AVM Fritz!Box Wie nutzt ihr Wireguard zum Zugriff auf NAS Freigaben?

[B0ngripper]

Ich bin relativ frisch in dem Thema, nutze aber Wireguard bereits clientseitig unter Windows.

Habe die conf Datei aus der Fritzbox genommen und diese in den Wireguard Client eingespielt. Lokale IP von daheim in der NAS Freigabe eingetragen. Läuft. Auch z.B. auf Dienstreisen im Hotel.

Problem ist, dass es unter Linux (Ubuntu und Garuda) nicht funktionieren will. Das Vorgehen ist identisch mit oben. "Kein Zugriff erlaubt." Bei beiden lässt sich ein VPN nativ einbinden, man braucht keine zusätzliche Software wie Wireguird o.ä.

Was ich nicht verstehe ist, dass ich unter Windows nur 1x die (feste) lokale IP von WIndows auf der Syno eingetragen habe und seitdem funktioniert der Zugriff von extern, egal wo ich bin bzw. welche lokale IP ich dort habe. Ich gehe davon aus, dass die conf Datei den Rest übernimmt, weil dort auch das Schlüsselpaar steht. Wenn man nach dem Thema bei Linux sucht, findet man oft Hinweise darauf, dass man IP Ranges in die NAS Freigabe eintragen soll (z.B. 10.xxx.... 192.168.xxx.... 172.xxx....), damit auch die variable lokale IP des externen Netzwerkes dabei ist.

Warum funktioniert es unter Windows automatisch nach einmaliger Konfiguration und unter Linux nicht?

Gibt es hierfür vielleicht einen besseren Ansatz? Machen IP Ranges das NAS/Heimnetz nicht angreifbarer? Ich würde halt gerne einen sauberen Ansatz für beide Systeme zum Zugriff auf NAS Freigaben haben. Mit Quickconnect würde ich vollen Zugriff von überall bekommen, aber mir geht es nur um die Einbindung als Netzlaufwerk/Mount im lokalen Dateimanager. Wie daheim halt.

P.S. Windows und Linux laufen natürlich auf Laptops, ich habe keinen Desktop auf Dienstreisen dabei.

 

[*kw*]

Grundsätzlich gehört VPN in den Router und nicht auf das NAS. Da müssen auch keine IPs freigegeben werden.

Was stellst du denn auf dem NAS ein? Wenn die Verbindung zwischen Fritzbox und Client steht, verhält sich alles danach als wärst du im LAN.

 

[JohneDoe]

Grundsätzlich gehört VPN in den Router und nicht auf das NAS

Das stimmt so nicht. Es gehört nicht auf das NAS, aber es muss nicht unbedingt der Router sein wo es läuft.

Wegen IPs freigegeben. Vielleicht will er auch nicht LAN allen Geräten Zugriff geben. Dann muss er ja sehr wohl IPs freischalten.
Ich hab leider gerade kein Linux da um es auszuprobieren, aber eigentlich müsste sich das genauso verhalten wie bei deinem Windows

 

[w00dcu11er]

Evtl. hast du nicht alle Protokolle, die du brauchst, freigegeben bzw. aktiviert (Systemeinstellungen / Dateidienste)?

Aber "kein Zugriff" impliziert ja ein Berechtigungsproblem - wenn nicht an User/Gruppe, dann evtl. Protokoll oder Firewall (IP Block o.ä.)?

 

[B0ngripper]

Grundsätzlich gehört VPN in den Router und nicht auf das NAS. Da müssen auch keine IPs freigegeben werden.

Was stellst du denn auf dem NAS ein? Wenn die Verbindung zwischen Fritzbox und Client steht, verhält sich alles danach als wärst du im LAN.

Wireguard ist auf der Fritzbox konfiguriert. Wireguard läuft als Client unter Windows bzw. bei Linux habe ich die conf Datei direkt im Netzwerkmanager eingelesen. Die Verbindung funktioniert auch. Nur kann ich die NFS Freigaben über das VPN nicht mounten. Lokal funktionieren die Mounts ohne Probleme.

Auf dem NAS muss ich nur die NFS Freigaben konfigurieren, sprich über Gruppen/IPs etc. Mit WIndows geht das auf IP Basis auch ohne Probleme. Mit Linux nicht. Selbst, wenn ich die gleiche IP festlege.

 

[AndiHeitzer]

Nur kann ich die NFS Freigaben über das VPN nicht mounten. Lokal funktionieren die Mounts ohne Probleme.

Nur eine Frage zur Sicherheit.
Als verbundener VPN-Client kommt das Laptop mit einer anderen IP daher, als lokal im Netz. Das hast Du bedacht?

 

[B0ngripper]

Ja. Allerdings habe ich mit dem WIndows Client nie wieder etwas am Client noch am NAS einstellen müssen, es funktioniert einfach.

Von meinem Verständnis her müssten aber in den NFS Freigaben die extermen IPs stehen, damit der Zugriff funktioniert. Was bedeutet, man müsste mit den üblichen IP Ranges bekannter Router arbeiten oder jedes Mal erst nachschauen, welche IP man z.B. gerade im Hotel hat und diese dann in der NFS Freigabe eintragen. Oder?

 

[JohneDoe]

Wenn du per VPN verbunden bist, dann bist du in deinem Netzwerk drin. Die IP vom Hotel ist da egal. Du arbeitest da nur mit den internen IPs weiter

 

[AndiHeitzer]

Nein, die FB stellt dem VPN-Client eine 'interne' IP zur Verfügung, mit der Du dann im heimischen Netz unterwegs bist.

Bei mir hier habe ich Feste IPs im Bereich 0-99 (192.168.0.xxx), per DHCP (per DSM) vergebe ich im Bereich 101-199 und die VPN-Clients liegen dann ab 200 an ...
Auf der FB schaffe ich das, indem ich beim Erstellen einer VPN-Verbindung (braucht jeder Client eine eigene) den DHCP auf der FB temporär von 1-200 einrichte.

 

[*kw*]

@Kachelkaiser: den Hinweis habe ich oben vorausgesetzt. Kommt davon, wenn alles schon so lange stabil läuft und man die entscheidenden Kleinigkeiten vergisst. WG-IPs dürfen natürlich auf die DS zugreifen.

 

[Hagen2000]

In der .conf-Datei steht ja die IP-Adresse drin, die der Client erhält. Die Datei kannst Du ja mal mit einem Texteditor anschauen und das kontrollieren. Wie @AndiHeitzer schon geschrieben hat, sollte das eine IP-Adresse aus deinem Heimnetzbereich sein.
Ob es schlau ist, die selbe Konfiguration auf verschiedenen Geräten zu benutzen, sei dahingestellt. Dann darf sich immer nur genau eines der Geräte verbinden.

Da es auch Site-2-Site-VPN-Verbindungen gibt, bei denen aus dem jeweiligen Netz geroutet wird, hast Du wahrscheinlich entsprechende Empfehlungen gefunden, größere Adressbereiche oder sogar alle privaten IP-Adressen freizugeben. Da du hier aber eine Client-2-Site-Verbindung eingerichtet hast, sollte das bei dir nicht erforderlich sein.

 

[ElaCorp]

es ist so beschämend, dass Synology für seine Router WireGuard nicht nachpatcht oder freigibt. Auch dieser "AppStore" ist nichts wert, weil da keiner was für macht. Haben die eigentlich die NetzwerkGeräte schon offiziel abgestoßen? Zumindest hab ich den Eindruck.

 

[ctrlaltdelete]

Blöde Frage, hast du denn WG auf deinem Linux installiert?
https://www.wireguard.com/install/

 

[B0ngripper]

Nein. Ubuntu und Garuda unterstützen Wireguard nativ ohne weitere Software. Unter Windows nutze ich die WG Software.

Danke für die Antworten! Ich probiere es daheim aus, sobald ich von der Bergtour zurück bin. Glaube, es sollte jetzt funktionieren und ich habe verstanden, was wie konfiguriert werden muss.