PiVPN - Wireguard - Firewallprobleme

[ace-drink]

Hi,

nachdem ich nun endlich meine Vodafone Box in den Bridge Modus versetzen konnte, wollte ich nun auf meinem Pi PIVPN installieren mit Wireguard.

Habe ich gemacht aber sobald ich mich verbinde, was scheinbar klappt, gehen keine Pakete durch.

Ist doch richtig, dass ich an meinem Asus Router den Port 51820 an meinen Pi 192.168.1.24 forwarden muss? Das sollte passen?

PiVPN fügt automatisch noch eigene UFW Regeln hinzu aber es klappt dennoch nicht ABER wenn ich UFW komplett deaktiviere geht es ohne Probleme.
Daher muss der Fehler wohl an UFW rules liegen. Hier ein Bild. Nur Regel 3 war von mir, so dass alle Geräte lokal bei mir den PI erreichen könnne, da dort auch Adguard Home läuft. Die anderen sind von Wireguard.

Wo liegt der Fehler?

 

[madmax2010]

Hast aber auch udp und nicht TCP frei gegeben?

 

[ace-drink]

Jupp im Router wird Udp für den Port geforwardet. Ohne UFW auf dem PI aktiv geht es ja.

 

[blablub1212]

Bei der ersten Regel:

Befindest du dich in der IP-Range aus dem Screenshot wenn du mit WireGuard verbunden bist? Gibt es bei deinem Pi auch eth0?

 

[ace-drink]

Also wenn ich via WG verbunden bin habe ich eine IP aus dem 10.x.x.x.x Bereich, ja. Pi ist via Ethernet am Router und zeigt bei ipconfig auch eth0 an

 

[Sur5ive]

Edit: bitte nicht beachten

 

[ace-drink]

Ok werde es später versuchen. Das juckt mich die Lösung zu finden

 

[Sur5ive]

UFW solltest du aber deaktiviert lassen können.
Der Router leitet ja nur Port 51820 weiter. Alles weitere wird ja blockiert.

 

[ace-drink]

Hmmm... Fühlt sich unsicher an.
Aktuell sind auf meinem Pi
22, 53, 80 die offenen Ports und dann ggf eben noch 51820 für Wireguard.
Aber die ersten 3 sind ja nach meiner Logik nur im internen Netz offen

 

[Sur5ive]

Richtig. Wenn du nur den PiVPN Port an der Firewall (Router) freigegeben hast, wird hier alles weitere blockiert.

Ergänzung (27. Oktober 2022)

Solltest du dennoch PiVPN mit UFW weiter absichern möchten:
Was ist das Ergebnis von pivpn -d ?
Alles "OK" nach Self Check?

 

[ace-drink]

@Sur5ive
Kurze Rückmeldung. Hatte es hinbekommen, dass WG läuft. Mit Adguard Home als DNS und UFW an. Läuft prinzipiell ABER vermutlich habe ich den Raspberry Pi 3b+ überschätzt. Bekomme recht magere up/down speeds. Meine Leitung hat 50Mbit/s up und davon kommen maximal 30-35 bei mir an via Wireguard.

Wenn ich auf dem Router direkt OpenVPN Server anmache laufen immer die vollen 50 Mbit/s bei mir am Handy auf. Ohne VPN habe ich via Mobilfunk hier 300 Mbit/s aber das ist mit VPN natürlich auf den Upload meines Anschlusses beschränkt, was mir klar war.

Von daher wird es wohl doch OpenVpn im Router direkt. Hat wohl mehr Power.

Edit: Oder liegt das am Netzwerk interface des PI3b+? Sollte doch aber immer noch USB 2 Speeds und somit zumindest so 300Mbit schaffen oder?

Übrigens falls die Lösung für WG jemand interessiert. Musste eine extra UFW Regel anlegen und den Pivpn -d check machen, wo er dann eine Masquerade rule gefixt hatte und dann ging alles.

 

[niteaholic]

Nur dass ein Pi4 4gb aktuell 160€ kostet. Da bist du mit nem thinclient günstiger dran.

 

[ace-drink]

@niteaholic
ja das ist leider wahr aber weiterem grübeln, müsste ein Pi3b+ doch genug Bandbreite am Netzwerkanschluss haben um 50Mbit rauszujagen....
Wie gesagt für jetzt grad wird es dann wohl doch OpenVPN am Router

 

[niteaholic]

@ace-drink
Das MAXIMUM was ein Pi3b+ schafft ist dass was bei dir erreicht wird.

Raspberry Pi 3 A+/B+

315 MBit/s

315 MBit/s

 

[ace-drink]

Nein das schafft er eben nichtmal ansatzweise. Grad Mal eingelesen. Ist wohl ein bekanntes Problem mit dem Ethernet Treiber. Es soll wohl helfen flow control am Router zu aktivieren was meiner aber nicht hat.

Nun habe ich mit ethtool auf 100Mbit begrenzt was in der Tat den generellen Up und Download deutlich verbessert.

Ist mir vorher nie aufgefallen da immer nur für DNS genutzt wo Bandbreite quasi egal ist.
Wusste nicht das es da ein bekanntes Problem gibt

 

[niteaholic]

ich den Raspberry Pi 3b+ überschätzt. Bekomme recht magere up/down speeds. Meine Leitung hat 50Mbit/s up und davon kommen maximal 30-35 bei mir an via Wireguard.

Okay, hatte warum auch immer 500Mbit statt 50Mbit gelesen, das ist natürlich ein großer unterschied.
Und dein Asus Router hat echt kein Flow Control? In der Bedienungsanleitung steht nichts drin?

 

[ace-drink]

Es gibt Switch Control. Muss Mal schauen was genau das macht mitJumbo frame.
Vielleicht ist es ja das aber sonst nein.
Deswegen wenigstens eine Verbesserung durch das limitieren des etho mit ethtool.

 

[niteaholic]

Dann teste einfach Mal was switch control macht. Persönlich sagt es mir ehrlich gesagt nichts ^^

 

[Sur5ive]

https://www.asus.com/us/support/faq/1011711/