'Ferndruck' via VPN?

[Netzi]

Moin,

wie 'einfach' kann ich es realisieren, dass ich von einem Standort aus auf einem Drucker am anderen Standort drucken kann, beide sind per Fritzbox-VPN miteinander verbunden?

Tüpfelchen wäre dann, wenn das auch aus dem Mobilnetz klappen würde - aber wie binde ich das dann ein (einmal Win10Pro, einmal Android14)?

Danke für Eure Tips!

 

[Stationary]

Geht problemlos, wenn der Drucker ein Netzwerkdrucker ist. Wir haben vier verbundene Fritzboxen, alle mit LAN-LAN-Kopplung über Wireguard verbunden (IPSec ginge aber genauso). An drei der Boxen hängt jeweils ein Brother Laserdrucker (über LAN bzw. WLAN). Entfernt stehende Drucker können über ihre IP-Adresse angesprochen werden.
Aus dem Mobilnetz ist das dann möglich, wenn das Mobilgerät (bei uns iOS) über VPN zu einer der Fritzboxen verbunden ist. Auch von dort erfolgt der Zugriff über die IP-Adresse.

 

[Netzi]

Erfolgsmeldung - hat funktioniert!

Nächster Schritt wird die mobile Einbindung in's VPN - gibt's dazu irgendwo eine Dau-Anleitung? Am besten 'wahlweise', weil nicht der komplette Mobiltraffic über eine Fritz laufen muss...

 

[Barungar]

Tüpfelchen wäre dann, wenn das auch aus dem Mobilnetz klappen würde - aber wie binde ich das dann ein (einmal Win10Pro, einmal Android14)?

Für beide Betriebsysteme gibt es die Wireguard-App. Für den Androiden gleich im Google Play Store (Link) und für Windows auf der Wireguard-Webseite (Link).

Nächster Schritt wird die mobile Einbindung in's VPN - gibt's dazu irgendwo eine Dau-Anleitung? Am besten 'wahlweise', weil nicht der komplette Mobiltraffic über eine Fritz laufen muss...

Anschließend in der FritzBox die mobilen Verbindungen einrichten.

https://avm.de/service/wissensdaten...ard-VPN-zur-FRITZ-Box-am-Computer-einrichten/
https://avm.de/service/wissensdaten...ITZ-Box-am-Smartphone-oder-Tablet-einrichten/

Ich weiß jetzt gerade nicht mehr, ob die FritzBox im Standard allen Verkehr oder nur den direkten in FritzBox-LAN über das mobile Wireguard leitet. Aber das kann Du jederzeit am Client (Smartphone oder PC) anpassen, in dem Du die importierte Verbindung bearbeitest.

 

[Netzi]

hmmm, habe derzeit IPSec laufen, ginge das damit auch? Will ungern alles umbasteln, zumal es ja gerade mal gut läuft...

 

[Barungar]

Du musst nicht großartig viel umbasteln. Ich persönlich finde es sogar von Vorteil, wenn man trennt.
Also IPsec für die Verbindungen zwischen FritzBox zu FritzBox und WireGuard für Einzelgerät zu FritzBox.

Und zumindest auf Windows ist WireGuard einfacher einzurichten als IPsec, zumindest zu einer FritzBox als Gegenstelle.
Die FritzBox ist da eher wählerisch, was ihre Ciphers und Hashes angeht.

 

[Stationary]

hmmm, habe derzeit IPSec laufen, ginge das damit auch

Ja, geht. Es ist egal, wie Du in Dein Netzwerk kommst, solange Dein Mobilgerät eine IP-Adresse im Heimnetz hat, funktioniert das. Ob mit IPSec oder WG ist egal.

 

[Netzi]

Du musst nicht großartig viel umbasteln. Ich persönlich finde es sogar von Vorteil, wenn man trennt.
Also IPsec für die Verbindungen zwischen FritzBox zu FritzBox und WireGuard für Einzelgerät zu FritzBox.

also 'alles wie gehabt', plus WireGuard zusätzlich, klingt gut.

Und zumindest auf Windows ist WireGuard einfacher einzurichten als IPsec, zumindest zu einer FritzBox als Gegenstelle.
Die FritzBox ist da eher wählerisch, was ihre Ciphers und Hashes angeht.

auch das spricht natürlich dafür

Ja, geht. Es ist egal, wie Du in Dein Netzwerk kommst, solange Dein Mobilgerät eine IP-Adresse im Heimnetz hat, funktioniert das. Ob mit IPSec oder WG ist egal.

*möp* genau da liegt ja das mobile Problem, 'auswärts' habe ich ja keine IP im Heimnetz...

 

[Stationary]

möp* genau da liegt ja das mobile Problem,

Ähhhm…wenn Du mit VPN verbunden bist, bekommt Dein Gerät doch eine IP im Heimnetz??? Bei Fritzboxen meist im Bereich .200 aufwärts.

 

[Netzi]

bisher bin ich ja noch nicht von auswärts im VPN, bisher nur Fritz <-> Fritz via IPSec, und einem 'übergreifendem' IP-Bereich (einmal 10.A.x.y und einmal 10.B.x.y, jeweils dieselbe Endstelle für dasselbe Gerät (entweder wechselnd wie Mobile oder Laptop, oder gleich vergeben an beiden Standorten)

 

[the other]

Moinsen,
Naja, und wenn du dich dann aus dem Mobilfunk Netz per wireguard zu Hause einwählst, dann bekommt dein Smartphone eine IP aus dem Heimnetz (wo der Drucker auch eine aus diesem Netzwerk hat). Damit solltest du den Drucker dann genauso ansteuern können, wie im eigenen WLAN...

 

[the other]

Moinsen,
Oder du verzichtest auf wireguard und bleibst für die smartphone Zugriffe aus dem Mobilfunk (roadwarrior) bei IPSEC. Geht ja auch mit mehreren Verbindungen...
https://avm.de/service/wissensdaten...leichzeitiger-VPN-Verbindungen-zur-FRITZ-Box/
Mit IPSEC hast du ja bereits erfolgreiche Erfahrungen gemacht.

 

[Netzi]

oh, das mit mehreren VPN-Verbindungen auf der Fritz hatte ich jetzt nicht (mehr) so auf dem Schirm.

Aber am Smartphone sehe ich da Probleme mit NetGuard, der ja auch als VPN läuft (und auch zwingend nötig ist!)

 

[the other]

Moinsen,
Ok.
Netguard erlaubt keine andere VPN Nutzung. Meines Wissens gibt es da auch keine workarounds zu...
Hast doch aber im 1. Post auch nach mobilnetz gefragt. Mit dem windows Client, den du da erwähnt hast, sollte es doch aber gehen. Oder nutzt der das handy als Hotspot, das dann eben alles per netguard blockt?

 

[Netzi]

nee, der Win-Rechner hat 'ne eigene Simkarte

Als Workaround (nur wie? ) könnte ich mir vorstellen, dass ich entweder via NetGuard oder via VPN gehe, und wenn via VPN *jeglicher* anderer Internetverkehr (auch via Fritz) blockiert wäre - also entweder 'Internet' (via NetGuard) oder 'Intranet' (via VPN, ohne Internetberechtigung)?!

 

[Barungar]

Du könntest im WireGuard-Client sagen, dass er 0.0.0.0/0 durch die VPN-Verbindung zur FritzBox routet.
Und der FritzBox könntest Du dann sagen, dass die "Client" VPN-Smartphone keinerlei Internet-Traffic machen/haben (Kindersicherung) darf.

 

[Stationary]

Aber am Smartphone sehe ich da Probleme mit NetGuard, der ja auch als VPN läuft (

Kann man bestimmt anders lösen: Smartphone ist per WG mit der Fritzbox verbunden. DNS-Server für die FB ist ein pihole/unbound und wird im Netz an alle Geräte verteilt, d.h. auch Anfragen eines per WG verbundenen Smartphones werden durch pihole geblockt/erlaubt.

dann bekommt dein Smartphone eine IP aus dem Heimnetz (wo der Drucker auch eine aus diesem Netzwerk hat). Damit solltest du den Drucker dann genauso ansteuern können, wie im eigenen WLAN..

Das geht sogar, wenn der Drucker an der anderen, über LAN-LAN-Kopplung verbundenen Box hängt. D.h. ist das Mobilgerät via VPN mit Box A verbunden, kann ein Drucker an Box B erreicht werden, wenn A und B gekoppelt sind.

 

[the other]

Moinsen,
ja, das ist natürlich richtig.
Mir ging es nur darum, die Frage /das Problem mit

'auswärts' habe ich ja keine IP im Heimnetz...

zu beantworten...

 

[Netzi]

Du könntest im WireGuard-Client sagen, dass er 0.0.0.0/0 durch die VPN-Verbindung zur FritzBox routet.
Und der FritzBox könntest Du dann sagen, dass die "Client" VPN-Smartphone keinerlei Internet-Traffic machen/haben (Kindersicherung) darf.

ja, genau so meinte ich das.

Gibt es denn einen einfachen 'Umschalter' zwischen den beiden VPN-Zugängen? also entweder 'mobil' (NetGuard) oder 'Fritzzugang' (WG ohne Onlinerechte)?

Kann man bestimmt anders lösen: Smartphone ist per WG mit der Fritzbox verbunden. DNS-Server für die FB ist ein pihole/unbound und wird im Netz an alle Geräte verteilt, d.h. auch Anfragen eines per WG verbundenen Smartphones werden durch pihole geblockt/erlaubt.

sorry, ich wollte nicht auch noch 'nen Pi installieren - ausserdem kenne ich mich damit noch weniger aus

Das geht sogar, wenn der Drucker an der anderen, über LAN-LAN-Kopplung verbundenen Box hängt. D.h. ist das Mobilgerät via VPN mit Box A verbunden, kann ein Drucker an Box B erreicht werden, wenn A und B gekoppelt sind.

das hatte ich ehrlich gesagt auch nicht anders erwartet - wäre eher für Datenspeicher-Zugang interessant (NAS im Heimnetz) - menno, ich 'will' schon wieder alles, 'brauche' wenig, und kann mir 'nix' leisten

 

[Barungar]

Gibt es denn einen einfachen 'Umschalter' zwischen den beiden VPN-Zugängen? also entweder 'mobil' (NetGuard) oder 'Fritzzugang' (WG ohne Onlinerechte)?

Naja, da das vermutlich über zwei Apps geht, wird es "schnell" nicht gehen mit der Umschaltung. Du müsstest in der NetGuard-App den Tunnel deaktivieren. Und dann in der WireGuard-App den Tunnel aktivieren.