Fritzbox 7590 hinter 6660 mit Wireguard erreichen

[tigger90]

Hallo,

ich habe eine Fritzbox 6660 und dahinter eine 7590 hinter der ich gerne meine Geräte über die Wireguard-Lösung von Fritz erreichen möchte.

Internet -> WAN 6660
6660 Lan 2 -> WAN 7590
7590 Lan 2 -> Geräte

In der 6660 habe ich aktuell das myfritz-Konto eingerichtet und in der 7590 die Wireguard Verbindung (in der ich allerdings die öffentliche Adresse des myfritz-Kontos der 6660 eingetragen habe).
Eine Portfreigabe ist in der 6660 für den WG Port der 7590 eingerichtet.
So wie ich das sehen kann, baut sich der Tunnel auf, aber ich bekomme keine Verbindung.

Hat das jemand schon in einer ähnlichen Form am Laufen und kann mir da weiterhelfen?
Wenn ich Wireguard nach Anleitung in der 6660 einrichte, klappt dies sofort und ich kann die Box auch über mein Endgerät erreichen.

Vielen Dank und viele Grüße

 

[pompom]

Das erschließt sich mir nicht was du damit erreichen willst, Wireguard auf die 6660 und gut ist, da bist du doch in deinem Netzwerk.

 

[tigger90]

Die 7590 baut ein eigenes Netz auf.
Die 6660 hat 192.168.198.x und die 7590 192.168.188.x

 

[the other]

Moinsen,
hast du die Idee der Routerkaskade bewusst gewählt (was ist der Grund dafür?) oder ist das ein Designfehler ?
Ansonsten: wenn ein VPN Server nicht direkt auf dem Internetrouter liegt, dann (unter IPv4) den DynDNS / myFritz! Eintrag auf den Internetrouter und dort ebenfalls eine Portweiterleitung (mit den benötigten Ports für das jeweilige VPN "Modell") zum 2. Router.
Nur: das ist ein wenig wie Hose mit Kneifzange anziehen, wenn du mich fragst bzw. solange ich den Grund für so ein doch eher kompliziertes Konstrukt noch nicht durchschaue. Und: du hast dann doppel NAT, was manchmal problematisch ist.
Daher wäre (ohne dein Netzwerk zu kennen und die Gründe für den Aufbau) auch ich eher dafür, den VPN Server auf dem Internetrouter und den 2. Router im IP Client Modus laufen lassen.

 

[tigger90]

Hallo other,
auf die 6660 kann noch jemand anderes zugreifen, deswegen habe ich dahinter noch ein eigenes Netz aufgebaut, ansonsten wäre das andere auch wesentlich einfacher und ich würde hier nicht langsam verzweifeln

Von Vodafone bekomme ich nur eine ipv6 Adresse.. das doppel NAT funktioniert auch mit dem Boxen?
Magst du mir das noch etwas genauer erklären?

Ich habe WG ja in der 7590 eingerichtet und dort einen öffentlichen Schlüssel sowie eine Internet Adresse bekommen(die mir ja wahrscheinlich nicht viel bringt?) unter Diagnose -> Sicherheit sehe ich den Port, welchen WG angelegt hat, diesen habe ich in der 6660 freigegeben. Dazu habe ich auf der 6660 den myfritz Zugang aktiv und bekomme eine Adresse (xx.myfritz.net) für den Internetz Zugriff.

Ist das soweit korrekt oder ist dort schon was falsch?


Vielen Dank und viele Grüße

 

[pompom]

Kannst du es nicht so einrichten, das du für dein Netz die 6660 benutzt? dann wäre die Sache um einiges einfacher. Zum Beispiel die 7590 als LAN oder W-LAN Gastzugang einrichten.

 

[the other]

Moinsen,
bei IPv6 gibt es kein NAT...
Tja, du müsstest den DynDNS dann auf dem Gerät einrichten, auf welches du zugreifen willst (deine Fritzbox hinter dem Internetrouter). Dazu müsste die erste Fritzbox eine Portfreigabe eingetragen bekommen.
Der DynDNS Eintrag zeigt dann auf die GlobaleUniqueAdress (GUA, meist beginnend mit 2003:3c4:...) der Fritzbox, die den VPN Server "beherbergt".
Trotzdem: so richtig schön ist der Netzaufbau nicht, langfristig würde ich mich da nach anderen Ideen umschauen...

 

[tigger90]

Meine Alternative wäre die 7590 dahinter zu hängen und den Port dann als Exposed Host für das andere Netz einzustellen.
Dann kann ich mich direkt an die 6660 stecken, dort die anderen Ports deaktivieren und so wäre auch wieder alles getrennt.
Spricht da was gegen?

Was wäre dein Vorschlag für meinen Aufbau?

 

[the other]

Moinsen,
da spricht nix "gegen", es ist nur nicht so richtig "schön". Funktionieren sollte es mit dem Exposed host auf die 2. (deine) Fritzbox aber auch.

 

[tigger90]

Dann werde ich das wahrscheinlich wohl am Wochenende mal so umbauen

Was wäre die „schöne“ Lösung?

 

[the other]

Moinsen,
verdammt, ich und mein loses Mundwerk, kommt davon.
"Schöner" wäre für mich: der Internetrouter macht das VPN, segmentiert das interne Netz und regelt dann bei Bedarf, ob sich diese beiden LANs irgendwie über Regeln doch "berühren" dürfen.
Ich gehe aber auch davon aus, dass der aktuelle Internetrouter nicht deiner ist, sondern du den mitnutzt aka ihr euch den Anschluss teilt bei getrennten Parteien... Was du so bisher aber gar nicht gesagt hast, sehe ich gerade.
Sei's drum. Hauptsache ist ja, dass es für dich und dein setting läuft.

 

[tigger90]

Deswegen wollte noch mal nachfragen,
aber das übersteigt leider meine Fähigkeiten in dem Gebiet, dann mache ich das lieber auf dem einfachen Weg

Fast richtig geraten, sind beides meine Router, das eine ist der dienstliche Part, welchen ich gerne erreichen möchte und wo auch mal jemand anderes dran ist.
Privat möchte ich weder Kameras noch knx oder etwas anderes aus dem Haus am Netz bez. öffentlich erreichbar haben

Vielen Dank für eure Hilfe und die Tipps!