Wireguard funktioniert nicht mit Fritzbox

Ein VPN zwischen zwei Netzen dasselbe Netz nutzen (Standard bei Fritte ist 192.168.178.0/24) geht per Default nicht. Der Speedport nutzt vermutlich 192.168.2.0/24. Deshalb funktioniert es von da.

Quote from Juergen1958

ich habe auf einem Raspberry Pi wireguard laufen.

... , auf meine Geräte in meinem Heimnetzwerk.

Mit verschiedenen Notebooks, Linux Mint, geht das nicht, wenn das fremde WLAN eine Fritzbox benutzt.

Du kommst auf die Geräte in deinem Heimnetzwerk, wenn Du auf diesen Geräten auch WireGuard installiert hast.

Quote from Juergen1958

Das kuriose daran ist, dass ich von den fremden WLANs über den Tunnel sowohl die 192.168.178.1 als auch meine feste IP Adresse, welche ich gemietet habe, pingen kann.

Poste mal aus dem fremden WLAN (mit dem Subnetz 192.168.178.0/24 und FritzBox als Router), die Ausgaben von:

ip r g 192.168.178.1
ip r g <deine-feste-IP-Adresse>

Quote from Juergen1958

Aber warum funktioniert das mit den Handys?

Die Handys sind im Mobilfunknetz, oder? Hast Du WireGuard auf deinen Handys?

Quote from Juergen1958

Nein die Handys sind in den fremden WLANs mit der von dem DHCP zugewiesenen IP Adresse

Auf den Handys ist der Android Client installiert und die entsprechende conf Datei importiert

Kann es evtl. sein, dass Du parallel zum WG-Server auf deinem PI, auch das AVM-Wireguard-VPN deiner FritzBox benutzt? Wenn nein, dann sniffe mit tcpdump am richtigen/zuständigen Interface auf deinem PI und poste von deinem PI (als VPN-gateway) die source-IP-Adresse des Handy das aus dem fremden Wlan einer fremden FritzBox (mit dem Subnetz 192.168.178.0/24) auf ein Gerät ohne WireGuard, im Subnetz/Wlan deiner FritzBox zugreift.

Quote from Juergen1958

Aber sollte da als Ergebnis nicht die IP Adresse stehen, welche das Handy von dem DHCP Server der Fritzbox im fremden WLAN erhält?

Evtl. ja, ... aber ich weiß nicht wie das Routing & Co. bei einem Android-Client funktioniert.

Quote from Juergen1958

Bin jetzt im fremden WLAN

Die lokale IP Adresse meines Handys ist 192.168.178.39

pi@raspberrypi:~ $ sudo -i eth0 -c 1 -n dst 192.168.178.50tcpdump: verbose output suppressed, use -v or -vv for full protocol decode

Wenn die IP deines Handy (im fremden WLAN) die .39 ist, dann schau/filtere mal auf deinem PI nach dieser IP:

sudo tcpdump -c 50 -vvveni eth0 host 192.168.178.39

Wenn Du auf dem Handy jetzt Traffic via WG ins Heimnetz generierst und am eth0 nichts angezeigt wird, dann auf dem PI mit:

sudo tcpdump -c 50 -vvveni wg0 host 192.168.178.39

(wg0 evtl. anpassen) probieren. Versuch mal auf dem Handy (im fremden WLAN) auch ein:

ping -c 3 192.168.178.50

auf die Heizungssteuerung im eigenen Heim-WLAN.

Quote from Juergen1958

00:29:31.681128 IP 192.168.178.10.42748 > 192.168.178.50.80

du willst von der IP 192.168.178.10 nach 192.168.178.50, das ist für den Weg das gleiche Netz.

Und wenn das Netz, in dem du bist das Netz 192.168.178.0/24 ist, denn dein Handy hat ja die IP 192.168.178.39, dann funktioniert das ganze nicht.

denn da ist, für den Netzverkehr, nichts, was sich durch einen VPN-Tunnel zu einem anderen Netz bewegen könnten.

deshalb noch einmal der Hinweis aus RE: Wireguard funktioniert nicht mit Fritzbox

Quote from Juergen1958

Handy IP Adresse im fremden Netz 192.168.178.39

Erfolgreicher Zugriff auf 192.168.178.10, das ist der wireguard Server im meinem Heimnetzwerk.

da kann nicht vernünftig funktionieren, da du bei dem System, welches den lokalen Tunnelenpunkt bereitstellt, dich in einem logisch anderem Netz befinden musst als das Netz des entfernten Tunnelendpunktes.

Das ist Netztechnisch ganz einfach zwingend notwendig.

Wenn du den Notebook über ein Handy-Hotspot einbindest, hat dieser Notebook für sich eine IP-Adresse des vom Handy bereitgestellten Hotspot-Netzes.

Hier funktioniert der Tunnel aus dem Hotspot-Netz über das lokale Transfernetz und das Internet zum entfernten Netz, auch wenn das lokale Transfernetz die gleichen Netzdaten hat wie das entfernte netz, da das Handy von dem Tunnel und der IP des Tunnelendpunktnetzes weiß.

Für das Handy ist das ganz einfach eine Verbindung ins Internet. Der Tunnel wird durch die Transfernetze aufgebaut, und dann kennen die Systeme, die im VPN sind, nichts von den Transfernetzen. Die kennen nur die Netze vor und hinter den Tunnelendpunkten, also die VPN-Netze.

Und bei Wireguard ist der Tunnel eine Verlängerung des entfernten Netzes

Quote from Juergen1958

Es funktioniert ohne Probleme

Ok, ... und genau das wollen wir mit tcpdump & Co. sehen bzw. nachvollziehen. Dann kann man es evtl. auch für die anderen Geräte, hinbekommen/realisieren.

Quote from Rasp-Berlin

Wenn du den Notebook über ein Handy-Hotspot einbindest, hat dieser Notebook für sich eine IP-Adresse des vom Handy bereitgestellten Hotspot-Netzes.

Das meint der TE aber nicht. Er meint das Handy als Wlan-Client im Wlan einer fremden FritzBox mit dem Subnetz 192.168.178.0/24 (wie in seinem eigenen W/LAN auch).

Quote from rpi444

Quote from Rasp-Berlin

Wenn du den Notebook über ein Handy-Hotspot einbindest, hat dieser Notebook für sich eine IP-Adresse des vom Handy bereitgestellten Hotspot-Netzes.

Das meint der TE aber nicht. Er meint das Handy als Wlan-Client im Wlan einer fremden FritzBox mit dem Subnetz 192.168.178.0/24 (wie in seinem eigenen W/LAN auch).

Ich vermute das Handy ist so schlau dann für den WG statt des WLAN das LTE zu nutzen.
Frage ist auch ob NAT konfiguriert ist oder nur Routing.
Funktionieren kann das jedenfalls nicht wenn auf beiden Seiten des Tunnel die selben Adressen genutzt werden, jedenfalls nicht ohne Gebastel mit SRCNAT und DSTNAT oder Hostrouten, welche per Default eine bessere Metrik haben wie Netzrouten.

Kann man auch schlecht nachstellen, so etwas macht niemand