rechner dort...) auf 192.168.178.1 Ärger machen, was so nicht ist)

- zu den letzen beider Punkten kann ich leider nix genaueres sagen, geschweige denn screenshots, da aktuell kein Zugriff auf die Box -

[1]

FRITZ!Box 7690 | WireGuard-VPN zwischen zwei FRITZ!Box-Netzwerken einrichten

Entdecke FRITZ! - Informiere dich über die vielseitigen und benutzerfreundlichen Lösungen für deinen Internetanschluss und deine Heimvernetzung.

fritz.com

 

[frank_m24]

ich meine, anders sehe ich die 7590 in myfritz erst gar nicht

Das mag sein. Direkt als Router in myFritz macht es aber auch überhaupt keinen Sinn: Sie ist ja von außen nicht ohne weiteres erreichbar. Erreichbar wird sie erst durch eine Portfreigabe im Router, und wenn du die als myFritz Freigabe erstellst, ist sie auch wieder in myFritz.

habe ich so in der Anleitung nicht gelesen, nur dass die unterschiedlich sein sollen (siehe [1])
Hast du einen link ?

Müsste ich raussuchen, war irgendwo in den AVM Dokus. Wenn man die Config mit den AVM Tools erstellt, wird auch ein Fehler geworfen, wenn man es versucht. Der Grund ist, dass die Box auch dann intern mit einigen 192.168.178.xx Adresse arbeitet, selbst wenn das Netz umgestellt wird. Würde man versuchen, auf diese IPs zuzugreifen, würden die Daten nicht übers VPN gehen, und der Zugriff klappt nicht. Das gleiche gilt übrigens für 179 und 180 - die darf mach auch nicht fürs VPN verwenden, weil sie intern in der Box verwendet werden.

der Arbeitsmodus wurde m.M.n. bereits beim einmeshen automatisch vergeben: Repeater per LAN

Das klingt sinnvoll. ABER: Dann gäbe es die Option "Internetzugriff auf die Fritzbox über HTTPS" nicht, und auch der Hinweis von AVM, eine LAN anstatt der WAN Schnittstelle zu verwenden, würde keinen Sinn machen - weil WAN ist dann LAN.

 

[JoeAverage62]

der AVM Support ist da jetzt dran.

Daher spare ich mir auf deine Statements einzugehen - nicht böse sein ! -
Nur so viel: ICH sehe diese Einstellung "...Internetzugriff ..." auch wenn die deiner M.n. nicht sichtbar sein sollten.
Beim einmeshen konnte ich nicht soviel falsch machen ...

Auch die Verbindung über nur LAN-Ports, anstelle umkonfigurierter WAN-Ports, brachte nix.

Ich attache denoch mal den Mesh-Master_screenshot

Der nuc hinter der 7590AX ist erreichbar (ping, ssh), auch die Repeater via firefox cmdline (siehe oben).
Nur die 7590AX nicht !

Anyway, danke für deinen Einsatz !!!

P.S.
werde die Lösung hier "for the record" posten, sobald AVM mir die mitteilt ...

 

[JoeAverage62]

for the record:

AVM findet in meinen Support-Dateien KEINEN Fehler.

werde die wireguard-Konfig. abreißen und neu aufsetzen ...

 

[frank_m24]

der AVM Support ist da jetzt dran.

Daher spare ich mir auf deine Statements einzugehen - nicht böse sein ! -

Vielleicht solltest du sie dir nach der Rückmeldung von AVM noch mal genauer ansehen ...

Ohne dir zu nahe treten zu wollen, aber bei der Beschreibung schreit alles nach einem Konfigurationsfehler. Das ist definitiv kein Problem für AVM.

Wir könnten ja helfen ... wenn wir denn geeignetes Material für eine Diagnose hätten. Screenshots zum Beispiel.

 

[Deleted member 273463]

Ich hätte zumindest den Rat von @frank_m24 beherzigt, und die Box von der VPN IP .201 weggeholt.

 

[JoeAverage62]

kann ich gerne auch mal probieren, ist mir aber nicht genau klar.

denn im obigen screenshot hat
- repeater_oben die IP-Adr. 192.168.178.202
- repeater_unten 192.168.178.203
- FB7590AX 192.168.178.201
- nuc 192.168.178.20

alle die Kisten bekommen eine feste, per DHCP vorgegebene, IP vom Meshmaster.

beide repeater sind ping-bar und auch das jeweilige IF ist per firefox cmdline aufrufbar, auf den nuc (hinter der 7590AX) komme ich per ssh.

also:
IP-adressen oberhalb von .200 arbeiten, bis auf eine, die .201 der FB7590AX.
zugriffe hinter der FB7590AX gehen auch.

ich habe daher ein Verständnisproblem warum wireguard oder DHCP bzgl. IP's falsch konfiguriert sein soll.

Okay ?

 

[frank_m24]

IPs oberhalb von 200 sind halt für VPN reserviert. Wenn da ein VPN Profil vorhanden ist, ist die IP blockiert. Möglicherweise reicht da sogar dein LAN-LAN Profil, oder Reste eines ehemaligen, bereits gelöschten Profils. Für feste IPs außerhalb des DHCP Bereichs kannst du die IPs vor dem DHCP Bereich nutzen.

Und dann ist sind da die 192.168.178.x IPs, die deine Box intern nutzt, auch wenn du das Subnetz verändert hast. Wenn da die .201 dabei ist, ist der Zugriff über VPN auch nicht möglich.

Fazit: 192.168.178.x nicht in VPNs nutzen, und keine VPN IPs an Endgeräte verteilen.

Und last but not least: die 7590 ist möglicherweise NAT Router.

 

[JoeAverage62]

@frank_m24

welche screenshots musst du explit bzgl. INet haben
Mesh hast du schon (comment #7)

IP-adr. der 7590AX ist jetzt 192.168.178.51
keine änderung

bzgl. DHCP:
lt. Master werden IP's aus 192.168.178.20 bis 200 vergeben (default, wurde nicht geändert)

"Internetzugriff auf die FRITZ!Box über HTTPS aktiv"
muss in beider Boxen aktiv sein, sonst kann ich von myfritz aus nicht auf das IF der 5690/7590 zugreifen (ausprobiert !)

siehe screenshot vom myfritz und darin die blauen Kästchen mit Pfeil nach rechts oben (jeweils hinter dem Namen)

 

[JoeAverage62]

Vielleicht solltest du sie dir nach der Rückmeldung von AVM noch mal genauer ansehen ...

Am besten wir machen das zusammen:

(zit.):"
Ihr Supportvorgang wurde mir intern von meinem Kollegen Herrn XXX zur Klärung übergeben.

Ich konnte in Ihren Support-Daten kein Problem der FRITZ!Box erkennen, warum diese nicht bspw. auf einen PING reagiert. Die Einrichtung sieht so weit korrekt aus, auch die Betriebsart und Mesh-Verbindung. So leid es mir tut, das Problem muss in Ihrer Konstellation liegen. Testen Sie daher bitte auch einmal von einem anderen Gerät aus, ob es damit wie gewünscht funktioniert. Einen Fehler der FRITZ!Box selbst, und das ist, was wir hier prüfen können, schließen wir soweit aus. "

- Bold von mir -

 

[frank_m24]

welche screenshots musst du explit bzgl. INet haben

Hab ich doch geschrieben.

Wie exakt ist die 7590 konfiguriert? Bitte sehr präzise mit Screenshots aus dem Bereich Internetzugang, Heimnetz und WLAN.

Aber Sinn macht das erst, wenn du die anderen Probleme beseitigt hast. 192.168.178.51 ist immer noch schlecht, weil aus dem DHCP Bereich: Kann ebenfalls Konflikte verursachen. Warum immer halbe Sachen? Wenn du die IP schon änderst, mach es doch gleich vernünftig.

 

[JoeAverage62]

welches sind denn die "anderen Probleme" ?
- wireguardbetrieb im IP-Standardadressbereich ?
dazu hatte ich dir oben den Auszug aus der Wissendatenbank verlinkt.
*ICH* lese da nur wireguardteilnehmernetze sollen nur unterschiedlich sein. Von Exklusion des DHCP-Standard-IP-Bereichs steht da nix.
Hatte gerade was zu Einzel-wireguardverbindungen gelesen (also non-LAN-LAN-Kopplung); dort schreibt AVM, dass ein Teilnehmer weiter im Standard-IP-Bereich bleiben kann.

Und wie kann ich denn die 1750e und die Rechner hinter der 7590 erreichen, wenn es deiner Meinung nach zu Konflikten kommt ?

Und warum hatte ich die 7590 mit 192.168.178.200 schon am laufen ?

Ein m.M.n. weiteres Phänomen deiner wiederholten Argumentation ist, dass es Schaltflächen "Internetzugriff ..." deiner M.n. nicht geben kann, obwohl ich die a) sehe und b) wie ich oben beschrieb für den Zugriff aus myfritz heraus auch brauche.

Und dass man beim einmeshen nicht soviel verkehrt machen kann (NUR an 2 Boxen Knöpfe drücken => 7590 läuft als Repeater per lan), hatte ich auch geschrieben, was AVM ja -m.M.n. - auch bestätigte.
Den Unterschied zwischen Konstellation (beim AVM Zitat) und Konfiguration ist bekannt ?

Auch wireguard wurde strikt nach AVM-Anleitung aufgesetzt; da habe ich lange recheriert, insbes. weil auf der anderen Seite ein DS-Lite läuft.


Auf keins meiner Einwände bist du bisher eingegangen und Belege für deine These (z.B. VPN-IPs NUR ausserhalb der DHCP-Standard-IP) bliebst du auch schuldig.

===
hatte der Box auch mal kurz die 192.168.178.9 oder so, jederfalls eine IP ausserhalb von 192.168.178.20-200, vergeben.
dann taucht die Box im Meshmaster als nicht verbunden und in myfritz erst gar nicht auf ...

===
zu den screenshots
z.b. "Internet" hat jede Menge Subfolder und Subtabs

falls du mir nicht konkret erklärst, welche du davon genau brauchst, dann:
"es ist schönes Wetter, hock' dich in den Biergarten ! Danke für deinen Einsatz". Thema hier durch.

Ich krieg das schon hin ..., ist 'ne reine Zeitfrage ...

P.S.
ich brauche Antworten und nicht noch mehr Fragen ...
P.P.S.
ich habe den Eindruck, dass du über VPN (ipsec) redest und ich über wireguard.

 

[frank_m24]

welches sind denn die "anderen Probleme" ?
- wireguardbetrieb im IP-Standardadressbereich ?

Genau. Und Zuweisung statischer Adressen aus Bereichen, die anderweitig vergeben werden.

Hatte gerade was zu Einzel-wireguardverbindungen gelesen (also non-LAN-LAN-Kopplung); dort schreibt AVM, dass ein Teilnehmer weiter im Standard-IP-Bereich bleiben kann.

Das gilt für Roadwarrior, aber nicht für LAN-LAN Netze. Da würde ich das 178er Netz nach wie vor nicht nutzen - aus den beschriebenen Gründen.

Und wie kann ich denn die 1750e und die Rechner hinter der 7590 erreichen, wenn es deiner Meinung nach zu Konflikten kommt ?

Dafür kann es viele Erklärungen geben, angefangen bei falscher Subnetz-Zuordnung bis hin zur Verkabelung (LAN/WAN vermischt). Da du ja so zurückhaltend mit Informationen bist, kann man nur spekulieren, das hilft dir nicht weiter. Du willst ja Antworten, wie du schreibst, da sollte man analysieren.

Ein m.M.n. weiteres Phänomen deiner wiederholten Argumentation ist, dass es Schaltflächen "Internetzugriff ..." deiner M.n. nicht geben kann, obwohl ich die a) sehe ...

Es kann die Schaltfläche geben - wenn die 7590 im falschen Modus ist. Und das würde dann zuverlässig erklären, warum sie nicht über ihre IP erreichbar ist. Du schreibst ja selber, das ihr nach deinem erfolgreichen Zugriff noch Dinge geändert habt - zum Beispiel Umstellung auf WAN Port.

und b) wie ich oben beschrieb für den Zugriff aus myfritz heraus auch brauche.

Nein, brauchst du eben nicht. Denn die Box hat als Repeater keinen eigenen myfritz Zugang mehr, sondern wird über den myfritz Zugang der 5690 Pro erreichbar. Der Umstand, dass du myfritz in der 7590 nutzen willst, lässt mich vermuten, dass sie im falschen Modus ist - und damit eben nicht erreichbar.

Auf keins meiner Einwände bist du bisher eingegangen und Belege für deine These (z.B. VPN-IPs NUR ausserhalb der DHCP-Standard-IP) bliebst du auch schuldig.

Doch, bin ich. Allein schon der Umstand, dass es nicht funktioniert, sollte dir zu denken geben. Ich hab dir ausführlich erklärt, warum du keine statischen IPs aus dem VPN- und dem DHCP Bereich nutzen solltest, warum du das 178er Netz nicht nutzen solltest, und warum die 7590 im falschen Modus sein kann. All das sind potentielle Ursachen, die du der Reihe nach ausschließen musst. Das kannst du jetzt glauben, oder du musst noch ziemlich lange auf den Biergarten verzichten.

falls du mir nicht konkret erklärst, welche du davon genau brauchst, dann:

Alle. Ich frag nicht ohne Grund danach. Es sind 10 oder 12 - mehr nicht. Also mach nicht so ein Theater. Zumal dein Bruder sie machen muss, nicht du.

Ich krieg das schon hin ..., ist 'ne reine Zeitfrage ...

Kann sein. Die Frage ist eben, wie viel Zeit investierst du, die du besser im Biergarten verbringen könntest.

ich brauche Antworten und nicht noch mehr Fragen ...

Wie gesagt, um Antworten zu bekommen, musst du Diagnose-Informationen liefern.

ich habe den Eindruck, dass du über VPN (ipsec) redest und ich über wireguard.
Du hast ein Routing Problem, das ist von der darunter liegenden Tunnel-Technologie unabhängig.

 

[JoeAverage62]

Die Frage ist eben, wie viel Zeit investierst du, die du besser im Biergarten verbringen könntest.

Dass *ich* in den Biergarten will, habe ich nicht geschrieben !

To begin with ...

Zumal dein Bruder sie machen muss, nicht du.

so, so, woher weisst du das (wieder) so genau ?

Wie gesagt, um Antworten zu bekommen, musst du Diagnose-Informationen liefern.

oder mir die Antworten selbst erarbeiten ...

 

[frank_m24]

so, so, woher weisst du das (wieder) so genau ?

Hast du doch selber oben geschrieben.

oder mir die Antworten selbst erarbeiten ...

Was zweifelsohne länger dauert. Denn wenn es so einfach wäre, hättest du die Frage im Forum ja gar nicht erst gestellt.

Um es deutlich zu sagen: Wenn du erwartet hast, dass jemand hier vorbeikommt und dir sagt "klick 1x hier und 2x da, dann tut alles", dann war das ein Irrtum. Du hast uns die Situation geschildert, und wir haben direkt etliche Punkte identifiziert, die hier im Forum schon für Probleme gesorgt haben. Ob einer davon bei dir zutrifft, und wenn ja, welcher, können wir dir nicht sagen. Aber Fakt ist: all das, was wir dir genannt haben, hat an anderer Stelle schon zu Problemen geführt, und das kannst du leicht über die Suche herausfinden (so viel zum Beleg für die Behauptungen). Jetzt ist es an dir, die Ursachen auszuschließen.

Mein persönlicher Favorit ist der Modus der 7590, deshalb hab ich direkt zu Beginn nach den Screenshots der Konfiguration gefragt, und auch AVM hatte den gleichen Verdacht, mit dem Hinweis auf den LAN Port. Die Funktion "Zugriff aus dem Internet" und "myFritz" gibt es im Repeater nicht, und es macht auch keinen Sinn, denn selbst wenn du es einrichten könntest, hättest du trotzdem keinen Zugriff über myFritz auf den Repeater, weil die 5690 den blockieren würde. Da du die Punkte trotzdem siehst, wird die 7590 in irgendeinem komischen Modus unterwegs sein, und der kann sehr gut der Grund für die Zugriffsprobleme sein.

Dennoch sind die anderen Aspekte - feste IPs aus dem DHCP und VPN Bereich sowie das 178er Subnetz im LAN-LAN VPN - suboptimal. Die können ebenfalls für das Problem verantwortlich sein. Und selbst, wenn nicht, haben sie das Potential, zukünftig für (andere) Probleme zu sorgen, und sollten floglich beseitigt werden.

 

[Grisu_]

Ich habe den Eindruck, daß da die beiden richtigen zusammengekommen sind um ein Problem hin und herzuwälzen, aber nur nicht zu lösen.

Eingemeshte Boxen sind übrigens auch in MyFritz (mittlerweile immer da MyFritz automatisch aktiviert wird von der Master übernommen) sichtbar und haben auch das Mesh-Dreieck angezeigt.
Und sie haben auch eine öffentliche IPv6 Adresse, nur halt nicht erreichbar, da auf der Master vermutlich nicht freigegeben.