NGINX und Wireguard Docker

[LyDjane]

Hallo in die Runde,

ich komme nicht weiter und melde mich daher mal bei euch, vielleicht habe ich einfach einen großen Denkfehler oder eine Denkblockade.

 

Ich habe bis vor kurzem problemlos mein Wireguard über die Fritzbox genutzt. 
Seitdem ich nun aber seit Sonntag von der Telekom (es lief alles via IPv4) auf die Glasfaser (nun alles via IPv6) umgestiegen bin, komme ich von reinen IPv4 Netzwerken nicht mehr via mein Wireguard ins Netzwerk.....

Jetzt dachte ich mir, nachdem ich mein NGINX und DynDNS schon komplett ummodeln durfte, setzte ich einen eigenen Wireguard Docker Container auf.

 

Docker läuft soweit auch, allerdings komme ich einfach nicht ins Netzwerk rein.... Port 51820 UDP ist in der Fritzbox freigegeben, jedoch bin ich mir auch total unschlüssig ob ich diesen auf den NGINX (Docker hat eine eigene IP) oder auf den unRAID-Server freigegeben muss. Verzweifelt wie ich bin, habe ich schon beides probiert, erfolglos. 

Kann mir hier jemand weiterhelfen?

Viele Grüße

[MAM59]

Hast Du überhaupt noch IPV4, oder nur son DS-Lite Proxy (wenn Letzteres: VERGISSES! GEHT NICHT!)

[Ford Prefect]

3 hours ago, LyDjane said:

Ich habe bis vor kurzem problemlos mein Wireguard über die Fritzbox genutzt. 
Seitdem ich nun aber seit Sonntag von der Telekom (es lief alles via IPv4) auf die Glasfaser (nun alles via IPv6) umgestiegen bin, komme ich von reinen IPv4 Netzwerken nicht mehr via mein Wireguard ins Netzwerk.....

Jetzt dachte ich mir, nachdem ich mein NGINX und DynDNS schon komplett ummodeln durfte, setzte ich einen eigenen Wireguard Docker Container auf.

...falscher Move...WG im Router ist immer der beste und einfachste Weg.

Mit dem WG-Docker musst Du nochmal extra was verbiegen...ich würde das lassen, wenn der Router das kann.

 

2 hours ago, MAM59 said:

Hast Du überhaupt noch IPV4, oder nur son DS-Lite Proxy (wenn Letzteres: VERGISSES! GEHT NICHT!)

So ist es...allerdings nicht so fatal, wie es sich anhört...gibt schon andere Möglichkeiten, zB mittels eines VPS (der ne echte ipv4 hat) als Intermediär...wäre mein Favorit. Edit: oder auf nen Business-Tarif mit ipv4 wechseln.

Edited February 11, 2023 by Ford Prefect

[mgutt]

Kann der kein IPv4 über einen Wireshark Tunnel routen, der über IPv6 aufgebaut wurde?!

[Ford Prefect]

Du meinst mit Wireguard? Ja, natürlich kann man den Tunnel mit ipv6 aufbauen und dann darüber ipv4 und ipv6 durchleiten.

Das Problem ist aber doch der Endpunkt aus Sicht des Client....für einen Client in nem ipv4 Netz muss der ja öffentlich im ipv4 sein.

[LyDjane]

Hallo in die Runde und vielen vielen Dank schon einmal für die Infos!

Ich habe via Deutsche Glasfaser nur eine öffentliche IPv6 und eine nicht öffentliche IPv4. 
Business Upgrade ist für mich sinnfrei, da ich aus Kostengründen zu Deutsche Glasfaser gewechselt habe von der Telekom.

 

Natürlich wäre mein Favorit, dass es via FritzBox wieder funktioniert (es funktioniert von IPv6 aus auch problemlos).

Ich habe seit Mittwoch letzte Woche einen VPS mit 6tunnel am laufen, sodass die Dienste auch via IPv4 im Netzwerk erreichbar sind.
 

Es hängt gerade tatsächlich alles nur noch an Wireguard, da ich auch nicht weis, ob man in der Fritzbox Wireguard noch anders konfigurieren muss etc. Da bin ich als Laie raus. Ich habe die "einfache" Einstellung dort verwendet. Wenn man natürlich wireguard dort so konfigurieren kann, dass es auch über den VPS läuft, wäre das natürlich der Wahnsinn   

[alturismo]

11 minutes ago, LyDjane said:

Es hängt gerade tatsächlich alles nur noch an Wireguard, da ich auch nicht weis, ob man in der Fritzbox Wireguard noch anders konfigurieren muss etc. Da bin ich als Laie raus. Ich habe die "einfache" Einstellung dort verwendet. Wenn man natürlich wireguard dort so konfigurieren kann, dass es auch über den VPS läuft, wäre das natürlich der Wahnsinn   

dann braucht es auch den SSH Tunnel nicht mehr, @Ford Prefect kann Dir da wahrscheinlich am Besten helfen, ich nutze für meinen VPS FRPC/FRPS als Tunnel wenn ich im LTE Fallback bin, mit Wireguard habe ich mich noch nicht wirklich beschäftigt ... daher kann ich Dir dazu keinen vernünftigen Link geben, aber das sollte sicher gehen "anstelle" des SSH Tunnels.

[Ford Prefect]

1 hour ago, LyDjane said:

Ich habe seit Mittwoch letzte Woche einen VPS mit 6tunnel am laufen, sodass die Dienste auch via IPv4 im Netzwerk erreichbar sind.
 

Es hängt gerade tatsächlich alles nur noch an Wireguard, da ich auch nicht weis, ob man in der Fritzbox Wireguard noch anders konfigurieren muss etc. Da bin ich als Laie raus. I

Tja, ich nutze keine Fritz....da kann ich Dir nicht helfen.

Der "Trick" mit Wireguard und VPS ist aber eigentlich ganz einfach: alle Gegenstellen nutzen den VPS als Endpoint.

Dazu:

- auf dem VPS eine Router-VM installieren (die Wireguard unterstützt), zB pfsense, OPNsense, mikrotik CHR, openWRT

- WG Service und peers dort einrichten.

- in der Fritz WG als Peer mit VPS als Endpoint einrichten

- ggfls noch das Routing anpassen.

 

[LyDjane]

7 minutes ago, Ford Prefect said:

Tja, ich nutze keine Fritz....da kann ich Dir nicht helfen.

Der "Trick" mit Wireguard und VPS ist aber eigentlich ganz einfach: alle Gegenstellen nutzen den VPS als Endpoint.

Dazu:

- auf dem VPS eine Router-VM installieren (die Wireguard unterstützt), zB pfsense, OPNsense, mikrotik CHR, openWRT

- WG Service und peers dort einrichten.

- in der Fritz WG als Peer mit VPS als Endpoint einrichten

- ggfls noch das Routing anpassen.

 

okay, das übersteigt meine Kenntnisse um ein vielfaches.

ich habe 6tunnel via Console dort installiert und war happy, dass es läuft.
Mal eben eine VM darauf installieren, das wird glaube ich so nichts bei mir.

Oder kann ich via Docker dort wireguard installieren?

[Ford Prefect]

48 minutes ago, LyDjane said:

Oder kann ich via Docker dort wireguard installieren?

...kannst Du versuchen.

 

53 minutes ago, LyDjane said:

okay, das übersteigt meine Kenntnisse um ein vielfaches.

dann bitte Vorsicht.

Auf / für einen VPS bist Du als Admin verantwortlich. Wie stellst Du sicher, dass das OS / der VPS entsprechend gegen Attacken abgesichert ist?

48 minutes ago, LyDjane said:

ich habe 6tunnel via Console dort installiert und war happy, dass es läuft.

 

Du hast nicht nur den 6tunnel installiert, sondern eben auch das OS. Der VPS-Provider stellt Dir das Image, aber macht das für Dich nicht sicher.

Du hast ne öffentliche IP und das OS hat Dienste...wie sicherst Du die ab? Der VPS hat keinen Router vorne dran. Da musst Du Dich drum kümmern.

 

56 minutes ago, LyDjane said:

Mal eben eine VM darauf installieren, das wird glaube ich so nichts bei mir.

 

Das OS ist ja schon "eine/die VM".

Diese musst Du austauschen, gegen eine Router-VM....und die Firewall des Routers macht es, wenn korrekt konfiguriert, sicher.

Meist haben die VPS-Provider aber keine "im Fundus"...musst Du also manuell machen....wenn der Provider es erlaubt eigene ISO-Images hochzuladen und den VPS davon zu starten oder Raw-Images zu installieren, dann geht das. Sonst musst Du ihn nach einem Image fragen.

[LyDjane]

16 hours ago, Ford Prefect said:

17 hours ago, LyDjane said:

 

dann bitte Vorsicht.

Auf / für einen VPS bist Du als Admin verantwortlich. Wie stellst Du sicher, dass das OS / der VPS entsprechend gegen Attacken abgesichert ist?

 

16 hours ago, Ford Prefect said:

Du hast ne öffentliche IP und das OS hat Dienste...wie sicherst Du die ab? Der VPS hat keinen Router vorne dran. Da musst Du Dich drum kümmern.

 

da bin ich schmerzfrei. Mehr als eine Umwandlung von der IPv4 auf die öffentliche IPv6 passiert damit derzeit nicht.

Updates fahre ich natürlich dann.

 

Hast du eine Empfehlung für ein Image?
OPNsense 22.7 (amd64) - OPNsense-22.7-OpenSSL-dvd-amd64.iso
pfSense CE 2.6.0 (amd64) - pfSense-CE-2.6.0-RELEASE-amd64.iso

stehen beide unter anderem zur Verfügung. Ich würde gerne so wenig Konfigurationsaufwand wie möglich mit dem VPS haben.

Vielen Dank und viele Grüße!

[Ford Prefect]

3 hours ago, LyDjane said:

da bin ich schmerzfrei. Mehr als eine Umwandlung von der IPv4 auf die öffentliche IPv6 passiert damit derzeit nicht.

Updates fahre ich natürlich dann.

Wenn Du meinst, dass Du die anderen Services des OS auf dem VPS im Griff hast ( ... , ssh??) kannst Du WG ja auch nativ dort installieren und einrichten.

Goggle ist voll mit Anleitungen....