Wireguard Konfiguration mit VPN-Dienst (Mullvad, etc.)

[the other]

Moinsen,
eben weil die Fritzbox per wireguard den SERVER part spielt und von Haus aus (oder überhaupt, keine Ahnung) nicht einfach so als CLIENT eingerichtet werden kann.

Kein Grund für Irritationen. Wie viele andere sehe ich nur den Sinn des "Anonym im Netz" Versprechens nicht, dafür aber jede Menge sicherheitsrelevanter Nachteile, aber egal. Ist eine ganz andere Diskussion und gehört nicht wirklich an diese Stelle...

Die wireguard Idee auf der Fritzbox ist eben einfach der Vorstellung geschuldet, dass Anwender*Innen von außerhalb über wireguard nach Hause "telefonieren" können.
Nicht aber, dass sich die Fritzbox selber in irgendeinen VPN Server sonstwo von sonstwem einwählt...zumindest nicht per Wireguard AFAIK.

 

[Barungar]

eben weil die Fritzbox per wireguard den SERVER part spielt

Das muss aber darauf ankommen WIE man die FritzBox einrichtet. Denn bei einer LAN-LAN-Kopplung per WireGuard müsste demnach mindestens EINE FritzBox Client spielen.

Ich kann es selbst nicht ausprobieren, da es für meine FritzBox noch kein Fritz!OS 7.5 gibt.

Aber ich glaubte auf Screenshots gesehen zu haben, dass wenn man die Option "WireGuard LAN-LAN-Kopplung" wählt, man sogar eine WireGuard-Config hochladen kann.

Ganz naive würde ich nun daher vermuten: WireGuard-Config vom Anbieter runterladen, FrtizBox im obengenannten Modus konfigurieren und WireGuard-Config auf FritzBox hochladen.

https://avm.de/service/vpn/wireguard-vpn-zwischen-zwei-fritzbox-netzwerken-einrichten/
Aus dieser Anleitung ganz unten Abschnitt 4... also eine "Filiale einrichten"... sollte doch passen, oder?!

 

[Stationary]

das relevante Wissensdokument #3688,

Eigentlich ist in diesem Dokument schon alles gesagt. Zusammen mit der Schlüssel-/Konfigurationsdatei, die bei IVPN heruntergeladen werden muß, sollte es eigentlich funktionieren.

 

[cmonty14]

Ich verlinke jetzt einfach mal die Anleitung von Mullvad, einem (sehr) bekannten VPN-Dienstanbieter.
Dort steht:
"[...]
Public/private key pair
If you do not have a public/private key pair to use with WireGuard, then you can use SSH to connect to the router as described earlier, and run:

wg genkey | tee privatekey | wg pubkey > publickey

Your public key will be in the file "publickey" and your private key in the file "privatekey".

Display the contents of publickey by issuing: cat publickey which is later used for pushing it to the api.
Display the contents of privatekey issuing: cat privatekey which is later used when configuring the WGInterface.

If you're running WireGuard on multiple devices, generate a separate key pair for each device. Also make sure to connect the router to a unique server that you do not use on other devices that will be using the router's VPN. You will otherwise run into connectivity issues.
[...]
Add the WireGuard interface
In the main menu, select Network- Interfaces and then click on "Add new interface". Name the interface WGINTERFACE and select Protocol WireGuard VPN and press Create interface in order to start configure the new interface.

Configure WGInterface settings
Make the following changes:

Private Key – use the one you previously generated.
[...]
"

Es muss also ein WireGuard Interface angelegt werden mit dem Private Key.

Keine Ahnung wie das mit FB7590 und FRITZ!OS 7.50 gehen soll.

 

[Stationary]

Ich habe auf der Seite deines IVPN auch gelesen, dass DIE ebenfalls Schlüsselpaare zur Verfügung stellen im "Account" Bereich, was immer das bedeuten mag.
https://www.ivpn.net/knowledgebase/general/wireguard-faq/

@cmonty14 Hast Du eigentlich das hier mal ausprobiert? Was bekommst Du da?

 

[cmonty14]

Ich habe jetzt eine WireGuard Konfiguration erstellt und diese bei der FB7590 importiert.

Eine Validierung mittels traceroute bestätigt die korrekte Nutzung der VPN-Verbindung:
in Zeile 2 steht die Gateway-IP des VPN-Anbieters.

Allerdings funktioniert jetzt die Telefonie nicht mehr.

 

[Barungar]

Allerdings funktioniert jetzt die Telefonie nicht mehr.

Das könnte daran liegen, dass bei vielen Internet-Providern das VoIP-Gateway so konfiguriert ist, dass es Anmeldungen nur aus dem eigenen IP-Bereich akzeptiert. Da Du aber nun allen IP-Verkehr der FritzBox durch das VPN leitest, kommt eventuell auch am VoIP-Gateway Deines Providers eine "fremde" IP an und er verweigert den VoIP-Login.

Das ist ja häufig ein Bundle-Tarif Telefon+Internet, da kenne ich viele Provider die das begrenzen. Einige verwenden sogar "private IPs" für das VoIP und routen diese "ausnahmeweise" vom DSL-Anschluss bis zum VoIP-Gateway.

 

[cmonty14]

Ich habe das Problem zwischenzeitlich lösen können.

Der ISP, der auch die Telefonie anbietet, verwendet das Subnetz 100.64.0.0 /10, also IPv4-Adresse aus dem Carrier Grade NAT Bereich.
Ich habe die WireGuard Konfiguration so modifiziert, dass lediglich IPs aus dem Subnetz 192.168.178.0/24 über den VPN kommunizieren können.

 

[lade333]

Hallo @cmonty14 , mich würde interessieren wie deine config ausschaut wegen den Ip- Adressen. Habe das gleiche Problem, dass die Telefonie nicht mehr funktioniert. Wenn ich unter allowed ips 192.168.1.0/24 eintrage, dann verbindet die Fritzbox nicht mit meinem Provider. Könntest du mir mal bitte ne kurze Anleitung zukommen lassen, wie du das geschafft hast? LG