Wireguard VPN on demand

[svethi]

Warum benutzt Du mit der Fritzbox nicht einfach den VPN Client vom iOS in Verbindung mit der On-Demand Config?
Was Du aber am Ende benutzt, so kommt es ja immer auf Deine Einstellungen an ob und wie On-Demand funktioniert

[svethi]

Vor allem verbraucht eine zusätzliche App mehr Speicher und muss sich ja in Netzwerk einklinken.

[svethi]

Ach, ich hab mir das gerade mal durchgelesen. Also wenn da bereits die Dev benutzt wird und Wireguard klnfiguriert ist, dann ist das gar nicht kompatibel zum iOS eigenen System. Wireguard ist kein IPSec. Hat allerdings aufgrund der Einfachheit und einmal generierten Schlüssel ein gewisses Sicherheitsrisiko. Das IPSec der Fritzbox unterstützt allerdings noch kein IPv6. Wenn jetzt auf Wireguard umgeschwenkt wird, wird die IPv6 Kompatibilität wohl für IPSec auf der Fritte auch nicht kommen

[svethi]

Man sollte wohl erst zu Ende lesen. Es wird dann auch IPv4 im IPv6 Tunnel unterstützt usw. Das sind ja mal viele gute Neuigkeiten für DS-Lite User. Nicht schlecht

[Bernd.Drechsel]

Ich hatte vorher den iOS Client in Verbindung mit der FritzBox als VPN-on-Demand-Lösung am Laufen. Der Nachteil hier ist der langsame verbindungsaufbau. Aus diesem Grund hatte ich Wireguard ausprobiert. Die Einrichtung ist mit der AVM Labor Firmware in Verbindung mit der Wireguard iOS App wirklich sehr simpel und der Verbindungsaufbau ist rasant schnell. Die Türsprechstelle kann ich 2 Sekunden später nutzen, beim iOS Client hat es 10-15 sec gedauert und der Postbote oder der Besuch war bereits wieder auf dem Rückweg :-)
Wenn es keine Möglichkeit gibt, den Wireguard Tunnel wieder automatisch zu beenden, dann muss ich den zusätzlichen Traffic bzw. das Minus in der Akkulaufzeit akzeptieren. Das ist immer nochj besser als eine viel zu langsame Türsprechstelle.
Vielen Dank für Deine Unterstützung und ein schönes Wochenende!
Gruss Bernd

[svethi]

Das wäre aber nicht On-Demand. Bei On-Demand funktioniert das alles allein und vor allem sollte der Tunnel nur aufgebaut werden, wenn etwas aufgerufen wird wozu der Tunnel gebraucht wird.

[tom37]

Ja, es funktioniert etwas anders als die IOS VPN-On-Demand Lösung. Ich habe aber die Wireguard Konfiguration so eingestellt, dass nur Traffic zu meinem Heimnetz durch den Tunnel geht. Somit habe ich am Ende genau die gleiche Lösung wie bisher.

[svethi]

Es spielt doch überhaupt keine Rolle ob es für Dich am Ende akzeptable funktioniert oder nicht. Der Bernd fragt nach On-Demand und da ist doch Deine Aussage „es funktioniert nicht so wie das VPN-On-Demand bei iOS“ schon nicht zielführend. On-Demand heißt „wenn-nötig“ und bedeutet auch genau das und funktioniert dann auch genau wie das VPN-On-Demand unter iOS. Er möchte ja nicht den Tunnel die ganze Zeit stehen haben weil das Akkuverbrauch bedeutet.

[Houseruckiii]

Wenn es keine Möglichkeit gibt, den Wireguard Tunnel wieder automatisch zu beenden

So wie ich es verstehe ist es eben ein Vorteil bei Wireguard dass der Tunnel nicht beendet werden muss/soll.
Der Tunnel bleibt sozusagen immer aktiv ('suspended'), aber es wird normal nix gesendet > kein Akkuverbrauch
(Quelle: https://www.wireguard.com/quickstart...al-persistence)

Wichtig ist evtl "persistent-keepalive" auszuschalten.

Ich hab das auch am iPhone mit "allowed IPs" nur mein Heimnetz und persistent keepalives aus -> sehr wenig Akkuverbrauch (quasi unmerklich) und schneller Zugriff ins Heimnetz on Demand.

[svethi]

Und die Wireguard App muss immer laufen? Oder wie läuft das?

[realschmide]

Nein, die App ist nur dazu da den Tunnel zu konfigurieren. Sie fügt dem Betriebssystem ein VPN Netzwerk-Device hinzu und stellt die Routen so ein, dass das Heimnetz über eben dieses Device geroutet werden soll.
Danach braucht man die App nur noch um Änderungen an der Konfiguration zu machen, sie muss nicht ständig laufen.
Das Netzwerk-Device verschlüsselt automatisch allen Traffic der drüber (also zum Heimnetz) geschickt wird, solange aber kein Traffic drüber läuft macht es eben nichts und verbraucht somit auch keinen Akku.

[svethi]

Aha, ich glaube, ich muss mir das mal ansehen. Also wenn das im System eingetragen ist, dann sollte es wirklich keinen Akkuverbrauch mehr generieren

[challo]

Hi zusammen, da das Pixel 6 L2TP/IPSec nicht mehr unterstützt und mein Unifi USG keine andere Möglichkeit in der GUI hat habe ich Wireguard installiert. Soweit läuft auch alles,
die Verbindung kann aufgebaut werden und Geräte in meinem lokalen Netz z.b. Loxberry (192.168.0.15) sind erreichbar. Als DNS Server habe ich den USG (192.168.0.1) eingestellt, eine Auflösung von http://loxberry funktioniert allerdings nur im WLAN nicht über Wireguard VPN. Das größere Problem ist momentan allerdings, dass die Loxone App und auch die Weboberfläche vom Miniserver (192.168.0.10) nicht funktionieren. Hier kommt es zu einem Timeout. Ich verwende ein Minisver Gen2.

Hatte jemand von euch ein ähnliches Problem oder eine Idee?

[Interface]
PrivateKey = <key>
Address = 192.168.6.2/24
DNS = 192.168.0.1

[Peer]
PublicKey = <key>
AllowedIPs = 192.168.0.0/24, 192.168.3.0/24
Endpoint = <dyndns>:51820

  {
    "firewall": {
        "group": {
            "network-group": {
                "remote_user_vpn_network": {
                    "description": "Remote User VPN subnets",
                    "network": [
                        "192.168.6.0/24"
                    ]
                }
            }
        }
    },
    "interfaces": {
        "wireguard": {
            "wg0": {
                "description": "VPN for remote clients",
                "address": [
                    "192.168.6.1/24"
                ],
                "firewall": {
                    "in": {
                        "name": "LAN_IN"
                    },
                    "local": {
                        "name": "LAN_LOCAL"
                    },
                    "out": {
                        "name": "LAN_OUT"
                    }
                },
                "listen-port": "51820",
                "mtu": "1420",
                "peer": [
                    {
                        "<key>": {
                            "allowed-ips":
                            [
                                "192.168.6.2/32"
                            ],
                            "persistent-keepalive": 60
                        }
                    }
                ],
                "private-key": "/config/auth/wireguard/wg_private.key",
                "route-allowed-ips": "true"
            }
        }
    }
  }

[svethi]

Deine IP über Wireguard ist 192.168.6.2/24. Dein MS ist im 192.168.0.0/24 Netz. Damit sind alles für den MS schonmal keine internen Aufrufe sondern externe. Kann also sein, dass Du im Miniserver als externe Adresse etwas anderes angeben musst. Auch kann es am routing liegen wenn das Netz 192.168.0.0/24 nämlich über default zu 192.168.6.2/32 geroutet wird. Das müsste explizit über den Tunnel geroutet werden. Auch wichtig wäre, dass der MS als default Gateway den VPN Server hat.

[svethi]

Genau, das darf nur /24 sein

[challo]

Ich werde es Mal versuchen. Oder ich setze die VPN IP auf ein komplett anderen Bereich

[challo]

Hab den VPN IP Range außerhalb der Subnetzmaske gelegt. Jetzt funktioniert es. Vielen Dank!!

[t_heinrich]

https://www.loxforum.com/forum/small-talk-offtopic/368497-deutsche-glasfaser-ipv6-aktivieren-sinnvoll?p=369431#post369431

[surus]

Irgendwie komme ich damit nicht zurecht. Mein iPhone ist nun immer über VPN mit meiner FritzBox zuhause über VPN verbunden, wenn ich nicht mehr im WLAN zuhause bin.
Auch wenn ich nicht auf Loxone zugreife. Einfach wenn nicht zuhause - IMMER über VPN mit Zuhause verbunden.
Ist es richtig so oder habe ich etwas falsch eingestellt?
Kann man es so einstellen, dass nur dann die VPN Verbindung aufgebaut wird, wenn ich auf Loxone zugreife und diese Verbindung dann automatisch beendet wird, wenn nicht mehr auf Loxone zugegriffen wird.
Es kostet doch unnötig Mobilfunktraffic. Oder verstehe ich es nicht ganz?

[croxxi]

Auf deinem iPhone in der Wireguard App die gewünschte VPN Verbindung bearbeiten und ganz unten gibt's den Punkt „Aktivierung auf Wunsch“. Dort gibt’s du dann deine Wlan SSID(s) ein wo er sich nicht mit dem VPN verbinden soll.

[surus]

Zuhause ist es kein Problem, das habe ich eingerichtet und Zuhause läuft es nicht über VPN. Mein Problem ist, wenn ich nicht zuhause bin, läuft es immer über VPN, auch wenn ich nicht auf Loxone zugreife. Kann man es so einrichten, dass wenn nicht mehr auf Loxone zugegriffen wird, nach einer gewissen Zeit VPN Verbindung beendet wird?

[croxxi]

Puh du könntest mal probieren die IP vom Miniserver in der App eintragen. Bin mir aber nicht sicher ob die App mit einer einzelnen IP arbeiten kann anstatt einer Range!

[surus]

Irgendwie läuft es falsch. Anbei die Screenshots meiner Einstellungen.
Egal ob ich meine Loxone-App öffne oder nicht, es läuft alles über VPN, sobald ich mein WLAN Zuhause verlassen.

Kann vielleicht jemand seine Einstellungen posten?

[croxxi]

Bei zulässige IP‘s steht 0.0.0.0/24 - bedeutet kompletten Traffic über VPN. Dort müsstest du Testweise mal nur die IP vom Miniserver eintragen und schauen was passiert!

[surus]

Wenn ich die 0.0.0.0/24 lösche und nur 192.168.178.0/24 drin lasse, ändert sich nichts.

Wenn ich in der Zeile alles lösche und folgendes eintrage 192.168.178.77 (es ist die interne IP des Miniservers), macht die App beim Speichern 192.168.178.77/32 daraus und ich kann mich nur mit dem Loxone
verbinden, kann aber nicht mehr im Internet surfen.

Und in beiden Fällen wenn ich VPN in den iPhone Einstellungen manuell beende, verbindet sich das iPhone automatisch sofort wieder mit VPN.

[croxxi]

Wie gesagt dann geht das was du möchtest mit Wireguard nicht!

[andreas221988]

Kann man WireGuard so einstellen, dass die VPN Verbinung nur aufgebaut wird wenn man die Loxone App öffnet?

[andreas221988]

Wie hast du den Tunnel eingestellt?

[realschmide]

Ich hab ihn so eingestellt, dass mein gesamtes Heimnetz drüber geroutet wird, da ich auch noch andere Dienste von unterwegs zugreifen möchte. Also z.B. AllowedIPs = 192.168.1.0/24

[andreas221988]

So hab ich’s jetzt auch… Das 0.0.0.0/24 habe ich gelöscht

[andreas221988]

realschmide funktioniert mit dieser Einstellung die Intercom Audio bei dir?

[realschmide]

Ja, funktioniert

[andreas221988]

hast du die Loxone Intercom v1?
Bei mir funktioniert nur Video - Audio nicht....

[realschmide]

Ja, hab ich. Hast du die IPs der intercom auch im wireguard Tunnel inkludiert?

[croxxi]

Wie hast du die IP der Intercom inkludiert?

[realschmide]

Wie es Andreas im nächsten Beitrag beschreibt. Genauso hab ich es auch und es funktioniert.

[andreas221988]

So funktioniert es bei mir leider nicht....
Zumindest der TON nicht...

Wie hast du denn deine Intercom eingestellt?

[andreas221988]

Ich hab nur diese Einstellung hinzugefügt...

192.168.1.0/24

Was hast du alles eingestellt?

[DiscoDisco]

Ich habe das Problem das ich keine Verbindung zum Wireguard Server bekomme!

Hab alles eingerichtet und auch das PortForwarding gemacht und den Port 51821 geöffnet!
Bei mir ist aber so das ich 2 Router habe
1x der vom Internetanbieter mit einer IP Range (192.168.200.1)
1x Mesh Netzwerk mit einer Range von 192.168.48.1!

Welchen DNS Server sollte man eingeben bei den Einstellungen am Client?
Oder kann man die offenen Port irgendwie überprüfen?
Leider komme ich nicht drauf auf was ich da vergessen habe!

Sobald ich mich am Handy mit dem VPN verbinde komme ich nicht aufs Heimnetz obwohl ich das unter "AllowedIP" eingetragen habe und die 0.0.0.0/24 gelöscht habe!

Und auf der Synology NAS im Container Manager habe ich keine Onlineaktivitäten in der GUI von Wireguard das was verbunden ist?

[svethi]

Du schreibst, dass Du keine Verbindung mit dem Wireguard Server bekommst. Schreibst dann aber, das Du nicht ins Heimnetz kommst, wenn Du per VPN verbunden bist.
Dein Netzwerkaufbau ist weit weg vom Standard und da gibt es einiges zu beachten. Da reichen Deine Informationen einfach nicht aus um was Qualifiziertes zu sagen
Was ist das für ein Server der Wireguard macht, in welchen Netz ist der, wie sehen die Routings aus, was für Adressen bokommst Du im VPN usw.

[DiscoDisco]

Ich kann mich am IPhone den VPN aktivieren und er sendet laut der App auch kleine Mengen an Daten!
Aber in der Wireguard Oberfläche auf der Synology bekomme ich kein Verbindungssymbol in der Visu!

Der Wireguard läuft via Container Manager auf der NAS
Ich hab bei den Einstellungen alles auf den Standarte werten gelassen nur die Allowed IP*s hab ich eingetragen

Ich poste wenn ich drauf kann mal ein Bild von den Einstellungen ServerSeitig und ClientSeitig

[Prof.Mobilux]

Verbindet er sich mit dem Wireguard Server? Hat Du dort mit iptables entsprechendes Masquerading konfiguriert? IP Forwarding aktiviert? Ich nutze pivpn zur Konfiguration auf einem Pihole Server, das nimmt Dir sehr viel Konfigurationsabreit ab: https://www.pivpn.io/

[DiscoDisco]

Das mit den IPTables werd ich mir nochmal ansehen!
Was mir aufgefallen ist das beim Client Endpoint der Port 51820 eingetragen ist und nicht 51821