Wireguard Setup

[shiremail]

Hallo zusammen,

ich verwende zur Kopplung zweier Fritz!Boxen bereits seit einer Ewigkeit IPSec und wollte nun zum moderneren WireGuard wechseln. Das Setup sieht so aus:

Fritzbox A (dort wurde der Assistent ausgeführt)

192.168.1.1

Entferntes IP-Netzwerk: 192.168.10.1 (nicht 192.168.10.0) und 255.255.255.0 angegeben

Das wird so auch im Wireguard-Dialog auf Fritzbox B angezeigt (Wireguard - Einstellungen der Fritzbox).

Fritzbox B:

192.168.10.1

Ich habe dann auf Fritzbox B die IPSec-Verbindung gelöscht. Auf A ist sie noch 'aktiv'. Kann natürlich nicht mehr Fritzbox B von A verbinden.

Wenn ich dann die Conf-Datei auf Fritzbox B hochlade, wird mir die Verbindung mit einem grünen Statusindikator angezeigt. Alle IP-Adressen im Netz von Fritzbox A sind aber nicht aus dem Netz von Fritzbox B aufrufbar.

Ich verwende DynDNS im FB-Setup beider Boxen.

Ich habe eine Vermutung warum das nicht funktioniert:

Kann es sein, dass das IPSec-Setup auf beiden Fritz!Boxen gelöscht sein muss, damit das Routing über Wireguard sauber funktioniert?

Bye.

 

[blurrrr]

Hi,

wenn die VPN-Tunnel nicht aktiv sind (und somit keine aktiven Routen bestehen), sollte das eigentlich kein Problem darstellen. Ich würde vorher noch von beiden Boxen eine Sicherung erstellen, die man im Notfall wieder einspielen kann. So könnte man das zumindestens mal testen.

 

[shiremail]

Hi,

wenn die VPN-Tunnel nicht aktiv sind (und somit keine aktiven Routen bestehen), sollte das eigentlich kein Problem darstellen. Ich würde vorher noch von beiden Boxen eine Sicherung erstellen, die man im Notfall wieder einspielen kann. So könnte man das zumindestens mal testen.

Die stehen leider nicht nebeneinander. Wenn das nicht funktioniert, komme ich erstmal nicht mehr dran. Daher wollte ich wissen, ob das ggf. schon jemanden aufgefallen ist.

 

[blurrrr]

Eine zusätzliche Einwahl-Verbindung für einen einzelnen Client (Dein Computer) ist keine Möglichkeit? Sowas wäre via Wireguard ja auch flott eingerichtet.

 

[shiremail]

Eine Einzelverbindung von Fritzbox B funktioniert....

 

[Barungar]

Für eine FritzBox zu FritzBox - Verbindung bietet das IPSec immer noch mehr Funktionen als das Wireguard.
Ich habe zwischen den FritzBoxen weiterhin IPSec aktiv und nutze nur für Clients Wireguard.

 

[shiremail]

In

Für eine FritzBox zu FritzBox - Verbindung bietet das IPSec immer noch mehr Funktionen als das Wireguard.
Ich habe zwischen den FritzBoxen weiterhin IPSec aktiv und nutze nur für Clients Wireguard.

Interessant.

Soweit mir bekannt, soll WG zumindest performanter sein. Was wären die genauen Unterschiede was die Funktionen angeht?

 

[Barungar]

Port, VLAN und IP Einstellungen, die Du nur mit IPSec machen kannst.
Man kann ein IPSec-VPN nämlich als eigenes VLAN mit eigenem IP-Segment abbilden.
Das kann die FritzBox nur bei IPSec, nicht bei Wireguard. Und auch die Porteinschränkung geht glaube ich nur bei IPSec.

 

[shiremail]

Port, VLAN und IP EInstellungen, die Du nur mit IPSec machen kannst.

Interessant....Was die Sicherheit angeht...macht das einen Unterschied....?

 

[Barungar]

Je nachdem wie man es einrichtet... ja.

 

[shiremail]

Je nachdem wie man es einrichtet... ja.

Ich meinte damit eigentlich in dem Zusammenhang die Kopplung der beiden FB. Viel einstellen kann man in dem Dialog ja nicht. Ausser einem komplexen Passwort würde mir da nichts einfallen.

 

[Stationary]

Kann es sein, dass das IPSec-Setup auf beiden Fritz!Boxen gelöscht sein muss, damit das Routing über Wireguard sauber funktioniert?

Nein, muß nicht gelöscht werden. Beide können parallel eingerichtet sein. Es dürfen nur nicht beide gleichzeitig aktiviert sein. Zur Sicherheit würde ich zur entfernten Box noch eine aktive Verbindung zu einem Gerät einrichten, falls bei der Kopplung etwas schiefläuft.

 

[Der Eifelsachse]

Port, VLAN und IP Einstellungen, die Du nur mit IPSec machen kannst.

Hallo @Barungar,

im Kontext dieses Threads alles richtig.
Aber wenn man das liest, könnte man schnell mal denken, dass das o.g. ein echtes WireGuard-Problem wäre. Aber das ist es nicht!
Es ist "nur" ein Problem des für den unbedarften FRITZ-Nutzer von FRITZ optimierten/angepassten oder auch eher kastrierten "FRITZ-WireGuard". Und das ist für diesen Nutzerkreis IMHO auch gut so. (KISS-Prinzip - Wikipedia)
Bei einem echten, unter OpenWrt laufenden WireGuard gibt es derartige Probleme nicht. Hier kann der wissende Nutzer so ziemlich alles, was selbst für ein kompliziertes Setup sinnvoll und erforderlich ist, anpassen.
Ich denke, fairerweise sollte das erwähnt werden.