WireGuard mit DynDNS auf der UDM Pro - Gibt es dazu Erfahrungen?

Ich habe einen DynDNS Dienst von ipv64 am Start und habe die Domain händisch in die Wireguard Config geschrieben.

Läuft 1A seit Monaten.

Ich habe es auch so, dass Wireguard erst außerhalb meines WiFi verbunden wird.

Wenn Du ein Endgerät für WireGuard einrichtest, wird Dir ja eine Konfiguration zum Herunterladen angeboten. In dieser Datei muss man dann die Server-IP-Adresse, die bei wechselnden halt nur Deine aktuelle ist, durch einen DynDNS-Domain-Namen ersetzen. Die so angepasste Konfiguration dann in Dein Endgerät laden. Ich habe auch "nur" ein Telekom-VDSL mit wechselnder IP, nutze aber genau wie LachCraft den DynDNS-Dienst von IPv64.net. Auf der Webseite gibt es eine genaue Anleitung, wie man die UDM konfigurieren muss.

Hallo Zusammen,

das funktioniert aber nur mit einem Client-Server Wireguard VPN, oder?
Eine Site to Site VPN-Lösung (UDM <-> Fritzbox) ohne den gesamten Verkehr durchs VPN zu routen, also quasi Split-Tunneling funktioniert damit nicht oder doch??

Bertl

Moin,

einige Zeit mit NoIP betrieben - völlig schmerzfrei.

Moin,

interessant... wie bist du vorgegangen? Erzeugung des Site-to-Site VPN auf der UDM Seite unterstützt ja kein Wireguard?

Dass man das Config-File editieren kann und dort dann den DynDNS Namen einträgt hab ich verstanden.

Nur nicht wie man das "richtige" Site-to-Site Wireguard Config-File auf der UDM-Seite erstellt...

Quote from Bertl

Moin,

interessant... wie bist du vorgegangen? Erzeugung des Site-to-Site VPN auf der UDM Seite unterstützt ja kein Wireguard?

Dass man das Config-File editieren kann und dort dann den DynDNS Namen einträgt hab ich verstanden.

Nur nicht wie man das "richtige" Site-to-Site Wireguard Config-File auf der UDM-Seite erstellt...

Moin,

jetzt muss ich mich mich entschuldigen, hatte Deinen Passus S22 überlesen. Bei mir werkelte "nur" die reine Einwahl.

Okay, danke dir für die Richtigstellung.

Quote from Bertl

Hallo Zusammen,

das funktioniert aber nur mit einem Client-Server Wireguard VPN, oder?
Eine Site to Site VPN-Lösung (UDM <-> Fritzbox) ohne den gesamten Verkehr durchs VPN zu routen, also quasi Split-Tunneling funktioniert damit nicht oder doch??

Bertl

Site-to-Site Wireguard gibts in der Konfiguration nicht. Bei den Angebotenen Methoden mit ipsec oder OpenVPN benötigt man IP Adressen.

Site Magic fällt aus weil Fritzbox. Dabei.

Ich hab an meiner UDM-Pro eine Site-to-Site Wireguardverbindung ausserhalb der Oberfläche, direkt im UniFi OS konfiguriert. Einziger Schönheitsfehler bisher ... wenn Cablemodem nicht startklar ist bevor die UDM gebootet ist, dann ist das Wireguard Interface nicht da nach dem boot und der Tunnel natürlich auch nicht.

Hab von der folgenden Seite die Inspiration... Aber bitte nix installieren, da Wireguardmodule bereits existent sind! Nur den Teil mit dem Usage für die Konfiguration machen. Bootpersistent und Autostart ebenfalls NICHT nach der Seite machen. Das ist da alles ziemlich alt!

https://github.com/WireGuard/wire…C-UDR%2C-UXG%29

Hallo zusammen,

ich hänge mich hier mal dran, da ich gerade vor dem gleichen Problem stehe. Die bisherigen Posts haben mir schon gut weitergeholfen, allerdings fehlt mir noch das letzte bisschen.

Was habe ich bisher gemacht:

- DynDNS-Domain bei IPv64.net eingerichtet

- DynDNS in der UDM Pro eingetragen

- Wireguard-Server in der UDM Pro eingerichtet (wie hier beschrieben)

- Wireguard-Configdatei manuell angepasst (IPv64-Domain als Endpunkt eingetragen)

Was ist mein Problem:

Ich bekomme keine Verbindung zum Wireguard-Server auf der UDM Pro zustande. Weder über WLAN noch über das Mobilfunknetz (Vodafone). Ersetze ich in der WG-Config die IPv64-Domain durch die IPv6 der UDM Pro, bekomme ich über WLAN eine Verbindung hin, über Mobilfunk jedoch auch nicht. Im Mobilfunknetz bekomme ich von Vodafone eine IPv4 zugewiesen, da vermute ich das Problem mit der IPv6 in der WG-Config. Idealerweise sollte das ja durch die Verwendung des DynDNS behoben werden.

Was ist mir noch aufgefallen:

- Die UDM Pro scheint nur die IPv6 bei IPv64.net zu aktualisieren

- Trigger ich die explizite Aktualisierung der IPv4 (per curl auf den ipv4-Endpunkt von IPv64.net) wird diese "korrekt" übermitelt.

- Die IPv4, die mir für die WAN-Schnittstelle angezeigt wird (sowohl in der GUI als auch auf der Kommandozeile per ifconfig) unterscheidet sich von der IP, die an IPv64.net gemeldet wird, wenn ich den Endpunkt explizit trigger (siehe vorheriger Punkt). Die übermittelte IP stimmt allerdings mit der überein, die mir auch als aktuelle IP bei IPv64.net angezeigt wird.

- Die übermittelte IPv6 stimmt mit der überein, die ich auch auf der Kommandozeile sehe.

Sonstiges:

- Anbieter bei mir ist die Deutsche Glasfaser. Die UDM Pro ist direkt mit dem HÜP verbunden. Es ist kein weiterer Router zwischengeschaltet.

- Die Versionen sind aktuell (UnifOS 3.1.15, Network 7.4.162)

Vielleicht habt ihr noch Ideen, woran es bei mir hapert.

fugu2.0

hängst Du nicht bei Deutsche Glasfaser hinter einem CGNAT?

Also hast Du gar keine richtig öffentliche erreichbare IPv4 Adresse, es sei denn Du hast einen Geschäftskundentarif gebucht.

Somit bleibt dir nur das in IPv6 zu konfigurieren

also IPv6 zu IPv6

Du hast nur CGNAT, also keine IPv4. Somit kannst du dich nur mit dem Wireguard verbinden wenn du auch eine IPv6 bekommen hast. Deswegen ging es zb nicht aus dem Mobil Netz wo du nur eine IPv4 hattest.

Danke für eure schnellen Antworten Wolke68 und jkasten.

Einen Geschäftskundentarif habe ich nicht, daher gehe ich von CGNAT aus. Besteht dennoch Hoffnung, dass ich die Verbindung aus dem Mobilfunknetz irgendwie zum Laufen bekomme?

Ich nutze eine FRITZ!Box daher nur ein paar Gedanken.

WG sollte auch im wifi laufen. Evt mal mit dem eintragen der wan ip in der client config probieren. WG antwortet auch gar nicht wenn die Client keys nicht korrekt sind. Das hat mich auch schon irritiert.

Ich nutze VF im Mobilfunk und bekomme manchmal ipv4 und manchmal auch ipv6. Hatte mich dann anfangs gewundert ob das dyndns nicht passt bis mir das so aufgefallen ist. Evt mal neu verbinden und mit einer meine ip Seite kontrollieren. Der WG Client zeigt auch die ip die er nutzen möchte bei der Verbindungsherstellung an.

Ich nutze dyndnd mit eine subdomain für ipv6. (Bei mir wird aber dieIPv4 von der Fritz aktualisiert, ipv6 von der dream) hat es mir geholfen zu verstehen wann was aktualisiert wird)

Was ich schon gelesen habe ist das die Provider teilweise nur Providernat ipv4 verteilen die dann nicht erreichbar sind) Bei VF sind das 100.xx IPS

Ein guter Test ist auch mit Ping die Erreichbarkeit der Dream zu testen.

Quote from swag

Was ich schon gelesen habe ist das die Provider teilweise nur Providernat ipv4 verteilen die dann nicht erreichbar sind) Bei VF sind das 100.xx IPS

Das ist auch sein Problem, deswegen geht eine Verbindung nur per IPv6

Wegen Mobilfunknetz einfach mal schauen ob Du einen anderen APN bei Vodafone nutzen kannst. Ich hatte das gleiche nur umgekehrt ... Mobilfunk Netz T-Mobil keine WG Verbindung zu einem IPv4 only Anschluss. APN mit IPv4 und schon gehts aus dem T-Mobile Netz auch.

Hallo,

d.h. ich passe die CONF Datei im unteren Teil wie folgt an:

[Peer]

PublicKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

AllowedIPs = 192.168.25.1/32,192.168.25.2/32,0.0.0.0/0

Endpoint = XXX.DYNDNS.ORG:51820

Der Port bleibt so erhalten? Muss dann auch eine entsprechende Porteiterleitung initiiert werden oder macht das die UDM automatisch?

Vielen Dank

Quote from msiegberg

Hallo,

d.h. ich passe die CONF Datei im unteren Teil wie folgt an:

[Peer]

PublicKey = XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

AllowedIPs = 192.168.25.1/32,192.168.25.2/32,0.0.0.0/0

Endpoint = XXX.DYNDNS.ORG:51820

Der Port bleibt so erhalten? Muss dann auch eine entsprechende Porteiterleitung initiiert werden oder macht das die UDM automatisch?

Vielen Dank

Display More

Kannst du alles in der GUI machen, brauchst nicht in der Config rumfummeln. Portfreigaben sind auch nicht nötig.

hat alles 1A geklappt, vielen Dank