Qnap als WireGuard Client, Fritzbox als WireGuard Server?

[Stachlon]

Vielleicht zur besseren Veranschaulichung zwei Bilder.
Das erste zeigt, wie mein Netzwerk aufgebaut ist:
Für den internen Netzzugang:
Mit PC 1,2... gehe ich über eine Fritzbox 1 auf meinen Qnap 1 und ins Internet.
für den externen Netzzugang:
Auf der Fritzbox ist WireGuard (WG-Server) VPN für den Zugriff von außen installiert. Auf dem PC für den Zugriff von außen ist natürlich auch WireGuard (WG-Client) installiert. So kann ich von außen auf meine Dateien auf dem Qnap zugreifen.
Das gilt auch für den Zugriff von PC A,B über die Fritzbox II in einem anderen Büro.
Nun möchte ich aber auch in dem Büro mit der Fritzbox II einen Qnap installieren.
Über WireGuard soll nun folgendes Szenario eingerichtet werden.
- PCs, die zu Büro 1 gehören, können nur (auch von außen) auf den Qnap 1 zugreifen.
- PCs, die zu Büro 2 gehören, können nur (auch von außen) auf den Qnap II zugreifen.
- und die Qnaps synchronisieren sich.

Wie kann ich das mit WireGuard realisieren und was muss ich wo einrichten?

 

[Stationary]

1) Fritzboxen mit LAN-LAN-Kopplung (Wireguard-Netzwerkverbindung), bei jeder Fritzbox die jeweilige QNAP als einziges erlaubtes Ziel in den WG-Einstellungen. QNAP kann so auf QNAP zugreifen.
2) Wireguard-Geräteverbindung in Fritzbox 1 für PC 1 einrichten, einziges erlaubtes Ziel QNAP 1.
3) Wireguard-Geräteverbindung in Fritzbox 2 für PC 2 einrichten, einziges erlaubtes Ziel QNAP 2.

1) bewirkt allerdings, daß theoretisch auch PC 1 auf QNAP 2, bzw. PC 2 auf QNAP 1, zugreifen kann, sofern sie im jeweiligen Büronetzwerk verwendet werden; das würde ich über die Nutzerrechte des NAS lösen, daß das nicht möglich ist, falls nicht erwünscht.
Alternative für 1) wäre sonst die Installation eines Wireguard-Clients auf den QNAP und dann auch Geräteverbindungen einrichten.

 

[Stachlon]

Über letztere Möglichkeit habe ich auch schon nachgedacht. So würde nur Fritzbox 1 als VPN Server fungieren und beide Qnaps als VPN Clients einrichten. Denn Rest über die Zugriffsrechte machen. So müsste ich Fritzbox II (darf) nicht anfassen. Wäre das machbar?