Fritz-Box Wireguard Verbindung zu remote DNS

[F43nd1r]

Hallo, ich möchte gerne meinen eigenen DNS-Server mit der Fritz-Box verbinden. Der DNS-Server ist über wireguard erreichbar. Leider scheint die Fritz-Box nie eine Wireguard-Verbindung herzustellen (Punkt bleibt Grau). Mach ich was falsch? Kann ich da irgendwo logs zu sehen?

Server config:

[NetDev]
Name=wg0
Kind=wireguard
Description=Wireguard tunnel wg0

[WireGuard]
ListenPort=51871
PrivateKey=[Server Private Key]

[WireGuardPeer]
PublicKey=[Fritz Box Public Key]
AllowedIPs=10.0.0.10/32
PreSharedKey=[PSK]

In Fritz-Box hochgeladene config:

[Interface]
PrivateKey = [Fritz Box Private Key]
Address = 10.0.0.10/24
ListenPort = 51871
DNS = 10.0.0.1

[Peer]
PublicKey = [Server Public Key]
PreSharedKey = [PSK]
AllowedIPs = 10.0.0.1/32
Endpoint = [Server IP]:51871

Was die Fritz-Box danach als Konfiguration anzeigt:

[Interface]
PrivateKey = [Fritz Box Private Key]
ListenPort = 55563
Address = 192.168.178.1/24,10.0.0.10/24
DNS = 192.168.178.1,10.0.0.1
DNS = fritz.box

[Peer]
PublicKey = [Server Public Key]
PresharedKey = [PSK]
AllowedIPs = 10.0.0.1/32
Endpoint = [Server IP]:51871

Falls noch weitere infos nötig sind, gern fragen

 

[Stationary]

Es wurde nicht geschrieben, was für eine FB verwendet wird, das Modell kann bei WG einen Unterschied machen. Insbesondere, wenn es eine 7490 sein sollte.

 

[F43nd1r]

Hi Stationary, es ist eine Fritz-Box 5530 Fiber

 

[Barungar]

Ich bin nicht ganz so tief in WireGuard drin. Aber das sieht mir nicht nach einer Site2Site-Konfiguration aus. Wenn ich das richtig "lese" ist die FritzBox hier eher ein Client und der DNS-Server der Server des WireGuard-Tunnels. Ich bin mir nicht sicher, ob das bei FritzBoxen auch wirklich funktioniert. Ich fürchte eher, die sehen nur den Modus vor, dass sie Site2Site aufbauen oder selbst der Server in einer Site2Client-Konstellation sind.

 

[F43nd1r]

Ich bin nicht ganz so tief in WireGuard drin. Aber das sieht mir nicht nach einer Site2Site-Konfiguration aus. Wenn ich das richtig "lese" ist die FritzBox hier eher ein Client und der DNS-Server der Server des WireGuard-Tunnels. Ich bin mir nicht sicher, ob das bei FritzBoxen auch wirklich funktioniert. Ich fürchte eher, die sehen nur den Modus vor, dass sie Site2Site aufbauen oder selbst der Server in einer Site2Client-Konstellation sind.

Das könnte das Problem sein - die Fritzbox als Client (wie auch andere Geräte bei denen es funktioniert) war die Idee.
Ich bin auch kein wg-Profi, wie müsste ich denn die configs anpassen um es mit site2site zu probieren?

 

[Barungar]

Sorry, ich habe noch keine WireGuard Site2Site-Konfig gebaut, weil ich Site2Site traditionell mit IPsec mache.
Aber ich würde mir denken, dass bei einer Site2Site-Konfiguration auf beiden Seiten ein Netzwerk und nicht nur eine IP "allowed" wird. Und das darüberhinaus beide Seiten den jeweiligen "Endpoint" kennen. An diesen beiden Punkten habe ich zumindest für mich fest gemacht, dass das oben eher keine Site2Site-Verbindung ist.

 

[Stationary]

Auf einer Fritzbox sieht WG-site-to-site so aus (7590 gleichzeitig zu 7490, 6820 und 6690):

[Interface]
PrivateKey = private_key_FB7590
ListenPort = WG_Port_7590
Address = 192.168.yyy.1/24
DNS = 192.168.yyy.1,192.168.zzz.1,192.168.xxx.1,192.168.www.1
DNS = fritz.box

[Peer]
PublicKey = public_key_FB7490
PresharedKey = key_7490_7590
AllowedIPs = 192.168.zzz.0/24
Endpoint = DynDNS_address_7490:WG_Port_7490
PersistentKeepalive = 25
[Peer]
PublicKey = public_key_FB6820
PresharedKey = key_6820_7590
AllowedIPs = 192.168.xxx.0/24
Endpoint = DynDNS_address_6820:WG_Port_6820
PersistentKeepalive = 25
[Peer]
PublicKey = public_key_FB6690
PresharedKey = key_6690_7590
AllowedIPs = 192.168.www.0/24
Endpoint = DynDNS_address_6690:WG_Port_6690
PersistentKeepalive = 25

Wo erstellst Du die Verbindung denn zuerst? Es empfiehlt sich, auf der FB zuerst eine WG-Verbindung zu einem Endgerät zu erstellen. Dadurch wird der von der FB verwendete Port für WG festgelegt. Die FB wählt bei der ersten Erstellung einer WG-Verbindung einen willkürlichen Port >50000 für WG.
Wenn bei Deinem S2S etwas nicht funktioniert und Du jedesmal die Konfiguration komplett von der FB löscht, ändert sich der Port jedesmal, wenn keine anderen WG-Verbindungen konfiguriert sind. Das macht die Fehlersuche nicht einfacher.