WireGuard VPN via Unifi Cloud Gateway -> Wie zugriff aufs lokale Netzwerk

[Wassergekühlt]

Halli Hallo, ich bins mal wieder...

...nachdem ich eure Ratschläge wahrgenommen (Thread) habe sieht mein Setup nun so aus

Speedport 3 Smart als Modem via Port 4 und VLAN7 mit dem Unifi Cloud Gateway Ultra verbunden dort hängt dann ein U6+ Access Point.

Die PPoE Einwahl läuft direkt am UCG Ultra. Ich habe VLANs generiert welche mein Netzwerk sequenzieren sollen.
Folgende Einstellungen aus folgendem Beitrag habe ich ebenfalls getätigt

1. Network → Settings → Internet → Primary (WAN1)
   • IPv6 Connection: SLAAC
   • IPv6 Type: Prefix Delegation
   • Prefix Delegation Size: 56
2. Network → Settings → Networks → Default (LAN1) → IPv6 →
   • Interface Type: Prefix Delegation
   • Advanced: Manual
   • DNS Server: „Auto[matic]“ abhaken und die „Link Local IP“ von (rechts oben) kopieren/übernehmen

Ich habe diese in jedem VLAN so eingestellt, also nicht nur in LOCAL. Ich hoffe das ist so korrekt?

Wenn ich im Netz nach meiner IP Adresse schauen, wird allerdings ein IPv4 angezeigt und eine IPv6 "not detected"
Ich bin recht neu im Netzerkthema und kenne mich damit deshalb kaum aus.

Nächster Schritt war dann via OOTB in der Unifi Konsole ein WireGuard Server anzulegen.
Privater und Öffentlicher Schlüssel sind dort ja bereits ausgefüllt.
Als Serveradresse habe ich WAN1 IP angewählt Der Port 51820 wird automatisch schon ausgefüllt.

Als nächstes habe ich direkt einen Client hinzugefügt -> Autorisierung "automatisch" und dann direkt mit WireGuard auf dem Handy den Barcode gescannt. Der Client1 bekommt eine interne IP zugewiesen ..2.2
Das Gateway/Subnetz ist ..2.1

Wenn ich jetzt mit dem Client1 (mobiles telefon) ohne WLAN Verbindung den WireGuard VPN starte. Habe ich wenn ich die IP Adresse anzeige, die selbe IPv4 wie der WAN1 also der UCG Router.
Ich kann jedoch nicht auf einen 3D Drucker, welche in einem der VLANs hängt zugreifen.
Es sieht also so aus als bin ich mittels WireGuard also auf dem UCG Router, dass dieser mich allerdings nicht weiter zu den lokalen devices weiterleitet.

Grundsätzlich wäre mein wunsch, dass ich jetzt das ein oder andere VLAN per WireGuard VPN von aussen erreichen kann.
Habt ihr Rat wo mein Denkfehler oder Fehler liegt?
Wie immer bin ich euch sehr verbunden für Support

Viele biergekühlte Grüße

 

[Simanova]

Statt einem Mobiltelefon vielleicht einen Laptop mal testen.
Du kannst du gerne die Ausgabe von "ipconfig /all" und "route print" hier posten.
Mit den Angaben lässt sich dann eine Diagnose am Client machen.

Vom Fehlerbild her fehlt offenbar eine Route - vielleicht wurde diese Route im VPN Profil nicht hinterlegt.
Und vielleicht ist auch der Client IP Bereich falsch definiert.

 

[redjack1000]

Habt ihr Rat wo mein Denkfehler oder Fehler liegt?

Dir fehlt die entsprechend Route und/oder Firewallregel.

CU
redjack

 

[Wassergekühlt]

Mittels Laptop kann ich leider gerade nicht testen, da ich kein anderes Netz habe in das ich mich einwählen kann. Oder würde das mittels Hotspot vom Handy funktionieren?

Dir fehlt die entsprechend Route und/oder Firewallregel.

Hi redjack. Kannst du mich in die richtige Richtung schupsen?
Heisst das, OOTB ist jeder Zugriff auf die VLANs unterbunden und lediglich der Zugriff ins Internet (sieht man ja an der selben IP) erlaubt? Wenn ja wie muss ich die Firewallregel erzeugen? Muss ich die IP des Firewallclient nehmen und Traffic auf VLANxy erlauben?

 

[redjack1000]

Hi redjack. Kannst du mich in die richtige Richtung schupsen?

Erlaube dem Wireguard Netz den Zugriff auf das Subnetz, in dem sich der Drucker befindet.

Benutze dafür Regelbasiertes Routing.

Cu
redjack

 

[Wassergekühlt]

Scheint als hätte ich diesen Beitrag etwas zu voreilig eröffnet, sorry dafür!
Ich habe gestern, das Update auf die zonenbasierte Firewall im UnifiOS gemacht.

Seither hat mein VPN Client ausnahmslos auf alle VLAN Zugriff. Was bei UniFi anscheinend normal ist

Um den Traffic dann weiter einzuschränken
habe ich ersteinmal zwei Gruppen angelegt. Eine für die VPN Clients und eine RFC1918 Gruppe (192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8)
Per Firewall rule den Traffic unterbunden.
Dann habe ich eine weitere Gruppe mit allen IPs welche zum 3D Drucker gehört angelegt und eine Regel erstellt welche den VPN Clients den Zugriff darauf erlaubt. Diese Regel muss vor der BLOCK All Regel sitzen, dann funktioniert das wunderbar.

Vielleicht hilfts dem ein oder anderen :-)