WireGuard interne Portfreigabe

[Vogty79]

Möchte mit einem Clienten auf Ports vom Server zugreifen, das klappt aber nur wenn ich die Ports freigebe. Dann sind die Ports dann aber auch von außen also ohne VPN zugänglich. Ich möchte auf diese Ports aber nur zugreifen können wenn eine VPN Verbindung besteht, Wie mache ich das? Bei Openvpn muss ich zum Beispiel keine Ports freigeben kann aber wenn eine Verbindung besteht auf die Ports intern automatisch zugreifen, Bei WireGuard geht das allerdings nicht automatisch.

 

[madmax2010]

Bei wireguard musst du auch keine Ports freigeben.
Das musst du wenn in der firewall tun.
Fehlen dir vllt routen und/oder nat?

zeig dochmal deine config.. Private Key gern zensiert

 

[Brati23]

Eine Port Freigabe braucht es nur für das dynamische DNS oder? Also um von "überall" aus erreichbar zu sein.

Edit: Danke für die Antwort @madmax2010 und sorry an den TE. Mir scheint ich brauche einen eigenen Beitrag bzw. erstmal die Suchmaschine. Habe für mein VPN eine Portfreigabe eingerichtet und war der Meinung das sei nötig.

 

[madmax2010]

Auch dazu braucht es keine Portfreigabe.

 

[Vogty79]

Der Server ist ein Vserver mit einer öffentlichen ipv4, deswegen möchte ich ja die Ports nicht nach außen öffnen, WireGuard bis jetzt absolute Minimalkonfiguration ohne Routen etc. Ip vom Server ist 10.0.7.1. Geht ja im Prinzip auch schon nur muss ich die Ports freigeben damit ich im Tunnel drauf zugreifen kann und das möchte ich ja nicht

 

[redjack1000]

Ich wiederhole es erneut, wenn du im VPN bist, braucht man keine Portfreigabe.

CU
redjack

 

[Vogty79]

Ja das ist mir eigentlich klar geht ja bei Openvpn auch, nur wenn ich bei einer aktiven VPN Verbindung die auch geht, Internet geht über die VServer Adresse, versuche zum Bespiel 10.0.7.1:8080 aufzulösen geht das nicht, Ping zu 10.0.7.1 geht auch

 

[scooter010]

Vielleicht ist der Listener deiner Anwendung nur auf der öffentlichen IP?

 

[redjack1000]

Dann ist doch eher die Vermutung das die benötigten Dienste, auf dem Server 10.0.7.1:8080, nicht zu erreichen sind bzw. nicht hören.

Cu
redjack

 

[Vogty79]

Mit der erzeugten IP Adresse von Openvpn kann ich die Ports erreichen, habe natürlich vorher auch Openvpn VPN gestoppt bevor ich WireGuard gestartet habe damit sich das nicht in die Quere kommt

 

[DarkAngel2401]

Über Wireguard bist du erst mal nur im Subnet des Interface, das den Tunnel definiert.
Wenn du von dort in andere Netze kommen willst, muss der Server noch natten oder routen. Das macht der nicht von alleine.

 

[scooter010]

Wie @madmax2010 bereits sagte: Wir brauchen konkretere Info.
Im Detail:

1. Wireguard-Konfig
2. ip route Ausgabe
3. netstat -tulpn Ausgabe

Jeweils bitte alle öffentlichen IPs und alle anderen verräterischen Informationen entfernen.

 

[redjack1000]

Openvpn VPN gestoppt bevor ich WireGuard gestartet habe damit sich das nicht in die Quere kommt

Wenn du nicht die gleichen Subnetze benutzt hast, kommt sich da gar nichts in die Quere.

Cu
redjack

 

[Brati23]

Ich komm nicht dahinter

Spoiler: Portfreigabe Wireguard

Damit VPN Clients von außen den internen Wireguard VPN Server überhaupt erreichen können, müssen diese die von außen schützende Firewall des Routers überwinden. Ohne ein entsprechendes Port Forwarding (Port Weiterleitung, siehe Betrachtung zum VPN Design oben!) würde die Router NAT Firewall solche externen Verbindungen immer blockieren, mit dem Effekt das kein VPN Client den internen VPN Server erreichen kann.

Quelle
Kann es mir bitte jemand erklären wie es ohne Freigabe geht?

 

[DarkAngel2401]

Damit ist doch lediglich der Port gemeint, auf dem Wireguard selbst lauscht.

 

[redjack1000]

Dabei geht um Wireguard selber, darum geht es in diesem Fall nicht.

Cu
redjack

 

[Vogty79]

So es geht jetzt gefehlt haben folgende Zeilen in der Server config

PostUp = iptables -I FORWARD -i ${SERVER_PUB_NIC} -o ${SERVER_WG_NIC} -j ACCEPT
PostUp = iptables -I FORWARD -i ${SERVER_WG_NIC} -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o ${SERVER_PUB_NIC} -j MASQUERADE

Man muss natürlich dort die richtigen Interfaces eintragen