Fritz!OS 7.50 - Wireguard nur mit DynDNS?

[blurrrr]

Hi,

hab grade das Upgrade auf Fritz!OS 7.50 gemacht und wollte mir in der Weboberfläche den Wireguard -Teil nur mal "anschauen". Hab nur irgendwie nicht mehr als das hier zu sehen bekommen:



Die Aussage: "WireGuard®-Verbindungen sind nur sinnvoll mit einer eigenen DynDNS-Adresse für Ihre FRITZ!Box." finde ich persönlich aber schon extrem fragwürdig... Ich hab hier öffentliche statische Adresse und "muss" jetzt "zwingend" MyFritz oder einen anderweitigen DynDNS auf der Fritzbox einrichten, damit ich Wireguard nutzen darf? Ich weiss ja nicht... andere Systeme sind da nicht so zickig... statische IP-Adressen rein, fertig, hier "muss" man jetzt irgendwas DNS-basiertes machen?

Beim IPSec hat man sich diesen Unsinn ja auch erspart:



Das gilt sowohl bei IPSec-Verbindungen á la "mit dem Firmennetz verbinden", aber auch bei einer Verbindung zu einer anderen Fritzbox. Wundert mich schon sehr, dass AVM bei der Wireguard-Geschichte da so extrem auf den DynDNS-Mist pocht... So wie es scheint, kann man sich ja nichtmals händisch eine Config stricken und diese dann einfach importieren... Finde ich schon alles ziemlich dubios... oder ich bin einfach nur blind... kann natürlich auch sein

Wie sieht das denn bei euch so aus? Wenn Wireguard immer mit MyFritz/DynDNS, oder ist auch schon jemand daran vorbei gekommen und hat seine Verbindung einfach via öffentlicher IP eingerichtet?

P.S.: Unter OPNsense oder Mikrotik war das mit dem Wireguard irgendwie nicht so ein Theater...

 

[Stationary]

Ich denke AVM geht da einfach vom Standardnutzer/-käufer der Fritzbox aus. Die wenigsten Homeuser haben eine statische öffentliche IP und benötigen daher DynDNS - ich gehöre auch dazu. Ich könnte mir aber vorstellen, daß bei benutzerdefinierter Einrichtung auch die Angabe der statischen IP: Port möglich ist.

 

[blurrrr]

Naja, ich hab auf der Seite (s. Screenshot) nix von einer "benutzerdefinierten" Einrichtung gesehen, daher auch die Nachfrage

 

[Barungar]

Für Wireguard ist das wohl so ja, aber bei IPSec brauchst Du sowas nicht. Ich mag IPSec sowieso viel mehr.

 

[blurrrr]

Ich mag IPSec sowieso viel mehr.

Na die Frage stellt sich ja glücklicherweise eh nicht - wollte auch nur mal "gucken", nix weiter und war dann doch etwas überrascht

 

[tiermutter]

Wann macht denn mal jemand von euch den speed Vergleich WG vs IPsec?
Ich bin ja zu blöd für IPsec...

 

[Stationary]

Aber jetzt wo Du das so sagst, frage ich mich, ob ich die Seite, die Du da hast so gar nicht gesehen habe und direkt auf die Einrichtungsseite gekommen bin, da beide Fritzboxen mit 7.50/7.51 bei mir schon eine DynDNS-Adresse hinterlegt hatten, wegen der früheren IPSec-VPN-Zugänge.

 

[blurrrr]

speed Vergleich WG vs IPsec?

Sorry, hab hier keinerlei VPN über irgendwelche Fritzboxen laufen

Ich bin ja zu blöd für IPsec...

Ach was, das geht schon alles, ist mitunter nur manchmal etwas tricky, aber da hilft es dann ungemein, wenn man weiss, dass es "theoretisch" lt. Konfiguration funktionieren "müsste", so dass man da zumindestens etwas differenzieren kann. Manchmal sind es auch irgendwelche Eigenheiten div. Hersteller (nur Main-Mode vs. nur Aggressive-Mode, mögliche Cipher, etc.). Am einfachsten ist es daher, wenn man sich einfach ein System "eines" Hersteller schnappt (z.B. 2x OPNsense) und erstmal nur zwischen diesen beiden gleichartigen Systemen etwas entsprechendes einrichtet. Danach kann man sich dann anderweitigen Baustellen widmen (z.B. OPNsense <-> Fritzbox), aber das wurde hier im Forum ja auch schon die Tage thematisiert.

direkt auf die Einrichtungsseite gekommen bin, da beide Fritzboxen mit 7.50/7.51 bei mir schon eine DynDNS-Adresse hinterlegt hatten

Das dürfte gut möglich sein, ich hatte hier nie irgendwelche DynDNS-Geschichten eingerichtet, wozu auch, statische IP + öffentlichener DNS-Record. Von mir aus wäre ja auch das in Ordnung, aber ich hab ja nichtmals die Möglichkeit, irgendwo einen FQDN anzugeben, von daher "müsste" ich ja nun "zwingend" irgendwo etwas Richtung DynDNS auf der Fritzbox einrichten (völlig unnötigerweise versteht sich). Also irgendwie schon etwas komisch die Nummer, aber vielleicht wird das ja in einer späteren Version noch nachgebessert

 

[tiermutter]

Du kannst so ein VPN aber einfach mal einrichten und testen
Aber nicht zwingend auf Fritte, es darf schon etwas potenter sein.
Was meinen Testversuch angeht: da konnten Du und @Barungar mir ja auch nicht helfen das zum Laufen zu bringen (Win10 client zu OPNsense)...

 

[blurrrr]

In Bezug auf was jetzt, Wireguard oder IPSec? Ich hab mit Fritzbox-VPN eher nix zu schaffen und um irgendwas zu testen, fehlt da doch eher die Bandbreite/Performance. Privat sind die meisten (mal abgesehen von den fiesen Schweizern ) wohl alle gleich "schlecht" aufgestellt, ich hab privat auch nur 100/40 und an einer anderen Location 300/30 (wer auch immer sich so einen Blödsinn ausgedacht hat). Aber davon ab... hatten wir da nicht schon mal irgendwo irgendwie eine Test-VM hingesetzt mit OPNsense - was das nicht ggf. auch aus diesem Grunde, oder ging es da damals um etwas anderes?

 

[tiermutter]

Die VM (OPNsense) hattest du mir freundlicherweise dahingespuckt damit ich testen kann... Aber ich kriege IPsec ja nicht zum Laufen um testen zu können....

 

[blurrrr]

Aber ich kriege IPsec ja nicht zum Laufen

Phase1 gleich konfigurieren, Phase2 gleich konfigurieren, Endpunkte und Netze korrekt angeben, fertig?

 

[tiermutter]

Ja dann... Mach!

 

[blurrrr]

Hab keine passende Gegenstelle

 

[Boxenluder]

@blurrrr Hast du denn mal versucht, eine geeignete VPN-Config ohne MyFritz/DynDNS und fester IP als IKEv1 zu importieren?
Wireguard ist noch nicht vollumfänglich implementiert genauso wie IKEv2, was nur mit Android-Clients funktioniert.

 

[blurrrr]

@Boxenluder Hab ich und auch händisch angepasste (für div. Szenarien), das letzte mal ist allerdings auch schon ein paar Jahre her (vermutlich so 10+)

Wireguard ist noch nicht vollumfänglich implementiert genauso wie IKEv2, was nur mit Android-Clients funktioniert.

Nagut, dann heisst es halt warten... ist auch nicht so, als würde mich das stören, benutze es ja sowieso nicht