Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Wireguard Fritzbox-pfSense

    Scheduled Pinned Locked Moved Allgemeine Themen
    64 Posts 13 Posters 21.1k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • B
      bananajoe
      last edited by

      Ich muss mich korrigieren.
      Es geht doch in beide Richtungen.

      Der Trick ist, dass man als INterface beider WG Konfig der Fritte kein Transportnetz nehmen darf. Es muss die IP der Fritte eingetragen werden.

      Hoffe das hilft weiter

      Bob.DigB 1 Reply Last reply Reply Quote 0
      • Bob.DigB
        Bob.Dig LAYER 8 @bananajoe
        last edited by

        @bananajoe Wollte ich meinen. NATet die Fritte immer noch alles über ihre IP-Adresse? Daran hatten sich hier einige gestört.

        B m0njiM 2 Replies Last reply Reply Quote 0
        • B
          bananajoe @Bob.Dig
          last edited by

          @Bob-Dig
          Naja, zumindest komme ich ohne Port-Forwarding an alle Geräte von dem jeweiligen Netz aus.
          Das schickt für meinen Usecase.

          Ich versuche jetzt aber nochmal weitere Netz auf der Sense Seite für die Fritzbox erreichbar zu machen.

          1 Reply Last reply Reply Quote 0
          • m0njiM
            m0nji @Bob.Dig
            last edited by

            @Bob-Dig wenn man in der WG Config bei "Address" die reale IP der Fritzbox einträgt anstatt der WG Transfernetz IP, dann NATed die Fritzbox nichts. Die Clients hinter der Fritzbox kommen mit ihrer realen IP bei der pfSense an.

            @Spacey-0 nutze einfach die Config von meinem Beispiel (Site-B), diese importierst du auf der Fritzbox. Private/Public Key kannst du dir über einen Online-Generator generieren lassen.

            Intel i3-N305 / 4 x 2.5Gbe LAN @2.7.2-Release
            WAN: Vodafone 1000/50, Telekom 250/40; Switch: USW Enterprise 8 PoE, USW Flex XG, US-8-60W; Wifi: Unifi 6 Lite AP, U6 Mesh

            Bob.DigB 1 Reply Last reply Reply Quote 1
            • Bob.DigB
              Bob.Dig LAYER 8 @m0nji
              last edited by Bob.Dig

              @m0nji said in Wireguard Fritzbox-pfSense:

              @Bob-Dig wenn man in der WG Config bei "Address" die reale IP der Fritzbox einträgt anstatt der WG Transfernetz IP, dann NATed die Fritzbox nichts. Die Clients hinter der Fritzbox kommen mit ihrer realen IP bei der pfSense an.

              Ok. Dachte, es gibt generell kein Transfernetz zur Fritte?
              Sprich, wenn man keines benutzt, wird auch nicht geNATet? Interessant.

              1 Reply Last reply Reply Quote 0
              • J
                Jakelandiar
                last edited by

                Nabend. Bei mir funktioniert der Weg von der Fritzbox zu PfSense. Kann dort pingen etc. Aber von der Pfsense bekomme ich einfach keine Verbindung zur Fritzbox hin.
                Meine Konfiguration sieht so aus wie bei @m0nji nur mit anderen IPs.
                Gibt es noch irgendwo eine Magische Stelle außer Gateway und Routing? Firewall ist für das Interface und Wireguard aktuelles alles erlaubt.

                m0njiM 1 Reply Last reply Reply Quote 0
                • m0njiM
                  m0nji @Jakelandiar
                  last edited by

                  @Jakelandiar du hast zwar geschrieben, du hast die Konfiguration wie bei mir übernommen aber hast du auch sichergestellt, dass auf der pfSense Seite, bei den WG Peers dort auch unter "Allowed IPs" das Ziel Netz der Fritte eingetragen ist mit der 24er Maske?
                  Kannst du denn von der Fritte nur die pfSense über das Transfernetz anpingen oder auch das Netz hinter der pfSense?

                  Intel i3-N305 / 4 x 2.5Gbe LAN @2.7.2-Release
                  WAN: Vodafone 1000/50, Telekom 250/40; Switch: USW Enterprise 8 PoE, USW Flex XG, US-8-60W; Wifi: Unifi 6 Lite AP, U6 Mesh

                  A T 2 Replies Last reply Reply Quote 0
                  • A
                    alex303 @m0nji
                    last edited by alex303

                    Hallo zusammen,

                    bin auch dabei mir einen WireGuard Tunnel zur Fritzbox aufzubauen.

                    Nach diesem Video hatte ich den Tunnel eingerichtet:
                    https://www.youtube.com/watch?v=Zp-cN1Lcw9o&t=310s

                    pfSense IP: 192.168.40.254
                    Fritzbox IP 192.168.45.254
                    WireGuard Tunnel pfSense: 10.10.0.254
                    Peer Fritzbox IP: 10.10.0.1

                    Auf der pfSense habe ich folgendes Problem, sobald ich das Gateway aktiviere, kann man keine Internetseite mehr öffnen.

                    Die Fritzbox lässt sich auch nicht anpingen, nur die Wireguard IP der Fritzbox 10.10.0.1.
                    gateway.jpg statische route.jpg
                    wg schnittsetelle.jpg

                    A 1 Reply Last reply Reply Quote 0
                    • T
                      Teddy @m0nji
                      last edited by

                      @m0nji

                      Ich schließe mich auch mal den fragenden an.
                      Bin exakt nach dieser Anleitung vorgegangen: https://v64.tech/t/anleitung-site2site-wireguard-verbindung-zwischen-pfsense-und-fritzbox/438/6

                      Und habe auch nochmal alles mit deinen Einstellungen oben abgeglichen. PFSense verbindet sich mit der Fritzbox, Verkehr von der FritzBox zur PFSense hin läuft und funktioniert in jeglicher Form, aber von der PFSense zur FritzBox hin geht nichts. Kein Ping, gar nichts.

                      Muss hier noch irgendwas spezielles mit NAT oder DNS eingestellt werden? Firewallregeln habe ich schon alle durchgekaut, ich bekomme einfach nicht vom PFSense Netzwerk die FritzBox angepingt, auch eingetragenem Ziel der Fritte und der 24er Maske.

                      1 Reply Last reply Reply Quote 0
                      • A
                        alex303 @alex303
                        last edited by

                        Mir ist gerade noch aufgefallen das unter Status Gateways die WAN Gateways offline sind.
                        Ist das richtig?
                        gateways-2.jpg

                        X 1 Reply Last reply Reply Quote 0
                        • X
                          xt_ntwrk @alex303
                          last edited by xt_ntwrk

                          Hi, ich habe die Anleitung mal kurz überflogen. Finde ich relativ umständlich...

                          Ich benutze auf meinen FritzBoxen immer folgende Konfiguration. Und passe dort immer manuell den Private-Key usw. an

                          In dem Beispiel hat die FritzBox die 192.168.24.x und die PFSense die 10.10.10.x (internes Netzwerk) und die 10.10.20.x (Wireguard Netz)

                          [Interface]
                          PrivateKey = [PRIVATEKEY]
                          Address = 192.168.24.1/24
                          DNS = 192.168.24.1
                          DNS = fritz.box
                          
                          [Peer]
                          PublicKey = [PUBLICKEY]
                          PresharedKey = [PRESHAREDKEY]
                          AllowedIPs = 10.10.10.0/24,10.10.20.0/24
                          Endpoint = [DNSNAME]:51820
                          PersistentKeepalive = 25
                          

                          Ich habe sonst keine besonderen Einstellungen gemacht. Nur ein ganz normalen Wireguard Client auf der PFSense angelegt

                          Nachtrag: Ich habe natürlich für jede FritzBox in der PFSense ein Gateway & statische Route angelegt. Das wäre hier z.B. 10.10.20.35 (FritzBox Wireguard IP) -> 192.168.24.0/24

                          T 1 Reply Last reply Reply Quote 1
                          • T
                            Teddy @xt_ntwrk
                            last edited by Teddy

                            @xt_ntwrk

                            Danke! Sieht aus, als ginge es in Babyschritten voran mit deiner angepasste Konfig-Datei.

                            Jetzt kann ich wenigstens schonmal vom Interface der PFSense die FritzBox pingen, was vorher ins leere lief. Von Rechnern & Co. geht's immer noch nicht. Da fehlt also noch der Feinschliff, irgendwo ne Regel vergessen?

                            FritzBox vom Interface der PFSense pingen geht, andere Geräte im Subnet der FritzBox nicht.
                            Geht doch, nur ein einzelnes Gerät im Subnet nicht, andere Baustelle also.

                            m0njiM 1 Reply Last reply Reply Quote 0
                            • m0njiM
                              m0nji @Teddy
                              last edited by m0nji

                              @Teddy wir kennen deine config nicht, daher nur stochern im dunkeln möglich ;)
                              ich tippe mal fast auf die falsche statische route bzw. falsche gateway konfiguration

                              @xt_ntwrk: du meinst mit umständlicher anleitung die von v64.tech? habe mir die zwar nicht angeschaut aber deine config sieht ja auch so aus wie meine ganz ob, also von daher passt das ;)

                              @alex303: als erstes würde ich bei den standardgateway mal ein gateway auswählen und nicht auf automatisch stehen lassen! welche clients ggf. über den wg tunnel ins internet sollen, konfigurierst du per firewall rules (policy based routing). die internen clients hinter der fritte erreichst du durch die statische route in der pfsense.
                              dann bitte auch bei dem WG interface die MTU verkleinern. mind auf 1420 runter...ich würde dort aber mal mit 1300 anfangen. wenn dann mal alles läuft kann der wert auch noch etwas nach oben.
                              auch hier sieht man keine weitere config von wireguard auf der pfsense noch auf der fritte.
                              hast du meine config von oben probiert? also gerade die fritzbox seite ist am anfang verwirrend und folgt nicht ganz dem standard!

                              Intel i3-N305 / 4 x 2.5Gbe LAN @2.7.2-Release
                              WAN: Vodafone 1000/50, Telekom 250/40; Switch: USW Enterprise 8 PoE, USW Flex XG, US-8-60W; Wifi: Unifi 6 Lite AP, U6 Mesh

                              T A 2 Replies Last reply Reply Quote 1
                              • T
                                Teddy @m0nji
                                last edited by Teddy

                                @m0nji

                                FritzBox: 192.168.178.1
                                PFSense LAN Subnet: 192.168.3.0
                                Wireguard Netz: 10.10.20.0

                                System-Log sagt nur: Mar 15 22:27:41 dpinger 28841 WGFB 10.10.20.1: sendto error: 93

                                [Interface]
                                PrivateKey = 0CXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX4=
                                Address = 192.168.178.1/24
                                DNS = 192.168.178.1
                                DNS = fritz.box

                                [Peer]
                                PublicKey = QXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXjg=
                                PresharedKey = lNXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXaQ=
                                AllowedIPs = 192.168.3.0/24,10.10.20.0/24
                                Endpoint = DDNSMEINESPFSENSE:51820
                                PersistentKeepalive = 25

                                ![alt text](WireguardGW.png WireguardStaticRoute.png Interfaces.png

                                m0njiM 1 Reply Last reply Reply Quote 0
                                • A
                                  alex303 @m0nji
                                  last edited by

                                  @m0nji said in Wireguard Fritzbox-pfSense:

                                  als erstes würde ich bei den standardgateway mal ein gateway auswählen und nicht auf automatisch stehen lassen!

                                  Wo stellt man das ein?

                                  @m0nji said in Wireguard Fritzbox-pfSense:

                                  welche clients ggf. über den wg tunnel ins internet sollen, konfigurierst du per firewall rules (policy based routing)

                                  Das brauche ich nicht, über den Tunnel zur Fritzbox werden nur Daten von der Heizung gesteuert.

                                  @m0nji said in Wireguard Fritzbox-pfSense:

                                  die internen clients hinter der fritte erreichst du durch die statische route in der pfsense.

                                  Soweit komme ich noch nicht, da sobald ich das Gateway WG1 aktiviere ich über die pfSense nicht mehr ins Internet komme.

                                  Irgendwas ist hier noch nicht richtig konfiguriert, ich weis nur nicht was.

                                  Gruß
                                  Alexander

                                  Bob.DigB m0njiM 2 Replies Last reply Reply Quote 0
                                  • Bob.DigB
                                    Bob.Dig LAYER 8 @alex303
                                    last edited by Bob.Dig

                                    @alex303 said in Wireguard Fritzbox-pfSense:

                                    Wo stellt man das ein?

                                    Das Standardgateway (Default gateway) der pfSense wirst Du wohl noch selbst finden, andernfalls ist das hier nicht das richtige für Dich.

                                    A 1 Reply Last reply Reply Quote 1
                                    • A
                                      alex303 @Bob.Dig
                                      last edited by

                                      @Bob-Dig said in Wireguard Fritzbox-pfSense:

                                      Das Standardgateway (Default gateway) der pfSense wirst Du wohl noch selbst finden, andernfalls ist das hier nicht das richtige für Dich.

                                      Sorry, hatte das auf dem Handy geschaut und das nicht gesehen.
                                      Auf dem PC sieht das schon besser aus.
                                      WG Gateway ist an und das Internet funktioniert weiter.

                                      Ist das denn richtig das bei den WAN Gateway im Status immer noch Offline steht?
                                      status gateways.jpg

                                      1 Reply Last reply Reply Quote 0
                                      • m0njiM
                                        m0nji @Teddy
                                        last edited by m0nji

                                        @Teddy deine interface config auf der pfsense ist schon mal falsch. dort muss 10.10.20.2 mit einer 30er maske rein anstelle von 10.10.20.0/31. du kannst auch eine 24er maske nehmen...
                                        in diesem fall hat dein pfsense wg interface dann als die 10.10.20.2 adresse und kann mit der 30er maske auch die 10.10.20.1 erreichen.
                                        wie siehts mit der statischen route aus?

                                        BTW: Interface WG MTU wie gesagt auf 1400 oder 1300 stellen

                                        Intel i3-N305 / 4 x 2.5Gbe LAN @2.7.2-Release
                                        WAN: Vodafone 1000/50, Telekom 250/40; Switch: USW Enterprise 8 PoE, USW Flex XG, US-8-60W; Wifi: Unifi 6 Lite AP, U6 Mesh

                                        T 1 Reply Last reply Reply Quote 1
                                        • m0njiM
                                          m0nji @alex303
                                          last edited by m0nji

                                          @alex303
                                          Unter System --> Routing --> Gateways stellst du dein "WAN_PPPOE" ein für IPV4 und "WAN_DHCP6" für IPV6. Sieht dann ungefähr so aus
                                          134982ec-7384-4480-bf07-9ed9b8d112c7-image.png
                                          Nur das ich aktuell kein IPV6 nutze.
                                          Editiere auch mal dein "WAN_PPPOE" Gateway und stell bei "Monitor IP" bspw. "8.8.8.8" ein. Nicht in jedem Fall kann das Standard GW angepingt werden...

                                          Wenn du jetzt nach dem Aktivieren des WG Gateways nach wie vor Internet hast, würde ich jetzt weiter machen bei der Statischen Route.
                                          Also Destination Network 192.168.45.0/24 und Gateway wäre dann "WGnach..."

                                          BTW: Interface WG MTU wie gesagt auf 1400 oder 1300 stellen

                                          Intel i3-N305 / 4 x 2.5Gbe LAN @2.7.2-Release
                                          WAN: Vodafone 1000/50, Telekom 250/40; Switch: USW Enterprise 8 PoE, USW Flex XG, US-8-60W; Wifi: Unifi 6 Lite AP, U6 Mesh

                                          1 Reply Last reply Reply Quote 1
                                          • A
                                            alex303 @m0nji
                                            last edited by

                                            @m0nji said in Wireguard Fritzbox-pfSense:

                                            Also drauf achten, dass die reale Fritzbox IP, in meinem Beispiel 172.21.22.22/24, eingetragen wird.

                                            Nachdem ich dann NUR die IP der Fritte eingetragen habe funktioniert es jetzt.

                                            Vielen Dank für euere Unterstützung.

                                            @m0nji said in Wireguard Fritzbox-pfSense:

                                            Interface WG MTU wie gesagt auf 1400 oder 1300 stellen

                                            Woran kann man erkennen wann der richtige Wert eingetragen ist?
                                            Muss man bei MSS auch etwas eingetragen?
                                            Soll man MTU auf im LAN Interface eintragen?

                                            m0njiM 1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.