WireGuard werkt "half" wel, "half". niet

[bucovaina89]

Ik heb thuis een RPI4 waar oa. een WireGuard op draait. Ik kan connecteren en meestal werkt het goed. Alleen bij browsen merk ik dat bepaalde websites niet willen laden, terwijl websites op dezelfde client in een andere tab wel willen laden. Ik laad bijvoorbeeld mijn webmail, maar die wil niet mee. Ik doe een nslookup en hij vindt het IP adres van de webmail webserver, maar console.log in firefox geeft dit:

code:

Unchecked lastError value: Error: Could not establish connection. Receiving end does not exist.

(overigens, in Safari heb ik hetzelfde gedrag).

En dan plots, na een tijd refreshen, andere sites proberen, werkt het om een of andere magische wijze wel.

Zet ik de WireGuard tunnel op de client uit, heb ik nooit problemen.

Het geeft me het gevoel dat het iets met DSN gaat zijn. De WireGuard tunnel gebruikt dezelfde interne DNS server (die zelf naar 8.8.8.8 gaat forwarden) en ik heb op de client als allowed IP's alles van IPv6 en IPv4 toegestaan.

Ik heb ook hetzelfde op mijn GSM, ik zou zeggen dat 75% van de sites werkt, tot er weer eens iets niet laadt. Mijn vrouw gebruikt de WireGuard niet omdat bijna al haar apps dan niet werken. Ik heb daar al met MTU aan het klooien geweest maar dat lost ook niets op. Trouwens als het aan MTU lag zou ik eerder verwachten dat het een "alles of niets verhaal is".

Wat het ook nog wel zou kunnen zijn - ook al denk ik van niet - is dat de client eerst 10.10.10.1 gaat proberen maar dat het om wat voor reden niet lukt. De time-out ervaar ik dan als: werkt niet. Soms probeert hij dan toch de 2e server (8.8.8.8) en dan lukt het plots wel.

Maar nog, dan kan ik nog niet alles samen leggen want als ik zonder WireGuard VPN rechtstreeks thuis zit op 10.10.10.0/24 heb ik nooit DNS problemen.

Heeft iemand nog ideeën?

client.conf voorbeeldje:

(10.10.10.1 is mijn router en ook interne DNS server, die forwardt

code:

[Interface]
PrivateKey = domdomdom=
Address = 10.6.0.4/24
DNS = 10.10.10.1, 8.8.8.8

[Peer]
PublicKey = DIEISVERDWENEN=
PresharedKey = DIEISOOKVERDWENEN=
Endpoint = DIE.IS.OOK.VERDWENEN:51820
AllowedIPs = 0.0.0.0/0, ::0/0

Mijn interne DNS server is een Synology MR2200ac, waar ik de forwarder enabled heb, hij staat op forward first (andere optie is only forward) en de server naar waar ik forward is 8.8.8.8.

Thanks!

[bucovaina89]

En als toevoeging, websites/servers in de interne LAN kan ik altijd goed bereiken over dezelfde WireGuard tunnel.

[Hero of Time]

Mooie configuratie, maar als je je public key weghaalt, zorg dan dat je private key ook afgeschermd is. Die laatste wil je namelijk liever niet publiekelijk hebben.

Wat heb je zelf als netwerk troubleshooting uitgevoerd, anders dan proberen een site te laden? Traceroute etc. kan hiermee erg handig zijn. Je zegt ook dat je DNS netjes resolved, maar wat krijg je dan terug? Ik heb namelijk het vermoeden dat je alleen IPv4 over je wireguard hebt en de browser via IPv6 wil gaan verbinden. Dat werkt dan niet.

[Brahiewahiewa]

Hero of Time schreef op zaterdag 7 mei 2022 @ 10:11:
... Ik heb namelijk het vermoeden dat je alleen IPv4 over je wireguard hebt en de browser via IPv6 wil gaan verbinden. Dat werkt dan niet.

Klopt:

code:

::0/0

is geen geldige notatie

code:

::/0

is dat wel

[Hero of Time]

Brahiewahiewa schreef op zaterdag 7 mei 2022 @ 12:35:
[...]

Klopt:

code:

::0/0

is geen geldige notatie

code:

::/0

is dat wel

Dat maakt niet uit. Dat gaat namelijk om de allowed address, wie zou er potentieel als client mogen verbinden of door de vpn mogen. Dat heeft verders niets te maken om een webserver die via IPv6 werkt te benaderen. Het wel of niet hebben van een IPv6 adres dat ook nog eens via de vpn is te routeren wel.

[bucovaina89]

wow hoe dom kan je zijn, ik dacht dat ik de private eruit had gehaald, ff die key revoken oeps

[bucovaina89]

@Hero of Time: dat van IPv6 zou kunnen dat heb ik nog niet uitgetest!