WireGuard Site-to-Site VPN (S2S)

notempty

Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty

Der Artikel für die neueste Version steht hier

notempty

Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht

notempty

Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty

Der Artikel für die neueste Version steht hier

notempty

Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht

Site-to-Site VPN (S2S) mit WireGuard konfigurieren

Letzte Anpassung zur Version: 12.5.1

Neu:

AD-Benutzer als Peer auswählbar

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.2.5

Site-to-Site VPN (S2S) mit WireGuard konfigurieren

Letzte Anpassung zur Version: 12.5.1

Neu:

Der Endpunkt Port im Einrichtungsschritt 2 ist manuell einstellbar
AD-Benutzer als Peer auswählbar

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.2.5

Konfiguration unter → VPN →WireGuard

Voraussetzungen

Schlüssel vom Typ x25519 auf beiden Seiten der WireGuard-Verbindung
Öffentlicher x25519 Schlüssel der jeweiligen Gegenstelle liegt vor

Schlüssel hinzufügen
Schlüsselverwaltung öffnen unter → Authentifizierung →Schlüssel und mit der Schaltfläche Schlüssel hinzufügen den Dialog öffnen
Eindeutigen Namen vergeben und als Typ X25519 wählen Dialog mit der Schaltfläche Speichern schließen
Schlüssel exportieren
PEM	Exportiert den Schlüssel im .pem-Format	Schlüsselverwaltung
Zwischenablage verwenden Ein PEM	Kopiert den Schlüssel im .pem-Format in die Zwischenablage
Schlüssel importieren
Schlüssel importieren	Öffnet den Dialog zum Schlüssel-Import
Datei	Importiert einen Schlüssel aus einer .pem-Datei
Zwischenablage	Importiert einen Schlüssel aus der Zwischenablage. Hier muss ein Name für den Schlüssel vergeben werden.

WireGuard Verbindung erstellen

Eine WireGuard Verbindung stellt den Zugang für ggf. mehrere Peers zur Verfügung
Jede Verbindung wird mit einem eigenen Schlüsselpaar gesichert
Alle Peers einer Verbindung verwenden dessen öffentlichen Schlüssel
Jeder Peer benötigt ein eigenes Schlüsselpaar, um sich zu authentifizieren
Zusätzlich sollte jeder Peer mit einem starken PSK abgesichert werden

Gegeben sei folgende Konfiguration:

	Standort A	Standort B	Transfer Netz
FQDN	a.vpn.anyideas.de	b.vpn.anyideas.de	–
Lokales Netz IPv4	10.1.0.0/16	10.2.0.0/16	10.0.1.0/24
Lokale Tunnel IPv4	10.0.1.1/24	10.0.1.2/24	–
Lokales Netz IPv6	fd00:a:0:0::0/64	fd00:b:0:0::0/64	fd00:0:0:0::0/64
Lokale Tunnel IPv6	fd00:0:0:0::1/64	fd00:0:0:0::2/64	–

	UTM	Roadwarrior	Transfer Netz
FQDN	a.vpn.anyideas.de	–	–
Lokales Netz IPv4	10.1.0.0/16	–	10.0.1.0/24
Lokale Tunnel IPv4	10.0.1.1/24	10.0.1.201/24	–
Lokales Netz IPv6	fd00:a:0:0::0/64	–	fd00:0:0:0::0/64
Lokale Tunnel IPv6	fd00:0:0:0::1/64	fd00:0:0:0::C9/64	–

Konfiguration an Standort A

Assistenten starten mit der Schaltfläche WireGuard Verbindung hinzufügen

Standort A Schritt 1 - Schnittstelle

Beschriftung

Wert

Beschreibung

WireGuard Assistent - Schritt 1

Schnittstelle:

wg0

Name der Schnittstelle, die für die Verbindung angelegt wird (automatische Vorgabe, kann nicht geändert werden)

Name:

wg_server

Eindeutiger Name für die Verbindung

IPv4 Adresse:

10.0.1.1/24

IPv4 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A
Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: 10.0.1.1/24)

IPv6 Adresse:

fd00:0:0:0::1/64

IPv6 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A (optional)
Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: fd00:0:0:0::1/64)

Listening Port:

51820

Default-Port für WireGuard Verbindungen

Privater Schlüssel:

Privater Schlüssel im Format x25519.
Es sind nur solche Schlüssel auswählbar, die auch über einen privaten Schlüsselteil verfügen.

Liegt noch kein lokaler Schlüssel im x25519-Format vor, kann mit dieser Schaltfläche ein solcher erzeugt werden.

Servernetzwerke global freigeben:

Netzwerke auf (lokaler) Serverseite, auf die die WireGuard-Tunnel der Peers prinzipiell zugreifen können.notempty

Für den tatsächlichen Zugriff werden zusätzlich Netzwerkobjekte und Portfilter-Regeln benötigt!

Standort A Schritt 2 - Peer

Verwende AD Benutzer als Peers:

Nein

Bei Aktivierung Ein können die Daten für Roadwarrior aus einem AD ausgelesen werden.

WireGuard Assistent - Schritt 2

Als Vorgabe sind Werte eingetragen, die unter Reiter Erweitert konfiguriert wurden.

WireGuard-Attribute (IPv4):	extensionAttribute1	Attribut Name im AD, der als Wert die Tunnel-IPv4 für den RW enthält ➊	WireGuard Assitent - Schritt 2 mit AD Benutzern als Peers Werte im AD
WireGuard-Attribute (IPv6):	extensionAttribute2	Attribut Name im AD, der als Wert die Tunnel-IPv6 für den RW enthält ➋
WireGuard-Public-Key-Attribute:	extensionAttribute3	Der Public-Key des Users. ➌ Der User muss über den private-Key verfügen.
Öffne AD/LDAP Dialog:	Aus	Bei Aktivierung wird im Anschluss der Dialog unter → Authentifizierung →AD/LDAP Authentifizierung aufgerufen.
Fertig	Beendet den Assistenten

Name:

peer-b

Bezeichnung der Gegenstelle

Erlaubte IPs:

» ✕10.2.0.0/16 » ✕fd00:b:0:0::/64

Lokale Netz-IPs der Gegenstelle, die auf den WireGuard-Tunnel zugreifen können.

notempty

Für den tatsächlichen Zugriff werden zusätzlich Netzwerkobjekte und Portfilter-Regeln benötigt!

Endpunkt:

b.vpn.anyideas.de

Öffentliche IP oder im öffentlichen DNS auflösbarer FQDN der Gegenstelle

Wird nicht benötigt, wenn ausschließlich die Gegenstelle die Verbindung initiieren soll

Endpunkt Port:

51820

Listening-Port der Gegenstelle

Öffentlicher Schlüssel:

Öffentlicher Schlüssel der Gegenstelle im Format x25519
Es sind nur solche Schlüssel auswählbar, die über keinen privaten Schlüssel verfügen.

Öffentlicher Schlüssel vorhanden, aber nicht auswählbar?

Es lassen sich nur Schlüssel auswählen, für die auf diesem Interface noch keine Verbindung besteht. Der PublicKey muss innerhalb einer Verbindung eindeutig sein, da das Routing eingehender Pakete darüber durchgeführt wird.
Soll für einen Peer der gleiche PublicKey z.B. für ein Fallback verwendet werden, muss dafür eine weitere WireGuard Verbindung angelegt werden.

Liegt der öffentliche Schlüssel der Gegenstelle noch nicht vor, kann mit dieser Schaltfläche der Import der Schlüsselverwaltung geöffnet werden.
Export und Import der Schlüssel ist auch über die Zwischenablage möglich

Pre-Shared Key:

…8DmBioPyPNqZ7Rk=

Pre-Shared Key zur weiteren Absicherung der Verbindung (optional)

Erzeugt einen sehr starken Pre-Shared Key

Der Pre-Shared Key muss an beiden Enden der VPN-Verbindung identisch sein!

Kopiert den PSK in die Zwischenablage

Keepalive:

Aus

Sendet regelmäßig ein Signal. Dadurch werden Verbindungen auf NAT-Routern offen gehalten. Ein Die Aktivierung wird empfohlen.

25

Sekunden

Abstand in Sekunden, in dem ein Signal gesendet wird

Standort A Schritt 3 - Erweiterte Einstellungen

Routen zu den Netzwerken des Peers erstellen:

Nein

Aktivierung Ein wird empfohlen.
Es werden Routen zu den Netzwerken / Hosts erstellt, die in Schritt 2 unter Erlaubte IPs eingetragen wurden mit der Schnittstelle als Gateway, die in Schritt 1 angezeigt wurde.

WireGuard Assistent - Schritt 3

Zonen erstellen:

Nein

Erzeugt eine neue Zone für die WireGuard Schnittstelle

Zonenname:

wireguard-wg0

Name für die Zone der WireGuard-Verbindung

Netzwerkobjekte für den Peer erstellen:

Nein
» ✕net-wg-peer-b

Erzeugt bei Aktivierung Ja Netzwerkobjekte (IPv4 und ggf. IPv6) für die Gegenstelle. Der automatische Vorschlag kann auch geändert werden.

Netzwerkgruppe:

wg0-network

Netzwerkgruppe der Verbindung wird angezeigt

Regeln zwischen dem Peer und internal-networks erstellen:

Nein

Erzeugt bei Aktivierung Ja autogenerierte Regeln, die die Inbetriebnahme erleichtern. notempty

Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.

Fertig

Beendet den Assistenten

Konfiguration an Standort B

Assistenten starten mit der Schaltfläche WireGuard Verbindung hinzufügen

Standort B Schritt 1 - Schnittstelle

Schnittstelle:

wg0

Name der Schnittstelle, die für die Verbindung angelegt wird (automatische Vorgabe, kann nicht geändert werden)

WireGuard Assistent - Schritt 1

Name:

wg_server

Eindeutiger Name für die Verbindung

IPv4 Adresse:

10.0.1.2/24

IPv4 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort B
Hier muss eine IP aus dem Netz gewählt werden, das am Standort A festgelegt wurde (hier: 10.0.1.2/24)

IPv6 Adresse:

fd00:0:0:0::2/64

IPv6 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A (optional)
Hier muss eine IP aus dem Netz gewählt werden, das am Standort A festgelegt wurde(hier: fd00:0:0:0::2/64)

Listening Port:

51820

Default-Port für WireGuard Verbindungen

Privater Schlüssel:

Privater Schlüssel im Format x25519.
Es sind nur solche Schlüssel auswählbar, die auch über einen privaten Schlüsselteil verfügen.

Der öffentliche Schlüssel wurde bereits in Standort A benötigt, daher sollte es auch bereits einen privaten Schlüssel geben. Ggf. kann der hier auch über die Zwischenablage importiert werden.

Standort B Schritt 2 - Peer

Verwende AD Benutzer als Peers:

Nein

Bei Aktivierung Ein können die Daten für Roadwarrior aus einem AD ausgelesen werden.

WireGuard Assistent - Schritt 2

Name:

peer-a

Bezeichnung der Gegenstelle (Hier: Standort A)

Erlaubte IPs:

» ✕10.1.0.0/16» ✕fd00:a:0:0::/64

Site to Site - S2S
Lokale Netz IP der Gegenstelle (Hier: Standort A)

Endpunkt:

a.vpn.anyideas.de

Öffentliche IP oder im öffentlichen DNS auflösbarer FQDN der Gegenstelle (Hier: Standort A)

Wird nicht benötigt, wenn ausschließlich die Gegenstelle (Hier: Standort A) die Verbindung initiieren soll

Endpunkt Port:

51820

Listening-Port der Gegenstelle (Hier: Standort A)

Öffentlicher Schlüssel:

Öffentlicher Schlüssel der Gegenstelle (Hier: Standort A) im Format x25519.
Es sind nur solche Schlüssel auswählbar, die über keinen privaten Schlüssel verfügen.

Liegt der öffentliche Schlüssel der Gegenstelle noch nicht vor, kann mit dieser Schaltfläche der Import der Schlüsselverwaltung geöffnet werden.

Pre-Shared Key:

…R0Z0DWUs+iCDFYzpP4=

Pre-Shared Key zur weiteren Absicherung der Verbindung (optional)

Erzeugt einen sehr starken Pre-Shared Key

Der Pre-Shared Key muss an beiden Enden der VPN-Verbindung identisch sein!

Kopiert den PSK in die Zwischenablage

Keepalive:

Aus

Sendet regelmäßig ein Signal. Dadurch werden Verbindungen auf NAT-Routern offen gehalten. Ein Die Aktivierung wird empfohlen.

25

Abstand in Sekunden, in dem ein Signal gesendet wird

Standort B Schritt 3 - Erweiterte Einstellungen

Routen zu den Netzwerken des Peers erstellen:

Nein

Aktivierung Ein wird empfohlen.
Es werden Routen zu den Netzwerken / Hosts erstellt, die in Schritt 2 unter Erlaubte IPs eingetragen wurden mit der Schnittstelle als Gateway, die in Schritt 1 angezeigt wurde.

WireGuard Assistent - Schritt 3

Zonen erstellen:

Nein

Erzeugt eine neue Zone für die WireGuard Schnittstelle

Netzwerkobjekte für den Peer erstellen:

Nein
» ✕net-wg-peer-a

Erzeugt bei Aktivierung Ja Netzwerkobjekte (IPv4 und ggf. IPv6) für die Gegenstelle. Der automatische Vorschlag kann auch geändert werden.

Regeln zwischen dem Peer und internal-networks erstellen:

Nein

Erzeugt bei Aktivierung Ja autogenerierte Regeln, die die Inbetriebnahme erleichtern. notempty

Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.

Fritzbox als Gegenstelle

Die folgenden Schritte sind eine kurze Beschreibung des Vorgehens. Für eine detailliertere Beschreibung den Wiki-Artikel WireGuard S2S mit einer Fritz!Box konsultieren.
Wird eine Fremdhardware als Gegenstelle verwendet, bietet sich folgendes Vorgehen an:

Schlüsselpaar für die Fritzbox erstellen (→ Authentifizierung →Schlüssel)
Öffentlichen und privaten Teil des Schlüssels im .raw-Format exportieren
Schlüsselpaar für die Fritzbox löschen und nur den öffentlichen Teil wieder importieren
WireGuard Verbindung wie oben beschrieben hinzufügen
Öffentlichen Schlüssel der UTM im .raw-Format exportieren
Untenstehende Vorlage ergänzen und innerhalb der Fritzbox einfügen unter Internet / Freigaben / Reiter VPN / Schaltfläche VPN-Verbindung hinzufügen / Option Eine WireGuard Verbindung importieren

[Interface]

PrivateKey = $PRIVATE_KEY_FRITZBOX ListenPort = $LISTENPORT_WIREGUARD_FRITZBOX Address = $LOCAL_IP_FRITZBOX/$NETMASK
[Peer] PublicKey = $PUBLIC_KEY_UTM PresharedKey = $PRESHAREDKEY AllowedIPs = $NETWORK_UTM/$NETMASK Endpoint = $HOSTNAME_UTM:$LISTENPORT_WIREGUARD_UTM PersistentKeepalive = 1

notempty

Ggf. kann die Aktivierung der Option NetBIOS über diese Verbindung zulassen Probleme z.B. mit SMB oder FTP beheben.

Thumbnail for — Kurzvideo Konfiguration mit Fritzbox als Gegenstelle

Widget

Im Admininterface existiert ein Widget für die Übersicht der WireGuard-Verbindungen. Weitere Informationen sind im Wiki-Artikel UTM Widget zu finden.