Keine Verbindungen mehr möglich über Wireguard-Tunnel

Hallo zusammen,

bei einem Kunden funktioniert seit einigen Tagen "das Homeoffice" nicht mehr. Es ist eine simple Wireguard-Verbindung von einem Windows 11-PC gegen ein UCG-Ultra und darauf dann eine Remotedesktop-Verbindung zu einem Windows 10-System.

Der VPN-Tunnel wird aufgebaut, im Wireguard-Client sieht man auch Datenübertragung in beide Richtungen und im UCG-Ultra erscheint der Wireguard-Client in der Übersicht. Trotzdem kann plötzlich auf keine Ressource im entfernten Netz mehr zugegriffen werden, selbst ein Ping gegen das UCG-Ultra, den RDP-Host oder sonstige Server in der Organisation kommt nicht durch.

Ich habe nun bereits das Wireguard-Profil gelöscht und neu erstellt (natürlich am Homeoffice-Platz entsprechend ausgetauscht), die hat aber nicht geholfen. Testweise habe ich auch mal die Windows-Firewall des Homeoffice-PCs deaktiviert, aber erwartungsgemäß änderte sich nichts.

Das UCG-Ultra habe ich natürlich mal neu gestartet, auf Firmware 4.1.13 und Network 9.0.108 aktualisiert. Auch der Homeoffice-PC wurde mehrfach neu gestartet.

Mein eigener VPN-Zugriff funktioniert weiterhin einwandfrei, ich habe es mit Systemen unter Windows 10 22H2 und Windows 11 24H2 getestet.

Der einzige für mich bislang sichtbare mögliche Zusammenhang ist, dass der Homeoffice-PC des Kunden letztes Wochenende auf Windows 11 24H2 aktualisiert worden ist. An den Tagen zuvor lief alles noch wie in den Monaten seit Einrichtung dieses Zugangs. Da ich selbst wie gesagt unter 24H2 den Fehler nicht reproduzieren kann, scheint es diesbezüglich allerdings kein pauschales Problem zu geben (zumal man davon dann sicherlich schon in der Fachpresse gelesen hätte).

Ich habe leider derzeit keine einfache Möglichkeit, das Ganze mit einem anderen PC am Standort des Kunden zu testen, dies würde ich aber versuchen, bald nachzuholen.

Hat vielleicht jemand von Euch noch eine andere Idee oder diesen Fehler sogar selbst schon beobachtet?

Ach verdammt... Danke für die Links!

Der Günter mit seinem Blog ist eigentlich tägliche Pflichtlektüre bei mir, hatte ich wohl in der Vorweihnachtszeit zu viel anderes um die Ohren.

Dann arbeite ich das mal durch, wobei ich trotzdem merkwürdig finde, dass ich dieses Problem so gar nicht reproduziert bekomme auf meinen Geräten.

Ok, Problem solved...

Man muss in der Wireguard-Konfiguration unter 'AllowedIPs' die Adresse löschen, die dem Client selbst zugewiesen wird.

Warum, weshalb genau: Ist mir komplett schleierhaft. Aber so lassen sich jedenfalls auch wieder Daten durch den Tunnel schieben.

Ergo: Hässlicher Bug mit simpler Lösung.

Hab's gerade nochmal bei mir nachgestellt, mein VPN-Server läuft auf der 10.42.42.1. Wenn ich jetzt unter Network 9.0.108 (aktuellste Official) einen neuen VPN-Client anlege, enthält die Konfiguration:

AllowedIPs = 10.42.42.1/32,10.42.42.5/32,0.0.0.0/0

Dies ist auch nach meiner Erinnerung auch exakt so, seitdem Wireguard in Unifi Einzug gehalten hat - also schon immer.

Ich lösche in fast allen Fällen die default route (0.0.0.0/0) und trage dafür den über's VPN zu erreichenden Host oder ein entsprechendes Netz ein.

Die beiden Adressen, die sich auf Wireguard selbst beziehen, hatte ich bislang aber immer drin gelassen.

Wenn Du unter der 9.0.113 jetzt schon abweichendes Verhalten siehst, wurde es möglicherweise angepasst, um genau diesem Problem hier Sorge zu tragen. Ok, warum spekulieren, wenn man auch lesen kann...

"Fixed an issue where the WireGuard VPN config file didn't work with the latest Windows update."

Damit ist das wohl geklärt.

Deine Mutmaßungen in Bezug auf die Änderungen in Windows geben mir zwar eine grobe Idee der Problemlage, so richtig klar wird es mir leider aber trotzdem nicht.

Quote from tomtim

Ich möchte nur noch mal an Unifi Identity erinnnern. Das läuft bei mir seit 2 Wochen ohne Probleme bei diversen Netzwerken ohne Probleme und dauerhaft auf dem MacBook. Auf dem iPhone verliert er manchmal die Verbindung baut sie aber gleich wieder auf.

Ich verstehe hier gerade nicht den Zusammenhang zum Thema dieses Threads.

Was genau meinst Du?

Ok, aber wenn das Betriebssystem des VPN-Clients wie in diesem Fall etwas Grundlegendes in seinem Handling von Netzwerkverbindungen ändert, spielt es doch gar keine Rolle, welches VPN man benutzt - es könnte überall Fehler produzieren.

Außerdem: Das Identity-VPN ist doch zu 100% Wireguard...

Sobald Du über Identity VPN-Zugriffe erzeugst, wird in Deinem Router ein neuer Wireguard-Server eingerichtet. Ich hab's bei mir getestet, schau doch mal genau nach in deiner UDM oder im UCG.

Der VPN-Client auf den Endgerät, egal welche Technik, ist immer auf den IP-Stack des Betriebssystems angewiesen, daher kann ich mir nicht vorstellen, dass man diesen Änderungen in Windows "entkommen" kann.

Falls da jemand tieferen Einblick in die Systematik hat, wäre dies ganz interessant.