Umbau Wireguard-Server

ebugigaconnect · 2024-12-18T06:54:27+00:00

So, now a topic to lure the professionals out of the building in this forum ;-) The starting point: * Sunrise 2.5Gbit cable connection (Connectbox 3) * Cleaned LAN cable to the 2.5Gbit Switch, on it, NAS and PC. * All hardware components are designed for 2.5Gbit. Over the weeks measured speed with MacBookpro always around the 2GBit (strangely with a Windows PC even around 2.3Gbit. Special: A Raspberry PI5 hangs on the Connectbox on which the Wireguard VPN server is installed. The necessary port on the PI is routed from the CB3. This ensures that I can access my NAS from external. Everything runs stable. There would be no reason to change anything. As I have already read in many ways, it would be more security if Wireguard were set up directly on the router. However, this does not allow the CB3. Likewise, Sunrise does not allow it to use its own router. The plan: * Move CB3 into bridge mode (IPV4 is available) * From the 2.5Gbit port of the CB3 via LAN on the coaxial socket of the FRITZ! Box 4060 (a corresponding adapter is required.) This depends on the 4060 of the maximum speed. * Then in the LAN via the 2.5Gbit port of 4060 Advantage: The Wireguard server would no longer run externally on the PI, but directly in the 4060. All ports can be closed. Protection against evil internet in turn improves a µ. Disadvantage: procurement FRITZ4060, adapter, power consumption Questions in the round: * Will the basic functioning? * Is to be calculated with speed in the LAN - because of the adapter I'm looking forward to your opinions.

EZS1234

ebugigaconnect @EZS1234 Ich kann Dir bestätigen:

habe zwar noch nichts Nachgefragt oder kommentiert, aber seis drum 😉

ebugigaconnect

EZS1234 ups… mein Fehler… tschuldigung… auch an @oli-h 😇

EZS1234

ebugigaconnect Aber was gar nicht geht ist: Wireguard lässt sich nicht einrichten. Trotz DynDNS und korrekten Einstellungen an der FritzBox komme ich nicht durch die CB3 zum WG-Server der FritzBox!. (Ich betreibe andernorts eine FritzBox mit WG-Server, weiss wie WG auf der FB einzurichten ist.)

Wenn die CB3 im Bridge Modus ist wird es nicht an dieser liegen und es ist dort keine spezielle Einstellung nötig. Das soll ja der Vorteil des Bridge Modus sein. Ausser du hast was verbastelt.

Mit DynDNS meinst du einen Service unter

Meiner Meinung nach ist keine Nutzung eines dieser DynDNS Services nötig für die Standard Nutzung von Wireguard per Fritzbox. An einem nicht funktionierenden DynDNS wird es also nicht liegen.

Wie hast du eine Wireguard Verbindung erstellt und am Client eingerichtet?
Über Internet -> Freigaben -> VPN (Wireguard) -> Verbindung hinzufügen -> Einzelgerät verbinden
Danach per QR-Code oder config Datei die Verbindung (ohne ein Anpassung) am Client eingerichtet?

Standardmässig verwendet wird der myfritz.net Dienst um die Fritzbox aus dem Internet zu erreichen.

ebugigaconnect

EZS1234 Wenn die CB3 im Bridge Modus ist wird es nicht an dieser liegen und es ist dort keine spezielle Einstellung nötig. Das soll ja der Vorteil des Bridge Modus sein. Ausser du hast was verbastelt.

Das sehe ich auch so. Da ist gar nichts verbastelt.😉

EZS1234 Meiner Meinung nach ist keine Nutzung eines dieser DynDNS Services nötig für die Standard Nutzung von Wireguard per Fritzbox. An einem nicht funktionierenden DynDNS wird es also nicht liegen.

Da bin ich nicht ganz Deiner Meinung. Soweit ich in Erfahrung bringen konnte, soll via MyFritz und vorgehängtem Modem, Wireguard nicht funktionieren. Darum der DynDNS bei einem anderen Anbieter.

EZS1234 Wie hast du eine Wireguard Verbindung erstellt und am Client eingerichtet?
Über Internet -> Freigaben -> VPN (Wireguard) -> Verbindung hinzufügen -> Einzelgerät verbinden
Danach per QR-Code oder config Datei die Verbindung (ohne ein Anpassung) am Client eingerichtet?

Genau so.

EZS1234 Standardmässig verwendet wird der myfritz.net Dienst um die Fritzbox aus dem Internet zu erreichen.

Ja, aber eben nur dann, wenn der FritzBox nichts vorgehängt ist. Soweit meine Informationen. Aber wie gesagt… das prüfe ich noch nach.

Irgendwo habe ich gelesen, dass der Endpunkt bei den WG-Einstellungen - die standardmässig auf MyFritz lauten, auf die DynDNS geändert werden müssen um das Durchkommen zu gewährleisten. Es kann aber sein, dass das nur bei DMZ Einstellung gilt und dann zusätzlich auf der CB3 noch eine Portweiterleitung auf die FB gemacht werden müsste. Das ist vorerst aber nur Halbwissen - das prüfe ich noch. Bevor ich da was verbastle will ich sicher sein was ich mache. So von wegen Lerneffekt 😉

Vermutlich werde ich am späteren Nachmittag mal auf Feld 1 zurückgehen und komplett von vorne beginnen.

EZS1234

ebugigaconnect Irgendwo habe ich gelesen, dass der Endpunkt bei den WG-Einstellungen - die standardmässig auf MyFritz lauten, auf die DynDNS geändert werden müssen um das Durchkommen zu gewährleisten. Es kann aber sein, dass das nur bei DMZ Einstellung gilt und dann zusätzlich auf der CB3 noch eine Portweiterleitung auf die FB gemacht werden müsste. Das ist vorerst aber nur Halbwissen - das prüfe ich noch. Bevor ich da was verbastle will ich sicher sein was ich mache. So von wegen Lerneffekt 😉

Irgendwo? Hier in der Community?

CB3 Fibre (DMZ) - eine Fritzbox dahinter bekommt nicht die öffentliche IP sondern eine 192.168.x.x und darum kann myFritz und DynDNS er Fritzbox nicht funktionieren

CB3 HFC (im Bridge Modus) - eine Fritzbox dahinter bekommt die öffentliche IP und myFritz und DynDNS können korrekt auflösen.

Wenn du auf einem Client den QR Code oder die config Datei für die Wireguard Verbindung aus der Fritzbox ohne Änderung verwendest. So ist dort als Ziel aus dem Internet (siehe vorhergehendes Bild: Internet Adresse dieser Fritzbox) die myFritz Adresse eingetragen. Nur weill du einen zusätzlichen DynDNS Service auf der Fritzbox konfigurierst wird diese nicht automatisch in der Standard Wireguard Config verwendet.

Unter Internet -> MyFRITZ!-Konto siehst du deine MyFRITZ!-Adresse. Kopiere dir diese und teste sie mit der von @oli-h genannten Möglichkeit nslookup.io. Schauen ob die korrekt auflöst mit der IP welche dir die Fritzbox unter Internet -> Online-Monitor -> Internet, IPv4 -> IP-Adresse anzeigt.

ebugigaconnect

EZS1234 Irgendwo? Hier in der Community?

Nein nicht hier…

Die restlichen Tipps nehme ich gerne in die weitere Vorgehensweise mit… Danke

ebugigaconnect

EZS1234 Unter Internet -> MyFRITZ!-Konto siehst du deine MyFRITZ!-Adresse. Kopiere dir diese und teste sie mit der von @oli-h genannten Möglichkeit nslookup.io. Schauen ob die korrekt auflöst mit der IP welche dir die Fritzbox unter Internet -> Online-Monitor -> Internet, IPv4 -> IP-Adresse anzeigt.

Dies das Ergebnis:

ebugigaconnect

@EZS1234 @oli-h

Ziel erreicht. Ich werde die nächsten Tage die Einrichtung so belassen und hinsichtlich der Nutzung VPN sowie der von der FB zur Verfügung gestellten Geschwindigkeiten das Ganze beobachten.

An der von der FritzBox generierten WG-VPN-Einstellungen musste ich einige Anpassungen machen. Ich bin mir sicher, dass das mit dem Umstand zusammenhängt, dass die FB nicht direkt am Internet hängt, sondern das sie das Internet via CB3 erhält.

Gegenüber der Original-FB-Einstellungen habe ich folgendes geändert (von oben nach unten):

DNS-Server: hier war die IP der FritzBox sowie ‘fritz.box’ drin. Habs noch ergänzt mit 1.0.0.1

Endpunkt: Hier war die myFritz-URL drin. Geändert auf einen anderen Anbieter. Zum Beispiel No-Ip. Den in der Originaleinstellungen angegebene Port übernommen. In der FB denDynDNS-Anbieter eingetragen.

Zulässig IP’s: Das war nötig, damit ich innerhalb meines LANs auf die im Docker laufenden Anwendungen zugreifen konnte.

Falls es zu meinen Änderungen bessere Lösungen gäbe oder es hinsichtlich der Sicherheit was zu ergänzen gäbe, wäre ich dafür dankbar.

EZS1234

ebugigaconnect An der von der FritzBox generierten WG-VPN-Einstellungen musste ich einige Anpassungen machen. Ich bin mir sicher, dass das mit dem Umstand zusammenhängt, dass die FB nicht direkt am Internet hängt, sondern das sie das Internet via CB3 erhält.

Ich bin immer noch der Meinung das du das Problem an der falschen Stelle vermutest.

Ich habe eine 4060 hinter eine CB2* im Bridge Modus. Wireguard funktioniert out-of-the-Box ohne Änderungen an den Einstellungen.

*upgrade auf die CB3 ist es mir nicht Wert dem Roger und Marco die Gage zu bezahlen 🙁

oli-h

ebugigaconnect Zum Beispiel No-Ip […] In der FB denDynDNS-Anbieter eingetragen.

Vielleicht noch ein Wort zu DynDNS-Anbietern.

Es gibt da einige und die meisten sind - zumindest für Privatpersonen mit ihren Provatbedürfnissen - kostenlos.
Aber gerade “No-IP” (https://www.noip.com) gehört nicht dazu. Hier muss man einmal pro Monat mit Captcha bestätigen, dass man weiterhin diesen oder jenen DynDNS-Hostname behalten möchte. Alternativ bezahlt man $25 pro Jahr (oder so).

Also von “No-IP” rate ich ab. Empfehlen kann ich jedoch:
- https://www.cloudns.net
- https://desec.io
- https://www.duckdns.org
- https://www.dynu.com
- https://dynv6.com
- https://ipv64.net
- https://www.nsupdate.info
- https://ydns.io

Zudem bietet AVM (das ist der Hersteller der Fritz!Boxen) im Rahmen von https://www.myfritz.net einen eigenen DynDNS-Dienst an. Dieser Dienst ist natürlich exclusiv für Fritz!Box-Besitzer und mit der Fritz!Box nach meiner Erfahrung auch besser integriert. Du kannst Dir da einen eigenen Namen nach Muster XXXXXXXX.myfritz.net wählen oder einen zufälligen generieren lassen.
Dazu auf der Fritz!Box zu Internet > MyFRITZ!-Konto navigieren.

oli-h

Wie schon geschrieben: Ich hab meine Fritz!Box 6660 hinter einer “ConnectBox 2 im Bridge-Mode”.
Also ein sehr ähnliches Setup wie @ebugigaconnect.

Ich nutze ebenfalls WireGuard der Fritz!Box. Als Client hab’ ich Android-Devices sowie Windows, Linux und sogar ein Chomebook. Mit allen Clients funktioniert die WireGuard-VPN-Verbindung zur Fritz!Box 6660 ohne Probleme und einwandfrei.

Einfach noch der Hinweis: Bei Wireguard muss wirklich alles zusammen passen, damit ein Connect zustande kommt. Ein kleiner Fehler - auch nur ein Tippfehler - z.B. bei einem Key, Portnummer, Hostname, IP o.ä. und schon geht es nicht und man bekommt nicht mal hilfreiche Fehlermeldungen.
UDP-Paket falsch signiert. falsch verschlüsselt, an den falschen Port oder die falsche IP gesendet –> die Gegenseite bleibt still. Das ist ‘by Design’ so.

Frage vielleicht: Kannst Du mal ein Screenshot deiner Wireguard-Configseiten zeigen (natürlich die Schlüssel, IPs, Hostnames usw. unkenntlich machen). Dann vergleiche ich das mal mit meinem Setting.
Und noch ne Frage: Was für einen WireGuard-Client nutzt Du auf deinem i-Döns? Gibt es den offiziellen von WireGuard? Oder hat Äpple etwas eigenes gebaut und verbietet andere Clients (wäre ja nicht das erste mal)

ebugigaconnect

oli-h Frage vielleicht: Kannst Du mal ein Screenshot deiner Wireguard-Configseiten zeigen (natürlich die Schlüssel, IPs, Hostnames usw. unkenntlich machen). Dann vergleiche ich das mal mit meinem Setting.
Und noch ne Frage: Was für einen WireGuard-Client nutzt Du auf deinem i-Döns? Gibt es den offiziellen von WireGuard? Oder hat Äpple etwas eigenes gebaut und verbietet andere Clients (wäre ja nicht das erste mal)

Allenfalls hast Du es überlesen, aber direkt ein Beitrag weiter oben habe ich die Config rein gestellt und beschrieben, was ich geändert habe.

Generell kann ich sagen, dass es nun läuft. Allenfalls hat der Neustart der CB3 im Bridge-Modus geholfen. Allerdings musste ich die Config etwas anpassen damit ich durchkam. Wobei ich 2 der 3 Anpassungen wieder zurückstellen konnte und unterm Strich eigentlich nur den DNS-Eintrag geändert habe. Der Rest ist original, wie die FB sie generiert hat.

Dann habe ich noch die Funktion"Unterschiedliche Benennung der Funknetze auf 2,4 und 5 GHz" aktiviert, was den positiven Effekt hat, dass die WLAN Geschwindigkeit an den Messpunkten sogar noch etwas höher ist als mit der CB 3.

Aktuell bin ich zufrieden mit dem Setup und kann die Vorzüge der Fritz-OS nutzen. Zum Beispiel die zeitliche Steuerung des WLAN.

Wünsche einen schönen Abend.

oli-h

ebugigaconnect eitrag weiter oben habe ich die Config rein gestellt

Du meinst den Screenshot von dem Mac? Wenn ja: Da fallen mir schonmal zwei Dinge auf:

Der DNS-Server ist 1.1.1.1 und nicht die Fritz!Box.
Damit wird dein Client DNS-Anfragen via verschlüsseltem WireGuard-Tunnel an deine FrizzBox schicken, diese dann aber unverschlüsselt zu 1.1.1.1 weiterleiten.
Du solltest die Fritz!Box selbst so konfigurieren, dass sie “DNS over TLS (DoT)” nutzt. Einstellung dazu: Internet > Zugangsdaten > DNS-Server. Da dann “Verschlüsselte Namensauflösung im Internet (DNS over TLS)” einschalten sowie “Zertifikatsprüfung für verschlüsselte Namensauflösung im Internet erzwingen”.
Und dann kannst Du mal folgende fünf DoT-Server eintragen:

dns.google

dns.quad9.net

dns.digitale-gesellschaft.ch

one.one.one.one

1dot1dot1dot1.cloudflare-dns.com

und dann natürlich deinen WireGuard-Tunnel so konfigurieren, dass deine VPN-Clients die Fritz!Box als DNS-Resolver nutzen und sich nicht selber direkt an öffentliche Resolver wenden.

DNS-Probleme sind auch immer wieder Ursache von “es geht nicht”. Bei einer Fehlersuche daher immer erstmal ein PING an die IP des Default-Gateway, also (in deinem Fall) “ping 192.168.188.1” - aber nicht “ping fritz.box”
Bei “Zulässige IPs” steht bei dir “0.0.0.0/0 0.0.0.0/0”. Das macht so keinen Sinn - und bei meinem Setup zusammen mit meiner Fritz!Box steht da auch was anderes drin, nämlich “192.168.1.0/24 0.0.0.0/0” (Hinweis: Ich betreibe mein LAN mit dem Netz 192.168.1.0/24 und nicht wie bei den Fritz!Box per default üblich mit 192.168.188.0/24)

ebugigaconnect

oli-h Der DNS-Server ist 1.1.1.1 und nicht die Fritz!Box.
Damit wird dein Client DNS-Anfragen via verschlüsseltem WireGuard-Tunnel an deine FrizzBox schicken, diese dann aber unverschlüsselt zu 1.1.1.1 weiterleiten.

Hmm… ok. Guter Hinweis. Sobald ich das ändere, ist fertig mit VPN. Komme nicht ins LAN und vor allem nicht auf die im Docker des Synology laufenden Apps.

oli-h Bei “Zulässige IPs” steht bei dir “0.0.0.0/0 0.0.0.0/0”. Das macht so keinen Sinn

Das habe ich in der Zwischenzeit angepasst. Hab den Eintrag aus der Original-Anleitung von WG.

oli-h Dieser Dienst ist natürlich exclusiv für Fritz!Box-Besitzer und mit der Fritz!Box nach meiner Erfahrung auch besser integriert.

Tatsächlich konnte ich das auf ‘myfritz’ Umstellen. Und es läuft trotzdem. Werde den DynDNS Eintrag löschen.

EZS1234 Ich bin immer noch der Meinung das du das Problem an der falschen Stelle vermutest.

Davon lass ich mich gerne überzeugen. Es scheint, dass die ganze Problematik mit den DNS Einstellungen zusammenhängt.

Mit Ausnahme des DNS Eintrages bin ich jetzt bei den Einstellungen die original von der FritzBox generiert werden.

Vielen Dank

oli-h

ebugigaconnect bei der FritzBox die DNSv4-Server Einstellung auf “empfohlen” gestellt

Damit nutzt Du aber nicht “DoT” (DNS-over-TLS) wie ich hier oli-h beschrieben habe.

Unverschlüsselte DNS-Anfragen zu den DNS-Servern von Sunrise (faktisch ist das so bei dieser empfohlenen Einstellung) sind eine der Lücken um deine Privatsphäre zu kompromitieren. Insbesondere kann damit z.B. Sunrise sehen, welche Webseiten Du aufrufst, welche Apps Du nutzt, dass Du ein iPhone, ein Mäc und eine Fritz!Box hast, ob Du Netflix-Kunde/Nutzer bist, bei welchen Banken Du dich einloggst, usw…
Zudem gibt es dem Staat zusammen mit den ISP (hier: Sunrise) die einfache Option, Webseiten via DNS zu blockieren - Stichwort “Zensur”.
DoT unterbindet beides recht effektiv und wäre zudem dank Fritz!Box sehr einfach für dein ganzes LAN nutzbar.

Neben diesen klassichen unverschlüsselten DNS-Anfragen/Antworten (auf UDP-Port 53) gibt natürlich noch unverschlüsseltes http. Aber hier sind die Browserhersteller (allen voran Google und Apple) sowie “Let’s Encrypt” sehr aktiv und erfolgreich, klassiches unverschlüsseltes http aus dem Internet zu verdrängen und https zum Standard und zur Pflicht zu machen.
Mit dem Transportprotokoll TLSv1.2 können die ISPs aber immer noch Server-Zertifikate einsehen und so auch z.B. erkennen, welche Webseiten man nutzt. Mit TLSv1.3 ist das dann nicht mehr möglich.
Zudem läuft heute sehr viel Traffic über grosse CDN - faktisch grosse Reverse-Proxys. Damit sind auch die Server-DST-IP-Adressen kein zuverlässiger Hinweis mehr auf besuchte Webseiten.

Lange Rede, kurzer Sinn: Ich empfehle, die DNS-Server von Sunrise nicht zu nutzen sondern DoT mit alternativen (offenen - nicht zensurierbaren) Anbietern zu aktivieren.

ebugigaconnect

@oli-h

In der Zwischenzeit habe ich mir nochmals eine gute ¾ Stunde Zeit genommen um Deine Anregungen umzusetzen. Nun funktioniert die WG-Config ohne Anpassungen.

Allerdings nur dann, wenn ich sowohl am MacBookPro, wie auch im iPhone die DNS-Einstellungen auf manuell setze und 8.8.8.8 zusätzlich zu 192.168.188.1 eintrage. Andernfalls komme ich via VPN nicht durch.

oli-h

ebugigaconnect Andernfalls komme ich via VPN nicht durch

Aussage vermutlich falsch: Du kommt “via VPN durch” - lediglich das DNS-Resolving scheitert.
Wie ich geschrieben habe: Bei Problemen immer (also immer, immer, immer) erstmal mit ping <ip-adresse> (also nicht ping <hostname>) testen, ob die Netzverbindung (Routing / VLANs / Gateways, IPs, …) funktioniert.

Danach (also erst dann) allfällige DNS-Probleme analyisieren, und zwar mit einem DNS-Client (z.B. dig auf Unix-Systemen): Funktioniert das Rolving? Welcher DNS-Resolver wird kotaktiert? Auf welche IPs löst dieser oder jener DNS-Resolver auf….

Es ist einfach nach wie vor so: “IP-Netzbetrieb” ist komplizierter als viele denken - auch wenn die Fritz!Boxen viel davon hinter ein paar GUIs verstecken. Der Teufel steckt dennoch im Detail.

ebugigaconnect

oli-h Der Teufel steckt dennoch im Detail.

“Wahre Worte gelassen ausgesprochen…”

Als letzte Optimierung habe ich bei der FritzBox die DNSv4-Server Einstellung auf “empfohlen” gestellt.

Und siehe da. Alles läuft wie es soll und die WG-Konfiguration kann ich ohne Anpassung verwenden. An den Devices ist der DNS-Eintrag auf die IP der FB gestellt.

ebugigaconnect

oli-h Damit nutzt Du aber nicht “DoT” (DNS-over-TLS) wie ich hier oli-h beschrieben habe.

Danke für den Hinweis. Tatsächlich habe ich das in der Zwischenzeit auch herausgefunden und gleich wieder umgestellt. Ich habe mich in der Zwischenzeit hinsichtlich der “DoT”-Funktion etwas eingelesen und das Prinzip etwas zu verstehen.

oli-h Lange Rede, kurzer Sinn: Ich empfehle, die DNS-Server von Sunrise nicht zu nutzen sondern DoT mit alternativen (offenen - nicht zensurierbaren) Anbietern zu aktivieren.

Vielen Dank für die weiterführenden Informationen.

Hier ist ein für Laien recht gut verständliche Erklärung:

pato

oli-h Insbesondere kann damit z.B. Sunrise sehen, ~~welche Webseiten Du aufrufst~~, welche Apps Du nutzt, dass Du ein iPhone, ein Mäc und eine Fritz!Box hast, ob Du Netflix-Kunde/Nutzer bist, bei welchen Banken Du dich einloggst, usw…

Das können sie auch mit DoT ohne Probleme, sie sehen ja schliesslich auf welche IPs deine Clients sich verbinden. Apple wie auch Netflix haben eigene Server.
Ich persönlich vertraue jedoch Schweizer ISPs noch minimal mehr, als irgendwelchen ausländischen VPN Anbietern, die diese Einsicht theoretisch unterbinden könnten.

ebugigaconnect

@oli-h @EZS1234

Vielen Dank Euch beiden für den Support bei meiner Umstellung.

Ich habe mich zwar mit der ConnectBox3 nicht wirklich in der Tiefe auseinander gesetzt, aber ich denke die Umstellung auf die Fritz!Box macht schon Sinn. Ist aber mit Blick auf die Details nicht so trivial wie gedacht. Mit ein bisschen hinstellen, umstöpseln und gut ist, ist es nicht getan, zumal die FB doch noch ein paar Einstellungen bietet, die der Sicherheit zuträglich sind.

Umso toller ist es, sich hier austauschen zu können und Tipps und Tricks entgegennehmen zu dürfen. Nichts desto trotz hilft es schon, das eine oder andere Video zum Thema anzuschauen oder auf seriösen Seiten sich einzulesen.

Übrigens: Der Speed im Raum wo die FB steht, ist unübertroffen höher als mit der CB3. Das ist auch noch ein gern genommener Nebeneffekt.

« Previous Page