Site-to-Site VPN hinter IPv6 (CG-NAT)

Es gibt 6 Antworten in diesem Thema, welches 2.139 mal aufgerufen wurde. Der letzte Beitrag () ist von abuaz01.

    Hi zusammen,


    ich stehe vor einem kleinen Problem und bräuchte eure Tipps/Ideen.
    Ich möchte gerne zwei Netzwerke mit einer Site-to-Site Verbindung verbinden. Ich verwende eine UDR und den Ubiquiti Express.

    Das Problem ist, dass ich in beiden Häusern nur eine IPv6 habe und keine echte IPv4 (CG-NAT bei Deutsche Glasfaser).


    Habt ihr eine Idee, wie man das am besten lösen könnte?


    Vielen Dank!

    Kann die UDR SiteMagic ? Dann würde das ohne faxen gehen :smiling_face:

    Habe 3 Netzwerke zusammengefasst... Einer ist per 5G angebunden :smiling_face:

    Ich empfehle hier von Ionos (oder anderem Anbieter) ein Linux vps xs System für 1€ pro Monat mit eigenem Root Zugang, 1gbit Geschwindigkeit und unbegrenzt Traffic.

    Dort ein wireguard Server einrichten der Traffic zum Nächstem weiterleitet.

    Mit der neuen Funktion von unifi einen wireguard clienten einzurichten sich mit dem Server verbinden in den jeweiligen Controllern eine Weiterleitung des Traffic in die anderen Netze einrichten

    Hiermit könnte man auch einen externen Zugang aufbauen um zb mit nginx Reverse Proxy Webseiten auf beide Netzwerke umzuleiten. Je nach Setup würde ich dann aber zu einem größerem Server greifen, für wireguard reicht der kleinste. Es sollte aber auf Traffic und Durchsatz geachtet werden.


    PS: das betrifft alle Site to Site Aufbauten, die Netze auf beiden Seiten müssen unterschiedlich sein, sonst kann man sie nicht Routen (also nicht auf beiden Seiten zb 192.168.1.0/24 vergeben)

    Zitat von tomtim

    Kann die UDR SiteMagic ? Dann würde das ohne faxen gehen :smiling_face:

    Habe 3 Netzwerke zusammengefasst... Einer ist per 5G angebunden :smiling_face:


    Die UDR selbst kann SiteMagic. Laut dem SiteMagic Konfigurator hat jedoch weder die UDR noch der Express eine öffentliche IP. Die UDM-Pro ist an einem völlig anderen Standort mit einem Telekom Business Tarif und hat eine feste IP. Diese soll jedoch nicht ins Netz gebracht werden.


    Den Ansatz hatte ich auch. Leider bekomme ich das Routing zwischen den beiden Subnetzen nicht hin. UDR/Express habe ich erfolgreich mit dem VPS verbunden. Über das Wireguard Subnetz kann ich alle Geräte anpingen. Aber vom 192.168.2.0/24 ins 192.168.5.0/24 klappt nicht. Muss noch etwas an der Firewall geändert werden?

    Zitat von abuaz01

    Den Ansatz hatte ich auch. Leider bekomme ich das Routing zwischen den beiden Subnetzen nicht hin. UDR/Express habe ich erfolgreich mit dem VPS verbunden. Über das Wireguard Subnetz kann ich alle Geräte anpingen. Aber vom 192.168.2.0/24 ins 192.168.5.0/24 klappt nicht. Muss noch etwas an der Firewall geändert werden?

    An der Stelle bin ich mir nicht so ganz sicher was der wg Client von UniFi da so treibt. Ich hab hier eine UDM-SE mit Client zur Firma (Edge Router). Aus dem UDM Netz kann ich auf alles im Firmennetz zugreifen. Aber nicht in die andere Richtung. In meinem Fall ist das ok so weil ich das auch so haben wollte. Wieso das so ist hab ich aber noch nicht untersucht.

    Zitat von abuaz01

    Muss noch etwas an der Firewall geändert werden?

    Firewall muss ja nur der Port des Wireguard und evtl port 22 für ssh geöffnet sein.

    Du musst aber eine static route anlegen (mal mit deinem entsprechendem Betriebssystem googlen) damit der Server weiß das das Netz von Site A nach Site B durchgereicht werden soll, und umgekehrt auch. Also das zb 192.168.2.0/24 über den Wireguard Port der zum Zielnetz führt geroutet wird (Wireguard hat ja sein eigenes Netzwerk), auch muss auf dem Server das port Forwarding für IP4 aktiviert sein.

    Ich habe die Netzwerke nun mit Tailscale verbunden. Ich hatte erhebliche Schwierigkeiten mit Wireguard und UDR/Express. Einige Einstellungen konnten nicht über die GUI vorgenommen werden, und die Arbeit mit SSH wurde zu komplex.

    Glücklicherweise gibt es ein HomeAssistant Addon für Tailscale. Da ich bereits in beiden Häusern HomeAssistant installiert habe, hat dies gut funktioniert. HomeAssistant fungiert als Subnet-Router. Auf der UDR/Express wird dann lediglich eine statische Route festlegt, und schon sind die Netzwerke verbunden :smiling_face:

    Trotzdem vielen Dank für die Ideen. CG-NAT kompliziert die Sache wirklich, und solange Ubiquiti IPv6 in der GUI nicht vollständig implementiert hat, ist es für einen Laien nahezu unmöglich, selbst einen VPN einzurichten