[Sammlung] Wireguard VPN von AVM ab FW 7.39

[Benares]

Mit 7.50 ist Besserung in Sicht

Auszug aus den Release Notes:

- **Verbesserung** Keine Veröffentlichung der IPv4-Adresse zu MyFRITZ!Net an Dual-Stack-Anschlüssen mit Carrier-Grade-NAT; Auflösung der MyFRITZ!-Adresse erfolgt hier immer zur IPv6-Adresse

 

[Th3M3]

- **Verbesserung** Keine Veröffentlichung der IPv4-Adresse zu MyFRITZ!Net an Dual-Stack-Anschlüssen mit Carrier-Grade-NAT; Auflösung der MyFRITZ!-Adresse erfolgt hier immer zur IPv6-Adresse

Vielen Dank für diesen Hinweis! Das hatte ich tatsächlich übersehen.

Wie ich eben aber noch entdeckt habe, steht das so auch schon in der Info-Datei zur aktuellen Labor-Version 07.51-102214 der 7490, die bei mir aktuell auf der Box läuft.

Also scheint es, als hätte AVM die Implementierung vergessen oder - was ich eher glaube - dass die private IPv4 in myfritz preisgegeben wird, weil die Prüfung nur auf DS-Lite & CGNat erfolgt und diese Variante schlicht übersehen wurde.

 

[Benares]

Kann sein. Ich würde es mal an AVM melden. Welche Variante hast du? (ich hab jetzt nicht alles gelesen - sorry, wenn das schon irgendwo stehen sollte)

Edit: Die Alternative wäre halt ein anderen DDNS-Provider, der sich über eine benutzerdefinierte Update-URL aktualisieren lässt. Da könnte man dann nur die IPv6 aktualisieren.

 

[Th3M3]

Kann sein. Ich würde es mal an AVM melden. Welche Variante hast du? (ich hab jetzt nicht alles gelesen - sorry, wenn das schon irgendwo stehen sollte)

Ich habe es bereits an AVM gemeldet und stehe in Kontakt mit dem Support. Außer mehrfach Logs, Supportdaten und Screenshots hinsenden kam aber noch keine lösungsorientierte Rückmeldung.
Was meinst du mit Variante? Ich bin nicht oft hier im Forum

 

[Benares]

Du hast es selbst in #342 Variante genannt, aber ich habe die Info selbst in #336 gefunden. Warum betreibst du überhaupt 2 Fritzboxen kaskadiert?
Siehe auch mein Edit in #343.

 

[Th3M3]

Warum betreibst du überhaupt 2 Fritzboxen kaskadiert?

Weil ich das Internet aus dem darunterliegenden Stockwerk mitbenutze und aber mein separates Heimnetzwerk wollte. Mit Mesh würde es nur zu Verwechslungen kommen, wenn z.B. vom Smartphone auf den TV gestreamt werden soll...

 

[stoney]

Dann haben Deine Geräte Zugriff auf das Subnet davor, diese aber nicht auf Deins, vom davorliegenden aus, könntest Du die GUI der kaskadierten über https Zugriff "von außen" ereichbar machen.

Also strikt wird nicht getrennt und über den Gastzugang gibts keine Portfreigaben (IPv4)

 

[Th3M3]

Das ist mir alles bekannt.

 

[eDonkey]

Mit 7.50 ist Besserung in Sicht

Auszug aus den Release Notes:

"Keine Veröffentlichung der IPv4-Adresse zu MyFRITZ!Net an Dual-Stack-Anschlüssen mit Carrier-Grade-NAT"

Da könnte man darauf schließe, daß seitens AVM eben nur diese Bereiche ausgeschlossen werden. Beidem "Patienten" handelt es sich aber um eine allgemeine private Adresse.
Gerade gestern mußte ich festellen, daß bei einer neu bei MyFritz registrierten Client-Box, die private IP mit veröffentlicht wird.

Und zur Frage von @Th3M3: Ja, ich konnte dieses Verhalten beobachten, und nein, es funktioniert nicht, deshalb mein workaround.

Man muß halt immer mal wieder ein paar Kompromisse eingehen / Verrenkungen machen, um ans Ziel zu gelangen.

 

[nixwiss]

Kurze Frage: Ist es möglich Wireguard bei einer Fritzbox zu nutzen welche hinter einem anderen Router / Modem hängt?
Als Beispiel Anbiter im Ausland mit eigener Pflichtbox und die Fritz dahinter.
Danke

 

[eDonkey]

Kurze Frage: Ist es möglich Wireguard bei einer Fritzbox zu nutzen welche hinter einem anderen Router / Modem hängt?
Als Beispiel Anbiter im Ausland mit eigener Pflichtbox und die Fritz dahinter.
Danke

Solange Du in Deiner "Pflichtbox" ein Portforwarding einrichten kannst, Ja.

 

[nixwiss]

Weitere Frage dazu wie? Unter Internet/Freigaben gibt es den Menüpunkt für Wireguard leider nicht da die Fritzbox keine eigene Leitung aufbaut. (FritzBox7590 7.50 hinter Neufbox)

 

[eDonkey]

Bei der Wireguard-Einrichtung auf der FB, vergibt diese leider einen Random-Port (im 50000er Bereich) an Stelle des Standard-Ports (51820) vor.
Für diesen Random-Port mußt Du in Deiner Neufbox ein Port-Forwarding, UDP nicht TCP, auf die IP der FB einrichten. Den verwendeten Port der FB findest Du unter "Freigaben" -> "VPN (WireGuard)" -> "WireGuard-Einstellungen anzeigen" -> "Internet-Adresse Ihrer Fritz!Box".

https://www.hardreset.info/de/devices/sfr/sfr-neufbox-6/faq/port-forward-minecraft/port-forward-minecraft/

 

[Benares]

Unter Internet/Freigaben gibt es den Menüpunkt für Wireguard leider nicht

Den Menüpunkt gibt es m.W. nur, wenn die Fritzbox als Router läuft (also den Clients dahinter einen eigenen IP-Range zur Verfügung stellt). In der Betriebsart IP-Client gibt es den nicht.

Edit, also so

 

[eDonkey]

Du hast da wohl "grundsätzlich" etwas mißverstanden. Die FB (Fritz!Box) bleibt im "Client-Mode", das Port-Forwarding mußt Du auf der NeufBox einrichten. Da war doch noch ein Link in meiner letzten Antwort, wie/wo das dort geht.

 

[Benares]

Aber @nixwiss schrieb doch, dass bei ihm der komplette Menüpunkt für Wireguard fehlt. Im Client-Mode gibt's den nicht. Warum das AVM so gemacht hat, weiß ich nicht. Das hat noch nichts mit der dafür notwendigen Portweiterleitung auf der NeufBox zu tun.

 

[eDonkey]

Ja ok, mein Fehler!

 

[Lamarque]

Ich habe nun seit 2 Tagen auch die v7.50 und wollte mich daran machen von Raspberry/OpenVPN auf Fritzbox/Wireguard umzuziehen.

Fritzbox Zentrale/Serverparametrierung:
Sollte passen. Dyndns auch auf die Fritzbox umgezogen, danach kann ich Wireguard aufsetzen.

Fritzbox Filiale/Clientparametrierung:
Ich komme aktuell nicht in die Config. Ich habe für die Filiale/Clients kein DynDNS Setup (und möchte dies auch nicht. Ich habe keinerlei Use-Case hierfür).

Wie kann ich eine Wireguard Filiale/Client config parametrieren, ohne DynDns zu konfigurieren?
Muss/Soll ich bei Dyndns einfach irgendwelche Phantasiewerte eintragen, oder gibts hier eine saubere Lösung?

 

[eDonkey]

Im Client sieht das doch einfach so aus.

[Interface]
PrivateKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX=
Address = 192.168.178.201/32

[Peer]
PublicKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX=
PresharedKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX=
AllowedIPs = 192.168.178.0/24
Endpoint = XXXXXXXXXXXXXXXXX.myfritz.net:XXXXX
PersistentKeepalive = 25

Und fals Du den DNS aus der FritzBox oder eines Nameservers dahinter für die explizite Auflösung der Namen im Entfernten Netz nutzen möchtest, kommt unter [Interface] noch das hinzu:

PostUp = powershell -command "Add-DnsClientNrptRule -Namespace '.domain.tld' -NameServers '192.168.178.1','192.168.178.10'"
PostDown = powershell -command "Get-DnsClientNrptRule | Where { $_.Namespace -match '.*\.domain\.tld' } | Remove-DnsClientNrptRule -force"

Damit die Scripte ausgeführt werden, braucht es noch das:

reg add HKLM\Software\WireGuard /v DangerousScriptExecution /t REG_DWORD /d 1 /f

Hier ein Link dazu.

 

[Lamarque]

Im Client sieht das doch einfach so aus.

Wie parametriest du das in der FB ohne vorab DynDns zu aktivieren?