Wireguard, Fritz!Box, CG-Nat und alles drumherum

N'Abend zusammen,

ich hab hier die wahrscheinlich schlechteste Kombi, die man sich so basteln kann - aber irgendwie muss der Bumms doch laufen.
Grundsätzliches Problem: Vom Provider kommt die Fritz!Box von dort aus geht es per LAN ins UCG Max, an dem mein NAS und sonstiges Gerödel hängen.

Gerne möchte ich mit dem Unifi internen Wireguard Server auch von unterwegs auf meinen Kram zugreifen. Bei den ersten Gehversuchen ging es dann los: Der lokale Glasfaseranbieter nutzt hier CGNAT. Daher mein aktueller "Versuch", ich bin absoluter Laie, daher gerne direkt einsteigen, wenn irgendwo Quatsch passiert:

Um den CGNAT Mist zu umgehen, versuche ich es direkt per IPV6.

In der Fritzbox ist hier für Dyndns über Duckdns eingerichtet. Die IPv4 habe ich dort gar nicht belegt und direkt die IPV6 meines UGC Max eingegeben. Beim Verbindungsversuch des Wireguard Clienten wird die Duckdns URL auch erfolgreich durch die IPv6 des UGC Max ersetzt.

In der FritzBox hab ich den Wireguard Port auch auf die IpV6 des UGC Max weitergeleitet und dieses sicherheitshalber noch direkt als Exposed Host gesetzt.

Im UGC Max selbst ist der Wireguard Server auch über (die mir automatisch vorgeschlagene) IPv6 Adresse eingerichtet.

Trotz der ganzen Fummelei, Handshake klappt nicht. Zum Wireguard Server der Fritzbox jedoch (intern) schon.

jemand eine Idee wo der Schuh drückt?
Besten Dank und viele Grüße

Quote from DoPe

IPv6 funktioniert anders als IPv4. Wenn der DDNS Dienst von der Fritzbox aktualisiert ward, dann steht dort die IPv6 der Fritzbox drin. Das ist aber nicht die IPv6 zu der Du verbinden möchtest. Und die Freigabe von Ports mit IPv6 gibt eben genau die Ports der entsprecchenden IPv6 frei und leitet nicht nich Ports der Fritzbox IP ins lokale Netzwerk weiter, wie es bei IPv4 der Fall wäre ...

Also DDNS auf dem UCG einrichten und den Wireguard Port für das UCG in der Fritzbox freigeben. Dann könnte es klappen.

Das klingt sehr danach, als sei das mein Denkfehler. Vielen Dank. Ich probiere es heute Abend aus.

Noch eine kurze Randnotiz, falls es zur Fehlersuche hilft:
Wenn ich die Fritzbox einen Wireguard Server starten lasse und die IPv6 von dem Ding direkt in die WG Client Config eintrage funktioniert der Handshake und der Tunnel steht.
Wenn ich die IPv6 vom UCG direkt in der Wireguard Config eintrage schlägt die Verbindung hingegen fehl.

Mahlzeit zusammen,

leider kommt trotz der o.g. Ratschläge keine Verbindung zu Stande. Auch wenn ich die ipv6 Adresse (während der Rechner im Wlan ist) direkt in die Konfiguration eingebe. Das CGM im Netzwerk anpingen funktioniert -wie erwartet - problemlos.

Könnte es sein, dass das CGM die Verbindung zum "WireGuard-Server" per IPv6 in der Firewall blockt?

Ich bin kurz davor beim ISP eine feste IP zu bestellen, weiß nur nicht, ob dies wirklich das Problem ist, wenn ich auch Netzwerkintern keinen Handshake schaffe.

Mahlzeit,

vielen Dank für die Antwort. Ein bisschen hin und her: Als erster Lösungsschritt wird mir erstmal das CGNAT abgedreht und ich bekomme (kostenfrei) eine öffentliche IPv4. Ich warte bis diese geschaltet ist und melde mich dann nochmal.

Danke!

Für alle die ähnliche Probleme haben. Am Ende haben folgende Schritte die Lösung gebracht:

CGNAT beim Betreiber abgedreht und öffentliche IPv4 erhalten.

In der Fritz!Box kein exposed Host auf das Cloudgateway, sondern nur explizit den Wireguard Port freigegeben und weitergeleitet. Warum auch immer - mit exposed Host und Weiterleitung hat es nicht geklappt.

Dazu dem Cloudgateway zuvor noch eine feste interne IP zugeteilt (natürlich zuvor vergessen).