Anleitung für eine WireGuard Site-to-Site Verbindung zwischen AVM FritzBox FritzOS 7.58 und OPNSense 24.1.7.

Hintergrund

Der Hintergrund dieses Projektes war, auf ein Netzwerk in einem Ferienhaus (in Italien) zu zugreifen, und so das Ferienhaus von zu Hause aus zu überwachen. Des weiteren war noch gewünscht, dass es eine lokale Telefonnummer gibt, die man dann auch von zu Hause aus verwenden kann. Hier nun der Erfahrungsbericht und eine Anleitung für eine WireGuard Site-to-Site Verbindung zwischen AVM FritzBox FritzOS 7.58 und OPNSense 24.1.7.

Voraussetzung

Dafür wurde eine FritzBox 6850 LTE (Fritz!OS 7.58) besorgt und ein Mobilfunkvertrag für monatlich 6 Euro mit 150GB/Monat, 10000 Minuten und 500 SMS abgeschlossen. Die SIM wird dann fix in der FritzBox 6850 bleiben, und über ein VPN soll man ins Ferienhaus-Netzwerk kommen und mit !FritzFon auch telefonieren können.

Warum nicht die FritzBox 6890? Die FritzBox 6890 war ursprünglich die 1. Wahl, aber leider funktioniert das Telefonieren mit der FritzBox 6890 nicht über GSM/LTE, sondern nur über VOIP oder einen Festnetzanschluss. Deswegen wurde es die FritzBox 6850, wobei das Telefonieren auch nur dann funktioniert, wenn der Mobilfunkbetreiber VoLTE unterstützt.

Plan A  – Direkt mit WireGuard auf die FritzBox

Der ursprüngliche Plan war, die WireGuard Verbindung zwischen PC/Handy und der FritzBox direkt aufzubauen. Die dafür benötigten Einstellungen und Schritte, die auf der FritzBox gemacht werden müssen, sind gut dokumentiert und waren auch kein Problem. Allerdings habe ich die Rechnung ohne dem Mobilfunkanbieter gemacht. Dieser stellt leider keine öffentliche IP-Adresse zur Verfügung, sondern die FritzBox bekommt eine IP-Adresse aus einem privaten IP-Adressbereich. Damit war eine Verbindung von außerhalb auf die FritzBox nicht möglich.

Plan B – WireGuard Site-to-Site Verbindung von der FritzBox zu OPNSense

Da zu Hause eine OPNSense Firewall für etwas Sicherheit und den geschützten Zugriff von außerhalb sorgt, lag es nahe, eine WireGuard Site-to-Site Verbindung zwischen FritzBox und OPNSense Firewall herzustellen. Dann wäre es möglich von zu Hause auf das Netzwerk des Ferienhaus zu zugreifen. Zu Hause gibt es quasi eine statische IP-Adresse, sicherheitshalber gibt es aber mit Dynamic DNS eine Möglichkeit immer die aktuelle IP-Adresse unter dem selben DNS Namen zu erreichen.

Einrichten der WireGuard Site-to-Site Verbindung der falsche Weg

Damit die FritzBox die Verbindung zur OPNSense Firewall aufbauen kann, habe ich eine WireGuard Instance „Ferienhaus_Site2Site“ angelegt und danach ein Peer „FritzBox_Site2Site“, damit sich die FritzBox autenthifizieren kann.

Daraus ergibt sich dann folgende Konfiguration, die ich in der FritzBox hinterlegt habe

[Interface]
PrivateKey = PRIVATE_KEY_FRITZBOX
Address = 10.178.0.1/32
DNS = 10.178.0.1, 8.8.8.8

[Peer]
PublicKey = PUBLIC_KEY_OPNSENSE
PresharedKey = PRESHARED_KEY_OPNSENSE
Endpoint = NACH_HAUSE.dyndns.org:7001
AllowedIPs = 10.178.0.0/24, 192.168.0.0/24, 192.168.178.0/24

Der Erfolg ist nicht ausgeblieben, FritzBox und OPNSense haben sich verbunden, ABER es war nur eine Verbindung aus dem Netzwerk „Ferienhaus“ nach Hause möglich, eine Verbindung von zu Hause in das Netzwerk „Ferienhaus“ war nicht möglich. Dabei hat die OPNSense Firewall alles durchgelassen, was auch in den Logs ersichtlich war, aber es kam keine Antwort zurück.

Das hat mich dann gute 4 Abende gekostet, und ich konnte keine Lösung dafür finden. Dann habe ich in einem Forum gelesen, dass der AVM Support gemeint hat, dass es sich bei dieser Konfiguration um keine Site-to-Site Verbindung handelt, sondern die FritzBox eine RoadWorrier Verbindung zur OPNSense aufbaut.

Also nochmals von vorne begonnen, und die Tutorials durch gegangen, wo die Konfiguration nicht über eine Datei erstellt wird.

WireGuard Site-to-Site von der FritzBox zu OPNSense

Aufbau

Hier nun die Schritt für Schritt Anleitung, wie es bei mir funktioniert hat. Wobei derzeit folgende Versionen aktuell sind

• Fritz!OS Version 7.58
• OPNSense Version 24.1.7

1. Instance in OPNSense anlegen

Für die Site-to-Site Verbindung habe ich eine extra „Instance“ angelegt mit einem eigenen Port. Damit will ich die Site-to-Site und die schon bestehenden RoadWorrier Verbindungen trennen.

2. Aus der WireGuard Instance muss ein „Interface“ gemacht werden

Dazu auf „Interfaces -> Assignments“ klicken und aus den vorhandenen „Devices“ ein Interface machen. Es sollte dann in der Liste aufscheinen.

3. Konfiguration der Regeln

Ich habe noch 2 Regeln für das Interface „WireGuardFerienHaus“ erstellt. Dazu auf „Firewall -> Rules -> WireGuardFerienHaus“ gehen und folgende Regeln hinzufügen ..

4. Verbindung in der FritzBox konfigurieren

Beim Abschluss sollte unbedingt die wg_config.conf gesichert werden, weil man davon mehrere Daten braucht. Dafür wird nachdem Abschluss der Konfiguration ein Download-Button zur Verfügung gestellt.

[Interface]
Address = 10.11.0.1/24
DNS = 192.168.178.1
DNS = fritz.box

[Peer]
PublicKey = PUBLIC_KEY_AUS_FRITZBOX_WG_CONFIG)
PresharedKey = PRESHARED_KEY_AUS_FRITZBOX_WG_CONFIG)
AllowedIPs = 192.168.178.0/24
Endpoint = secret_address.myfritz.net:56277
PersistentKeepalive = 25

Beim editieren der eben erstellten Verbindung, sieht man dann folgendes

5. Peer in OPNSense anlegen

WireGuard Site-to-Site Kontrolle

In OPNSense kann man unter „VPN -> WireGuard  -> Status“ kontrollieren, ob eine Verbindung besteht und wann der letzte Handshake statt gefunden hat,

in der FritzBox kann man den Status unter „Internet -> Freigaben -> VPN (WireGuard)“ kontrollieren. Gibt es einen grünen Punkt, dann besteht eine Verbindung, ist der Punkt grau, dann gibt es Probleme. Natürlich sollte man, bei bestehender Verbindung, noch versuchen ein Gerät im gegenüber liegenden Netz zu pingen.

Daraus ergeben sich folgende Verbindungen

• Computer aus dem Netzwerk „Ferienhaus“ können auf Computer im Netzwerk „Heimnetzerk“ zugreifen
• Computer aus dem Netzwerk „Heimnetzwerk“ können auf Computer im Netzwerk „Ferienhaus“ zugreifen

Heimnetzwerk und WG Roadworrier mit Zugriff auf Netzwerk „Ferienhaus“

An und für sich passt das jetzt, allerdings war geplant, dass sowohl der IP-Adressbereich 192.168.0.0/24 (Netzwerk ZuHause) als auch 10.11.0.0/24 (WG RoadWorrier) Zugriff auf das Netzwerk „Ferienhaus“ bekommen sollen. Das ist daran gescheitert, dass in der FritzBox nur der IP-Adressbereich für ein entferntes Netzwerk hinterlegt werden kann.

Als derzeitigen Workaround habe ich die ganze Konfiguration anstatt für 192.168.0.0/24 für das Netz 10.11.0.0/24 gemacht. Daraus ergeben sich folgende Möglichkeiten

• Computer aus dem Netzwerk „Ferienhaus“ können auf Computer im Netzerk „WG Roadworrier“ zugreifen
• Computer aus dem Netzwerk „Ferienhaus“ können NICHT auf Computer im Netzwerk „Heimnetzerk“ zugreifen
• Computer aus dem Netzwerk „Ferienhaus“ können mit VPN Verbindung „WG Roadworrier“ auf das Netzwerk „Heimnetzwerk“ zugreifen
• Computer aus dem Netzwerk „WG Roadworrier“ können auf Computer im Netzwerk „Ferienhaus“ zugreifen
• Computer aus dem Netzwerk „WG Roadworrier“ können auf Computer im Netzwerk „Heimnetzwerk“ zugreifen
• Computer aus dem Netzwerk „Heimnetzwerk“ können auf Computer im Netzwerk „WG Roadworrier“ zugreifen
• Computer aus dem Netzwerk „Heimnetzwerk“ können NICHT auf Computer im Netzwerk „Ferienhaus“ zugreifen
• Computer aus dem Netzwerk „Heimnetzwerk“ können mit VPN Verbindung „WG Roadworrier“ auf das Netzwerk „Ferienhaus“ zugreifen

Die Lösung, dass Geräte aus dem Netzwerk 192.168.0.0/24 (Heimnetzwerk) nur mit bestehender „WG Roadworrier“ Verbindung auf das Netzwerk 192.168.178.0.0/24 (Ferienhaus) zugreifen können, ist nicht optimal, aber für die jetzigen Zwecke reicht es einmal.

Vielleicht weiß jemand dazu eine Lösung, oder in einer der nächsten FritOS Versionen kann man mehrere Netzwerke angeben.

Quellen

• v64.tech – Site2Site WireGuard Verbindung zwischen pfSense und FritzBox
  https://v64.tech/t/anleitung-site2site-wireguard-verbindung-zwischen-pfsense-und-fritzbox/438/6
• administrator.de – Wireguard Site2Site VPN-Verbindung zwischen OPNSense und Fritzbox 7590
  https://administrator.de/forum/wireguard-site2site-vpn-verbindung-zwischen-opnsense-und-fritzbox-7590-6578709172.html
• forum.opnsense.org
  https://forum.opnsense.org/index.php?topic=35216.0
• Site-to-Site vs. RoadWorrier FritzBox
  https://www.fritzbox-info.com/forum/viewthread.php?thread_id=405
• ip-phone-forum.de – Frizbox Lan zu Lan Verbindung funktioniert nur in eine Richtung
  https://www.ip-phone-forum.de/threads/fritzbox-lan-zu-lan-verbindung-funktioniert-nur-in-eine-richtung.315742/

AMAZON LINKS

• AVM FRITZ!Box 6850 5G (Mobilfunk-Internet bis zu 1.300 MBit/s, WLAN AC+N bis 866 MBit/s (5 GHz) & 400 MBit/s

• AVM FRITZ!Box 6850 (LTE-Modem, bis zu 150 MBit/s, WLAN AC+N bis 866 MBit/s (5 GHz) und 400 MBit/s (2, 4 GHz), 4 x Gigabit-LAN, 1x USB 3.0)

 

Alle Angaben ohne Gewähr!

In diesem Artikel sind Partnerlinks enthalten.
Durch einen Klick darauf ge­lan­gt man direkt zum Anbieter.