WireGuard VPS Server CGNAT - UniFi als Client - Heimnetzzugriff

Okay das wird wild

Also auf dem WG VPS bitte bei Global Settings die MTU auf 1412 stellen. IPv& hast Du scheinbar für innerhalb der Tunnel schon mal aus - gut, das kann Unifi ehh nicht.

Beim Client Fold (Handy?) reicht allowed-ips 0.0.0.0/0 <- bei aktiver WG Verbindung wird alles in den Tunnel geblasen und Du durfst dann über den VPS (heise.de/ip sollte dann die public IP vom VPS anzeigen - vorausgesetzt es wird kein IPv6 vom Handy über Provider bevorzugt).

Beim Unifi Client bei allowed-ips ebenfalls 0.0.0.0/0 ausreichend, die 10.10.10.0/24 bitte bei Extra allowed IPs eintragen.

Alles schön speichern und immer oben rechts übernehmen.

Im Unifi die Firewallregel Wireguard VPS ändern -> als Source 10.10.10.0/24 und dann müsste die passen für Pakete ins Default Netz.

Die policy based route sieht gut aus. Vielleicht noch Fallback anhaken, dann gehen die Geräte über den lokalen WAN ins Netz, falls der VPN Tunnel nicht arbeitet.

Die NAT Regel müsste erstmal passen.

In diesem Zustand solltest Du aus dem Default LAN und vom Handy über den VPS surfen ... prüfen auf heise.de/ip ... dort sollte die public IP vom VPS stehen. Weiterhin solltest Du aus deinem Default LAN die IP 10.10.10.1 und 10.10.10.2 sowie 10.10.10.3 anpingen können ... vom VPS (via ssh) und Handy solltest Du die IPs ebenfalls anpingen können und zusätzlich auch die 10.0.0.1 10.0.0.3 10.0.0.20 , also alles was so in deinem Default Netz ist. Wenn das klappt solltest Du bereits über IP auf deine Dienste direkt zugreifen können. Namensauflösung wird noch nicht passen. Bitte daran denken, dass die Geräte ggf. auch eine lokale Firewall haben und dort natürlich pings und anderer Traffic aus anderen IP Bereichen geblockt werden kann. Ein Beispiel dafür ist die Windows Firewall, welche nicht auf Pings aus anderen IP Netzen antwortet - muss angepasst werden.

Wenn Du das soweit umgesetzt hast und es getestet ist, können wir weiter schauen, was noch fehlt.

Einfach kann jeder

Habe das jetzt alles abgeändert und wenn ich mein Fold, also mein Handy, mit dem VPS verbinde, wird mir auch die öffentliche IP angezeigt und ich kann darüber normal surfen. Ich kann vom Terminal aus mein Handy anpingen, auch das funktioniert.

Aber es geht nichts zum Unifi, weder rein noch raus.

Ist das richtig, dass in der Unifi Firewall unten bei "Destination" -> "Network" -> "Network Type" IPv4 Subnet steht?
Damit ich die angesprochene 10.10.10.0/24 eintragen konnte, musste ich eine Gruppe "Wireguard" erstellen

Im Unifi NAT Menü ist unten der Haken für Globale NAT Einstellungen aktiv. Ist das denn ok?

Muss ich eigentlich bei Hetzner nichts anderes aktivieren, außer die Portfreigabe für Wireguard?
Bin da gerade noch über den Punkt "Privates Netzwerk" gestolpert.

Habe ja ein PiHole laufen und den hab ich im Unifi in den Interneteinstellungen unten eingetragen. Das hat doch aber keinen Einfluss jetzt auf das Ganze, oder?

Wenn ich Netflix als Ausnahme für die Policy based Rule einrichten möchte, muss ich das dann so machen, wie auf dem Bild? Ich höre hier die ganze Zeit, dass ich aufhören soll, das Internet zu löschen

Für netflix kannst Du auch die Geräte die das nutzen per polica based routing mit ihrem kompletten traffic über den wan schicken... oder einfach die vorhandene pbr regel auf die Geräte begrenzen, die für das wireguard projekt relevant sind.

Das NAT nicht global deaktivieren. Das gilt dann auch für den WAN und dann gibts vermutlich kein Internet mehr

Achso pingen aufs Unifi geht noch nicht. Da brauchst Du noch eine Firewallregel bei Internet_lokal, das ist das Unifi selbst. Aber den reverse proxy müsstest Du anpingen können, wenn er per pbr includiert den wireguardtunnel benutzt.

hetzner und privates Netz? Im Cloud portal? Das ist nur auf die Cloud bezogen. Da kann man private Netze für interne Kommunikation zwischen VPS erstellen. Da solltest Du nichts tun.

Der pihole läuft einfach und wird von den Geräten genutzt, die ihn eingetragen haben. Der müsste sich fürs handy nachher auch nutzen lassen.

Sag mal welche Ports nutzen deine Dienste eigentlich? Mir fällt gerade ein das 443 von der wireguard gui verwendet wird...

Dann werde ich das nachher mal testen 😊

Also muss ich den Schalter bei den globalen NAT Einstellungen von Auto auf Off stellen?

Hab noch ein paar Videos zu dem Thema geguckt. Das könnte ja tatsächlich mein Problem sein. Aktuell hab ich ja noch den Telekom Anschluss an einem Zyxel Modem im Bridge Betrieb. Das heißt, wenn ich das NAT in der UDM abschalte, muss ich eine statische Router im Zyxel hinterlegen, oder?

Ist das bei dem CGNAT von der Glasfaser dann auch?

NEIN das NAT auf Auto lassen... Du hast kein doppeltes NAT mit einem Modem vor dem Unifi. Machst Du das NAT aus, ist dein Internet tod ...

Einfach nur die NAT Regel hinzufügen und dann das NAT so belassen. Damit erzeugst Du im Prinzip eine Ausnahme für alle Pakete, die den angegebenen Bedingungen entsprechen. Wir möchten nur für den Traffic der über den Wireguardclient raus geht das NAT aus haben.

Ja aber dann ist doch bei mir in den NAT Einstellungen was faul. Ich muss zugeben, dass ich mit den Richtungen "Quelle" "Ziel" usw. einfach jedesmal durcheinander komme.

Wähle ich bei "Quelle" "Netzwerk" aus und wähle dann mein Default Netz, stehe ich sofort im dunkeln und das Internet ist quasi weg. Aber das entspricht optisch jedenfalls so, wie du es eingestellt hast. 🤔

Warum nimmt eigentlich niemand Teleport?

Der Teleport Server funktioniert problemlos hinter NAT, ist WireGuard-basiert und es gibt Clients für Mobil- und Desktopgeräte.

Quote from athurdent

Warum nimmt eigentlich niemand Teleport?

Weil es hier auch um den Zugriff auf Dienste ohne VPN geht. Bin ich zwar nicht der Fan von und ob man das s hinbekommt ist auch noch offen. Dafür reicht also auch Teleport nicht.

OK, sieht halt nur aus wie ein ziemlicher Haufen Arbeit. Für Apps, die man nur mit VPN öffnen kann, ist es ja i.d.R. möglich, das VPN vorher automatisch zu starten. Bei iOS z.B. mit der Shortcuts App.

Hat den Vorteil, dass dann nicht alle Welt zugreifen kann, sondern nur berechtigte Nutzer. Auch hat man keine Extrakosten für ein VPS.

Mein Setup hat ja einen Atuhentik Authentifizierungsserver, an den dann die nach außen offenen Dienste verbunden sind. Nginx kümmert sich ums Reverse Proxy.

Ich verstehe nur einfach nicht, warum ich jetzt nicht die UDM anpingen kann. Wenn der Tunnel von der UDM zum VPS offen wäre, könnte ich ja weitermachen. Aber sobald ich die NAT Regel aktiviere, stehe ich im Dunkeln

Im wireguard gui auf dem vps hast Du das mit den zusätzlichen allowed IPs geändert?

Und pingst Du die UDM an oder ein Grrät dahinter?

Ferndiagnose ist hier echt schwer weils soviele Settings sind.

Habe das alles so eingestellt und folgendes stelle ich fest:
Ich habe noch einem iPhone einen Zugang erstellt und auch darauf eben eingerichtet:

- ich kann das Fold und das iPhone untereinander anpingen. Egal ob im Wlan oder im Mobilfunk oder gemischt. Gerade ging das nicht, aber jetzt gehts...

Verbinde ich mein Fold sowohl im Wlan oder Mobilfunk mit dem VPN und checke heise.de/ip wird mir die öffentliche VPS IP angezeigt.

Dann habe ich in der UDM bei den pbr zum testen nur mal mein Fold als Quelle ausgewählt, anstatt das ganze Netz, surfe ich auch dann ohne VPN Verbindung zum VPS über die öffentliche IP des VPS.

Sobald ich die NAT Ausnahme aktiviere, ist mein ganzes Netzwerk ohne Internet

Das da auf dem Bild ist wirklich die gespeicherte NAT Regel?

Warum steht eigentlich 10.10.10.0/24 bei extra allowed IPs ??? Da muss der IP Bereich vom Heimnetz rein ... war glaub ich 10.0.0.0/24 ?!? Das erklärt dein Problem, denn der Eintrag generiert die Route zu deinem LAN... fehlt die oder ist falsch, dann kein Internet ohne NAT ...

Ich werd weich, das war es!! Sau gut, vielen vielen Dank!!!

Das funktioniert jetzt übrigens ohne, dass der Bereich vom NAT ausgeklammert ist 🤔

Richtig gut, vielen Dank für deine Hilfe!

Aber im Grunde hab ich jetzt echt nur die Traffic Regeln drin und selbst die pbr Geschichte ist nicht aktiv und das NAT ist dafür ja auch nicht deaktiviert.

Kannst du mir erklären, warum das jetzt trotzdem geht?

Was meinst Du mit Traffic Regel? Die beiden Firewall Regeln?

Was geht denn jetzt genau und was ist genau nicht an? Kannst DU jetzt aus dem LAN mit der VPS IP surfen und auch das Handy anpingen? Kannst Du vom Handy das Unifi mit der WG Tunnel IP und LAN IP anpingen? Kannst Du vom Handy die IP eines LAN Gerätes anpingen und auch die Dienste erreichen? Beim Handy natürlich testen, wenn es nicht mit dem WLAN verbunden ist.

Ohne Policy Based Routing sollten die Geräte aus dem LAN eigentlich den Tunnel nicht benutzen. Das NAT an bewirkt ja nur, dass alle Pakete die durch den Tunnel raus gehen, die Wirguardtunnel IP des Unifi Gateways als Source Adresse ersetzt bekommen. Ohne NAT steht da dann die IP des Gerätes drin, von welchem das Paket wirklich verschickt wurde. Darum ging ja vorher nichts als die Route für 10.0.0.0/24 nicht korrekt bzw. vorhanden war. Je nach Anwendungsfall und Art und Richtung der Kommunikation, gehen einige Dinge auch mit NAT.

Genau, die Firewallregeln sind jetzt wie auf dem Bild. Also Internet In und Internet Local. Das Policy Based Routing und die NAT Ausnahmeregel sind beide abgeschaltet.

Aber es funktioniert genau so, wie es ursprünglich mal geplant war. Die internen Geräte gehen weiter über die aktuell noch öffentliche IP des Anbieters und zukünftig dann über die Glasfaser IP ins Netz.

Verbinde ich mich mit dem Fold oder mit dem iPhone mit dem Wireguard VPS (und das unabhängig davon, ob die Geräte im WLAN oder im Mobilfunknetz sind), kann ich jede IP im Heimnetz und im Wireguard Netz anpingen und komme somit überall drauf. Bin ich mit dem VPS verbunden, surfe ich auch mit der öffentlichen IP des VPS.

Jetzt kann ich halt hingehen und den Nginx Proxy Manager von meinem Unraid Server in den VPS verlegen, damit dieser öffentlich erreichbar ist und dann den Reverse Proxy auf die Docker macht. Dann ist es am Ende genauso, wie es jetzt auch ist.

Und ganz wichtig, ich muss da mehr Sicherheit reinkriegen. Hat man jetzt die öffentliche IP des VPS, kommt man ja direkt auf die Oberfläche von der Wireguard UI. Ein einfaches Passwort finde ich ein bisschen schwach. Knackt man das, könnte der Angreifer ja locker ein eigenes Profil erstellen und wäre somit im ganzen Netz. Den SSH Port hab ich schon abgeschaltet. Also entweder schränke ich jetzt die vom VPS in mein Heimnetz zugänglichen IPs deutlich ein, oder ich muss gucken, dass ich mindestens mal den Port der WireguardUI geändert kriege, damit ich den in den Firewallregeln bei Bedarf Ein und Ausschalten kann. Vielleicht gibt es ja noch intelligentere Lösungen?

Okay, hätte ich nicht erwartet, aber dann geht scheinbar Antworttraffic auf Pakete die über den Tunnel reinkommen auch über den Tunnel raus, auch ohne pbr ... NAT ist klar, dass ist im Zweifelsfall nicht nötig. Ich hab das hier alles voll transparent gestalltet also wie S2S. Wenn z.B. ein IP Telefon im Netz ist und die Anlage dazu in einem anderen Netz, welches über den Wireguard des VPS erreichbar ist, dann ist NAT störend

Auf dem Wireguard VPS Template ist ein Reverse Proxy drauf ... nennt ich Caddy, hab gestern mal rumgespielt und die NAS GUI mal über den VPS erreichbar gemacht zum Testen. Vielleicht kannst Du den nehmen. Der lauscht entsprechend auf 80 und 443. Der kann wohl auch Lets Encrypt Zertifikate handeln. Hab gerade mal geschaut ... macht der scheinbar sogar automatisch für die konfigurierten hostnamen, zumindest taucht da was in /var/lib/caddy auf, ohne mein aktives zutun.

Die Wiregauard GUI ist über den Caddy verfügbar gemacht ... die GUI läuft, wenn ich mich recht erinnere auf ::1 Port 5000 also nur via proxy und dem erreichbar. Die GUI kommt auch nur wenn man den konfigurierten Hostnamen benutzt, wenn ich nicht irre ... nur die IP führt bei mir ins Nirvana ...

ssh kann man natürlich nur im Tunnelnetz binden, Die GUI vermutlich auch, aber ist natürlich so eine Sachen wenn auf einmal der Tunnel nicht mehr geht weil man was fehlkonfiguriert hatund man dann nicht mehr dran kommt.

Hab auf jeden Fall ein bisschen was dazugelernt und werde das Ganze jetzt mal noch ein bisschen verfeinern usw. 😊

Hatte mich vor langer Zeit mal mit Caddy beschäftigt, aber das jetzt dann noch in Kombination mit Authentik würde mich wahrscheinlich wesentlich länger aufhalten, als wenn ich im VPS den Nginx installiere und alle Konfigs vom Unraid Server auf den VPS übertrage.

Habe jetzt den VPS nochmal neu aufgesetzt und einfach nur Ubuntu installiert. Darauf das WGDashboard https://donaldzou.dev/WGDashboard-Do…ndex_topic.html , Docker und Portainer für Nginx. Das verhält sich jetzt am Ende tatsächlich exakt so wie mit meiner noch vorhandenen öffentlichen IP 👍

Die nicht ständig benötigten Ports schalte ich dann nur bei Bedarf in der Hetzner Firewall an.

Danke dir auf jeden Fall nochmal 😊

Hey nochmal,

Es funktioniert soweit ja jetzt alles perfekt und hab noch nebenbei meine Domänen zu Hetzner umgezogen, weil der bisherige Anbieter wieder Probleme hat und alle meine Subdomains "verschluckt" und quasi auf deren Konfigseiten nicht mehr angezeigt hat.

Nur mal laut gedacht.. Könnte ja quasi einfach eine VPN Verbindung vom Handy aus aufbauen und dann würde alles funktionieren:

Nutze eine Windows VM mit einem abgeänderten RDP Port, die ich bislang über meine Domain:22828 erreichen konnte. Da meine Domain ja jetzt auf den VPS zeigt, müsste ich doch eine Portweiterleitung vom VPS auf die Heimnetz-Interne IP einrichten. Hast du eine Idee, wie das und ob das geht?

Also wie gesagt. Erstmal laut gedacht. Hab im Moment keine Ports offen und das finde ich sehr sympathisch, aber grundsätzlich würde mich das interessieren, ob das geht