DS Lite mit Wireguard hinter Fritzbox überwinden mit Unifi Dream Machine
Hallo zusammen,
ich weiß, dass dieses Thema so ähnlich schon öfter behandelt wurde und ich habe mich auch stundenlang durch etliche Threads gelesen, aber ganz abschließend konnte ich mein Problem nicht beseitigen...
Ich habe folgende Konstellation:
Fritzbox mit LTE (nur VF Simkarte mit Dualstack Lite), steht extern und daran ist eine Kamera angeschlossen.
Das Netz ist 192.168.178.1/24
Zuhause habe ich eine Unifi Dream Machine mit angeschlossenem Modem VF Kabel und öffentlicher IPV4 Adresse.
Netz ist hier 192.168.2.1/24
Ziel: Ich möchte von meinen Heimnetz auf die Oberfläche und Stream der Kamera (hat die 192.168.178.25) zugreifen können.
Ich habe jetzt in der UDM einen Wireguard Server angelegt und eine Clientconfig für die Fritzbox erstellt und dort importiert.
Die Fritzbox stellt die Verbindung her und bekommt auf der UDM die IP 192.168.3.1 und ist dadurch jetzt auch problemlos zu erreichen.
Wenn ich jetzt aber auf die Kamera zugreifen möchte, welche ja an der Fritzbox hängt mit der IP 192.168.178.25 - dann kann ich das nicht. Für mein Verständnis hätte ich jetzt einfach eine Portweiterleitung / Freigabe erstellt und wäre dann auch auf die Kamera gekommen.
Beispiel: Ich erstelle eine Portweiterleitung auf der Fritzbox für die 192.168.178.25 - Port extern z.B. Port 88 und als Port am Gerät die 80. Somit dachte ich, dass ich über 192.168.3.1:88 direkt auf die Kamera mit der 192.168.178.25 auf Port 80 und damit auf die UI der Kamera komme.
Habe ich da einen Denkfehler oder geht das tatsächlich so überhaupt nicht wegen des DS Lite?
Ich dachte eigentlich, dass wenn ich schon so auf die Fritzbox komme, dann sollte ich doch auch auf deren angeschlossenen Geräte kommen, oder?
Im Voraus vielen Dank für Eure Hilfe.
Felix
ich weiß, dass dieses Thema so ähnlich schon öfter behandelt wurde und ich habe mich auch stundenlang durch etliche Threads gelesen, aber ganz abschließend konnte ich mein Problem nicht beseitigen...
Ich habe folgende Konstellation:
Fritzbox mit LTE (nur VF Simkarte mit Dualstack Lite), steht extern und daran ist eine Kamera angeschlossen.
Das Netz ist 192.168.178.1/24
Zuhause habe ich eine Unifi Dream Machine mit angeschlossenem Modem VF Kabel und öffentlicher IPV4 Adresse.
Netz ist hier 192.168.2.1/24
Ziel: Ich möchte von meinen Heimnetz auf die Oberfläche und Stream der Kamera (hat die 192.168.178.25) zugreifen können.
Ich habe jetzt in der UDM einen Wireguard Server angelegt und eine Clientconfig für die Fritzbox erstellt und dort importiert.
Die Fritzbox stellt die Verbindung her und bekommt auf der UDM die IP 192.168.3.1 und ist dadurch jetzt auch problemlos zu erreichen.
Wenn ich jetzt aber auf die Kamera zugreifen möchte, welche ja an der Fritzbox hängt mit der IP 192.168.178.25 - dann kann ich das nicht. Für mein Verständnis hätte ich jetzt einfach eine Portweiterleitung / Freigabe erstellt und wäre dann auch auf die Kamera gekommen.
Beispiel: Ich erstelle eine Portweiterleitung auf der Fritzbox für die 192.168.178.25 - Port extern z.B. Port 88 und als Port am Gerät die 80. Somit dachte ich, dass ich über 192.168.3.1:88 direkt auf die Kamera mit der 192.168.178.25 auf Port 80 und damit auf die UI der Kamera komme.
Habe ich da einen Denkfehler oder geht das tatsächlich so überhaupt nicht wegen des DS Lite?
Ich dachte eigentlich, dass wenn ich schon so auf die Fritzbox komme, dann sollte ich doch auch auf deren angeschlossenen Geräte kommen, oder?
Im Voraus vielen Dank für Eure Hilfe.
Felix
Please also mark the comments that contributed to the solution of the article
Content-ID: 53310149123
Url: https://administrator.de/contentid/53310149123
Printed on: October 16, 2024 at 00:10 o'clock
7 Comments
Latest comment
Die Fritzbox kocht hier ihr eigenes Süppchen und weicht vom Wireguard Standard ab indem sie kein Tunnel-Transfernetz nutzt.
Als Tunnel-Adresse nutzt sie nämlich ihre eigene IP des LAN-Subnetzes, wie hier schon einige Male aufgezeigt wurde
Firewall auf der UDM nicht vergessen das Forwarding zwischen den Zonen/Subnets muss erlaubt werden!
So ist dann auch keinerlei NAT Gefrickel oder unnötige Weiterleitungen nötig, den simples Routing reicht hier völlig!
Gruß pp.
🐣
Als Tunnel-Adresse nutzt sie nämlich ihre eigene IP des LAN-Subnetzes, wie hier schon einige Male aufgezeigt wurde
- Wireguard Lan to Lan Fritzbox Raspberry Pi
- Merkzettel: VPN Installation mit Wireguard
- S2S-Wireguard: AVM zu Mikrotik
oder geht das tatsächlich so überhaupt nicht wegen des DS Lite?
Doch, klar geht problemlos...Config UDM (Server)
[Interface]
Address = 192.168.3.1/24
ListenPort = 51820
PrivateKey = XXX
[Peer]
PublicKey = XXX
AllowedIPs = 192.168.3.2/32,192.168.178.0/24
Config Fritzbox (Client)
[Interface]
Address = 192.168.178.1/24
PrivateKey = XXX
[Peer]
PublicKey = XXX
AllowedIPs = 192.168.3.1/32,192.168.2.0/24
Endpoint = X.X.X.X:51820
PersistentKeepalive = 25
Firewall auf der UDM nicht vergessen das Forwarding zwischen den Zonen/Subnets muss erlaubt werden!
So ist dann auch keinerlei NAT Gefrickel oder unnötige Weiterleitungen nötig, den simples Routing reicht hier völlig!
Gruß pp.
🐣
Zitat von @kellerfelix:
Clientseitig ist das kein Thema, da kann ich die Config wie beschrieben ändern und in die Fritzbox importieren. Bei der UDM scheint das aber nicht so einfach zu sein. Da komme ich überhaupt nicht an die config und es wird nur über die Oberfläche eingestellt. Ich kann da nirgends einen weiteren adressereich hinzufügen. Über ssh konnte ich auch nichts finden.
Hat jemand eine Ahnung, wo ich das einstellen kann? Wenn ich das über die UDM hinbekomme, wäre das super.
Per SSH in die Kiste einloggen und die Config anpassen.Clientseitig ist das kein Thema, da kann ich die Config wie beschrieben ändern und in die Fritzbox importieren. Bei der UDM scheint das aber nicht so einfach zu sein. Da komme ich überhaupt nicht an die config und es wird nur über die Oberfläche eingestellt. Ich kann da nirgends einen weiteren adressereich hinzufügen. Über ssh konnte ich auch nichts finden.
Hat jemand eine Ahnung, wo ich das einstellen kann? Wenn ich das über die UDM hinbekomme, wäre das super.
https://florianmuller.com/setup-a-wireguard-vpn-on-unifi-dream-machine-u ...
https://www.hostifi.com/blog/wireguard-on-a-unifi-dream-machine-pro
Auch ein Grund warum ich von dem Unify-Schund die Finger lasse.
Meine wg.conf sieht so aus:
- Bei einem VPN Initiator (VPN Client mit Endpoint Definition) gibt man keinen Listenport an! Das macht man nur bei einem VPN Responder (Server)! Ein Responder antwortet auf eingehende Peer Verbindungen (Client, Initiators), hat also folglich selber keine Entpoint Definitionen für diese eingehenden Client (Initiator) Peers!! Wozu auch? Er muss ja nur antworten darauf! Deine Konfig ist wirr, denn du gibst fälschlicherweise auf beiden Peer Enden einen Endpoint an, was konfigtechnischer Blödsinn ist. Wenn deine Fritte VPN Client (Initiator) ist, hat sie doch niemals auf der Responderseite (Server) einen "Endpoint" Eintrag. Hier machst du vermutlich einen fatalen Wireguard Denkfehler?! Tutorial lesen und verstehen hilft vielleicht?! 🤔
- Zudem bewegst du dich mit einigen deiner WG Endpoint Ports außerhalb der empfohlenen Ephemeral Ports und damit im Bereich fest registrierter IANA Ports.
- System IP Adressen (128.0.0.0/1) sowie falsche und unsinnige Adressen (0.0.0.0/1), zudem mit syntaktisch völlig falschen Masken, haben in den Allowed IPs (Cryptokey Routing) natürlich nichts zu suchen! (Siehe auch hier)
- Den Clients (Initiators) und NUR den Clients, fehlt ein 25 sekündiger Keepalive damit ggf. UDP Sessions in SPI Firewalls nicht austimen.
- Ein erzwungender Handshake alle 10 Sekunden ist überflüssiger Unsinn.
- "Einzig" ist schon einzigartig und lässt sich nicht weiter steigern.
Wenn es das denn nun war bitte deinen Thread dann auch als erledigt schliessen!
How can I mark a post as solved?
How can I mark a post as solved?