Fritzbox Wireguard VPN DNS Server (2024)

145971

14.04.2022, aktualisiert um 12:37:08 Uhr

14313

Ausdrucken
https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html
[content:2499907791]
Internen Beitrags-Link kopieren
Externen Beitrags-Link kopieren
Beitrag melden

FrageNetzwerke

Moin!

ich hatte vor kurzem ein ähnliches Thema eröffnet, allerdings mit einem anderen Hintergrund.
Meiner Fritzbox 6660 Cable hat gestern die aktuelle Labor Version erhalten.

Wichtig hierbei ist mir das Wireguard VPN, welches mir allerdings Probleme macht.
Nun möchte ich wissen, ob das Problem durch die Fritzbox entsteht (weil Labor Version) oder durch einen Config Fehler meinerseits.

In der Fritzbox habe ich unter Internet > Zugangsdaten > DNS Server > meinen eigenen DNS Server eingetragen (AdGuard)
Dann habe ich über die Fritzbox eine Wireguard VPN Config für mein Macbook erstellt und etwas angepasst.

[Interface]PrivateKey = XXXAddress = 192.168.108.201/32DNS = 192.168.108.1, 192.168.108.250, fritz.box // .250 ist mein DNS Server[Peer]PublicKey = XXXPresharedKey = xxxAllowedIPs = 0.0.0.0/0, ::/0 // hiermit lasse ich ALLES über den Tunnel laufenEndpoint = vpn.meinedomain.de:PORTNUMMERPersistentKeepalive = 25

Wenn ich es so lasse, klappt es tadellos.
Allerdings möchte ich ja nur meinen DNS Server, als DNS Server angeben - damit auch alles durch Adguard läuft.
Wenn ich dann die DNS Zeile wie folgt anpasse:

DNS = 192.168.108.250

funktioniert es zu Beginn noch, aber irgendwann kann der Client keine Webseiten mehr aufrufen und der Client lässt sich nicht mehr anpingen.
Wenn ich die VPN Verbindung trenne und wiederherstelle, klappt es wieder für X Minuten.

Habt Ihr noch eine Idee?
Oder Analysierungsvorschläge ?

KommentierenTeilen

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-Key: 2499907791

Url: https://administrator.de/contentid/2499907791

Ausgedruckt am: 05.03.2024 um 23:03 Uhr

37 Kommentare

Neuester Kommentar

Kommentarübersicht - Bitte anmelden

Looser27 14.04.2022 aktualisiert um 13:36:49 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2500396980

[content:2499907791#2500396980]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Moin,

Welche DNS fragt denn der AdGuard an? Vielleicht liegt das Problem hier...

P.S.: Kennt der AdGuard das VPN Netz?

Gruß Looser

145971 14.04.2022 aktualisiert um 13:40:45 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2500414821

[content:2499907791#2500414821]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Upstream Server sind bei mir:

1.1.1.19.9.9.10

Mein clients im LAN, welche nicht via VPN verbunden sind, nutzen ebenfalls Adguard als DNS Server.
Hier klappt es tadellos

Looser27 14.04.2022 aktualisiert um 13:45:02 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2500465257

[content:2499907791#2500465257]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Da es funktioniert, wenn Du die Fritte einträgst, liegt die Vermutung nahe, dass es ein Problem mit der AdGuard Konfig ist.

P.S.: Gib dem AdGuard mal die DNS des Providers.

145971 14.04.2022 um 13:44:50 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2500475228

[content:2499907791#2500475228]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Und was genau könnte das Problem sein?
Wie kann ich dies analysieren ?

Looser27 14.04.2022 aktualisiert um 13:47:21 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2500481301

[content:2499907791#2500481301]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Schau mal in die Logs vom AdGuard, sobald nichts mehr geht. Da muss was drin stehen.

P.S.: Nochmal: kennt der AdGuard das VPN?

145971 14.04.2022 um 13:48:50 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2500497445

[content:2499907791#2500497445]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Zitat von @Looser27:
P.S.: Nochmal: kennt der AdGuard das VPN?

Wie darf ich die Frage verstehen?
Was meinst du mit, ob er das VPN kennt?

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501062513

[content:2499907791#2501062513]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

AVM ist ja noch ziemliches Beta Gemüse was Wireguard anbelangt.

aqui 14.04.2022 aktualisiert um 15:44:37 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501141916

[content:2499907791#2501141916]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Problem bleibt aber bestehen.

Deine Client Adressierung stimmt nicht. Oder wenn sie stimmen sollte, stimmt deine DNS Adressierung dazu nicht !

Die "Address" unter dem [Interface] Statement bestimmt die Client IP Adresse im lokalen, internen WG VPN IP Netz. Das diese eine /32er Hostmaske hat ist schon ungewöhnlich und nicht normal. Bedeutet das du dann max. nur einen einzugen WG Client bedienen kannst und keine weiteren. Das ist schon ein Fehler !
Wenn das 192.168.108.0er Netz dein internes WG Netz ist kann der Adguard DNS Server der doch ganz sicher im lokalen LAN der FB liegt doch niemals diese IP haben.

Wenn du die FB Standard LAN IP 192.168.178.0/24 verwendest muss der AdGuard DNS doch logischerweise immer eine LAN IP haben und kann doch niemals im lokalen, internen WG Netz liegen. Dort ist einzig nur der WG Server und die Clients mit ihren IPs drin aber keine lokalen Endgeräte aus dem LAN Segment das ja einen ganz andere IP hat.
Mit anderen Worten deine IP Adressierung ist völlig wirr.

Lies dir das hiesige Wireguard Tutorial einmal genau und in aller Ruhe durch ! Besonders das Kapitel über die Server und Client IP Adressierung, dann wird dir das schnell klar und du siehst den Fehler zu deiner Konfig sofort.
Deine Konfig mit WG internem 192.168.108.0/25 IP Netz und lokalem 192.168.178.0/24 IP LAN Netz müsste z.B. so aussehen:

[Interface]
Address = 192.168.108.1/25
PrivateKey = xyz
ListenPort = 51820

[Peer]
PublicKey = zyx
AllowedIPs = 192.168.108.101/32

[Peer]
PublicKey = grz
AllowedIPs = 192.168.108.102/32

.101 und .102 sind z.B. 2 WG Clients

[Interface]
Address = 192.168.108.101/25
PrivateKey = abcd
DNS = 192.168.178.250

[Peer]
PublicKey = dfr
Endpoint = <frizBox_wan_adresse>:51820
AllowedIPs = 0.0.0.0/0
PersistentkeepAlive = 25

[Interface]
Address = 192.168.108.102/25
PrivateKey = dfgt
DNS = 192.168.178.250

[Peer]
PublicKey = blah
Endpoint = <frizBox_wan_adresse>:51820
AllowedIPs = 0.0.0.0/0
PersistentkeepAlive = 25

1915348599 14.04.2022 aktualisiert um 15:57:03 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501464953

[content:2499907791#2501464953]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Das diese eine /32er Hostmaske hat ist schon ungewöhnlich und nicht normal.

Im Gegenteil das ist bei Wireguard normal und die Regel bei simplem Client to Site 😉

aqui 14.04.2022 aktualisiert um 16:03:22 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501508815

[content:2499907791#2501508815]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Aber doch nur wenn man einen einzigen Client hat und nicht 10 oder 100, oder ?!

1915348599 14.04.2022 aktualisiert um 16:08:06 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501531985

[content:2499907791#2501531985]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Zitat von @aqui:

Aber doch nur wenn man einen einzigen Client hat und nicht 10 oder 100, oder ?!

Nö. Das ist Cryptokey Routing 😉. Von wo der Traffic des Clients kommen darf bestimmt der Server mit den AllowedIPs, ob am Client jetzt /24 oder /32 an der Address steht ist so gesehen wurscht, Hauptsache der Client sendet mit einer der am Server hinterlegten IPs für den Peer

aqui 14.04.2022 aktualisiert um 16:15:34 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501535943

[content:2499907791#2501535943]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Richtig, gilt aber doch nur für die Peer Definition wo man das Routing mit den entsprechenden Masken steuert:
https://www.wireguard.com/#cryptokey-routing
Aber doch weniger für die eigentliche IP Netz Definition des internen WG IP Netzes.
Dieses interne IP Netz definiert man ja in der Größe ähnlich wie OpenVPN ala ip address add dev wg0 192.168.2.1/24 (hier die Serverseite) und nicht mit /32er Hostmasken wie beim Routing sondern je nach Größe wie man es intern gestallten will, sprich welche max. Client Anzahl es bedienen muss.
Der Quickstart Guide der ofiziellen Doku ist da ja relativ eindeutig:
https://www.wireguard.com/quickstart/

145971 14.04.2022 aktualisiert um 16:40:40 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501757663

[content:2499907791#2501757663]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Nur zur Info.
Meine Fritzbox hat die 192.168.108.1
AdGuard ist die 192.168.108.250

Da hat ein Netz mit 192.168.178.0 in meiner Situation nichts zu suchen ;)

1915348599 14.04.2022 aktualisiert um 16:46:54 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501794955

[content:2499907791#2501794955]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Bei einfachen Client-Configs ist das Schnuppe ob odrt 32 oder 24 steht, was in den Tunnel geroutet wird bestimmen ja die AllowedIPs in der Client-Config, wie der Wireguard Server dann weiter Routet bestimmt er selbst. Broadcast-Traffic gibt's hier ja nicht.

Looser27 14.04.2022 um 17:01:55 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501924202

[content:2499907791#2501924202]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

VPN Netz und LAN Netz müssen hier nicht unterschiedlich sein?
Der TO hat nämlich beides gleich...

aqui 14.04.2022 aktualisiert um 17:20:04 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2501981595

[content:2499907791#2501981595]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Das war auch meine Intention weil es auch laut offizieller Doku so sein sollte.
AVM frickelt das aber wohl mit /32er Hostrouting im gleichen IP Netz hin wie das LAN.
Der schlimme Verdacht liegt nahe das die wieder IP Adressen oberhalb von .200 in der lokalen LAN Range dafür nutzen und der DNS Server mit der .250 des TOs sich damit überschneidet.
Dafür spricht die Tatsache das der DNS Server immer weg ist wenn WireGuard aktiv ist. Das er x Minuten noch rennt ist der klassische DNS Cache Timer im Client.
Vermutlich löst sich das Problem wenn der DNS mal auf .199 gesetzt wird. Das ist die Crux bei der AVM Frickellösung mit WG.

145971 14.04.2022 aktualisiert um 17:19:52 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2502031371

[content:2499907791#2502031371]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Nein, ist kein muss.
Solang es kein IP Konflikt gibt, ist alles i.O.

Die IPs der Clients suche ich mir ja nicht aus.
Die wird durch die Config der Fritzbox vorgegeben.

die .250 ist nicht nur nur Adguard, sondern auch meine Synology (wo Adguard als Docker läufter) und andere Systeme. Müsste die Synology inkl. aller Systeme nicht dann auch Probleme machen, wenn es wirklich daran liegt, das die Synology (inkl. Adguard) die .250 hat?

aqui 14.04.2022 aktualisiert um 17:23:12 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2502046571

[content:2499907791#2502046571]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Wenn es so wäre das die IPs über .200 dann bei aktivem WG Tunnel deaktiviert sind dürftest du auch die Synology generell mit ihren Diensten über den WG Tunnel nicht mehr erreichen z.B. mit SMB/CIFS, FTP etc. sofern das aktiv ist.

145971 14.04.2022 um 17:22:17 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2502053112

[content:2499907791#2502053112]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

aber das klappt problemlos

aqui 14.04.2022 aktualisiert um 17:26:09 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2502059752

[content:2499907791#2502059752]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

OK, dann kannst du das schonmal auschliessen.
Wenn du den DNS ganz weglässt was sagen dann nslookup oder dig auf FQDNs auch lokal wenn der Tunnel aktiv ist ?
Bei einem Winblows Client auch interessant ist ein ipconfig -all bei aktivem Tunnel wer denn dann DNS ist.

145971 14.04.2022 um 17:28:24 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2502067799

[content:2499907791#2502067799]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Du meinst, in der Client konfig keinen DNS angeben?
Dann bekomm ich keinen DNS aufgelöst

nslookup google.de liefert kein Ergebnis

aqui 14.04.2022 aktualisiert um 17:37:05 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2502152404

[content:2499907791#2502152404]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Und wenn du dort nur die FB als DNS definierst ?
Die FB sollte dann eine DNS Weiterleitung fest auf die .250 haben.

145971 14.04.2022 um 17:37:17 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2502168472

[content:2499907791#2502168472]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Dann ist das Ergebnis:

nslookup google.deServer:192.168.108.1Address:192.168.108.1#53Non-authoritative answer:Name:google.deAddress: 172.217.18.99

145971 15.04.2022 um 09:46:34 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2506805927

[content:2499907791#2506805927]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Und nu?
Das Problem ist ja, das wenn die Clients die Fritzbox als DNS haben und diese wiederrum Adguard als Upstream DNS Server, sehe ich in den Logs immer nur, das die Fritzbox die Anfragen gestellt hat - nicht welcher Client

1915348599 15.04.2022 aktualisiert um 10:01:17 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2506860276

[content:2499907791#2506860276]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Warten bis die FW nicht mehr Beta-Status hat oder bis dahin einen vernünftigen Wireguard-Server z.B. auf nem Raspi aufsetzen dann klappt's auch mit dem Nachbarn.
Was AVM da geritten hat das im Normalfall separate Wireguard Subnetz zu killen und die Clients auf verquere Methoden ins FB Netz zu mappen .. das kann ja auf dauer nur schief gehen und zu Inkompatibilitäten führen.
Naja ist ja eh nur Consumer Plaste-Gemüse und nur was zum spielen ...

145971 15.04.2022 um 10:01:00 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2506890871

[content:2499907791#2506890871]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

also meinst du, es liegt wirklich an der Beta?

1915348599 15.04.2022 aktualisiert um 10:11:37 Uhr

https://administrator.de/forum/fritzbox-wireguard-vpn-dns-server-2499907791.html#comment-2506901447

[content:2499907791#2506901447]

Internen Kommentar-Link kopieren
Externen Kommentar-Link kopieren
Zum Anfang der Kommentare

Jepp da liegt noch einiges im Argen, nimm dir nen Raspi oder nen MIkrotik da kommt das alles sofort zum fliegen.
Nicht umsonst heißt das Beta Version, ergo nix für den Produktivbetrieb.