Zugriffe über Wireguard einschränken (FritzBox-FritzBox)

[FelixATV]

Hallo zusammen,

Ich habe erfolgreich eine Wireguard-Verbindung zwischen einer LTE Fritz!Box und einer Normalen 7590 eingerichtet. Hinter der LTE hängt eine Videoanlage, welche normalerweise über DDNS erreichbar sein sollte, jedoch im LTE Netz ja nicht funktioniert...deswegen überhaupt die Wireguard Lösung. Die Konstellation sieht wie folgt aus.

Endgerät "iPhone" bucht sich via VPN ins FritzBox Netz A ein (7590 am DSL) >>>
Diese wiederum ist über VPN mit der LTE Box dauerhaft verbunden >>> Zugriff auf Netz B und somit auch aufs Endgerät "NVR Videorekorder"

Läuft super. Jedoch hat das "iPhone" jetzt auch Zugriff aufs Netz der FritzBox A (7590 DSL), was ich nicht so toll finde.

Kann man das irgendwie einschränken? Letztendlich muss nur der NVR Videorekorder im Netz der LTE FB erreichbar sein, wenn VPN aktiv ist...

Und noch was...kann man die myfritz Adresse der LTE FB irgendwie direkt über die 7590 erreichbar machen? Dann müsste man beim Endgerät "iPhone" gar kein VPN verwenden, sondern könnte die myfritz Adresse der 7590 DSL direkt in die App der Videoanlage eingeben.

Viele Grüße

 

[ms007]

Willkommen an Bord!

Nenn uns doch bitte mal die internen LAN-IP-Adressen der beiden Fritzboxen und des Videorekorders.

 

[FelixATV]

Danke 😊

FritzBox A (7590 DSL):
192.168.40.1

FritzBox B (LTE):
192.168.178.1

Recorder:
192.168.178.29

 

[DiedMatrix]

Ich verstehe mit den vorhandenen Informationen nicht, warum du dich mit dem Iphone nicht direkt in die LTE Fritzbox via VPN einwählst? Dann hast du doch genau das erreicht oder nicht?

Ah verstehe, das Gerät wäre dann ja aufgrund des Site2Site Tunnels auch von da in der Lage auf die DSL Fritzbox zuzugreifen. Ich wüsste grad nicht wie es mit der Fritzbox geht.

 

[conf_t]

Ich wüsste grad nicht wie es mit der Fritzbox geht.

Das ist kein Problem

Man muss die Konfig der FB exportieren, dann im Abschnitt VPN.cfg das so zusammenstellen, wie man es braucht. Die Prüfsumme (Google hilft) mit Hilfe von Tools der cfg Berechnen lassen, diese im cfg-File Eintrag und in die FB laden.

Habe selbst alle FBs (3x Site2Site) mit Konfigs laufen, die die FB so nicht hergeben.
https://www.computerbase.de/forum/t...esen-anleitungen-funktionieren-nicht.2176920/

 

[FelixATV]

Ich verstehe mit den vorhandenen Informationen nicht, warum du dich mit dem Iphone nicht direkt in die LTE Fritzbox via VPN einwählst? Dann hast du doch genau das erreicht oder nicht?

Ah verstehe, das Gerät wäre dann ja aufgrund des Site2Site Tunnels auch von da in der Lage auf die DSL Fritzbox zuzugreifen. Ich wüsste grad nicht wie es mit der Fritzbox geht.

Im LTE Netz ist die Box nicht so einfach erreichbar, da man keine öffentliche IP bekommt.

 

[Nero FX]

Die Fritzbox erlaubt in den VPN Optionen das VPN auf Geräte zu begrenzen.

https://service.avm.de/support/media/de/511.png

Nur bestimmte Geräte im Heimnetz sollen über diese Wireguard....

Also in LTE Box am NVR Standort nur NVR erlauben. Dann kann jeder von der 7590 auf den NVR zugreifen aber nur NVR kann auf Geräte im 7590 Netz zugreifen.

 

[FelixATV]

Das ist kein Problem

Man muss die Konfig der FB exportieren, dann im Abschnitt VPN.cfg das so zusammenstellen, wie man es braucht. Die Prüfsumme (Google hilft) mit Hilfe von Tools der cfg Berechnen lassen, diese im cfg-File Eintrag und in die FB laden.

Habe selbst alle FBs (3x Site2Site) mit Konfigs laufen, die die FB so nicht hergeben.
https://www.computerbase.de/forum/t...esen-anleitungen-funktionieren-nicht.2176920/

Das kling gut 👍 Geht das auch nachträglich, wenn der Tunnel im Endgerät bereits eingerichtet wurde (Client iPhone)?

 

[conf_t]

Ja, das Konfig exportieren, anpassen , Prüfsumme bilden, Prüfsumme eintragen und konfig hochladen, Box neustarten, geht immer.

 

[FelixATV]

Habe die cfg gerade geöffnet.
Bei der eingehend VPN (Iphone > 1. FB) steht bei allowed IP 192.168.40.203/32 ...
Das ist ja der Tunnel und eigentlich auch nur der wegen der /32....

Bei der VPN Verbindung zwischen den beiden FBs steht dort 192.168.178.0/32

Soll ich einfach bei der 1. FB bei allowed IPs 192.168.178.0/32 eintragen?

 

[conf_t]

Nee die IP des NVR

 

[FelixATV]

192.168.178.29/32 bei allowed IP der eingehenden Verbindung vom iPhone auf die 1.FritzBox eingestellt > kein Zugriff. VPN wird aufgebaut, aber ich erreiche dann gar nichts... :-(

 

[riversource]

Geht auch nicht. Das iPhone braucht die erste Box immer als Hop, also ist der Zugriff darauf notwendig.