Subnetz über Wireguard VPN Fritz.Box erreichen

[Repsol78]

Hallo zusammen,

ich hoffe ihr könnt mir helfen.

Ich muss von PC 1 auf PC 3 zugreifen können (SQL und Filefreigabe).
Was muss ich machen?

 

[madmax2010]

am einfachsten ist es, wenn du ihn auch ins VPN hängst

 

[riversource]

Warum haben die 2 lokalen Fritzboxen eine VPN Verbindung und die entfernte nicht? Das Setup verstehe ich nicht.

 

[Repsol78]

Warum haben die 2 lokalen Firtzboxen eine VPN Verbindung und die entfernte nicht? Das Setup verstehe ich nicht.

Nur FB 1 und FB 2 haben die Möglichkeit eine VPN Verbindung herzustellen. Eine VPN Verbindung habe ich als Lan Lan mit FB1 und FB3 schon probiert, ohne Erfolg und ein VPN zwischen FB1 und PC1 blieb erfolglos.

Ergänzung (8. Juni 2024)

am einfachsten ist es, wenn du ihn auch ins VPN hängst

Wen meinst du mit ihn?

 

[madmax2010]

PC3

 

[Repsol78]

Wie soll ich das machen?

 

[riversource]

Nur FB 1 und FB 2 haben die Möglichkeit eine VPN Verbindung herzustellen.

Die beiden befinden sich am gleichen Standort und haben eine direkte Verbindung. Warum sollten die einen VPN Tunnel aufbauen? Die entfernte Fritzbox (getrennt durch Internet, also durch die blaue Wolke) hat keine VPN Verbindung. Wie soll das gehen?

Oder bist du der einzige Mensch auf der Welt, bei dem die blaue Wolke nicht das Internet symbolisiert? Halte dich besser an die üblichen Gepflogenheiten beim Zeichnen solcher Bilder.

Also: Wie genau ist das Setup? Und zeichne das Internet da ein, wo es ist.

 

[Repsol78]

Oder bist du der einzige Mensch auf der Welt, bei dem die blaue Wolke nicht das Internet symbolisiert? Halte dich besser an die üblichen Gepflogenheiten beim Zeichnen solcher Bilder.

Also: Wie genau ist das Setup? Und zeichne das Internet da ein, wo es ist.

Sorry das ich das als Laie nicht Perfekt hinbekommen habe... Ich hoffe jetzt passt es.

 

[riversource]

Ok, der VPN Tunnel steht? Du erreichst von PC1 PC2 und FB2? Dann richte in FB2 die erforderlichen Portweiterleitungen auf die IP von PC3 ein. Die Dienste erreichst du von PC1 dann über die IP von FB2.

 

[madmax2010]

Wie soll ich das machen?

Erstell 2 Wireguard Configs auf dem Wireguard server, installiere Wireguard auf PC3 und PC1 und spiele je eine der Configurationen ein

 

[Repsol78]

Ok, der VPN Tunnel steht? Du erreichst von PC1 PC2 und FB2? Dann richte in FB2 die erforderlichen Portweiterleitungen auf die IP von PC3 ein. Die Dienste erreichst du von PC1 dann über die IP von FB2.

Tunnel steht. Ich erreiche von PC1 PC2 und die FB2, allerdings nur über die IP die sie von der FB 1 bekommt (192.168.178.25). Im 10.0.0.0 er Netz erreiche ich nichts.

Welchen Port soll ich nehmen?

 

[riversource]

Im 10.0.0.0 er Netz erreiche ich nichts.

Natürlich nicht. FB2 arbeitet als NAT Router, da kommst du von außen nicht an die 10er Adressen ihres LANs ran. Das klappt auch nicht von PC2.

Welchen Port soll ich nehmen?

Welche Ports brauchst du denn? Das hättest du ja auch bei direkter Erreichbarkeit wissen müssen.

 

[Repsol78]

Welche Ports brauchst du denn? Das hättest du ja auch bei direkter Erreichbarkeit wissen müssen.

Ich denke 1443 Microsoft SQL und Filefreigabe

 

[chrigu]

Die einfachste Variante. Schliesse pc3 an fb1.
Komplizierte und teure Variante. Ersetze fb1 und fb2 durch zwei Router z.b. vigor oder zyxel bei dem man „Routen“ durch die genattete Netzwerke (wan) erlaubt.

 

[riversource]

Filefreigabe gibt es natürlich etliche verschiedene Protokolle. Nutzt du SMB? Daraus ergibt sich dann die Portnummer.

Ersetze fb1 und fb2 durch zwei Router z.b. vigor oder zyxel bei dem man „Routen“ durch die genattete Netzwerke (wan) erlaubt.

Bei NAT geht das nicht, auch nicht bei teuren Routern. Wenn man das will, muss man vollwertig routen, aber dann stellt sich eher die Frage: Warum muss FB2 ein Router sein? Wenn man eh das Routing zwischen beiden Netzen erlaubt, dann kann man aus FB2 auch einen Switch machen und die Netze zusammenfassen.

 

[Repsol78]

Die einfachste Variante. Schliesse pc3 an fb1.
Komplizierte und teure Variante. Ersetze fb1 und fb2 durch zwei Router z.b. vigor oder zyxel bei dem man „Routen“ durch die genattete Netzwerke (wan) erlaubt.

Wenn das ginge, hätte ich das schon gemacht.

 

[Raijin]

@riversource hat die Lösung schon genannt. Das Problem aktuell ist, dass eine Fritzbox am WAN nun mal NAT betreibt, weil sie kein frei konfigurierbarer Router ist, sondern zu 98% ab Werk hart codiert voreingestellt ist, u.a. eben auch NAT am WAN.

Im Prinzip arbeiten FB1 und FB2 in dieser Konstellation nach demselben Schema. Alles am WAN-Port ist "das böse Internet" und deswegen darf da nix rein, was nicht angemeldet ist, zB durch eine Portweiterleitung. Aus dem www darf nicht einfach so irgendwas auf einen PC mit 192.168.178.123 zugreifen und aus dem Netz der FB1 (oder noch weiter davor, zB VPN) darf eben auch nichts einfach so auf einen PC mit 10.0.0.234 zugreifen. Dasselbe Prinzip, WAN=böse => Firewall.

Eine Portweiterleitung dient nun dazu, eben diese Blockade bewusst aufzuheben, für diesen einen Port und dieses eine Zielgerät. Richte also in FB2 die nötigen Portweiterleitungen ein, zB für SQL tcp 1433 (nicht 1443 wie du schreibst) und für SMB, also die herkömmliche Windows Dateifreigabe, TCP 445. Beides mit lokaler Ziel-IP = PC3.

Anmerkung: In FB1 wird dafür wird keine Portweiterleitung benötigt!


FB3 ----- (192.168.2.x) PC1
(WAN)
|
www
|
(WAN)
FB1 ----- (WAN @ 192.168.178.25) FB2 ----- (10.0.0.y) PC3

FB3: Nix.
FB1: Nix.
FB2: Portweiterleitung tcp 1433 + 445 an 10.0.0.y

PC3: Firewall --> eingehend --> Port 1433 bzw 445 --> Quelle = beliebig oder 192.168.2.0/24
PC1: SQL + Netzlaufwerk verbinden mit 192.168.178.25, die FB2-WAN-IP.

Der Part mit der Firewall in PC3 ist wichtig, da eingehende Verbindungen von einer Quelle außerhalb des lokalen Netzwerks von PC3 stammen. Sowas wird in der Regel standardmäßig geblockt und muss dann explizit freigeschaltet werden. Sonst sagt das Betriebssystem bei einer Verbindungsanfrage schlicht und ergreifend "Nö, du darfst nicht".