Wireguard Site-to-Site VPN (S2S)

Site-to-Site VPN (S2S) mit Wireguard konfigurieren

Letzte Anpassung zur Version: 12.2.5

Neu:

PSK in Zwischenablage kopieren
Assistent aktualisiert: (v12.2.3)
- Der Schnittstellenname wird im Assistenten mit angezeigt (v12.2.3)
- Export und Import der Schlüssel ist auch über die Zwischenablage möglich (v12.2.3)
- Der Zeitraum für das Keepalive-Signal ist konfigurierbar (v12.2.3)

Vorherige Versionen: -

Site-to-Site VPN (S2S) mit Wireguard konfigurieren

Letzte Anpassung: 12.4

Neu:

PSK in Zwischenablage kopieren
Assistent aktualisiert: (v12.2.3)
- Der Schnittstellenname wird im Assistenten mit angezeigt (v12.2.3)
- Export und Import der Schlüssel ist auch über die Zwischenablage möglich (v12.2.3)
- Der Zeitraum für das Keepalive-Signal ist konfigurierbar (v12.2.3)
- Überarbeitung von Schritt 2 bei der Erstellung der WireGuard Verbindung (v12.4)

Vorherige Versionen: 12.2.5

Konfiguration unter → VPN →WireGuard

Voraussetzungen

Schlüssel vom Typ x25519 auf beiden Seiten der WireGuard-Verbindung
Öffentlicher x25519 Schlüssel der jeweiligen Gegenstelle liegt vor

Schlüssel hinzufügen
Schlüsselverwaltung öffnen unter → Authentifizierung →Schlüssel und mit der Schaltfläche Schlüssel hinzufügen den Dialog öffnen
Eindeutigen Namen vergeben und als Typ X25519 wählen Dialog mit der Schaltfläche Speichern schließen
Schlüssel exportieren
PEM	Exportiert den Schlüssel im .pem-Format	Schlüsselverwaltung
neu ab v12.2.3 Zwischenablage verwenden Ein PEM	Kopiert den Schlüssel im .pem-Format in die Zwischenablage
Schlüssel importieren
Schlüssel importieren	Öffnet den Dialog zum Schlüssel-Import
Datei	Importiert einen Schlüssel aus einer .pem-Datei
Zwischenablage	Importiert einen Schlüssel aus der Zwischenablage. Hier muss ein Name für den Schlüssel vergeben werden.

WireGuard Verbindung erstellen

Eine WireGuard Verbindung stellt den Zugang für ggf. mehrere Peers zur Verfügung
Jede Verbindung wird mit einem eigenen Schlüsselpaar gesichert
Alle Peers einer Verbindung verwenden dessen öffentlichen Schlüssel
Jeder Peer benötigt ein eigenes Schlüsselpaar, um sich zu authentifizieren
Zusätzlich sollte jeder Peer mit einem starken PSK abgesichert werden

Gegeben sei folgende Konfiguration:

	Standort A	Standort B	Transfer Netz
FQDN	a.vpn.anyideas.de	b.vpn.anyideas.de	–
Lokales Netz IPv4	10.1.0.0/16	10.2.0.0/16	10.0.1.0/24
Lokale Tunnel IPv4	10.0.1.1/24	10.0.1.2/24	–
Lokales Netz IPv6	fd00:a:0:0::0/64	fd00:b:0:0::0/64	fd00:0:0:0::0/64
Lokale Tunnel IPv6	fd00:0:0:0::1/64	fd00:0:0:0::2/64	–

	UTM	Roadwarrior	Transfer Netz
FQDN	a.vpn.anyideas.de	–	–
Lokales Netz IPv4	10.1.0.0/16	–	10.0.1.0/24
Lokale Tunnel IPv4	10.0.1.1/24	10.0.1.201/24	–
Lokales Netz IPv6	fd00:a:0:0::0/64	–	fd00:0:0:0::0/64
Lokale Tunnel IPv6	fd00:0:0:0::1/64	fd00:0:0:0::C9/64	–

Konfiguration an Standort A

Beschriftung	Wert	Beschreibung	WireGuard Assistent - Schritt 1
Assistenten starten mit der Schaltfläche WireGuard Verbindung hinzufügen Schritt 1 - Schnittstelle Standort A Schritt 1 - Schnittstelle
Schnittstelle:	wg0	Name der Schnittstelle, die für die Verbindung angelegt wird (automatische Vorgabe, kann nicht geändert werden)
Name:	wg_server	Eindeutiger Name für die Verbindung
IPv4 Adresse:	10.0.1.1/24	IPv4 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: 10.0.1.1/24)
IPv6 Adresse:	fd00:0:0:0::1/64	IPv6 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A (optional) Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: fd00:0:0:0::1/64)
Listening Port:	51820	Default-Port für WireGuard Verbindungen
Privater Schlüssel:	x25519_a.vpn	Privater Schlüssel im Format x25519. Es sind nur solche Schlüssel auswählbar, die auch über einen privaten Schlüsselteil verfügen.
Privater Schlüssel:		Liegt noch kein lokaler Schlüssel im x25519-Format vor, kann mit dieser Schaltfläche ein solcher erzeugt werden.

Schritt2 - Peer Standort A Schritt2 - Peer
Name:	peer-b	Bezeichnung der Gegenstelle	WireGuard Assistent - Schritt 2
Erlaubte IPs:	» ✕10.2.0.0/16» ✕ffd00:b:0:0::/64	Lokale Netz IP der Gegenstelle
Endpunkt:	b.vpn.anyideas.de	Öffentliche IP oder im öffentlichen DNS auflösbarer FQDN der Gegenstelle Wird nicht benötigt, wenn ausschließlich die Gegenstelle die Verbindung initiieren soll
Endpunkt Port:	51820	Listening-Port der Gegenstelle
Öffentlicher Schlüssel:	x25519_b_vpn	Öffentlicher Schlüssel der Gegenstelle im Format x25519 Es sind nur solche Schlüssel auswählbar, die über keinen privaten Schlüssel verfügen. Öffentlicher Schlüssel vorhanden, aber nicht auswählbar? Es lassen sich nur Schlüssel auswählen, für die auf diesem Interface nocht keine Verbindung besteht. Der PublicKey muss innerhalb einer Verbindung eindeutig sein, da das Routing eingehender Pakete darüber durchgeführt wird. Soll für einen Peer der gleiche PublicKey z.B. für ein Fallback verwendet werden, muss dafür eine weitere WireGuard Verbindung angelegt werden.
Öffentlicher Schlüssel:		Liegt der öffentliche Schlüssel der Gegenstelle noch nicht vor, kann mit dieser Schaltfläche der Import der Schlüsselverwaltung geöffnet werden. neu ab v12.2.3: Export und Import der Schlüssel ist auch über die Zwischenablage möglich
Pre-Shared Key:	…8DmBioPyPNqZ7Rk=	Pre-Shared Key zur weiteren Absicherung der Verbindung (optional)
		Erzeugt einen sehr starken Pre-Shared Key Der Pre-Shared Key muss an beiden Enden der VPN-Verbindung identisch sein!
	v12.2.5	Kopiert den PSK in die Zwischenablage
Keepalive:	Aus	Sendet regelmäßig ein Signal. Dadurch werden Verbindungen auf NAT-Routern offen gehalten. Ein Die Aktivierung wird empfohlen.
Keepalive:	25	Abstand in Sekunden, in dem ein Signal gesendet wird

Schritt 3 - Allgemein Standort A Schritt 3 - Allgemein
Routen zu den Netzwerken des Peers erstellen:	Nein	Aktivierung Ein wird empfohlen. Es werden Routen zu den Netzwerken / Hosts erstellt, die in Schritt 2 unter Erlaubte IPs eingetragen wurden mit der Schnittstelle als Gateway, die in Schritt 1 angezeigt wurde.	WireGuard Assistent - Schritt 3
Zonen erstellen:	Nein	Erzeugt eine neue Zone für die WireGuard Schnittstelle
Netzwerkobjekte für den Peer erstellen:	Nein » ✕net-wg-peer-b	Erzeugt bei Aktivierung Ja Netzwerkobjekte (IPv4 und ggf. IPv6) für die Gegenstelle. Der automatische Vorschlag kann auch geändert werden.
Regeln zwischen dem Peer und internal-networks erstellen:	Nein	Erzeugt bei Aktivierung Ja autogenerierte Regeln, die die Inbetriebnahme erleichtern. Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.

Konfiguration an Standort B Konfiguration an Standort B Assistenten starten mit der Schaltfläche WireGuard Verbindung hinzufügen Schritt 1 - Schnittstelle Standort B Schritt 1 - Schnittstelle
Schnittstelle:	wg0	Name der Schnittstelle, die für die Verbindung angelegt wird (automatische Vorgabe, kann nicht geändert werden)	WireGuard Assistent - Schritt 1
Name:	wg_server	Eindeutiger Name für die Verbindung
IPv4 Adresse:	10.0.1.2/24 Korrektur 06,2022	IPv4 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort B Hier muss eine IP aus dem Netz gewählt werden, das am Standort A festgelegt wurde (hier: 10.0.1.2/24)
IPv6 Adresse:	fd00:0:0:0::2/64 Korrektur 06,2022	IPv6 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A (optional) Hier muss eine IP aus dem Netz gewählt werden, das am Standort A festgelegt wurde(hier: fd00:0:0:0::2/64)
Listening Port:	51820	Default-Port für WireGuard Verbindungen
Privater Schlüssel:	x25519_a.vpn	Privater Schlüssel im Format x25519. Es sind nur solche Schlüssel auswählbar, die auch über einen privaten Schlüsselteil verfügen.
Privater Schlüssel:		Der öffentliche Schlüssel wurde bereits in Standort A benötigt, daher sollte es auch bereits einen privaten Schlüssel geben. Ggf. kann der hier auch über die Zwischenablage neu importiert werden.

Schritt2 - Peer Standort B Schritt2 - Peer
Name:	peer-a	Bezeichnung der Gegenstelle (Hier: Standort A)	WireGuard Assistent - Schritt 2
Erlaubte IPs:	» ✕10.1.0.0/16» ✕fd00:a:0:0::/64 Korrektur 06,2022	Site to Site - S2S Lokale Netz IP der Gegenstelle (Hier: Standort A)
Endpunkt:	a.vpn.anyideas.de	Öffentliche IP oder im öffentlichen DNS auflösbarer FQDN der Gegenstelle (Hier: Standort A) Wird nicht benötigt, wenn ausschließlich die Gegenstelle (Hier: Standort A) die Verbindung initiieren soll
Endpunkt Port:	51820	Listening-Port der Gegenstelle (Hier: Standort A)
Öffentlicher Schlüssel:	x25519_a_vpn	Öffentlicher Schlüssel der Gegenstelle (Hier: Standort A) im Format x25519. Es sind nur solche Schlüssel auswählbar, die über keinen privaten Schlüssel verfügen.
Öffentlicher Schlüssel:		Liegt der öffentliche Schlüssel der Gegenstelle noch nicht vor, kann mit dieser Schaltfläche der Import der Schlüsselverwaltung geöffnet werden.
Pre-Shared Key:	…R0Z0DWUs+iCDFYzpP4=	Pre-Shared Key zur weiteren Absicherung der Verbindung (optional)
		Erzeugt einen sehr starken Pre-Shared Key Der Pre-Shared Key muss an beiden Enden der VPN-Verbindung identisch sein!
	v12.2.5	Kopiert den PSK in die Zwischenablage
Keepalive:	Aus	Sendet regelmäßig ein Signal. Dadurch werden Verbindungen auf NAT-Routern offen gehalten. Ein Die Aktivierung wird empfohlen.
Keepalive:	25	Abstand in Sekunden, in dem ein Signal gesendet wird

Schritt 3 - Allgemein Standort B Schritt 3 - Allgemein
Routen zu den Netzwerken des Peers erstellen:	Nein	Aktivierung Ein wird empfohlen. Es werden Routen zu den Netzwerken / Hosts erstellt, die in Schritt 2 unter Erlaubte IPs eingetragen wurden mit der Schnittstelle als Gateway, die in Schritt 1 angezeigt wurde.	WireGuard Assistent - Schritt 3
Zonen erstellen:	Nein	Erzeugt eine neue Zone für die WireGuard Schnittstelle
Netzwerkobjekte für den Peer erstellen:	Nein » ✕net-wg-peer-a	Erzeugt bei Aktivierung Ja Netzwerkobjekte (IPv4 und ggf. IPv6) für die Gegenstelle. Der automatische Vorschlag kann auch geändert werden.
Regeln zwischen dem Peer und internal-networks erstellen:	Nein	Erzeugt bei Aktivierung Ja autogenerierte Regeln, die die Inbetriebnahme erleichtern. Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.

Fritzbox als Gegenstelle
Wird eine Fremdhardware als Gegenstelle verwendet, bietet sich folgendes Vorgehen an: Schlüsselpaar für die Fritzbox erstellen (→ Authentifizierung →Schlüssel) Öffentlichen und privaten Teil des Schlüssels im .raw-Format exportieren Schlüsselpaar für die Fritzbox löschen und nur den öffentlichen Teil wieder importieren WireGuard Verbindung wie oben beschrieben hinzufügen Öffentlichen Schlüssel der UTM im .raw-Format exportieren Untenstehende Vorlage ergänzen und innerhalb der Fritzbox einfügen unter Internet / Freigaben / Reiter VPN / Schaltfläche VPN-Verbindung hinzufügen / Option Eine WireGuard Verbindung importieren [Interface] PrivateKey = $PRIVATE_KEY_FRITZBOX ListenPort = $LISTENPORT_WIREGUARD_FRITZBOX Address = $LOCAL_IP_FRITZBOX/$NETMASK [Peer] PublicKey = $PUBLIC_KEY_UTM PresharedKey = $PRESHAREDKEY AllowedIPs = $NETWORK_UTM/$NETMASK Endpoint = $HOSTNAME_UTM:$LISTENPORT_WIREGUARD_UTM PersistentKeepalive = 1			Lade video Vimeo Ja, ich bin ausdrücklich damit einverstanden, dass meine Daten an Vimeo übermittelt werden. Datenschutzrichtlinie Kurzvideo Konfiguration mit Fritzbox als Gegenstelle