Wireguard VPN zur FritzBox / WIFI: immer / Mobil: nur bei bestimmten IPs

[RainerMZ]

Hi,

Ich möchte unsere Mobiltelefone per WireGuard an die FritzBox anbinden:

1) WLAN (außer das eigene): Sämtlicher Traffic über VPN, um ein Abhören der Verbindung zu verhindern
2) Mobilfunk: Nur die Verbindungen, die ins Heimnetzwerk gehen (z. B. NAS), also an *.fritz.box

Ich habe auch schon daran gedacht, dass ich dafür 2 VPN-Verbindungen einrichten muss.


Frage zu 1)
Über die Fritz-Fußfalle "Gesamten Netzwerkverkehr über die VPN-Verbindung senden" bin ich schon gestolpert, denn das ist offenbar nicht die Option, die sämtlichen Traffic vom iPhone über den VPN tunnel jagt sondern umgekehrt (Fritte>VPN-Client), weshalb man diese Option auch nur bei einer Verbindung setzen kann.
Ist das automatisch per Default so, dass sämtlicher Traffic über den Tunnel gejagt wird oder muss ich etwas an der Standard-Konfi ändern, damit das so läuft?

Frage zu 2)
Wenn ich im Mobilfunknetz bin, möchte ich, dass die VPN-Verbindung nur dann aufgebaut wird, wenn ich ein Gerät im heimischen LAN anspreche, z. B. mit der Photos App auf meine Synology-NAS zugreife. Idealerweise würde ich auch nur diesen Traffic über VPN tunneln wollen. Bislang hatte ich hierzu ein Apple-Skript genutzt, dass die VPN-Verbindung immer dann aufgebaut hat, wenn das iPhone eine Verbindung zu "*.fritz.box" aufbauen wollte. Hat sauber funktioniert. Wo und wie würde ich denn das jetzt auf dem iPhone in die WireGuard-Konfi eintragen?


Kann mir hier jemand weiterhelfen?

 

[Donnidonis]

Hast du ein Android Oder iOS Gerät? Ich hab leider mit deinem zweitem „Wunsch“ unter iOS schlechte Erfahrung gemacht. Mein Split-Tunneling ging leider nicht.

Ansonsten müsste es mit zwei Profilen einfach realisierbar sein.

 

[RainerMZ]

Ich hab Apple-Geräte.

Mit IPSec und einem Profil hat das reibungslos geklappt. Die beiden VPNs müssen bzw. sollen ja auch nicht parallel laufen, sondern je nachdem, wo ich bin (Fremd-WLAN oder Mobil).

Wenn es natürlich auch mit nur einer Verbindung machbar ist und dafür dann immer der gesamte Traffic rüberläuft, wäre das auch ok.

 

[RainerMZ]

Ich wärme meine Frage von vor fast einem Jahr mal wieder auf, weil ich das Problem leider noch immer nicht lösen konnte. Hat jemand in der Zwischenzeit vielleicht eine Lösung für sich gefunden, die er/sie mit mir teilen kann?

 

[Pummeluff]

Zu Frage 2:
Das wird über über den Parameter "AllowedIPs" gesteuert:

Das sind die Wireguard-Configs, die du auf dem Mobilphone lädst.

Nur der Traffic ins VPN-Lan wird über VPN gejagt:

[Interface]
Address = 192.168.0.128/24
DNS = 192.168.0.1
PrivateKey = xxxprivatvomeifon=

[Peer]
#PersistentKeepalive = 25
AllowedIPs = 192.168.1.0/24, 192.168.2.0/24, 192.168.3.0/24
Endpoint = zuhause.dyndns.com:54321
PreSharedKey = xxxpreshared=
PublicKey = xxxpublicvomlan=

Willst du den gesamten Traffic des Eifons über die Fritte jagen:

[Interface]
Address = 192.168.0.128/24
DNS = 192.168.0.1
PrivateKey = xxxprivatvomeifon=

[Peer]
#PersistentKeepalive = 25
AllowedIPs = 0.0.0.0/0
Endpoint = zuhause.dyndns.com:54321
PreSharedKey = xxxpreshared=
PublicKey = xxxpublicvomlan=

Ich hab dazu 2 Profile auf meine Mobilphone eingerichtet. An der Fritte brauchst du nur eins.

 

[RainerMZ]

Danke @Pummeluff ,
das mit den 2 Profilen habe ich auch schon ausprobiert. Aber wie steuerst Du den Verbindungsaufbau? Das iPhone kann ja nur eine VPN-Verbindung gleichzeitig aufbauen. Heißt: Die Profile müssten sich ja dann automatisch aktivieren, je nachdem, ob ich im Mobilfunk oder in einem fremden WLAN unterwegs bin. Und da komme ich nicht weiter, weil sich immer nur das VPN automatisch aktiviert, das ich als Standard in den iOS-Einstellungen hinterlegt habe. Mache ich da einen Denkfehler?

 

[Pummeluff]

Ich aktivier den Tunnel manuell und nur bei Bedarf.

 

[Avenger84]

Zu Frage 2:
Das wird über über den Parameter "AllowedIPs" gesteuert:

...

Willst du den gesamten Traffic des Eifons über die Fritte jagen:

[Interface]
Address = 192.168.0.128/24
DNS = 192.168.0.1
PrivateKey = xxxprivatvomeifon=

[Peer]
#PersistentKeepalive = 25
AllowedIPs = 0.0.0.0/0
Endpoint = zuhause.dyndns.com:54321
...

so wird nur sämtlicher IPv4 Verkehr durch den Tunnel geschickt, nicht aber IPv6

 

[Pummeluff]

Ist natürlich korrekt. Von IPv6 hab ich jetzt im Startposting auch nichts gelesen.