Wireguard unter Win11 <--> FritzBox

[Frank73]

Hallo zusammen,

nach vielen Recherchen im Internet bzgl. Wireguard-Verbindungen FB und Win wäre ich um euren Rat dankbar, wie ihr das umsetzen würdet.

Ausgangssituation:
Wireguard auf FB für 4 Handys eingericht und läuft auf diesen mit der Wireguard-App seit Monaten fehlerfrei. Auf Grund Studium unseres Sohnes wird dieses Thema jetzt auch für den PC und Laptop interessant, da Zugriffe von ausserhalb auf auf das NAS (DS1621) erforderlich werden (bspw. für vaultwarden, paperless-ngx ...). Auf dem NAS läuft ein eigener DNS und Reverse-Proxy (beide aus den Standardpaketen).

Herausforderung:
Die Wireguard-App (UI) ist bei Win nur mit dem Admin-Account möglich, mit welchem generell nicht gearbeitet wird (alle nutzen nur den Standarduser). Jetzt möchte ich natürlich, dass unser Sohn den VPN-Tunnel starten und beenden kann. Hierzu habe ich nach langen Recherchen eigentlich nur 2 Möglichkeiten gefunden um dies über einen Workaround ermöglichen zu können.
1) Hinzufügen eines Reg-Eintrages und den User, bzw. Gruppe in die Gruppe "Netzwerkoperationen" mitaufnehmen
2) Nutzung von Scripts um dies über einen Dienst zu realiseren und mit net start-Befehlen bei Bedarf den entsprechenden Tunnel (bei mehreren [z. B. privat nach Hause, sep. Tunnel für die Uni]) zu akivieren (für Nicht-Admin-User möglich) -->hier.

Bei beiden Alternativen habe ich (auf Grund fehlenden tiefergreifenden Kenntnisse) jedoch ein ungutes Gefühl.
Bei 1) Es hat ja seinen Grund, dass Standarduser nicht in dieser Gruppe sind
Bei 2) Da ich die Codes nicht nachvollziehen kann (bin kein Programmierer) kann ich nicht nachvollziehen, was die Scripte genau machen

Welche Alternative würde ihr in diesem Fall anwenden (IPSec möchte ich nicht unbedingt nutzen, da ich nur ein Protokoll verwenden möchte ?

Vorab vielen Dank und einen schönen Sonntag.

 

[blurrrr]

Moin,

also ich sehe das Problem mit IPSec nicht, dem steht eigentlich auch nur ein "Ich will aber nicht!" im Wege. Grade bei der Fritz!Box ist die Einrichtung ja nun auch echt kein Aufwand.

Bei 2) Da ich die Codes nicht nachvollziehen kann (bin kein Programmierer) kann ich nicht nachvollziehen, was die Scripte genau machen

Es wird ein "Dienst" angelegt und der Gruppe "Users" wird erlaubt, diesen Dienst zu starten/stoppen. Somit läuft das ganze auch transparent im Hintergrund (ohne Wireguard-GUI).

Ich persönlich würde einfach IPSec nutzen, das dürfte auch der einfachste und verständlichste Weg für alle sein.

EDIT Ist der Sohnemann an seinem Gerät nicht sowieso in der Lage administrative Dinge zu erledigen (z.B. benötigte Software für die Uni zu installieren)?

 

[Frank73]

Ja, Sohnemann hat die Möglichkeit administrative Tätigkeiten durchzuführen

Bei der Nutzung von IPSec benötige ich weiterhin noch die Software "Fritz!Fernzugang" um dann auch später die VPN-Verbindung herzustellen?

 

[blurrrr]

Vermutlich, ich nutze kein Fritz!Box-VPN, von daher kann ich nichts dazu sagen. Es gab noch eine andere Software von der Firma Shrewsoft, damit ging es auch. Direkt über die integrierte VPN-Funktion in Windows ging es nur mittels Registry-Anpassungen. Wie der Stand da heute ist, kann ich nicht sagen, aber vielleicht weiss da jemand anders etwas genaueres

EDIT: Sieht auf den ersten Blick wohl eher mau aus:

• Android-Smartphone oder -Tablet mit FRITZ!Box verbinden
• iPhone oder iPad mit FRITZ!Box verbinden
• Windows-Computer mit FRITZ!Box verbinden (FRITZ!Fernzugang)
• macOS-Computer mit FRITZ!Box verbinden
• Linux-Computer mit FRITZ!Box verbinden

(Quelle: https://fritz.com/service/vpn/)

 

[Frank73]

Ja, so sehe ich das auch, habe gerade mal versucht das ohne diese Software hinzubekommen --> geht natürlich nicht.
Teste jetzt mal noch auf einem Win10-System (da kann ich nicht viel verhauen, kommt in 2 Wochen eh Win11 drauf).

Würdest du nach dieser Erkenntnis immer noch IPSec für WIN-OS empfehlen?

 

[blurrrr]

Naja, IPSec dürfte noch immer Standard sein, ggf. gefolgt von OpenVPN und Wireguard ist dann halt das (mittlerweile nicht mehr ganz so) neue Ding. Spielt aber auch keine Rolle, was ich sage, wichtig ist, dass Du damit klar kommst bzw. Dein Sohn. Wenn beim Aufbau der VPN-Verbindung nach administrativen Credentials gefragt wird, Dein Sohn hat sie ja, nervt vielleicht ein bisschen, aber funktioniert.

 

[Stationary]

ohne diese Software hinzubekommen --> geht natürlich nicht.

Das geht deshalb nicht, weil Windows IPSec mit L2TP kombiniert, während die Fritzbox IPSec IKEv2 macht. Androiden, iOS und MacOS machen Letzteres out-of-the-box, für Windows hast Du da schon immer eine entsprechende Client-Software gebraucht.

Für Wireguard unter Windows: https://rz.rptu.de/dienstleistungen...luss/vpn-zugang/hinweise-fuer-administratoren

 

[Barungar]

Androiden, iOS und MacOS machen Letzteres out-of-the-box

Was bei der linuxoiden Abstammung dieser drei und der FritzBox naheliegend ist. Windows ist hier halt (wie so oft) der "Exot".

 

[Stationary]

linuxoiden Abstammung

Persönlich hätte ich unixoid gesagt, um es allgemeiner zu halten iOS und MacOS bauen auf einem Darwin BSD Kernel auf. Aber das sind Spitzfindigkeiten und wir kommen vom Thema ab.