- In der Unifi GUI unter "VPN>VPN Server" einen WireGuard Server anlegen. Private/Public werden automatisch generiert, IP Address ist die feste IPv4 WAN IP (es kann aber auch die interne Transit-IP sein wenn der davor geschaltete Router das Port weiter leitet, dann kann die tatsächliche WAN Adresse auch eine dynamische sein)
- Alternative Adress für Clients ist der öffentliche Hostname der Unifi
- Unter Advanced ein neues "Transitnetz" definieren, z.B. 10.12.13.1/24
- Unter Clients dann einen neuen Client für die FritzBox anlegen mit einer Interface ID im Transitnetz, z.B. 10.12.13.2 und die .conf runter laden
- Unter Routing>Static Routes nun eine Route ins FritzBox Netz (z.B. 192.168.178.0/24) anlegen mit dem Next Hop als die lokale Adresse des Transitnetzes, z.B. 10.12.13.1
- die runter geladene .conf bearbeiten und bei [interface] die LAN Adresse mit Subnet der FritzBox eintragen, bei [peer] Allow IPs das Transitnetz und das LAN Netz hinter dem Unifi Router eintragen und den Key PersistentKeepalive = 25 hinzufügen. Beispiel:
[Interface]
PrivateKey = gCZ1hJoSHLc6oqlasdfgsfgsdfg4Y2bLXPNBUk=
Address = 192.168.178.1/24
[Peer]
PublicKey = 52f0TK2hKbz+dfsdfsdfdbgs/IeJYb8f9hEE2o=
AllowedIPs = 10.12.13.0/24,192.168.0.0/24
Endpoint = office.apfelmeister.de:1099
PersistentKeepalive = 25 - Nun auf der FritzBox eine neue "Netzwerke koppeln" WireGuard Verbindung anlegen und die .conf hoch laden
- jetzt per ssh auf die Unifi Maschine gehen. Dort sollte unter "wg show" die FritzBox sich schon verbunden haben. Verkehr fließ aber noch keiner wegen AVMs "unorthodoxer" WireGuard Implementierung. Das kann aber mit "wg set <interface> peer <public_key_der_fritzbox> persistent-keepalive 25 forced-handshake 10 allowed-ips <subnet_der_fritzbox>" repariert werden. Beispiel:
wg set wgsrv1 peer r+1K5O+jfgdkfjdlfjkgdshkg+QNaNRmYuH10Q= persistent-keepalive 25 forced-handshake 10 allowed-ips 192.168.178.0/24 - Um das ganze einen Reset überlebend zu machen nun noch von boostchicken auf Github die Startupscript-Fähigkeit installieren und den "wg set"-Befehl in ein Script im /data/on_boot.d Verzeichnis ablegen
