p24ms511
Jan 27, 2023, updated at Mar 04, 2024 (UTC)
view4480
view11
0
Goto Top

Wireguard Tunnel DS-Lite Host Unreachable

GermansolvedQuestionVPNServerNetworks
Moin Zusammen,
ich versuche seit gestern einen WireGuard Server inkl. Client einzurichten, da ich gern das CG-NAT meinen Glasfaseranschlusses umgehen möchte.

Hierzu habe ich einen kleinen VPS Server bei Ionos (wegen des unschlagbaren Preises). Auf diesem läuft der Wireguard Server. Zuhause bei mir läuft ein Ubuntu auf Proxmox.

VPS = Server
Client1 = Ubuntu VM auf Proxmox

Leider kann ich vom Server über SSH mein Heimnetz nicht anpingen.

Die Konfiguartion sieht wie folgt aus:

1. IP forwarding auf dem Server sowie Client wie folgt aktiviert 
nano /etc/sysctl.conf
-> 
net.ipv4.ip_forward=1
auskommentiert und aktiviert: 
sysctl -p
.

2. Serverkconfig: 
wg0.conf

[Interface]
PrivateKey = (ausgeblendet)
Address = 10.0.0.1/24
SaveConfig = true
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens192 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o ens192 -j MASQUERADE
ListenPort = 51820
[Peer]
PublicKey = (ausgeblendet)
AllowedIPs = 10.0.0.0/24, 192.168.1.0/24
PersistentKeepalive = 25

3. Clientconfig: 
wg0.conf
[Interface] 
PrivateKey = (ausgeblendet)
Address = 10.0.0.3/24
SaveConfig = true 
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
[Peer] 
PublicKey = (ausgeblendet)
Endpoint = <IP MEINES VSERVERS>:51820 
AllowedIPs = 10.0.0.0/24
PersistentKeepalive = 25

4. Dann habe ich auf beiden die Verbindung gestartet: 
wg-quick up wg0
5. Status sieht wie folgt aus: 
wg show
root@localhost:~# wg show
interface: wg0
  public key: (ausgeblendet)
  private key: (hidden)
  listening port: 51820

peer: (ausgeblendet)
  allowed ips: 10.0.0.0/24, 192.168.1.0/24
  persistent keepalive: every 25 seconds

Nun die Anfängerfrage.... Muss ich irgendwelche Ports Freigeben oder Routen erstellen damit es funktioniert? Ich steig irgendwie nicht mehr so ganz durch. Hoffe jmd. kann mir helfen

Danke im Voraus
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 5669329838

Url: https://administrator.de/contentid/5669329838

Printed on: May 8, 2024 at 02:05 o'clock

11 Comments
Latest comment
Goto Top
Member: aqui
aqui Jan 27, 2023 at 08:09:12 (UTC)
Goto Top
Dein Problem ist das du unnötigerweise Masquerading (NAT) im Tunnel machst. Das ist völlig unnötig und schafft dir eine routingtechnische Einbahnstrasse mit dem Symptom was du auch oben beschreibst.
Lasse das weg, dann kommt das auch sofort zum Fliegen.
Das hiesige Wireguard Tutorial hat die entsprechenden Details dazu.

Es geht übrigens auch ganz ohne Wireguard mit den onboard VPN Clients und der VPN Funktion im Router:
IKEv2 VPN Server für Windows und Apple Clients mit Raspberry Pi
Member: p24ms511
p24ms511 Jan 27, 2023 at 08:36:44 (UTC)
Goto Top
Danke für deine schnelle Antwort. D.h. ich kann beim Client und Server einfach folgndes weglassen?

PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o ens192 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o ens192 -j MASQUERADE

Und muss ich Ports bei mir oder im Server freigeben? Wenn ja nur den Wireguard Port 51820? UDP oder TCP?

Danke schonmal.. Das Tutorial schaue ich mir gleich nochmal genauer an.
Member: aqui
Solution aqui Jan 27, 2023 updated at 09:41:48 (UTC)
Goto Top
ich kann beim Client und Server einfach folgndes weglassen?
Besser wäre es!
muss ich Ports bei mir oder im Server freigeben?
Im vServer nur dann wenn dort eine aktive Firewall mit nftables oder iptables rennt. Dann musst du natürlich dafür sorgen das die UDP 51820 Frames vom Wireguard passieren dürfen ansonsten ists nada mit dem VPN.
Ob das der Fall ist kannst du aber kinderleicht immer mit tcpdump -i eth0 port 51820 (apt install tcpdump) testen. https://danielmiessler.com/study/tcpdump/

Auf der Seite deines privaten DS-Lite Anschlusses musst du nichts machen. Diese Seite muss ja immer VPN Initiator sein, sprich also den Tunnel aufbauen. Irgendwelche IPv4 Paket von extern könnten bei DS-Lite prinzipbedingt (CG-NAT) ja eh niemals den Router erreichen.

Noch ein Tip:
Die Verwendung eines solchen Allerwelts IP Netzes für das interne VPN Netz ist nicht besonders intelligent und wird dir sicher früher oder später auf die Füsse fallen. Siehe dazu auch hier:
VPNs mit DD-WRT, pFsense oder OPNsense auf Basis von PPTP
Member: p24ms511
p24ms511 Jan 30, 2023 updated at 07:12:29 (UTC)
Goto Top
Guten Morgen Zusammen,
ich habe meine Konfiguration des Servers & Client nun angepasst. Die VPN Verbindung vom Client zum Server läuft nun. Aber irgendwie kann ich meine lokalen IP's im Netzwerk noch nicht pingen?

ping

Hat jmd. ne Idee woran es liegt?
Mitglied: 5175293307
5175293307 Jan 30, 2023 updated at 07:34:43 (UTC)
Goto Top
Zitat von @p24ms511:
Hat jmd. ne Idee woran es liegt?

Statische Route zum Wireguard-Subnet am Default GW des Clients vergessen?!
Wird häufig vergessen wenn man routet statt NATet, denn dann kommen die Pakete zwar am Client an aber der aber schickt sie übers Internet wieder raus statt über den Tunnel, ergo keine Verbindung. Steht aber auch ganz klar im Tutorial, muss man nur genau lesen...
Merkzettel: VPN Installation mit Wireguard
Also Kaffee in de Kopp und korrekt nachmachen dann klappt das auch.
heart1
Member: p24ms511
p24ms511 Jan 30, 2023 at 12:14:34 (UTC)
Goto Top
Hallo wurstel,
vielen Dank für deine schnelle Hilfe. Ich bin leider nicht soo vertraut mit der Materie. Ich hab zwar verstanden warum und wozu aber bin mir etwas unsicher beim eintragen. Ich habe hier (leider) eine Ubiquiti UDM Pro.

screenshot_1

Was müsste ich wo eintragen?

Mein internes IP Netz soll voll und ganz erreichbar sein. Mein Netz sieht wie folgt aus: 192.168.1.0/24.
Der vServer hat Beispielsweise die IP: 212.217.055.161 (abgeändert)

Kannst Du mir hier ausnahmsweise einmal weiterhelfen?
Danke im Voraus
Mitglied: 5175293307
Solution 5175293307 Jan 30, 2023 updated at 12:57:00 (UTC)
Goto Top
Destination-Network ist bei dir 10.0.0.0/24 also das Wireguard Transfernetz von dem aus die Anfragen an dein Netz kommen.
Next Hop ist die interne IP des Hosts der die Wireguard Verbindung in deinem Netz aufbaut 192.168.1.X
heart1
Member: p24ms511
p24ms511 Jan 31, 2023 at 06:43:52 (UTC)
Goto Top
Vielen Dank @5175293307 @aqui face-smile . Der Tunnel steht nun.

screenshot_3
screenshot_4

Leider habe ich beim mobile Client noch ein Problem. Ich habe wie im Tutorial eine mobile.conf angelegt.
Diese hat folgenden Inhalt:

[Interface]
PrivateKey = [PRIVATE KEY VON mobile.key]
Address=10.0.0.5/32
DNS = 8.8.8.8

[Peer]
PublicKey = [PUBLIC KEY VON wg0]
AllowedIPs = 10.0.0.0/32
Endpoint = [IPv4 ADRESSE DES VSERVERS]:51820
PersistentKeepalive = 25

Anschließend lasse ich mir einen QR Code ausgeben mit: 
qrencode -t ansiutf8 < /etc/wireguard/clients/mobile.conf

Aber leider kann ich nicht auf mein Heimnetz im 192. Bereich zugreifen mit dem Handy.. was mache ich falsch?
Mitglied: 5175293307
Solution 5175293307 Jan 31, 2023 updated at 06:56:17 (UTC)
Goto Top
AllowedIPs = 10.0.0.0/32
Ist ja Schwachsinn!
Hier gehört
AllowedIPs = 10.0.0.1/32, 192.168.1.0/24
rein.

Außerdem ist in der Server-Config bei dem einen Peer die AllowedIPs ebenfalls Blödsinn.(10.0.0.0/24) hier gehört nur die IP des Peers mit 32er Maske rein und natürlich die 192.168.1.0/24, die ist korrekt.

Du solltest nicht nur blind kopieren sondern die Anweisungen auch verstehen sonst bist du bei jedem Furz auf Hilfe angewiesen.

Btw. so steht das niemals im Tutorial... Ich weiß nicht woher du dir die Dinge immer her holst?!
heart1
Member: p24ms511
p24ms511 Jan 31, 2023 at 06:55:43 (UTC)
Goto Top
Es läuft Danke danke danke danke danke.
Ich hatte tatsälich an 
AllowedIPs = 10.0.0.0/32
gezweifelt. Aber war mir dann unsicher ob die 192. Range im Client ebenfalls mit rein muss...

Ich werde mich dennoch weiter in das Thema einlesen einfach um besser zu verstehen was genau geschieht.
Member: aqui
aqui Jan 31, 2023 updated at 08:16:06 (UTC)
Goto Top
in das Thema einlesen einfach um besser zu verstehen was genau geschieht.
Besser ist das. Am besten bei der Struktur von IP Adressen anfangen! face-wink
https://de.wikipedia.org/wiki/IP-Adresse
Eine Hostadresse wie die des Servers hat immer einen 32 Bit Prefix.

Ob man dann unbedingt 8.8.8.8 als DNS angeben muss ist schon etwas fahrlässig. Jeder Dummie weiss ja heutzutage das Google damit ein persönliches Verhaltensprofil erstellt und das mit Dritten weltweit vermarktet.
Etwas mehr Datenschutzbewusstsein sollte man eigentlich auch als völliger Laie haben...aber egal.
Die Angabe eines DNS Servers im WG Setup ist eh überflüssig und kann man weglassen. So befragt das Smartphone oder Endgerät dann immer den lokalen DNS den es ja immer dynamisch lernt.
https://www.privacy-handbuch.de/handbuch_93d.htm
https://www.heise.de/newsticker/meldung/Quad9-Datenschutzfreundliche-Alt ...
Lesen und verstehen...
heart1
GermansolvedQuestionVPNServerNetworks
Hotly discussed
LinuxeroWireguard with systemd and nftablesLinuxero - 9 Comments