IPs über wireguard nicht erreichbar?
Mein wireguard-server (wg-easy) hat in meinem Heimnetz die IP 192.168.178.11. Die conf-Dateien:
# Server
[Interface]
PrivateKey = <key>
Address = 10.8.0.1/24
ListenPort = 51820
PreUp =
PostUp = iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE; iptables -A INPUT -p udp -m udp --dport 51820 -j ACCEPT; iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT;
PreDown =
PostDown =
# Client: iphone
[Peer]
PublicKey = <key>
PresharedKey = <key>
AllowedIPs = 10.8.0.2/32
Auf meinem iPhone, über Mobilfunk (sowohl Telekom als auch Vodafone Netz) kann ich eine Verbindung aufbauen und erreiche alle IPs. Auch, wenn ich mein iPad mit dem Hotspot verbunden habe und darauf den VPN aktiviert habe, konnte ich alle Geräte erreichen.
Wenn ich in einem anderen WLAN bin (auch 192.168.178.X), kann ich weiterhin eine Verbindung aufbauen und komme auch ins Internet. Allerdings erreiche ich die IPs nicht mehr. 192.168.178.11 (der wireguard-host) ist im Gastnetz z.B. nicht vergeben, kann aber trotzdem nicht gepingt werden.
1 Antwort
Bevor Daten durch den Tunnel, den wireguard bei Verbindung einrichtet, gesendet werden können, muss der eine Peer den anderen auf seiner Server-Adresse erreichen können. Das ist bei dir 192.168.178.11. Da es sich um eine RFC1918-Adresse handelt, wird diese nicht durch Internet geroutet. Verbindest du also mittels mobiler Verbindung oder von einem anderen WLAN, kann der eine Peer den anderen nicht erreichen, und infolgedessen auch nicht den wireguard-Tunnel zwischen den beiden aufbauen.
Du bräuchtest für den Peer, den du erreichen möchtest, entweder eine öffentliche IP Adresse, oder müsstest an deinem Router eingehende UDP Pakete gerichtet an den anderen Peer zu dem weiterleiten.
RFC1918 Adressen werden nicht durch Internet geroutet. Da helfen keine offenen Ports und kein DynDNS
Kann ich mich trotzdem irgendwie mit dem VPN verbinden?
Nimmst die Router Adresse als Server Adresse, statt der 192.168... und konfigurierst deinen Router so, dass eingehende UDP Pakete mit Zielport dem des wireguard peers weitergeleitet werden zum wireguard peer.
Oder einfacher, konfiguriere stattdessen deinen Router als wireguard peer.
Oder lässt den wireguard peer selbst verbinden mit einem anderen im Netz mit öffentlicher und bevorzugt fester IP Adresse
Oder lässt den wireguard peer selbst verbinden mit einem anderen im Netz mit öffentlicher und bevorzugt fester IP Adresse, dann können auch weitere peers mit dem verbinden und untereinander Daten austauschen.
über Mobilfunk funktioniert es doch?
eine URL ist mit der DynDNS vom Heimnetz verbunden und der Port 51820 ist offen.