FritzBox VPN → UniFi Cloud Gateway Fiber über IPv64 Cloud Router – nur Gateway erreichbar

Firewalls / Router
, ,
1

Hallo zusammen,

ich habe eine VPN-Verbindung zwischen einer FritzBox und einem UniFi Cloud Gateway Fiber eingerichtet. Die Verbindung läuft über den IPv64 Cloud Router und nutzt WireGuard.

Die VPN-Verbindung steht grundsätzlich, allerdings habe ich ein Problem mit der Erreichbarkeit in eine Richtung.

Netze:

  • FritzBox Netz: 192.168.178.0/24

  • UniFi Netz: 192.168.179.0/24

  • UniFi Gateway: UniFi Cloud Gateway Fiber

  • UniFi nutzt nur das Standardnetzwerk (kein VLAN)

Problem:

  • Vom UniFi-Netz (179) kann ich problemlos Geräte im FritzBox-Netz (178) erreichen.

  • Vom FritzBox-Netz (178) ins UniFi-Netz (179) funktioniert es aber nicht richtig.

Wenn ich von der FritzBox-Seite etwas im UniFi-Netz anpinge:

  • 192.168.179.1 (Gateway) → erreichbar

  • andere Geräte im Netz (z.B. Drucker oder mein UGREEN NAS) → nicht erreichbar

Die Geräte funktionieren lokal im UniFi-Netz ohne Probleme.

Auffälliges Verhalten:

Wenn ich aus dem FritzBox-Netz im Browser 192.168.179.1 aufrufe, bekomme ich nicht die UniFi Gateway Oberfläche, sondern die Oberfläche der FritzBox angezeigt.

Das hat mich etwas verwundert, da ich hier eigentlich das UniFi Gateway erwartet hätte.

Konfiguration:

  • VPN läuft über WireGuard

  • Verbindung wird über den IPv64 Cloud Router aufgebaut

Zusätzlich habe ich mir mehrere Videos von Raspberry Pi Cloud angeschaut, in denen erklärt wird, wie man die Firewall- und Routing-Regeln für dieses Setup konfiguriert.

Die Firewall-Regel im UniFi Gateway habe ich entsprechend dieser Anleitung eingerichtet, sodass der Traffic zwischen den beiden Netzen erlaubt sein sollte.

Weitere Auffälligkeit:

  • In der FritzBox kann ich keine statische Route für 192.168.179.0/24 anlegen, da sie meldet, dass es keine erlaubte Route ist.

  • Wenn ich versuche, das 179er Netz in den WireGuard AllowIPs einzutragen, meldet die FritzBox, dass es mit einem bestehenden Netz kollidiert.

Aktuelles Verhalten:

  • UniFi → FritzBox funktioniert

  • FritzBox → UniFi nur Gateway erreichbar

Hat jemand eine Idee, woran das liegen könnte oder ob ich bei der FritzBox oder beim UniFi Gateway noch eine Einstellung übersehen habe?

Falls nötig kann ich auch noch posten:

  • WireGuard Konfiguration

  • Routing Tabellen

  • Firewall Regeln im UniFi Gateway

  • IPv64 Cloud Router Einstellungen

Danke schon mal :+1:

2

Moin,
Das ist denke ich ein typisches Fritzbox-Problem. Da die FB nach meinem Kenntnisstand das 192.168.179.0/24 für das Gastnetz benutzt, lässt sie es wahrscheinlich nicht zu. Auch wenn man das Gastnetz gar nicht aktiv hat…

3

Mit ist es mal gelungen, das Gastnetz einer 7490 auf 192.168.181.0/24 zu ändern. Das ging aber so weit ich mich erinnere nur über Umwege, die ich nicht mehr rekonstruieren kann. Die Box läuft aber noch immer mit dem 192.168.181.0/24-Gastnetz.

4

danke für die information ich werde mal schauen ob ich es hinbekomme daran an das gastnetzwerk habe ich nicht gedacht

5

selbst wenn ich das unifi auf das 180 netz stelle klapt es nur in eine richtung und nicht aus dem dem fritznox netz in das unifi netz

hat wer noch ein vorschlag was ich anpssen muss?

6

Kennt denn die FB das Netz hinter der unifi und kennt die unifi die Rückroute?

7

Ich habe auf der UniFi eine statische Route ins 178er-Netz eingerichtet und kann auch einen Drucker im 178er-Netz erreichen.

Diese WireGuard-Konfiguration möchte ich der FRITZ!Box beibringen:

[Interface]
PrivateKey = code
DNS = 86.54.11.100

[Peer]
PublicKey = code
PresharedKey = code
AllowedIPs = 10.7.0.0/24,192.168.189.0/24,192.168.180.0/24
Endpoint = srv03.vpn64.de:52618
PersistentKeepalive = 15

Das funktioniert so aber nicht, weil die FRITZ!Box meldet, dass 192.168.180.0/24 mit 192.168.180.1/32 kollidiert.
Wenn ich das 180er-Netz aus den AllowedIPs entferne, lässt sich die Konfiguration übernehmen.

Eine statische Route kann ich auf der FRITZ!Box ebenfalls nicht anlegen, weil sie als nicht erlaubt abgewiesen wird.

Beim traceroute sehe ich Folgendes:

  • Vom 180er-Netz komme ich über das 10er-Netz in das FRITZ!Box-Netz.

  • Auch aus dem Netz hinter der UniFi, also dem 189er-Netz, komme ich ins 178er-Netz.

Wenn ich das Ganze aus Richtung FRITZ!Box teste:

  • Mit dem 10er-Netz komme ich ins VPN.

  • Mit dem 189er-Netz komme ich ebenfalls ins VPN, allerdings nur bis zu dem Router, der das VPN verwaltet. Danach geht es nicht weiter.

  • Wenn ich vom FRITZ!Box-Netz aus das 180er-Netz ansprechen möchte, wird der Verkehr ins Internet geschickt und nicht über das VPN geroutet.

Das 192.168.189.0/24-Netz ist in diesem Fall nicht relevant.
Es handelt sich dabei nur um ein nachgelagertes Netzwerk zur Trennung von Geräten.

Das eigentlich wichtige Netz ist das 192.168.180.0/24.
In diesem Netz laufen mehrere Dienste, unter anderem ein NAS, das ich auch aus dem 192.168.178.0/24-Netz der FRITZ!Box erreichen möchte.

Die Situation ist also folgende:

  • 192.168.178.0/24 → FRITZ!Box-Netz

  • 192.168.180.0/24 → Netzwerk mit Servern/Diensten (NAS usw.)

  • 192.168.189.0/24 → nachgelagertes Netz zur Geräte-Trennung (hier nicht relevant)

Das Ziel ist, dass Geräte im 178er Netz über das VPN auf Dienste im 180er Netz zugreifen können, insbesondere auf das NAS.

Das Routing funktioniert grundsätzlich bereits in eine Richtung, jedoch verhindert die FRITZ!Box aktuell das saubere Routing des 192.168.180.0/24-Netzes über den WireGuard-Tunnel, da sie eine Kollision mit 192.168.180.1/32 meldet.

8

192.168.180.0/24 ist auch so ein Netzwerk, was die Fritzbox anmeckert…
Ich wollte mal eine Route zu diesem Netz einrichten und da sagt die FB auch, dass das kollidiert mit einem anderen…

Gibt auch einen Helpdesk-Artikel dazu, den ich aber gerade nicht zur Hand habe…