VPN mit FRITZ!Box 7530 AX hinter Telekom Digitalisierungsbox Smart 2

[atanke]

Moinsen,
ich habe eine Telekom Digitalisierungsbox Smart 2 als Router.
Da dieses Telekomgerät sich aber nicht vernünftig mit VPN und Wireguard einrichten lässt, habe ich nun eine FRITZ!Box 7530 AX gekauft mit der ich nun das VPN realisieren möchte. Ich muss leider die Telekom Digitalisierungsbox Smart 2 weiterhin betreiben, da noch eine Telekom Oktopus F Telefonanlage mit eingebaut ist, und mir das Risiko einer Fehlfunktion zu groß ist.

Ich habe nun erstmal nur einen PC mit einer Netzwerkfreigabe direkt an die Fritzbox angeschlossen und der Rest hängt an dem Telekomteil.

Ich habe die Fritzbox als IP-Client hinter den ollen Telekomkasten gehängt.
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7510/3244_FRITZ-Box-als-IP-Client-einrichten/

Ich habe dann VPN wie hier eingerichtet:
https://avm.de/service/wissensdaten...ard-VPN-zur-FRITZ-Box-am-Computer-einrichten/

Die Fritzbox hat auch ein anderes IP-Netzwerk als die Telekombox.

Wenn ich nun mit meinem Handy ins Internet gehe und das Wireguard VPN aktiviert habe, kann ich keine Seiten aufrufen.

Ich vermute mal, ich muss in der Telekombox noch irgendwelche Ports, o.ä. freischalten. Kann mir hier jemand weiterhelfen, welche Ports oder andere Freigaben benötigt werden, damit die Fritzbox VPN über Wireguard beherrschen kann?


LG Andi

 

[Stationary]

Nur für mein Verständnis: der Computer hängt per LAN oder WLAN an der Fritzbox und Du hast WG vom Computer zur Fritzbox eingerichtet (das zumindest beschreibt der AVM-link)? Zu welchem Zweck das?

Die Fritzbox muß WG-Server sein, der Verkehr in das dahinter liegende Netzwerk muß erlaubt sein (evtl. NetBIOS anhaken), der WG-Client muß im Mobiltelefon eingerichtet sein, und da Du noch einen Router vor der Fritzbox hast, müssen mindestens die für WG nötigen Ports geöffnet und weitergeleitet sein.

 

[atanke]

Nur für mein Verständnis: der Computer hängt per LAN oder WLAN an der Fritzbox

der Computer hängt per LAN an der Fritzbox

...und Du hast WG vom Computer zur Fritzbox eingerichtet (das zumindest beschreibt der AVM-link)? Zu welchem Zweck das?

ich habe Wireguard gemäß
https://avm.de/service/wissensdaten...ard-VPN-zur-FRITZ-Box-am-Computer-einrichten/
und
https://avm.de/service/wissensdaten...ITZ-Box-am-Smartphone-oder-Tablet-einrichten/

auf der Fritzbox und dem Handy eingerichtet.

Zu welchem Zweck das?

Zum Testen.
Ich habe dann mit dem Handy mit aktiviertem VPN OHNE WLAN versucht eine Seite aufzubauen, aber die Seite konnte nicht aufgerufen werden, sobald ich WPN abgeschaltet hatte war alles ok.

Die Fritzbox muß WG-Server sein

ok, das ist gemacht.

der Verkehr in das dahinter liegende Netzwerk muß erlaubt sein (evtl. NetBIOS anhaken),

das muss ich gleichnochmal prüfen

der WG-Client muß im Mobiltelefon eingerichtet sein, und da Du noch einen Router vor der Fritzbox hast,

ok, das ist gemacht.

müssen mindestens die für WG nötigen Ports geöffnet und weitergeleitet sein.

hmm und welche sind das? Wenn ich bei Wireguard bei Schnittstelle schaue, dann wechselt der Eingangsport bei jedem De-/Aktivieren...

LG Andi

 

[Stationary]

Wenn ich bei Wireguard bei Schnittstelle schaue, dann wechselt der Eingangsport bei jedem De-/Aktivieren...

Eigentlich nicht. Für eine gegebene WG-Verbindung ist der Port der Fritzbox eigentlich immer identisch. Welcher das ist, siehst Du in der Fritzbox unter den WG-Einstellungen bei „Adresse dieser Fritzbox“.

 

[Stationary]

Ich habe mich da falsch ausgedrückt…für eine gegebene Fritzbox ist der WG-Port immer der gleiche (wenn mindestens ein WG-Zugang eingerichtet ist), zwei Fritzboxen können voneinander abweichende Ports verwenden (meine 7590 verwendet beispielsweise einen anderen Port für WG als meine 6820). Deshalb kann ich Dir auch nicht sagen, was bei Dir der richtige Port wäre.

Eine feste IP bzw eine DynDNS-Adresse hast Du natürlich, gehe ich mal von aus?

 

[atanke]

Eigentlich nicht. Für eine gegebene WG-Verbindung ist der Port der Fritzbox eigentlich immer identisch. Welcher das ist, siehst Du in der Fritzbox unter den WG-Einstellungen bei „Adresse dieser Fritzbox“.

also das was bei Wireguard im oberen Fenster als Eingangsport bezeichnet wird wechselt mit jedem De-/Aktivieren.
Der untere Port beim Endpunkt bleibt gleich, aber ich denke der Eingangsport müsste doch dann wohl von der Telekombox auf die Fritzbox weitergeleitet werden, oder habe ich das falsch verstanden?

Das ist der selber der in der Fritzbox bei Endpunkt (Domain) angezeigt wird. Jedesmal wenn man auf dem Endgerät WG abschaltet und wieder anschaltet, dann wird der neu gesetzt

 

[atanke]

Ich habe mich da falsch ausgedrückt…für eine gegebene Fritzbox ist der WG-Port immer der gleiche (wenn mindestens ein WG-Zugang eingerichtet ist), zwei Fritzboxen können voneinander abweichende Ports verwenden (meine 7590 verwendet beispielsweise einen anderen Port für WG als meine 6820). Deshalb kann ich Dir auch nicht sagen, was bei Dir der richtige Port wäre.

Eine feste IP bzw eine DynDNS-Adresse hast Du natürlich, gehe ich mal von aus?

ja, klar, da nutze ich MyFRITZ!

 

[Stationary]

Relevant ist der untere der angegebenen Ports (hier ist eine stehende Verbindung zwischen zwei Fritzboxen gezeigt):

Kannst Du in der Fritzbox auslesen. Bei WG-Verbindungen zu Mobilgeräten ist das obere Feld (Gegenstelle) unter Umständen auch leer.

 

[atanke]

ja, das sollte doch dieser hier sein, oder nicht?
und der ist wechselnd

 

[Stationary]

Und die myfritz-Adresse löst auf die richtige externe IP auf?

 

[Stationary]

ja, das sollte doch dieser hier sein, oder nicht?

Das sieht nach dem Port der Gegenstelle aus.
Klick mal rechts auf den Stift neben dem Mülleimer. Bei dem Fenster das dann aufgeht siehst Du die Adresse Deiner Fritzbox.
Oder ist das ein Bild aus einer anderen Fritzbox, die bereits mit der gewünschten Fritzbox verbunden ist? Was genau ist das mit dem grünen Punkt? .222:59355 sieht mir aus, wie Dein Mobilgerät, aber nicht wie die Adresse: Port der Box. Da dort ein grüner Punkt ist, scheint mir aber die Verbindung zu stehen.

 

[Stationary]

wenn der grüne Punkt Dein Handy darstellt, dann stimmen möglicherweise die erlaubten IP-Bereiche in der Wireguard-Konfigdatei nicht.

 

[atanke]

Da waren schon ein paar gute Tips bei.
Ich versuche nun erstmal die Fritzbox per Internetzugriff zum laufen zu bekommen, ich habe die leise Hoffnung, dass damit dann auch der Rest gehen könnte

 

[atanke]

Und die myfritz-Adresse löst auf die richtige externe IP auf?

genau DAS scheint der Haken zu sein.
bei myFritz ist nur die interne IP drin.
Kennst Du eine Möglichkeit myFritz hinter einem anderen Router zum laufen zu bekommen?

 

[the other]

Moinsen,
auch auf die Gefahr, dass die Netzwerkprofis hier laut lachen:
du willst hinter dem Internetrouter (Telekombox) eine Fritzbox im IP-Client Modus hängen, welche dann VPN/wireguard machen soll?
AVM schreibt, dass als Voraussetzung dafür entweder eine IPv6 oder eine ÖFFENTLICHE IPv4 auf der Fritzbox vorhanden sein müssen (hier: dein link https://avm.de/service/wissensdaten...ard-VPN-zur-FRITZ-Box-am-Computer-einrichten/), wenn du die Fritzbox aber dahinterhängst, dann wird diese nie eine solche IPv4 erhalten! Denn deine Telekombox macht NAT und bekommt eine IPv4 (wenn du bei der Telekom als ISP bist) aus dem öffentlichen Bereich, übersetzt dann aber für die privaten IPv4 Adressen ins LAN hinein, da kommen dann also keine öffentlichen IPv4 mehr an.
Ich frage daher mal, ob dein Vorhaben mit einer Fritzbox im IP-Client Modus überhaupt möglich ist...
Die Fritzbox hat ja nun auch keine Routingfunktionen mehr, wenn als reiner IP-Client aktiv.
Alternativ könntest du entweder die Geräte tauschen, also Fritzbox als Router, dahinter dann die Telekombox, falls das mit dem Telefon dann noch klappt.
Oder du kaufst dir einen Raspi, setzt den als VPN Server / wireguard Server ein, das geht dann auch.


Dein DynDNS / MyFritz bringt dir dann auf der hinteren Fritzbox unter IPv4 auch nix, denn diese verweist ja auf deine sich ändernde öffentliche IPv4, die aber dem vorderen Telekomrouter zugeordnet ist. Hast du denn auf dem die Möglichkeit mit DynDNS (dann natürlich kein MyFritz) zu arbeiten, damit du diesen überhautp mal erreichen kannst als ersten Schritt? Dann klappt es auch mit der Portweiterleitung danach...auf welche Art von VPN Server auch immer.

Oder nutzt du eh nur IPv6 oder hast eine statische öffentliche IPv4?

AFAIK bleibt aber das Problem mit der Fritzbox als VPN Server im IP Client Modus...ich glaube, das geht nicht.

So, und jetzt kommt bestimmt eineR und sagt, dass es doch geht...dann sorry für den langen Text.

 

[atanke]

Hi the other,
ich befürchte das auch schon. Hatte mich leider auf den AVM support verlassen denen ich alles genau geschildert hatte und die mir sagten, dass ist gar kein Problem und mir dann die Links schickten.
Also habe ich mir die Fritzbox bestellt und stelle fest, dass es wohl doch nicht geht

Wir brauchen aber die blöde Telekombox für die Oktopus Telefonanlage

Der Telekomsupport sagt: Nicht unser Problem, sie haben ja keine dauerhafte Betreuung gebucht, dann helfen wir Ihnen auch nicht!

 

[the other]

Moinsen,
deine Telekombox ist dein Internetrouter, der hat eben die eine öffentliche IPv4. Kommt da was an, wird es geblockt, es sei denn du machst eine Weiterleitung (portabhängig) oder eine Freigabe.
Aber erstmal kommt eben alles an der Telekombox an. Daher muss diese im ersten Schritt erreichbar sein. Da sich bei dem meisten Verträgen die IPs alles paar Monate mal ändern, brauchst du einen DynDNS Dienst (aka MyFritz, wenn du eine Fritzbox als Internetrouter nutzt, MEEP!-tust du nicht.), damit du auch nach einem solchen IP Wechsel dein Gerät erreichst.
Also: forschen, ob und wie das auf der Telekombox geht.

Wenn du diese dann aus dem Internet erreichen kannst, dann kannst du auch den nächsten Schritt gehen: einen VPN Server dahinter einrichten. Versuch es doch einfach nochmal, wenn Schritt 1 erledigt ist und funktioniert...vielleicht ist die Anleitung an der Stelle ja auch nicht sauber, denn wenn der Support meint, dass dein Setting gehen sollte, dann versuch es nochmal.
Aber wie gesagt: erst muss die Erreichbarkeit deines ersten Routers erledigt werden.

Theoretisch könnte ein solcher erster Router auch in einen Modus versetzt werden, in welchem ALLES weitergeleitet wird auf einen 2. Router dahinter. Das ging früher immer mal, vermutlich aber nicht mit deiner Telekombox (und an dieser Stelle IMHO auch nicht empfehlenswert).
Auch könnte es sein, dass du (auch ohne öffentliche IPv4) die VPN Funktionen nur nutzen kannst, wenn die Fritzbox als Router eingerichtet ist (also ein zweiter Router hinter dem ersten, Routerkaskade, Doppel-NAT). Das kompliziert dann das weitere Vorgehen etwas, ist aber möglich. Frage bleibt eben, ob es auch ohne öffentliche IPv4 auf der Fritzbox entgegen der Anleitung geht...
Versuch macht kluch! Viel Erfolg!

 

[Spielebernd]

Hi the other,
ich befürchte das auch schon. Hatte mich leider auf den AVM support verlassen denen ich alles genau geschildert hatte und die mir sagten, dass ist gar kein Problem und mir dann die Links schickten.
Also habe ich mir die Fritzbox bestellt und stelle fest, dass es wohl doch nicht geht

Wir brauchen aber die blöde Telekombox für die Oktopus Telefonanlage

Der Telekomsupport sagt: Nicht unser Problem, sie haben ja keine dauerhafte Betreuung gebucht, dann helfen wir Ihnen auch nicht!

Die Ausage ist auch erstmal nicht verkehrt. Es gibt allerdings ein paar Voraussetzungen die erfüllt sein müssen.

Was mich als erstes stört ist

Ich habe die Fritzbox als IP-Client hinter den ollen Telekomkasten gehängt.

In der AL steht direkt schon drin nix VPN.

Da du keine öffentliche IPv4 musst du über IPv6 gehen. Dafür muss dein Anbieter der Telekombox ein Prafix gegeben und die Telekombox muss IPv6 auch unterstützen und aktiv haben. Jetzt muss die Telekombox diesen auch an die FB weitergeben.

Die FB muss als Kaskade eingerichtet sein:

https://avm.de/service/wissensdaten...FRITZ-Box-als-kaskadierten-Router-einrichten/

Dann Wireguard einrichten und die Ports im Telekomrouter noch freigaben bei IPv6.

 

[atanke]

Moinsen,

Da du keine öffentliche IPv4 musst du über IPv6 gehen.

ok

Dafür muss dein Anbieter der Telekombox ein Prafix gegeben

hmm, wie mache ich das?

Jetzt muss die Telekombox diesen auch an die FB weitergeben.

hmm, wie mache ich das?

Die FB muss als Kaskade eingerichtet sein:
https://avm.de/service/wissensdaten...FRITZ-Box-als-kaskadierten-Router-einrichten/

Dann Wireguard einrichten und

ok

die Ports im Telekomrouter noch freigaben bei IPv6.

welche Ports brauche ich denn, die scheinen ja mit jedem De-/Aktivieren zu wechseln

 

[Spielebernd]

Mit der Digibox kenn ich mich nicht aus hier sollte sich aber was finden lassen:

https://geschaeftskunden.telekom.de.../router/anleitung-digitalisierungsbox-smart-2