Hoe apparaat op afstand bereiken via Wireguard?

[PhilipsFan]

Mijn vraag
Ik wil graag vanaf mijn iPhone lokale services van mijn laptop kunnen bereiken. De iPhone en laptop hebben allebei een werkende Wireguard verbinding naar mijn huis en een vast IP-nummer in de Wireguard-reeks.

Relevante software en hardware die ik gebruik
Wireguard draait op een Raspberry Pi 4, hiervoor heb ik PiVPN gebruikt. Mijn iphone gebruikt de normale Wireguard app. De laptop gebruikt Windows 10 met de officiele Wireguard app.

Wat ik al gevonden of geprobeerd heb
Als ik vanaf de iPhone of laptop een apparaat wil gebruiken dat thuis staat (IP in de 192.168 reeks) dan gaat dat prima. Ik gebruik dat bijvoorbeeld om onderweg ook Pihole te kunnen gebruiken. Ik heb hiervoor in de client configuraties de optie DNS=10.6.0.1 toegevoegd. De verbinding met het externe internet gaat dus ook via huis. Hiervoor heb ik ook de regel net.ipv4.ip_forward = 1 toegevoegd aan de systemctl configuratie en de volgende iptables regels worden uitgevoerd bij het opbrengen van de wireguard server:
iptables -A FORWARD -i %i -j ACCEPT
iptables -A FORWARD -o %i -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Ik zou verwachten dat ik dan vanaf de iPhone (met wireguard ip 10.6.0.2) ook de laptop kan bereiken (op z'n wireguard ip 10.6.0.3), bijvoorbeeld Windows file sharing of de Apache webserver, maar dit werkt niet. De services op de Windows laptop zijn onbereikbaar vanaf de iPhone (en ook vanaf de apparaten thuis).

Wat doe ik fout? Ik heb het gevoel dat er nog ergens een route ontbreekt, maar waar...

[FreakNL]

Het kan ook gewoon de Windows firewall zijn hè.

Ik heb WireGuard draaien op Ubuntu en als ik dan mijn laptop daarmee verbind en mijn FireTv ook kan ik gewoon vanaf mijn laptop naar 192.168.3.3 pingen (WireGuard IP van de Fire TV).

Begin eens met basic troubleshooten;

Kun je de iPhone pingen (WireGuard IP) vanaf je WireGuard server? En daarna vanaf je laptop (ook verbonden met WireGuard uiteraard)?

iPhone heeft als het goed is geen block op Ping dus dit is een makkelijke manier om te testen en je sluit je Windows firewall even uit. Voor de zekerheid kun je je iPhone even met WiFi verbinden (zonder WireGuard) en dan lokaal een Ping testen. Dan weet je iig zeker dat hij reageert op Ping .

De andere kant op (wat je wil) is dan de volgende stap.

En wat als je een “tracert -d” op het IP van je iPhone doet vanaf je laptop?

[ Voor 18% gewijzigd door FreakNL op 07-06-2023 19:30 ]

[jadjong]

Wat gebeurd er als je de laptop probeert te bereiken vanaf de laptop zelf op zijn WG-IP?

[PhilipsFan]

Ik heb het al opgelost. Het was inderdaad de Windows Firewall EN m'n eigen Comodo firewall. Die laatste had ik al wel door dat ik die moest aanpassen, maar die Windows Firewall is tricky.

Wat was er aan de hand? Windows classificeert een Wireguard netwerk standaard als een public network. Het valt nog niet mee om dat te veranderen, want Wireguard-netwerken zijn niet zichtbaar in de gewone Windows netwerkinstellingen. Doordat het een public network is, laat de Windows firewall geen binnenkomende connecties toe.

Hoe op te lossen: HKLM/Software/Microsoft/Windows NT/CurrentVersion/NetworkList/Profiles en dan daar je netwerk opzoeken. Dan de 'Category' veranderen van een 0 naar een 1. Dan is het een private network geworden en mogen er inkomende verbindingen binnenkomen.

[PhilipsFan]

Ik zit nog met 1 probleem. Ik zou de Wireguard clients ook graag kunnen bereiken vanaf een pc in huis, die dus niks van het Wireguard netwerk afweet. Als ik daar 10.6.0.3 intyp in de webbrowser, dan gebeurt er niks. Na een tijdje zegt hij dat hij geen antwoord krijgt van de server.

Dat is ook wel logisch natuurlijk, want die machine weet de weg niet naar de 10.6 reeks. Hoe kan ik 'm dat vertellen?

[jadjong]

In je router een route aanmaken voor 10.6.0.0/24 via het ip van de PiVPN.

[PhilipsFan]

jadjong schreef op woensdag 7 juni 2023 @ 21:00:
In je router een route aanmaken voor 10.6.0.0/24 via het ip van de PiVPN.

Yes, gelukt, dat werkt! Thanks!

Nu nog een nice to have. Is er een manier om de machines op 1 manier bereikbaar te maken (zowel via Wireguard als lokaal), bijvoorbeeld door aanpassingen aan DNS? Ik zou het heel handig vinden om in m'n webbrowser thuis iets van 'server' te kunnen typen en dat die dan bereikt wordt, onafhankelijk van waar dat ding zich op dat moment bevindt.

Ik kom daar zelf niet uit, want de Windows hosts file accepteert maar 1 IP per hostname. Ik wil eigenlijk een soort omgekeerde Round Robin DNS, maar ik weet niet of dat bestaat.

[jadjong]

Lokaal een DNS service aanslingeren (192.168.1.254 ofzo) (hallo PiHole!) en daarin server.philips.fan koppelen aan 10.6.0.3. Vervolgens zorgen dat Wireguard clients ook 192.168.1.254 als DNS mee krijgen. En dan in WG weer instellen dat 192.168.1.0/24 via de PiVPN er uit moet, maar dat heb je al werkend.

[PhilipsFan]

jadjong schreef op woensdag 7 juni 2023 @ 22:01:
Lokaal een DNS service aanslingeren (192.168.1.254 ofzo) (hallo PiHole!) en daarin server.philips.fan koppelen aan 10.6.0.3. Vervolgens zorgen dat Wireguard clients ook 192.168.1.254 als DNS mee krijgen. En dan in WG weer instellen dat 192.168.1.0/24 via de PiVPN er uit moet, maar dat heb je al werkend.

Dat klinkt als een handig plan en ga ik zeker proberen, maar hoe zorg ik er dan voor dat de machine ook te bereiken is als hij lokaal in het netwerk hangt? Want dan is de Wireguard link niet actief en is hij alleen bereikbaar onder z'n 192.168 adres.