VPN via Wireguard nicht möglich, lediglich Intranet. Port öffnung nötig?

Moin @ all.

Ich bin gerade dabei uns einen VPN Zugang einzurichten damit ich von unterwegs mal auf mein HA komme oder viel wichtiger eigentlich mein NAS.

An sich relativ Easy. Hab alles eingerichtet wie es schon in zig Anleitungen beschrieben ist aber leider habe ich keinen Zugang. Der VPN Server ist eingerichtet und der Client ist auf einem Android Smartphone.

Was ich sagen muss, eine dyndns habe ich noch nicht eingerichtet aber zu Testzwecken geht es ja auch erstmal mit der IP.

Mit Mobilen Daten geht es nicht aber wenn ich mich übers Wlan einlogge und vpn aktiviere , dann funktioniert komischerweise alles.

Firewall regeln habe ich noch nicht angelegt, daher wunder ich mich warum es unter meinem WLAN funktioniert. Mein Heimnetz ist das 192.168.10.xxx

Das Subnetz für das vpn hat nun 192.168.2.xxx . Eigentlich sollte doch alles geblockt sein? Somit also eigentlich richtig das ich keinen Zugriff habe....aber ich sollte doch zumindest normal mit meinem Smartphone surfen können? Funktionieren tut hier leider nix.

Liegt es daran das ich evtl einen Port freischalten muss? In meinem Fall ja dann der 51821...oder ist es die Firewall Regel die erstellt werden muss?

Wenn es die Regel ist, was wäre hier Schlau freizugeben? Den Datenverkehr zwischen dem 192.168.2.xxx und dem VLAN Heimnetz( 192.168.10.xxx) komplett erlauben oder geht das ein wenig Schlauer?

Ich hänge mal ein paar Screens an und hoffe ihr habt eine Idee wo es bei mir hängt ::)

und hier einmal die Liste meiner FW Regeln...vill liegt hier der Hund begraben?

Quote from DoPe

Taucht dein VPN Client bei den Clients als Online auf, wenn Du den im Mobilfunk anmeldest und zeigt der Client gesendete und empfangene Daten an?

Nein der wird nicht als online angezeigt . Daten werden auch nicht verschickt, erst wenn ich mich ins Wlan einlogge....unter mobilfunk nix...

Quote from DoPe

Unifi Gateway ans Internet angeschlossen?

Direkt ans ONT ohne ein Modem oder Fritz Box. Einwahl von der UDM via PPOE.

Quote from DoPe

Woher kommt die Weisheit, dass die Firewall alles sperrt?

Das war jetzt eine vermutung von mir, weil es nicht funktioniert. Schlussfolgerung von mir und daher mit sicherheit auch nicht richtig

Quote from DoPe

Du verwendest auch noch die alte Firewall,

Ja ich hatte die config mal damals mit jemanden zusammen gemacht, weil ich von dem Thema Firewall usw überhaupt keine Ahnung habe... Muss mich da mal dringend ran setzen und die Regeln überarbeiten.

Quote from DoPe

Wie schaut die Wireguard Clientkonfig aus? Bitte die Keys unkenntlich machen.

Quote from DoPe

Ich bezweifele noch, dass überhaupt ein Tunnel besteht.

Ich auch aber ich bin nochmal alles durchgegangen und mir fällt nix auf warum es nicht funktionieren sollte

Das mit der FW Regel werde ich nacher mal ausprobieren indem ich sie deaktiviere...

Ok hab mich jetzt mal schlau gemacht. Hier sind ja einige bei giffinet/netservices und von solch einem Problem hat noch keiner etwas beschrieben. Würde mich wundern da hier Leute bei giffinet sind die sicherlich sowas nutzen wollen und möchten. Da wird keiner auf einen externen zugang verzichten , nur weil die ipv4 adresse nicht öffentlich ist . Eher wieder zurück zum mobilfunk

Mir wäre das neu das wir sowas haben aber ich habe jetzt mal geschaut....die angezeigte wan ip in der udm ist eine andere als mir bspw: " whatismyip.com" oder deine.ip.de anzeigt. Hier unterscheidet sie sich von der angezeigten aus der udm. Deutet also darauf hin das meine ip wohl eher nicht öffentlich ist?

War klar...wäre auch zu schön wenn das glasfaser hier zuhause auf dem dorf mal nur vorteile bringen würde

[edit]

Ok ist scheinbar cgnat bei mir zuhause. Muss beim provider eine öffentliche beantragen. Ich hoffe das die das machen und sich nicht querstellen...sonst sieht das wirklich schlecht aus

Das wäre ja tatsächlich dann die letzte Alternative. Sonst bliebe wahrscheinlich nur hoffen und warten das ipv6 kommt.....

Ich hab beim Provider angefragt und eine Öffentliche Wan bestellt.....ich hoffe das die das umsetzen und sich dann mein Problem löst und es wirklich nur daran lag.... ich halte natürlich auf dem laufenden

So...öffentliche ipv4 ist geschaltet und auf einmal funzt auch Wireguard problemlos

Jetzt muss ich mir noch die Regel so hinbauen das mein client sich über vpn genau so verhält wie im lokalen netz..

Was macht denn am meisten sinn damit ich nicht zuviele regeln anlegen muss und es noch unübersichtlicher ist als derzeit

mh ne ich glaube da habe ich mich falsch ausgedrückt.

.Das wireguard vpn wird ja auf ein neues subnetz gelegt bzw deren clienten....somit hat jetzt mein laptop nicht mehr bspw.: 192.168.50.50 sondern 192.168.2.2....somit also raus aus dem bestehenden vlan und die dort hinterlegten regeln funktionieren ja auch nicht mehr...somit kein zugriff auf mein nas oder home assistant..

Um jetzt aber von unterwegs mal auf mein nas zu kommen um daten abzulegen oder mich auf meinen ha server einzuloggen, muss ich doch der firewall sagen das die ip adresse :" 192.168.2.2 in mein heimnetz vlan darf und ich somit wieder zugriff auf die geräte habe? Oder bin ich da falsch unterwegs?

Ich nutze das ja auch nur um mit meinem smartphone oder laptop mal von unterwegs auf die server zu kommen.

Da war jetzt meine Frage wie ich das am sinnvollsten anstelle ?

Ok ich glaube das habe ich jetzt verstanden Ich habe mich immer erfolgreich um die firewall gedrückt und das mal mit jemanden zusammen gemacht..ist auch schon ein paar jahre her und richtig gepflegt wurde es auch nie Ich setze mich da nacher mal ran und Aktualisiere meine Firewall auf den neuen Standard....das gute scheint ja das man jederzeit zur alten "Maske" zurück kann und ich mir zumindest so nicht irgend welche zugänge selber verbauen. Dann ists die neue Regel vill auch schon selbsterklärend.

Dann ist das dem alten Firewall system geschuldet mit dem block all? Früher musste man ja dafür sorgen das die vlans untereinander nicht reden können damit mein iot nicht mit meinem heimnetz sprechen kann oder war das falsch?

Ich sage also neuen geräten das sie von anfang an keine verbindung zu anderen aufbauen dürfen? Wie steuer ich denn dann am Ende explizit in welche richtung die clienten sprechen dürfen sodass sich kein iot oder anderes vlan in mein geschütztes heimnetz einschleusen kann?

Quote from DoPe

Du kannst nur zur alten Firewall zurück wechseln, indem Du das System von einem Backup wiederherstellst, das zu einem Zeitpunkt mit altem Firewallsystem gemacht wurde ... altes und neues Firewallsystem ist auch nicht korrekt.

Ich hab mir mal auf YT vorstellungen von der neuen firewall oberfläche angeguckt und wie sie das ganze vereinfacht haben in der Anwendung...daher hab ich wohl von "neuem system" gesprochen. Nicht korrekt ausgedrückt.

Dort wurde teilweise berichtet das man zwischen alter und neuer Oberfläche wechseln kann, falls es probleme mit der Firewall gibt. Das meinte ich könnte helfen...natürlich ein paar alte backups sowieso immer bereit legen....bei sowas kann es ja immer schief gehen.

Ehrlich drücke ich mich da noch vor , da bei den ollen regeln immer irgendwas gravierend schief geht...obwohl überall kommuniziert wird das es echt einfach geworden sein soll

Quote from DoPe

Das sieht dann vereinfacht in etwa so aus, muss aber immer ganz konkret angepasst werden. Reihenfolge der Regeln ist wichtig, weil von oben nach unten abgearbeitet wird und der erste passende Treffer ausgeführt wird und dann nichts mehr kommt.

Glaube das mit der Reihenfolge habe ich verstanden. Da muss ich ja wirklich noch ein paar Regeln umbauen.

Quote from DoPe

Es gibt unterschiedliche einige unterschiedliche Flags die im TCP für bestimmte Dinge stehen. Deren Kombinationen ergeben dann bestimmte Arten von Paketen, die die Firewall filtern kann So ergeben sich folgende Kombinationen 1. New = ist quasi ein Paket das eine neue Verbindung initiiert. 2. Related/Establish = sind Pakete die zu einer bestehenden Verbindung gehören 3. illegal = kann man als Schrott bezeichnen. Ungültige Kombinationen von flags wie Verbindung aufbauen und trennen in einem Paket zum Beispiel.

Also für das saubere arbeiten einer regel gehört dazu das die packete in beiden richtung miteinander sprechen können.

Das mit den new und related muss ich mir nochmal angucken...das eingruppieren erledige ich ja dann und wichtig ist ja dann das verbindungen die new sind erstmal generell verboten sind, außer ich setze die verbindung auf related und dann darf sie natürlich arbeiten...

Ich glaube das mir die Regeln zwischendurch wirklich ein paar Probleme machen im netzwerk....auf die idee fehlerhafter firewall regeln bin ich tatsächlich nicht gekommen....

So hab jetzt mal Backups gemacht, gesichert und die firewall auf die neue Maske umgestellt.

Hat gut geklappt aber mit den regeln scheint das noch nicht ganz hinzuhauen....habe zwar eine vpn verbindung und kann bspw. auch auf die udm aber aufs nas komme ich nur lokal. Regel habe ich angelegt und leite die ip vom Client direkt ins Heimnetz aber leider haut es nicht hin.

Eine Idee was falsch ist?

Nein die Firewall habe ich aus ...das qnap nas ist auch von außen nicht erreichbar bzw habe ich nicht erlaubt in den settings das es von extern erreichbar ist aber das sollte ja beim vpn kein problem sein...

Unter vpn intern habe ich folgende regeln angezeigt:

So hab jetzt alle 10008 Regeln rausgenommen.

Zugriff habe ich leider immernoch nicht...verstehe ich nicht. Die Block regeln sind alle raus und der weg sollte frei sein....

Mh..denke das ist eher Unwissenheit...die firewall regeln waren schon immer ein rotes tuch für mich

Ich deaktiviere nacher mal alle regeln und gucke ob ich dann zugriff habe....das kann ja nicht mehr an soviel liegen