Wireguard funktioniert nicht auf WAN1 (VDSL feste IP), aber auf WAN2 (5G DynDNS)

Hallo,

Ich bin verzweifelt mit der Einrichtung von Wireguard auf meiner UDM SE (4.1.22 Netzwerkversion 9.1.120). Wireguard funktionierte seit fast einem Jahr auf meinem WAN2 mit einem 5G-Modem – und funktioniert auch weiterhin. Jetzt habe ich endlich einen VDSL-Zugang mit einer festen IP-Adresse und nutze diesen als WAN1. Da ich die 5G-Verbindung aufgeben möchte, muss ich Wireguard zusammen mit meiner festen VDSL-IP-Adresse WAN1 installieren. Die einzige Rückmeldung von Wireguard ist jedoch, dass der Handshake fehlschlägt. Bisher habe ich Folgendes getestet:

• OpenVPN auf WAN1 installiert – funktioniert einwandfrei.
• OpenVPN-Port auf den typischen Wireguard-Port 51820 umgestellt, um zu prüfen, ob das Modem den Port blockiert – funktioniert einwandfrei.
• Modemhersteller gewechselt – gleiches Problem mit DrayTek- und Zyxel-Modem - jeweils im Bridge Modus
• Wireguard für WAN1 (VDSL-Festnetz-IP) und WAN2 (5G mit DynDNS) mehrmals gelöscht und neu erstellt – funktioniert aber immer noch nur die WAN2-Verbindung.
• Ich habe bei der Telekom angerufen, ob er technische Gründe sieht oder diese Verbindungen blockiert werden. Die Antwort war nein.
• Auch die feste IP funktioniert definitiv, da ich bereits einen externen Zugriff über Portweiterleitung nutze.
• Ich habe auch versucht, DynDNS einzurichten. Ich weiß, dass das mit einer festen IP keinen Sinn ergibt, aber ich wollte einfach alles ausprobieren. Auch das funktioniert nicht. Mit OpenVPN funktioniert es auch mit DynDNS
• Wireguard stellt die Verbindung erfolgreich her, wenn ich mich von meinem internen Netzwerk aus anmelde.

Ich verwende ein Zyxel Modem VMG4005 und wähle mich per PPOE über Benutzername und Passwort in der UDM ein. Das Modem befindet sich im Bridge-Modus. Alle Firewalls im Modem sind deaktiviert.

Ich möchte WireGuard verwenden, da ich verschiedene Benutzer mit unterschiedlichen Sicherheitsregeln habe. Mit WireGuard kann ich jedem Benutzer eine feste IP-Adresse zuweisen und habe so mehr Möglichkeiten, den VPN-Zugriff auf mein Netzwerk einzuschränken.

Ich hoffe, jemand kann mir in diesem Fall helfen.

Danke

Hallo, danke für die schnelle Rückmeldung. Das schaut aus wie im Anhang. Viel einstellen kann man aber ja nicht wirklich. Bitte nicht durch das "WAN2" durcheinander bringen lassen. Das ist der richtige Anschluss.

Den Screenshot habe ich im internen Netz gemacht. Da sieht man, dass der Handshake jetzt erfolgreich ist. Wenn ich mich von extern einwähle, dann erscheint beim Endpunkt eine IPv6 Adresse, die sich nie in meine feste IP umwandelt.

Das ist leider nicht der Grund. Die Konfiguration an dem anderen WireGuard Server ist auch so aufgebaut. Auch dort erscheint immer für eine Millisenkunde bei der Einwahl eine anscheinend IPv6 Adresse, bevor er Sie dann umwandelt. Der Screenshot war im erfolglos eingewählten Zustand. Wenn ich nicht eingewählt bin, steht an der Stelle genau die richtige feste IP. In dem Moment wo ich dann auf Einwählen klicke, wechselt er diese zu einer mir unbekannten IPv6 und verharrt in diesem Zustand mit erfolglosem Handshake.

Hallo, bei mir schaut es sowohl bei dem Wireguard Server der sich erfolgreich über 5G verbinden kann, wie auch bei dem VDSL Wireguard Server der sich nicht verbinden kann, jeweils so im Log aus:

Die untere Adresse erscheint dann bei mir unter "Endpunkt". Aber eben auch bei dem Server, bei dem es seit einem Jahr funktioniert. Diese Zeile finde ich bei jedem Aufbau einer Verbindung. Ist das bei euch nicht so?

Networker Die Idee hatte ich auch schon. Die WAN Anschlüsse hatte ich schon vor zwei Wochen mehrfach hin und her getauscht - auch physisch. Das Problem ist immer mitgewandert.

Ich hatte auch einen Beitrag gefunden, bei dem das Thema MTU diskutiert wurde. Die Veränderung der Einstellungen haben auch nichts gebracht. Ich bin am überlegen ob die Telekom hier doch irgendetwas an dem Business Anschluss blockiert, obwohl man das verneint hat.

Hallo, nein das ist es auch nicht. Wenn man bei der Telekom 5G Einwahl einen bestimmten APN verwendet, dann bekommt man immer noch eine öffentliche IPv4. Das habe ich gemacht, daher die IPv4 am 5G Anschluss.

Also ich konnte den Fall nun abschließen. Das scheint wirklich ein dämlicher Bug zu sein. Ich wollte das Thema hier nicht komplizierter machen und hatte daher nicht meinen dritten WAN Anschluss thematisiert. Die Lösung war, dass der Wireguard Server immer am Primary oder 2nd Failover stehen muss. Auf dem First Failover geht Wireguard nicht.

Nach diversen Versuchen und Neustarts wandert das Problem immer mit. Die Nummerierung der WAN Anschlüsse ist auch irrelevant, genauso wie der verwendete Port. Sinn machen tut das nicht...

Achja und OpenVPN geht auf allen drei Anschlüssen.