Hallo Zusammen, Ich möchte vom Internet aus via Internet-Box2 (IB2) den nachgeschalteten Fritzbox-Router (FB4040) erreichen, damit ich via WireGuard ein VPN-Verbund mit einem Fritzbox-Mobile Router (FB6850) im Ausland (Internet Zugang mittels Mobile-Netz, SIM-Karte, leider ohne öffentliche IP) bilden kann, und die FB6850 (die in Frankreich draussen in den Pampas ohne Kabelnetz) installiert sein wird, erreichen und diese von zu Hause in aus via Admin-Oberfläche einstellen/und steuern kann. Wenn es gelingt, die FB4040 im Heimnetz (hinter der IB2) von aussen öffentlich zu erreichen, so sollte das gemäss AVM Fritz-Support möglich sein. Kann ich die Fritzbox erreichen, indem ich in der IB2 eine Portweiterleitung und DMZ einrichte? Ist dann die Kommunikation mit Internet möglich? Gelingt das besser mit einer IP-V6 Adresse? Wäre cool, wenn sich da jemand auskennt. Beste Grüsse, Patrick **_\[Kommentar zwecks Übersicht in eigenes Thema abgetrennt, von ursprünglich: [IPv6-Firewall-Level: So nimmst du selber Einstellungen vor](https://community.swisscom.ch/t5/Internet-Wissensbox/IPv6-Firewall-Level-So-nimmst-du-selber-Einstellungen-vor/m-p/641788#U641788) \]_**

Hallo Community Ich habe es also geschafft. Ohne Werners geduldiger Unterstützung, wäre mir das nie gelungen. Ich habe dabei soooo viel gelernt 🙂 Ich möchte Euch meine Learnings nicht vorenthalten und fasse zusammen: **Ausgangslage / Zielsetzung ** \- Internet-Box2 zu Hause und im Heimnetz nachgeschaltete Fritzbox 4040 \- Fritzbox 6850 LTE (Mobile-Router) mit Zielort auf einem Camping Platz in Frankreich, draussen in den Pampas ohne Kabelanschluss \- Ziel: Aufbau eines Site-to-site WireGuard VPN Verbindung zwischen den beiden Fritzboxen und eine VPN Verbindung vom Tablet/Handy/Laptop ("Road Warrior") aus zur Heimnetz-Fritzbox 4040, so dass man die FB6850 draussen in der "Wildnis" via Road Warrior erreichen und administrieren. **Voraussetzungen / wichtig zu wissen** * Die Heim-Fritzbox FB4040 ist vom Internet aus nicht direkt erreichbar, weil sie der IB2 nachgeschaltet ist. * Die Mobile FB6850 hat keine öffentliche IP und ist deshalb von aussen auch nicht erreichbar. * Die Fritz Internet-Zugangsadressen, die AVM mit der Registrierung der Fritzboxen zur Verfügung stellt, funktionieren in dieser Konstellation nicht und sind deshalb für die Lösung nicht relevant. * Zwei Fritzboxen können mittels VPN WireGuard verbunden werden, vorausgesetzt eine der beiden besitzt eine öffentliche IP und ist von aussen erreichbar. (In diesem Fall hier, erreichen wir die Heim-Fritzbox 4040 von aussen via DynDNS von Swisscom; mehr dazu unten). * Die entfernte andere Fritzbox, die keine öffentliche IP besitzt (hier die FB 6850 LTE, VPN Client), muss die VPN Verbindung zur FB4040 (VPN-Server) aufbauen, da sie nicht erreichbar ist, sie jedoch die Zieladresse der FB4040 kennt (diese wird mit der Einrichtung geladen/konfiguriert). * Fritzboxen können erst ab OS Version 7.5 ein WireGuard VPN herstellen. **Lösungsweg** **Schritt 1 - Herstellen einer VPN Verbindung von Road-Warrior zur Internet-Box IB2** * Damit überhaupt der Zugang zur IB2 möglich ist, zunächst ein VPN vom Road-Warrior via DNS herstellen * Aktivieren der DynDNS in der Swisscom IB2; dabei, a) Definition eines langen/sicheren DynDNS-Namens * Installation der WireGuard App auf dem Gerät * IKEv2 auf dem Gerät einrichten (LPT2 funktionierte nicht); Anleitung: * [https://www.swisscom.ch/de/privatkunden/hilfe/internet/vpn-server.html?campID=internetbox-vpn#einrichten](https://www.swisscom.ch/de/privatkunden/hilfe/internet/vpn-server.html?campID=internetbox-vpn#einrichten) * Wichtig: Die Verbindung klappt nur vom Mobile-Netz aus und nicht im eigenen WLAN. Zuerst muss im Gerät immer das WLAN deaktiviert werden und erst danach das VPN aktiviert werden. **Schritt 2 - WireGuard VPN "Road Warrior" Verbindung von Laptop / iPhone zur Heim-Fritzbox FB4040** * Prüfen, ob auf Fritzbox das aktuellste Betriebssystem installiert ist (mindestens V7.5); sonst Update durchführen * In der IB2 der FB4040 eine fixe interne IP-Adresse zuweisen * In der IB2 Portnummer "xxxxx" und entsprechende Portweiterleitung an die FB4040 definieren * von der FB4040 aus, Erstellen der WireGuard Konfig-Datei (im Menu unter: Internet > Freigaben > WireGuard) * dabei wird fürs iPhone ein QR-Code erzeugt, der dann in der WireGuard App eingelesen wird * für den Laptop wird eine Konfig-Datei erzeugt, die in der WireGuard App geladen werden kann. Wichtig: der Dateinamen WG\_config.conf darf nicht geändert werden. Wenn man die Datei ein weiteres Mal erstellt, dann wird in den Downloads der Dateinamen erweitert mit (2). Die erste muss dann gelöscht und die zu verwendete wieder zum ursprünglichen Namen "WG\_config.conf" umbenannt werden. * Nun muss bei beiden Geräten die WireGuard Einstellungen bearbeitet werden: statt des Fritz-Internet DNS Namens, muss der Swisscom DynDNS Namen plus der Port eingegeben werden: DynDNS\*internet-box.ch:xxxxx * Nun sollte der Zugang zur FB4040 funktionieren: Man gibt im Browser die interne IP der FB4040 ein, um auf die Admin Seite zu gelangen; Fritz-Standard ist: 192.168.178.1. * Erst wenn der Zugang funktioniert dann mit Schritt 3 weitermachen. **Schritt 3 - Herstellen einer Wirguard VPN Verbindung zwischen den beiden Fritzboxen FB4040 und FB6850** * Zuerst in der FB6850 eine neue interne IP definieren (unter Heimnetz): z.B. 192.168.99.1; denn auf dieser ist dann später, sobald die VPNs aktiv sind, die FB6850 erreichbar. * In der FB4040 die conf. Datei erstellen, die danach in die FB6850 eingelesen wird. * mit Texteditor die \*.conf Datei bearbeiten und der zugewiesene Fritz-Internet Zugang mit der Swisscom DynDNS ersetzen, inkl. im Anschluss zum Namen der vordefinierten Port Nummer * Das Vorgehen wird auch gezeigt unter: [https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-6850-LTE/3686\_WireGuard-VPN-zwischen-zwei-FRITZ-Box-Netzwerken-einrichten?t\_id=6046575](https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-6850-LTE/3686_WireGuard-VPN-zwischen-zwei-FRITZ-Box-Netzwerken-einrichten?t_id=6046575) * Nun kann man mit dem Road-Warrior das VPN zur FB4040 aktivieren. Mittels den beiden IP der Fritzboxen kann man diese administrieren. * Anmerkung: Die VPN Verbindung zwischen den Fritzboxen bleibt stabil und wird automatisch wieder aufgebaut, wenn eine aus- und wieder eingeschaltet wird. Viel Erfolg beim Einrichten:-)) Beste Grüsse Pat

@"Miethadeitz39"#1331197 Portweiterleitung **und** DMZ-Modus ist die falsche Denkweise, denn es muss heissen Portweiterleitung **oder** DMZ-Modus. Eine Portweiterleitung leitet pro erfassten Eintrag im Normalfall genau 1 Port vom Zugangsrouter (bei Dir die IB2) an das nachgelagerte Netzwerkgerät (bei Dir die Fritzbox) weiter, währenddem der DMZ-Modus alternativ gleich fast alle der rund 65'500 möglichen Ports weiterleitet. Eigentlich würdest Du für die Erreichbarkeit des WireGuard-Servers auf der Fritte nur einen einzelnen bei der Serverdefinition frei wählbaren UDP-Port brauchen, was eigentlich eher für die Variante der einzelnen Portweiterleitung spricht, aber mit der "Schrotflinte" DMZ-Modus funktioniert es natürlich alternativ auch.

Ich habe der im Heinetz nachgeschalteten FB4040 im IB2 Router eine feste IP gegeben und eine Portweiterleitung festgelegt. Doch ich kann die Fritte von aussen nicht erreichen. Welche IP muss ich eingeben? Diejenige der IB2 plus: plus die Portnummer? mit https:// vorangestellt? So komme ich nicht an die Fritte. Oder kann/muss ich mit DynDNS arbeiten? Oder geht das mit der FB4040 gar nicht? Kann mir jemand raten? Gruss Pat

@"Miethadeitz39"#1331197: Ich vermute, dass deine Fehlüberlegung zwei Komponenten hat. Ich versuch mal die kurze Variante, die längere müsste glaub ins Forum (und nicht in einen Wissensbeitrag). * Wenn du auf die Fritzbox "von aussen" sprich von der WAN Seite zugreiffen willst, geht das aus Sicherheitsgründen nie. Die Boxen-Administration (http und nicht https!) geschieht aus dem lokalen Netz. * In einem Zwei-Router-System musst du den gewünschten Port (z.B. 443 HTTPS) von der IB an die FB und von der FB an den Webserver weiterleiten. (Der Webserver könnte sehr wohl auch zwischen IB und FB stehen, gibt aber andere Probleme die dann gelöst werden müssen.) Vielleicht hilft dir das erst einmal in dieser Form weiter.

Ich bin völlig neu in dieser Community und weiss noch nicht, wo der Unterschied zwischen Forum und Wissensbeitrag liegt, sorry;-). Doch ich lerne gerne und freue mich auf Unterstützung 🙂 Nun, für mich trifft der erste Fall zu: ich möchte von WAN-Seite auf die FB 6850 LTE in Frankreich zugreifen können. Mobile Router mit SIM, wie das die FB 6850 ist, haben übers Mobilnetz keine öffentliche IP. Wie mir der AVM Fritz-Support jedoch möglich, indem ich die beiden FBs (also diejenige in Frankreich via LTE) und diese zu Hause, eine FB 4040 (der IB" nachgeschaltet) via VPN WireGuard zusammenschalte. Das funktioniert jedoch nur, wenn die FB 4040 zu Hause via öffentliche IP erreichbar ist. Der Server bei AVM fungiert dann quasi als Pöstler oder Vermittler, der via VPN WireGuard die FB in Frankreich via der FB 4040 zusammenschaltet. Dann sollte ich die FB in Frankreich übers Internet erreichen können Doch wie kann ich diese nachgeschaltete FB 4040 im Heimnetz von aussen erreichen? Das ist meine grosse Herausforderung. LG Pat

> * * * > > @"Miethadeitz39"#1331197 schrieb: > > Ich bin völlig neu in dieser Community und weiss noch nicht, wo der Unterschied zwischen Forum und Wissensbeitrag liegt, sorry;-). Doch ich lerne gerne und freue mich auf Unterstützung 🙂 > > * * * Keine Sorge, jeder lernt dazu. Herzlich Willkommen in der Swisscom Community @"Miethadeitz39"#1331197! Was gemeint ist: Zwecks Übersicht ist es sinnvoller, wenn "einzelne" Probleme in einzelnen Diskussionen stattfinden, statt als Kommentar unter einem Wissensboxartikel wie [IPv6-Firewall-Level: So nimmst du selber Einstellungen vor](https://community.swisscom.ch/t5/Internet-Wissensbox/IPv6-Firewall-Level-So-nimmst-du-selber-Einstellungen-vor/m-p/641788#U641788). Ich habe deinen Beitrag (und die dazu gemachten Kommentare) deshalb abgesplittet und hier in einem einzelnen Thema untergebracht.

@"Miethadeitz39"#1331197 Generell bestehen VPN-Konstrukte immer aus einer Server- und aus einer Client-Seite, wobei der VPN-Server so konfiguriert sein muss, dass sein "Listening Port" direkt aus dem Internet von aussen ansprechbar ist. Bei der Anwendung einer VPN-Verbindung gibt es dann 2 mögliche Architekturen: \- Road Warrior VPN: Vagabundierende Clients wie Mobiles, Tablets, Notebooks, etc. greifen von wechselnden Standorten via Internet verschlüsselt auf den VPN-Serverstandort zu und werden damit virtuell Bestandteil des IP-Netzes am via öffentlich verfügbare IP erreichbaren Standort des VPN-Servers. Als virtueller Bestandteil des "Heimnetzes" kann der einzelne VPN-Client dann ganz normal auf alle Ressourcen im LAN des VPN-Servers zugreifen. \- Site-to-Site VPN: Hier wird die VPN-Verbindung zum Serverstandort nicht von einem einzelnen Client aufgebaut, sondern es sollen direkt zwei Router miteinander verbunden werden, welches es dann allen Clients im LAN des einen Routers erlaubt auf alle Ressourcen im jeweiligen Netz des anderen Routers zuzugreifen, wobei gleichzeitig auch ein bidirektionaler Tunnel zwischen den 2 Standorten aufrecht erhalten wird. Für Dein eigentliches Ziel wirst Du schlussendlich die Site-to-Site Variante benötigen, bei der der Mobilrouter in Frankreich direkt als Wireguard-Client konfiguriert werden muss, aber als ersten Schritt musst Du zuerst mal dafür schauen, dass Dein Fritten-Heimnetz als WireGuard-Server hinter der Swisscom Internetbox mal korrekt konfiguriert und damit auch von einem Road Warrior Client wie z.B. einem Handy oder Tablett über eine Mobilfunkverbindung erreicht werden kann. Für die Road Warrior Variante brauchst Du: \- eine DynDNS-Definition auf der Internetbox, entweder direkt den DynDNS-Service der Swisscom, oder einen externe DynDNS-Service, wie z. B. NO-IP, welcher sich auf der Liste der durch eine Internetbox nachführbaren DynDNS befindet \- eine korrekte Konfiguration eines WireGuard Servers direkt auf Deiner Heim-Fritte \- die Portweiterleitung des von Dir ausgewählten "Listening Ports" von der Internetbox auf die Heimfritte \- auf dem Handy oder Tablett die WireGuard App als Client mit der vermutlich per QR-Code eingescannten WireGuard-Server-Konfiguration der Heimfritte. Wichtig ist auch, dass dabei der durch die Internetbox selbst nachgeführte DynDNS-Service verwendet wird, da nur so eine korrekte Nachführung der öffentlichen IPv4 gewährleistet werden kann. Beim nachfolgenden Funktionstest dann noch unbedingt daran denken, dass sich der VPN-Client selbst nicht im heimischen LAN/WLAN befinden darf, also am besten das WLAN beim Testclient dann gleich ganz ausschalten und nur über Mobilfunk testen. Erst wenn das WireGuard Konstrukt als Road Warrior Variante mal vollständig korrekt und stabil funktioniert, macht es dann Sinn die zusätzlichen Site-to-Site Erweiterungen als zweiten Schritt überhaupt anzugehen.

Hallo, Vielen Dank für Deine klare Beschreibung. Das baue ich schrittweise so auf. Im Moment noch am Anfang und stehe an mit dem Zugriff auf die IB2 via DynDNS. Diese habe ich eingestellt, doch wenn ich den Name in der URL eingebe erscheint da die Login-Seite die IB2 noch nicht. Ich probier weiter und Eins-nach-dem-anderen 🙂 LG Pat

@"Miethadeitz39"#1331197 Alleine mit dem DynDNS wirst Du von extern nicht auf das GUI der IB2 zugreifen können, denn der WAN-seitige GUI-Zugriff ist aus Sicherheitsgründen auf den Internetboxen generell gesperrt und das ist auch gut so. Möchtest Du aus dem Internet direkt auf Deine Internetbox, dann geht das nur in Kombination des DynDNS mit einer aktiven VPN-Verbindung. Falls Du es ausprobieren willst, aktiviere auf der IB2 mal den IB-eigenen VPN-Server, baue von Deinem Mobile her dann die VPN-Verbindung auf und Du wirst sehen, das GUI der IB wird erscheinen, wenn Du es dann via den Browser aufrufst.

Hallo Werner Ich habe das erste Ziel noch nicht erreicht: Ich komme via URL Zeile noch nicht auf das GUI der IB2. Ich habe gemacht: * in der IB2 den VPN Dienst aktiviert >> Servername, ID und Passwort alles ok * VPN im iPhone hinzugefügt >> VPN Verbindung wird hergestellt 🙂, ich sehe in den VPN Infos im iPhone, dass die IB2, dem iPhone eine interne IP gegeben hat 🙂 cool * Ich habe im Browser die interne IB2 IP eingegeben und auch mit der VPN DynDNS versucht, doch im komme nicht auf das GUI. Ich habe auch das WLAN im iPhone deaktiviert und versuche das via 4G LTE. Hast Du eine Idee, was ich weiter machen könnte? LG Pat

@"Miethadeitz39"#p805146 Du hast vermutlich noch einen Fehler in der Client-Konfiguration auf dem iPhone. Welchen Typ VPN-Server auf der IB2 hast Du denn ausprobiert, L2TP oder IKEv2? Falls es der ältere einfachere Typ L2TP war, müsste es auf dem iPhone eigentlich in etwa so aussehen: [upl-image-preview liId=57454i201F10784C204402 alt=IMG_5606.jpeg uuid=07687fa9-70e5-4d94-9642-e30eedb998df] Sonst kann ich nur empfehlen die Anleitung für die Swisscom-VPN-Server nochmals gut durchzulesen und allenfalls auch mal noch den anderen Typ VPN-Server ausprobieren. Mit einem iPhone als Client sind eigentlich beide lauffähig.

WireGuard Site-to-Site VPN mit Mobilrouter

Miethadeitz39

Hallo Werner

Ich habe das erste Ziel noch nicht erreicht: Ich komme via URL Zeile noch nicht auf das GUI der IB2.

Ich habe gemacht:

in der IB2 den VPN Dienst aktiviert >> Servername, ID und Passwort alles ok
VPN im iPhone hinzugefügt >> VPN Verbindung wird hergestellt 🙂, ich sehe in den VPN Infos im iPhone, dass die IB2, dem iPhone eine interne IP gegeben hat 🙂 cool
Ich habe im Browser die interne IB2 IP eingegeben und auch mit der VPN DynDNS versucht, doch im komme nicht auf das GUI. Ich habe auch das WLAN im iPhone deaktiviert und versuche das via 4G LTE.

Hast Du eine Idee, was ich weiter machen könnte?

LG Pat

Werner

Miethadeitz39

Du hast vermutlich noch einen Fehler in der Client-Konfiguration auf dem iPhone.

Welchen Typ VPN-Server auf der IB2 hast Du denn ausprobiert, L2TP oder IKEv2?

Falls es der ältere einfachere Typ L2TP war, müsste es auf dem iPhone eigentlich in etwa so aussehen:

Sonst kann ich nur empfehlen die Anleitung für die Swisscom-VPN-Server nochmals gut durchzulesen und allenfalls auch mal noch den anderen Typ VPN-Server ausprobieren.

Mit einem iPhone als Client sind eigentlich beide lauffähig.

Miethadeitz39

Hallo

Ich habe es hingekriegt, dass ich auf das GUI der IB komme.

Der Fehler war (wichtige Erkenntnis), dass ich zuerst die VPN Verbindung aufgebaut hatte, aber immer mit dem WLAN des Heimnetzes verbunden war. Danach stellte ich am iPhone das WLAN ab und kam immer noch nicht auf das GUI der IB. Grund: wenn ich mal im Heinetz drinnen gewesen bin, dann ich muss die VPN Verbindung trennen und neu verbinden, danach klappts. Also immer zuerst vom Heimnetz trennen und erst danach das VPN verbinden.

Nun komme ich noch nicht auf das GUI des nachgeschalteten Routers 4040 Fritte. Wohl kein Wunder, denn ich nehme an, nun muss ich WireGuard an den Frittes (4040 zu Hause und 6850 LTE für Frankreich, sowie im iPhone einrichten. Und im WireGuard client des iPhone via der Swisscom-DynDNS-Internet-Box😛ortnummer, aufs GUI der Fritte 4040 zugreifen.

Finales Ziel ist, das ich Site-to-site auf die beiden Fritte-GUIs komme, damit ich die Fritte in Frankreich managen kann, und das falls möglich auch vom iPhone via IB tun kann.

Spannende Sache, Du hast mir schon sehr viel geholfen und danke Dir herzlich dafür.

LG Pat

Werner

@Miethadeitz39

Die Übung mit dem IB-eigenen VPN war ja eigentlich nur dazu da zu überprüfen, ob Dein DynDNS korrekt funktioniert.

Der nächste Schritt ist jetzt die WireGuard Road Warrior Variante mal rein mit der Heim-Fritte zu konfigurieren.

Wenn die dann mal läuft, wirst Du auch vollständig wieder auf die IB-eigene VPN-Variante verzichten können, denn Dein WireGuard Server welcher direkt im IP-Netz der Heimfritte steht, wird Dir nicht nur den Zugriff ins Heimfritten-Netz, sondern gleichzeitig auch ins hierarchisch vorgeschaltete Netz der IB2 ermöglichen.

Miethadeitz39

Hallo Werner

Ich schulde Dir noch die Antwort zum VPN Protokoll, das ich für die Rosd Warrior Config / Swisscom DDNS mit einstellte:

- Der Zugang funktioniert nur mit IKEv2. Hier kann ich im iPhone das als Secret Share das von mir definierte Passwort eingeben.

- Der Zugang mit L2TP funktionierte nicht. Im config des iPhone wird dazu der Share Secret Code plus auch der PSK verlangt. Beides mal dasselbe Passwort funktionerte nicht. Und in der Anleitung steht nichts konkretes.

Aktueller Stand:

- WireGuard in der der IB nachgeschalteten Heim-FB4040 und iPhone eingerichtet. Das war sehr einfach.

- VPN Verbindung wird aufgebaut.

- Doch ich komme nicht aufs GUI der vorgeschalteten IB.?

- Ich komme auch nicht aufs GUI der FB4040.?

- Ich habe alle möglichen IPs der beiden ausprobiert. Auch die int. DNS "fritz.box" funzt nicht.

- Warum nur? Muss ich in der IB eine Portweiterleitung definieren? Oder darf es für den Zugriff gar keine haben?

Puh, schon eine grosse Herausforderung, mit all den komplizierten Abhängigkeiten.

Hast Du Ideen, was ich weiter tun kann?

LG Pat

Werner

@Miethadeitz39

Die einzige Portweiterleitung, welche Du brauchst ist der von Dir ausgewählte WireGuard-Port, welchen Du auf der IB2 auf Deine nachgelagerte Fritte weiterleiten musst.

Dabei auch daran denken nach der Einrichtung der Weiterleitung auch beide Router neu starten.

Mehr braucht es dann auf der IB nicht mehr, denn der ganze Rest betrifft nur noch den WireGuard-Server und den jeweiligen WireGuard-Client.

Ist diese WireGuard-Verbindung in das der IB nachgelagerte Netz dann erfolgreich in Betrieb sollte Du alle Geräte direkt im Fritten-Netz wie auch im vorgeschalteten IB-Netz via ihre jeweilige interne IP direkt erreichen können.

Falls Deine IB2 auf dem Default-IP-Netz eingerichtet ist, wäre das dann die 192.168.1.1 für das GUI der IB, und für die Fritzbox die Routeradresse aus dem IP-Bereich, welchen Du als IP-Bereich der Fritzbox eingerichtet hast.

Welche IP-Bereiche hast Du denn konkret für die zwei Router verwendet?

Ist damit sicher gestellt, dass sich die IP-Adressen der zwei Netze keinesfalls überlappen?

Miethadeitz39

Werner

Ich habe den in der FB genannte WireGuard-Port in der IB freigegeben, bzw. an die FB weitergeleitet.

Die IP Bereiche sind ab dem 3. Segement unterschiedlich, d.h. überlappen sich nicht:

- IB: 192.168.1.101 - 220

- FB: 192.168.178.20 - 200

Müssten die Heimnetz IPs bereits ab dem 2. Segement "168" unterschiedlich sein?

Darf man das überhaupt da schon ändern?

Ich habe zuerst die IB und dann die FB neu gestartet.

Im iPhone aktiviere ich die WG VPN Verbindung (selbstverständlich nun, zuvor vom WLAN getrennt.
>> Es wird die aktivierte Verbindung angezeigt.

>> ich komme nun jedoch weder auf das GUI der FB, noch auf das GUI der IB noch ins Internet. Doch mit dem Rechner direkt am FB LAN komme ich aufs Internet.

>> Im Online Monitor der FB wird die VPN WG zum iPhone als inaktiv angezeigt.

Ich habe mit WG alles eingerichtet. Doch ich komme nicht auf die FB.

Spannend: Wenn ich auf die VPN Swisscom DDNS wechsle klappt die Verbindung zur IB, GUI und Heimnetz bestens.

Wechsle ich wieder auf die WG Verbindung zur FB, dann keine Verbindung, entgegen der Anzeige im iPhone.

Was kann ich tun?

Weisst Du weiter Rat?

LG Pat

Werner

@Miethadeitz39

Die Trennung der IP-Netze ist okay so.

Was Dir passiert sein könnte ist, dass sich bei der Definition des WireGuard-Servers auf der Fritte der vordefinierte DynDNS der Fritte anstatt Dein funktionerender Swisscom-DynDNS eingeschlichen hat.

Kontrolliere mal auf dem iPhone die WireGuard-Clienteinstellungen.

Falls sich da beim Punkt Endpunkt nicht der Swisscom-DynDNS befindet, tippe auf Bearbeiten und setze ihn noch manuell ein.

Beim Endpunkt sollte also so etwas stehen wie "meinDNS.internet-box.ch:55555".

PS: WireGuard hat noch ein wenig die Eigenheit, dass die Verbindung auch als "on" gezeigt wird, falls der Traffic gar nicht durch kommt. Zur Sicherheit am Schluss der Einstellungen also immer kontrollieren, ob der Traffic wirklich auch fliesst.

Miethadeitz39

Das ist genau so, wie Du sagst: Der DynDNS wird aus dem WireGuard Setup der Fritte generiert. Der daraus erzeugte QR-Code dann in den Client eingelesen. Und darin steht natürlichder vordefinierte DynDNS der Fritte.

Ich habe nun in den WireGuard Einstellungen im iPhone den Swisscom DynDNS manuell eingegeben; so wie Du beschreibst mit der Portnummer nach dem Doppelpunkt, die ich in der IB der Fritte fest zuordne. Ich habe der Fritte auch eine fixe Heimnetz-IP gegeben.

>> Die VPN Verbindung zur Fritte wird jedoch nicht aufgebaut. Wenn ich im iPhone unter Einstellungen > VPN einschalte, dann springt der Schalter kurz darauf wieder auf OFF.

In der Fritte kann man unter "Freigaben > DynDNS" auch Fremdanbieter eingeben.

(Doch unter dem Reiter "Fritz!Box-Dienste bleibt die vordefinierte Internet Adresse der Fritzbox bestehen. Diese lässt sich dort nicht ändern. Jedoch habe ich am Endpunkt/iPhone ja die korrekte Swisscon DynDNS eingegeben.)

Anyway, unter der DynDNS die man in der Fritte selber eingeben kann muss man eingeben:

1. Update-URL >> was bedeutet das genau? >> ich habe meine korrekte Swisscom DNS eingegeben, die ja mit driektem iPhone Zugriff auf die IB funktionert, inkl.:portnummer am Schluss, inkl. Vorspann https...in Sinne von

https://meinDNS.internet-box.ch:55555

Habe ich das richtig gemacht?

2. Domainname

Was muss ich denn hier eingeben?

Ich habe eingegeben: internet-box.ch

3. Benutzername und Passwort

Ich habe diese eingegeben, die ich fürs Login in meine Swisscom Account eingebe...? Das ist vermutlich falsch.

Doch welcher BN und PW sind denn gemeint? Welche sind den konkret an die DynDNS von Swisscom gebunden?

Ich kann mich nicht errinnern, dass ich ein BN und PW eingegeben habe, als ich den DynDNS in der IB/MySwisscom einstellte.

Nun, wenn ich dann diese Fremdanbieter DynDNS mal korrekt in der Fritte eingeben habe, wie schaffe ich es, dass er diese dann auch für die Konfig der WireGuard VPN beim einrichten übernimmt? (nur mit QR-Code möglich).

Ist das evtl. mit WireGuard aus der Fritte heraus nicht möglich? (doch habe ich im iPhone ja korrigiert)

Oder muss ich den Weg über VPN IPSec versuchen?

Danke dass Du mich so beharrlich begleitest 🙂

LG Pat

Werner

Miethadeitz39

Du willst ja schlussendlich eine Site-to-Site Installation mit zwei Fritzboxen erreichen und da bist Du mit WireGuard schon mit dem richtigen VPN-Server unterwegs.

Im Moment stimmt einfach Deine WireGuard Konfiguartion noch nicht perfekt, also geht es darum nachzukorrigieren.

Den DynDNS hast Du ja bereits auf der IB2 hingekriegt, und den musst Du auch weiterhin verwenden und auch direkt durch die IB2 nachführen lassen, denn die Fritte verfügt als kaskadierter Router gar nicht über Deine öffentliche IPv4-Adresse und würde da mit ihren eigenen DynDNS-Konstrukten nur mit ungültigen Werten reinpfuschen.

Es geht als wirklich nur darum auf dem WireGuard Client den Swisscom DynDNS-Namen korrekt einzutragen.

Zwar habe ich selbst keine Fritzbox, aber einen WireGuard-Server und einen WireGuard-Client auf einem iPhone habe ich natürlich schon, und da habe ich jetzt kurzerhand einfach mal meinen eigenen DynDNS durch meinem Swisscom-DynDNS ausgetauscht, von welchem ja mein WireGuard-Server keinerlei Ahnung hat.

Der Austausch funktioniert locker und die anschliessend mit dem ausgetauschten DynDNS hergestellte VPN-Verbindung auch.

Hier noch kurz ein paar Bilder dazu:

Nach drücken von ">" kommst Du auf die Client-Konfiguration:

Dann auf Bearbeiten drücken:

Unter Endpunkt den korrekten DynDNS inkl. Portnummer eintragen und dann auf Sichern drücken.

Und das war es dann auch schon 🙂

Miethadeitz39

Halleluja.

Die VPN WireGuard Verbindung ist endlich aufgebaut und ich komme gleichzeitig auf die GUIs von IB und FB.

In meiner WireGuard Einstellung konnte ich zunächst nicht unterscheiden zwischen den Bereichen:

- Schnittstelle >> Fritzbox

- Peer >> IB / iphone

Das Problem lag im falschen eingegeben Port:

- WireGuard erstellt initial von der Fritzbox aus einen neuen Port. Da im QR Code "versteckt" habe ich das nicht gesehen.

- Den neuen Port habe ich in WireGuard am Ende der DynDNS als auch in der IB den gleichen Anfangs und Endport eingegeben.

Ich hoffe, das der Port nun nicht mehr von selbst ändert und die Konfig stabil bleibt.

Nun geht es zum nächsten Schritt:

VPN Zusammen schalten FB4040 und FB6850 LTE (für Betrieb in Frankreich)

Ich melde mich wieder.

LG Pat

Werner

Miethadeitz39

Und noch einen Zusatztipp:

Falls Du Gefallen gefunden hast am WireGuard Roadwarrior Einsatz, gibt es da bei der Client-Einstellung noch eine superpraktische Zusatzeinstellung, nämlich "Aktivierung auf Wunsch":

Falls man das bei den Punkten "Mobil" und "WLAN" aktiviert und gleichzeitig seine SSID's des Heimnetzes (Standort des WireGuard-Servers) ausschliesst, ist der WireGuard-VPN unterwegs eigentlich immer aktiv, ausser man ist mit seinem Mobile mit seinem eigenen WLAN-Heimnetz verbunden, in dem ja WireGuard sowieso nicht funktionieren kann und wo es sich dann anstatt den Internetzugriff völlig zu blockieren mit diesen Regeln ganz einfach automatisch selbst ausschaltet.

Oder andersherum formuliert, immer wenn Du mit mobilen Geräten in "tendenziell unsicheren" Netzen unterwegs bist, schaltet sich die VPN-Verbindung inkl. sicherer Verschlüsselung automatisch dazu.

Miethadeitz39

Hallo Werner

Da bin ich wieder nach einigen "Absenztagen".

Mittlerweile habe ich viel am Ganzen gearbeitet.

Halleluja zum Zweiten.

Ich habe es geschafft und kann nun Site-to-Site von der der IB2 nachgeschalteten Fritzbox 4040 zur entfernten Fritzbox 6850 LTE eine stabile VPN Verbindung halten.

Besondere Erkenntnisse:

Die Fritzbox im Heimnetz (Zentrale) ist der WireGuard Server von dem aus die WG-Konfig Datei fürs Erstellen des WG-VPN an der entfernten FB6850 generiert wird. Doch in dieser Konfig-Datei ist die Fritz-eigene DNS eingestellt. Damit ich die FB4040 im Heimnetz erreichen kann, muss da aber die Swisscom DynDNS eingestellt sein, was aber Fritzbox partout nicht kennt und nicht erstellenlen kann. Man kann auch aus die WG in der entfernten FB6850 nicht bearbeiten.

Wie also konnte ich das tun? Denn während des Einrichten des WG wird nur die Konfig-Datei aus dem Server FB4040 akzeptiert.

>> Ich habe die Konfig-Datei in eine *.txt Datei umbenannt, dann mittels Editor-App die Swisscom DynDNS eingefügt und dann wieder in die *.conf Datei zurück benannt.

Die VPN Verbindung bleibt stabil, d.h. ich kann beide Fritzboxen und auch die IB2 ein-/ausschalten, egal in welcher Reihenfolge, und das VPN wird immer wieder aufgebaut.

Nun kann ich die in FR entfernte LTE Fritzbox und das dortige LAN von zu Hause aus steuern.

Ziel erreicht!!! Dank Deiner Super-Unterstützung:-))

Vielen herzlichen Dank!!!

Lieber Gruss

Pat

Werner

@Miethadeitz39

Super, dass es geklappt hat und vielen Dank für den Feedback.

Übrigens hast Du damit bewiesen, dass technisch auch sehr ehrgeizige Ziele als persönliche Projekte durchaus umsatzbar sind, wenn man:

- sich zuerst selbst mal ein Gesamtbild des Vorhabens skizziert

- anschliessend schrittweise vorgeht und zuerst auch mal nur Teilziele anstrebt

- bei zwischendrin auftauchenden Problemen zuerst mal das aktuelle Problem löst

- nicht sofort aufgibt, sondern aus auftretenden Fehlern darauf aufbauend immer weiter lernt und hartnäckig dran bleibt bis man das finale Ziel schlussendlich erreicht hat

Als Du diesen Thread ursprünglich eröffnet hast, gab ich Dir aufgrund der doch "durchschimmernden" relativ schmalen bereits vorhandenen KnowHow-Basis übrigens nur eine relativ kleine Erfolgschance, sicher unter 50%.

Jetzt bis Du aber trotz zwischenzeitlichen Schwierigkeiten tatsächlich bei einer korrekt funktionierenden internationalen Site-to-Site WireGuard Installation angekommen, und dafür gratuliere ich Dir sehr, denn das hätte wirklich nicht jeder erreicht.

Auch Deine Praxiserkenntnisse, welche nun innerhalb dieses Threads dokumentiert sind, halte ich für wertvoll, denn WireGuard VPN ist eine sich weiter ausbreitende Technologie, welche aktuell sogar sehr stark im Trend liegt, was wiederum bedeutet, dass zukünftig vielleicht noch einige Forumsleser von diesem Thread werden profitieren können, im Speziellen auch gerade darum, weil eine Seite Deiner Site-to-Site VPN Verbindung ein Mobilrouter ohne öffentliche IPv4-Adresse ist.

Falls Du in den nächsten Wochen und Monaten noch weitere zusätzliche Praxiserfahrungen mit Deiner neuen Site-to-Site WireGuard Installation machen solltest, wäre es sicher sehr interessant in diesem Forum noch weiter davon zu hören.

Jetzt geniesse aber zuerst einmal Deinen persönlichen Projekterfolg!

Miethadeitz39

Hallo Community

Ich habe es also geschafft. Ohne Werners geduldiger Unterstützung, wäre mir das nie gelungen.

Ich habe dabei soooo viel gelernt 🙂

Ich möchte Euch meine Learnings nicht vorenthalten und fasse zusammen:

**Ausgangslage / Zielsetzung
**

- Internet-Box2 zu Hause und im Heimnetz nachgeschaltete Fritzbox 4040

- Fritzbox 6850 LTE (Mobile-Router) mit Zielort auf einem Camping Platz in Frankreich, draussen in den Pampas ohne Kabelanschluss

- Ziel: Aufbau eines Site-to-site WireGuard VPN Verbindung zwischen den beiden Fritzboxen und eine VPN Verbindung vom Tablet/Handy/Laptop ("Road Warrior") aus zur Heimnetz-Fritzbox 4040, so dass man die FB6850 draussen in der "Wildnis" via Road Warrior erreichen und administrieren.

Voraussetzungen / wichtig zu wissen

Die Heim-Fritzbox FB4040 ist vom Internet aus nicht direkt erreichbar, weil sie der IB2 nachgeschaltet ist.
Die Mobile FB6850 hat keine öffentliche IP und ist deshalb von aussen auch nicht erreichbar.
Die Fritz Internet-Zugangsadressen, die AVM mit der Registrierung der Fritzboxen zur Verfügung stellt, funktionieren in dieser Konstellation nicht und sind deshalb für die Lösung nicht relevant.
Zwei Fritzboxen können mittels VPN WireGuard verbunden werden, vorausgesetzt eine der beiden besitzt eine öffentliche IP und ist von aussen erreichbar. (In diesem Fall hier, erreichen wir die Heim-Fritzbox 4040 von aussen via DynDNS von Swisscom; mehr dazu unten).
Die entfernte andere Fritzbox, die keine öffentliche IP besitzt (hier die FB 6850 LTE, VPN Client), muss die VPN Verbindung zur FB4040 (VPN-Server) aufbauen, da sie nicht erreichbar ist, sie jedoch die Zieladresse der FB4040 kennt (diese wird mit der Einrichtung geladen/konfiguriert).
Fritzboxen können erst ab OS Version 7.5 ein WireGuard VPN herstellen.

Lösungsweg

Schritt 1 - Herstellen einer VPN Verbindung von Road-Warrior zur Internet-Box IB2

Damit überhaupt der Zugang zur IB2 möglich ist, zunächst ein VPN vom Road-Warrior via DNS herstellen
Aktivieren der DynDNS in der Swisscom IB2; dabei, a) Definition eines langen/sicheren DynDNS-Namens
Installation der WireGuard App auf dem Gerät
IKEv2 auf dem Gerät einrichten (LPT2 funktionierte nicht); Anleitung:
https://www.swisscom.ch/de/privatkunden/hilfe/internet/vpn-server.html?campID=internetbox-vpn#einrichten
Wichtig: Die Verbindung klappt nur vom Mobile-Netz aus und nicht im eigenen WLAN. Zuerst muss im Gerät immer das WLAN deaktiviert werden und erst danach das VPN aktiviert werden.

Schritt 2 - WireGuard VPN "Road Warrior" Verbindung von Laptop / iPhone zur Heim-Fritzbox FB4040

Prüfen, ob auf Fritzbox das aktuellste Betriebssystem installiert ist (mindestens V7.5); sonst Update durchführen
In der IB2 der FB4040 eine fixe interne IP-Adresse zuweisen
In der IB2 Portnummer "xxxxx" und entsprechende Portweiterleitung an die FB4040 definieren
von der FB4040 aus, Erstellen der WireGuard Konfig-Datei (im Menu unter: Internet > Freigaben > WireGuard)
dabei wird fürs iPhone ein QR-Code erzeugt, der dann in der WireGuard App eingelesen wird
für den Laptop wird eine Konfig-Datei erzeugt, die in der WireGuard App geladen werden kann. Wichtig: der Dateinamen WG_config.conf darf nicht geändert werden. Wenn man die Datei ein weiteres Mal erstellt, dann wird in den Downloads der Dateinamen erweitert mit (2). Die erste muss dann gelöscht und die zu verwendete wieder zum ursprünglichen Namen "WG_config.conf" umbenannt werden.
Nun muss bei beiden Geräten die WireGuard Einstellungen bearbeitet werden: statt des Fritz-Internet DNS Namens, muss der Swisscom DynDNS Namen plus der Port eingegeben werden: DynDNS*internet-box.ch:xxxxx
Nun sollte der Zugang zur FB4040 funktionieren: Man gibt im Browser die interne IP der FB4040 ein, um auf die Admin Seite zu gelangen; Fritz-Standard ist: 192.168.178.1.
Erst wenn der Zugang funktioniert dann mit Schritt 3 weitermachen.

Schritt 3 - Herstellen einer Wirguard VPN Verbindung zwischen den beiden Fritzboxen FB4040 und FB6850

Zuerst in der FB6850 eine neue interne IP definieren (unter Heimnetz): z.B. 192.168.99.1; denn auf dieser ist dann später, sobald die VPNs aktiv sind, die FB6850 erreichbar.
In der FB4040 die conf. Datei erstellen, die danach in die FB6850 eingelesen wird.
mit Texteditor die *.conf Datei bearbeiten und der zugewiesene Fritz-Internet Zugang mit der Swisscom DynDNS ersetzen, inkl. im Anschluss zum Namen der vordefinierten Port Nummer
Das Vorgehen wird auch gezeigt unter:
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-6850-LTE/3686_WireGuard-VPN-zwischen-zwei-FRITZ-Box-Netzwerken-einrichten?t_id=6046575
Nun kann man mit dem Road-Warrior das VPN zur FB4040 aktivieren. Mittels den beiden IP der Fritzboxen kann man diese administrieren.
Anmerkung: Die VPN Verbindung zwischen den Fritzboxen bleibt stabil und wird automatisch wieder aufgebaut, wenn eine aus- und wieder eingeschaltet wird.

Viel Erfolg beim Einrichten:-))

Beste Grüsse

Pat

Werner

@Miethadeitz39

Sehr schöne Zusammenfassung Deines WireGuard Site-to-Site VPN-Projektes.

Alle zukünftigen WireGuard-Anwender werden Dir sicher dankbar sein für die vielen darin enthaltenen sehr hilfreichen Tipps.

Gratuliere zu Deinem Erfolg!

« Vorherige Seite