VPN mit Deutsche Glasfaser - funktioniert es überhaupt?`

Tommes78 · April 28, 2025 at 7:55 AM

Moin, das sieht bei mir gut aus. Das nslookup funktioniert auch auf die IP4 Adresse, welche bei IPv64 eingetragen ist.

Nochmal zum Verständnis, Ich habe die WAN IPv6 Adresse vom Fiber genommen und diese als Zieladresse beim Portmapper eingetragen (siehe Screen).

Mein Ziel ist es dann per VPN Handy auf mein Heimnetzwerk zugreifen zu können, also das ich dort dann die Adresse 192.168.2.200 aufrufen kann und

verschiedene APPS. Oder muss ich für jedes Gerät auf das ich zugreifen will einen eigenen Portmapper machen ?!

Die IP vom VPN Server für den Client ist 192.168.3.2, muss ich da nicht noch irgendwas machen das er in das richtige Netz kommt, als 192.168.2.xx dort sind ja meine ganzen Heimgeräte drin in dem Netz,

**BlackSpy** · April 28, 2025 at 9:22 AM Official Post

Nein Portmapper nur einmal.

Wenn du deine internen VLAN nicht gesperrt hast solltest du Zugriff auf alle Netzwerke haben.

Ansonsten rechte easy in der Zonebase Firewall des Fiber freigegeben.

Kannst auch im WG File Allowed IP anpassen.

Tommes78 · April 28, 2025 at 9:30 AM

Ich kapiere es leider nicht wo dann noch das Problem ist, wenn soweit alles passt.

Im WG File steht unter AllowedIPs = 0.0.0.0/0 somit doch alle Netze erreichbar

[Interface]
PrivateKey = sBjpJ4RPqr5xVpXXXXXXXXXXXagTnOVdNPkT2DnU=
Address = 192.168.3.2/32
DNS = 192.168.3.1

[Peer]
PublicKey = IiVCagq8yMVJIRXXXXXXXXXXWi8aPm4EQTgB6owE=
AllowedIPs = 0.0.0.0/0
Endpoint = myhostXXXX.ipv64.de:54274

Das sollte doch dann passen.

unifeuer112 · April 28, 2025 at 11:47 AM

Quote from turrican944

Moin
Mit IPv6 geht auch bei Unifi habe ich mal probiert. Es geht kein IPv6 durch den Wireguard tunnel aber der Tunnel selbst über IPv6 funktioniert.
Dafür musste ich nur auf meinem Cloudgateway eine Firewall regel auf das Gateway für IPv6 und den entsprechenden Wireguard Port einrichten, danach war das Gateway per Wireguard über IPv6 erreichbar. Dyndns habe ich nicht probiert ob das Unifi das mitlerweile vernümpfig mit IPv6 kann.
Das war bei mir auch nur ein Test, ich habe auch eine öffentliche IPv4.
Ja der Test lief über IPv6 da ich in der Adresse nur eine IPv6 hinterlegt hatte.

Kannst du die Firewall Regel mal genauer beschreiben.

Möchte auch eine reine ipv6 Verbindung über Wireguard aufbauen. Komme nur leider nicht durch bzw. der Tunnel wird wohl nicht richtig aufgebaut.

turrican944 · April 28, 2025 at 11:54 AM

Hier ein Bild

Ich habe alles Quelle alles zugelassen und Ziel ist das Gateway mit dem Port auf dem der Wireguard Server läuft , damit konnte ich einen Tunnel über IPv6 aufbauen, da hatte ich aber noch nicht die Zonen Firewall an, damit habe ich das noch nicht wieder getestet .

unifeuer112 · April 28, 2025 at 11:59 AM

Quote from turrican944

Hier ein Bild
Ich habe alles Quelle alles zugelassen und Ziel ist das Gateway mit dem Port auf dem der Wireguard Server läuft , damit konnte ich einen Tunnel über IPv6 aufbauen, da hatte ich aber noch nicht die Zonen Firewall an, damit habe ich das noch nicht wieder getestet .

danke das war noch mein Problem. Ich hatte als Quelle nicht Any gesetzt.

Jetzt fehlt nur noch der DynDNS mit ipv6. Das scheint ja ein größeres Problem zu sein mit den Unifis.

**BlackSpy** · April 28, 2025 at 12:03 PM Official Post

Mach mal

[Interface]
PrivateKey = xxxxxxxxxxxxxxxxxxxx
Address = 192.168.3.2/32, fdcb:xxxxx:xxxx::xxx/64 <- ist eine interne IPV6
DNS = 192.168.3.1, fdcb:xxxx:xxxx:0:xxxx:xxxxx:xxxxx:xxxxxx <- interne IPV6 des DNS

[Peer]
PublicKey = xxxxxxxxxxxxxxxxxxxxxxx
PresharedKey = xxxxxxxxxxxxxxxxxxx
AllowedIPs = 192.168.3.0/24, 0.0.0.0/1, 128.0.0.0/1, fdcb:xxxx:xxxx::/64, ::/1 <- ebenfalls wieder interne V6 jeweils der erste, zweite und dritte Block ist bei mir gleich
Endpoint = deinDynDNS:Port
PersistentKeepalive = 25

Bei Allowed das 0.0.0.0/1 die 1 ist dafür das Internet nicht über den VPN geht, ansonsten die 0 lassen.

turrican944 · April 28, 2025 at 12:03 PM

Musst ggf über ein Script machen, ich habe bei mir das ganze ja nur mal zum testen gemacht, ich habe ne ipv4 und da macht das unifi auch irgendwie kein Update auf duckdns, da ich aber immer die gleiche vom Provider kriege und ich noch einen nginxproxy laufen habe(der macht auch Update auf die Adresse) ist mir das egal das die unifi das nicht macht.

Bei IPv6 natürlich nicht zielbringend da muss das Gateway das Update machen, da andere Geräte ja eine eigene IPv6 haben.

unifeuer112 · April 28, 2025 at 12:08 PM

Quote from turrican944

Musst ggf über ein Script machen, ich habe bei mir das ganze ja nur mal zum testen gemacht, ich habe ne ipv4 und da macht das unifi auch irgendwie kein Update auf duckdns, da ich aber immer die gleiche vom Provider kriege und ich noch einen nginxproxy laufen habe(der macht auch Update auf die Adresse) ist mir das egal das die unifi das nicht macht.
Bei IPv6 natürlich nicht zielbringend da muss das Gateway das Update machen, da andere Geräte ja eine eigene IPv6 haben.

ja genau so ist es.

Muss mal schauen wo ich eine gute Anleitung für das Script bekomme.

Bin eigentlich bei ipv64.net zufrieden.

Die ipv6 ändert sich wohl öfters wie ich das sehe das geht ohne nicht.

Tommes78 · April 28, 2025 at 1:04 PM

Quote from BlackSpy

Mach mal
[Interface]
PrivateKey = xxxxxxxxxxxxxxxxxxxx
Address = 192.168.3.2/32, fdcb:xxxxx:xxxx::xxx/64 <- ist eine interne IPV6
DNS = 192.168.3.1, fdcb:xxxx:xxxx:0:xxxx:xxxxx:xxxxx:xxxxxx <- interne IPV6 des DNS
[Peer]
PublicKey = xxxxxxxxxxxxxxxxxxxxxxx
PresharedKey = xxxxxxxxxxxxxxxxxxx
AllowedIPs = 192.168.3.0/24, 0.0.0.0/1, 128.0.0.0/1, fdcb:xxxx:xxxx::/64, ::/1 <- ebenfalls wieder interne V6 jeweils der erste, zweite und dritte Block ist bei mir gleich
Endpoint = deinDynDNS:Port
PersistentKeepalive = 25
Bei Allowed das 0.0.0.0/1 die 1 ist dafür das Internet nicht über den VPN geht, ansonsten die 0 lassen.

Display More

PresharedKey habe bei mir keinen angelegt, schlimm

Mit interne IPV6 meinst du die mir im Fiber angezeigt wird? meine interne IPV6 DNS finde ich bei mir nicht, weiß nicht wo das stehen soll bzw. wie ich es rausfinden kann.

Habe es mal so angepasst so wie ich es jetzt verstanden habe bis auf DNS IPV6.

Habe mal das Subnetz auf 192.168.80.x geändert nicht wunderns

[Interface]
PrivateKey = 2HbSWw6XfjHpV2o4HgSoXxnwBwQWvGAKzUPFff+XXX
Address = 192.168.80.2/32, fdcb:2a00:6020:XXXX47::358f::/64
DNS = 192.168.80.1, fdcb:xxxx:xxxx:0:xxxx:xxxxx:xxxxx:xxxxxx <- interne IPV6 des DNS

[Peer]
PublicKey = Y/LPbnRE0vqeRkZwWak19/rqv0QEP/VK7R41d/65XXXXX
AllowedIPs = 192.168.80.0/24, 0.0.0.0/1, 128.0.0.0/1, fdcb:2a00:6020:XXXX:47::358f::/64, 2a00:6020:XXXX:47::358f::/1
Endpoint = myhostXXX.ipv64.de:54274
PersistentKeepalive = 25

Habe den Wireguard mir mal auf dem PC installiert. Man sieht das er den Endpunkt auflöst, aber ich empfange auch gar keine Pakete. Zugriff habe ich keins auf mein Netzwerk

**BlackSpy** · April 28, 2025 at 1:39 PM Official Post

mal das von unifeuer112 gemacht? Ansonsten bin ich immo auch ratlos, sorry

Tommes78 · April 28, 2025 at 2:15 PM

Ich weiß auch nicht weiter, die Firewall Regel habe ich mal nachgebaut. Kein Erfolg.

Aber ist doch komisch das ich gar nichts empfange....

**BlackSpy** · April 28, 2025 at 2:24 PM Official Post

und wenn du als Endpoint deine reale IPV6 einträgst an statt die DynDNS, erstmal zum testen

Tommes78 · April 28, 2025 at 2:29 PM

Wie muss ich es eintragen, so nimmt er es nicht

fdcb:2a00:6020:XXXX:47::358f

**BlackSpy** · April 28, 2025 at 2:39 PM Official Post

Die fdbc ist ja eine interne, die öffentliche IPV6 welche dir zB im Netzwerkcontroller angezeigt wird.

Tommes78 · April 29, 2025 at 7:57 AM

Moin,

ich glaube ich habe das mit der Konfig und den IPV6 Adressen noch nicht ganz verstanden bzw. richtig umgesetzte

Welche IPV6 Adresse soll ich wie wo eintragen, die vom Router (Fiber) oder die ich von IPV64.net bekommen habe

oder die vom z.B Netzwerkadapter von meinem PC um überhaupt zu schauen ob irgendwas funktioniert.

Das hier meine vom Unifi Router also die WAN IPV6: 2a00:6020:XXXX:47::358f

Diese wäre z.B von meinem PC zu Hause: 2a00:6020:48b5:7f00:75cb:e8c9:7a12:3599

[Interface]
PrivateKey = xxxxxxxxxxxxxxxxxxxx
Address = 192.168.3.2/32, fdcb:xxxxx:xxxx::xxx/64 <- ist eine interne IPV6
DNS = 192.168.3.1, fdcb:xxxx:xxxx:0:xxxx:xxxxx:xxxxx:xxxxxx <- interne IPV6 des DNS

[Peer]
PublicKey = xxxxxxxxxxxxxxxxxxxxxxx
PresharedKey = xxxxxxxxxxxxxxxxxxx
AllowedIPs = 192.168.3.0/24, 0.0.0.0/1, 128.0.0.0/1, fdcb:xxxx:xxxx::/64, ::/1 <- ebenfalls wieder interne V6 jeweils der erste, zweite und dritte Block ist bei mir gleich
Endpoint = deinDynDNS:Port
PersistentKeepalive = 25

**BlackSpy** · April 29, 2025 at 2:36 PM Official Post

Lass mal die interne weg und bei Endpoint deine Router IPV6 also die mit der 358f, am ende die Portnummer.

Es kann auch sein das du die IPV6 in eckige Klammern setzen musst gefolgt von Doppelpunkt und Portnummer.

Sollte das gehen stimmt was nicht mit dem IPV64.net und dem DynDNS

DoPe · April 29, 2025 at 8:36 PM

Gehts hier darum die WAN IPv6 vom Gateway bei IPv64.net zu aktualisieren?

Einfach einen DDNS beim Internet hinzufügen z.B. DynDNS

bei Hostname den ddns host eintragen

bei Username irgendwas eintragen, darf halt nicht leer sein. ich hab da einfach IPv6 drin stehen

Passwort ist der Update Key den man verwenden möchte

Bei Server das folgende. xxx.home64.de mit dem ddns hostnamen ersetzen. hinter key= den Updatekey ohne Leerzeichen anfügen.

Code

ipv6.ipv64.net/\/nic/update?hostname=xxx.home64.de&key=

Dann ruft der Router zum aktulisieren einen IPv6 only adresse auf und der Dennis aktualisiert dann mit der Source IP der Anfrage, was ja die IPv6 vom Router ist.

Tommes78 · April 29, 2025 at 9:28 PM

Das habe ich alles so bei mir eingetragen, aber irgendwo scheint es noch zu haken.

Ich bin einen kleinen Schritt weiter, den ich nicht verstehe.

Habe auf dem PC WireGuard als Client installiert und die WG Konfig dort importiert.

Wenn ich dann im Endpoint direkt den PORT des VPN Servers eintrage ( myhostXXX.ipv64.net:51821 ) dann baut er mir am PC eine VPN Verbindung auf. Ich denke weil auch

der Router direkt am PC hängt und er das dann direkt findet.

Aber eigentlich müsste dort doch der Mapping Port von ipv64.net rein, welcher zufällig generiert wird beim Portmapper bei mir Port 55330 welcher dann auf PORT 51821 des VPN Servers umleitet. Und genau das scheint nicht zu funktionieren, weil am Handy funktioniert die Config nicht mit ( myhostXXX.ipv64.net:55330 ).

Am PC löst er mir den Endpunkt dann auch auf in [2a00:6020:XXXX:47::358f]:51821 das ist die WAN IP des Routers am Handy steht dort die IPV6 vom CDN Server von ipv64.net drin.

Wo liegt denn jetzt dann das Problem?

DoPe · April 30, 2025 at 1:26 PM

Also VPNs aus dem lokalen Netz zu testen bringt erstmal gar nichts, denn das ist kein reales Szenario.

Geht es nicht darum via IPv4 auf das Heimnetz zuzugreifen? Irgendwie ist ständig von IPv6 Adressen die Rede und auf Screenshots zu sehen?!? Das sollte ja eigentlich direkt ohne Portmapper klappen, da Du keine öffentliche IPv4 wohl aber IPv6 Adressen hast. Ich muss mir Dennis seine Portmapperlösung wohl auch mal genau anschauen. Irgendwas muss ja bei der Konfiguration noch falsch sein.

Aktualisiert dein DDNS nun die IPs korrekt?

Ist evtl. die Wireguard Firewallregel für IPv6 nicht korrekt? Dein PC im LAN hat eine andere Zone als Source, vermutlich Internal -> Gateway. Alles was aus dem Internet kommte wäre ja External -> Gateway.

Participate now!