Handmatig IP opgeven voor VPN in Fritz!Box 4040?

[Josefien]

Hier staat een Fritz!Box 4040 router met firmware 7.57. Er zit een functie in voor een WireGuard VPN server, zodat ik via mijn smartphone (Android) verbinding kan maken met het thuisnetwerk.

Ik wil handmatig het interne IP ("Virtual IP") toewijzen aan de VPN i.p.v. de conflicterende voorkeuze, maar kan die functie niet vinden. Is deze mogelijkheid er überhaupt?

Ik gebruik niet de DHCP-server v/d Fritz!Box, maar heb een andere DHCP-server. Die in de Fritz!Box staat uit en dan gebruikt hij in mijn geval 192.168.117.128 voor de VPN (en telkens eentje hoger als ik een nieuwe verbinding instel). Maar dat IP is intern al in gebruik. Ik zou de VPN naar 192.168.117.11 willen verplaatsen. Maar hoe?

Er lijkt een nare omweg te zijn, door tijdelijk de interne DHCP-server aan te zetten en te laten uitdelen van 192.168.117.2 t/m 192.168.117.10. Als er dan een VPN wordt ingesteld gaat deze naar .11 en blijft ook nadat de DHCP weer uit wordt gezet.

Maar er moet toch een nette manier hiervoor zijn? Ik lees vaak dat een Fritz!Box een uitgebreide router is. Maar tot nu toe vind ik de instelmogelijkheden wel erg beperkt, ook op andere vlakken...

[MasterL]

Ik ben niet heel bekend met de Fritz! producten, ik heb even gekeken voor je op 1 device (ander type als jij hebt) maar kan de setting inderdaad ook niet vinden. Ik weet niet of je de optie hebt om Wireguard op een ander device te draaien als de Fritzbox? Static routes kan je namelijk wel prima instellen dus misschien dat je hiermee een beetje om de limitatie heen kan werken?

Andere optie zou kunnen zijn om DHCP aan te zetten voor de volledige range en vervolgens in jouw switch (als je die hebt) DHCP-snooping op de poort aan te zetten waar de Fritz op aangesloten zit. Ik geef toe beide oplossingen verdienen niet de schoonheidsprijs.

Fritz!Box zijn redelijk uitgebreide routers maar het zijn wel "home" routers, hiermee bedoel ik het absolute centrum van het netwerk die alles doet (WiFi, DHCP, Gateway, VPN, DNS). Waarbij alles uitsluitend en makkelijk te doen is vanuit de GUI. Als je al een andere DHCP server gebruikt e.d. denk ik dat jouw wensen wellicht de mogenlijkheden van de Fritz!Box overschrijden.

[FRITZ!webcare]

Beste Josefien,

als je de DHCP op je FRITZ!Box uitzet heeft de FRITZ!Box geen referentiepunt welke IP-adressen nog niet toegewezen zijn. De FRITZ!Box gebruikt dan het midden van het netwerk.

Als je een class-C netwerk hebt met 192.168.117.x dan gebruikt de FRITZ!Box 192.168.117.128 en de volgende IP-adressen voor de VPN user.

Zoals jij het deed, even de FRITZ!Box los halen van het netwerk en de DHCP van de FRITZ!Box even aanzetten voor de VPN-configuratie, is inderdaad een workaround.
Als je 192.168.117.20 tot 192.168.117.200 als DHCP range in je FRITZ!Box instelt, krijgt de eerste VPN verbinding het IP-adres 192.168.117.201.

We nemen je bericht als aanleiding en sturen de van jouw gezochte instelling intern door als je suggestie voor verbetering.

Vriendelijke groet uit Berlijn,
Je FRITZ!-Support Team

[Josefien]

Er is geen ander apparaat om WireGuard op te draaien. Daarnaast is configureren op bijv. een losse Linux-machine niet per se eenvoudig, maar in de Fritz!Box lijkt dit vrij makkelijk te zijn als het eenmaal werkt.

Met "beperkte instelmogelijkheden" doelde ik ook op bijv. opties in de DHCP en DNS server of WiFi. Iets als een TFTP-adres opgeven of meerdere handmatige entries in de DNS lijken geen mogelijkheid. Ook bijv. de MTU voor de WAN instellen kan niet. Of een verschillende WiFi passcode voor 2,4 en 5Ghz. Dingen die op de Archer C7 wèl konden.

Voor nu is het tijdelijk aanzetten v/d DHCP server voor het instellen v/d VPN de makkelijkste "oplossing" t.o.v. poort-instellingen in de switch veranderen. Maar het mooiste is natuurlijk als het IP handmatig ingevoerd kan worden.

[Frogmen]

Andere manier kan zijn op je DHCP server een vaste lease zetten voor de wireguard IP adressen die je gebruikt en deze koppelen aan een niet bestaand mac-adress.

[MasterL]

Josefien schreef op dinsdag 9 april 2024 @ 00:31:
Er is geen ander apparaat om WireGuard op te draaien. Daarnaast is configureren op bijv. een losse Linux-machine niet per se eenvoudig, maar in de Fritz!Box lijkt dit vrij makkelijk te zijn als het eenmaal werkt.

Met "beperkte instelmogelijkheden" doelde ik ook op bijv. opties in de DHCP en DNS server of WiFi. Iets als een TFTP-adres opgeven of meerdere handmatige entries in de DNS lijken geen mogelijkheid. Ook bijv. de MTU voor de WAN instellen kan niet. Of een verschillende WiFi passcode voor 2,4 en 5Ghz. Dingen die op de Archer C7 wèl konden.

Voor nu is het tijdelijk aanzetten v/d DHCP server voor het instellen v/d VPN de makkelijkste "oplossing" t.o.v. poort-instellingen in de switch veranderen. Maar het mooiste is natuurlijk als het IP handmatig ingevoerd kan worden.

Als ik jouw post zo lees denk ik dat je toe bent aan een wat meer "geavanceerde" router, wat doe je nog met die Fritz!Box? Geen kwaad woord over de Fritz!Box maar ik denk dat jouw wensen de mogelijkheden van de Fritz!Box gewoon overstijgen.

[ElCondor]

MasterL schreef op dinsdag 9 april 2024 @ 12:00:
[...]


Als ik jouw post zo lees denk ik dat je toe bent aan een wat meer "geavanceerde" router, wat doe je nog met die Fritz!Box? Geen kwaad woord over de Fritz!Box maar ik denk dat jouw wensen de mogelijkheden van de Fritz!Box gewoon overstijgen.

Ik ben het hier ook wel mee eens. Als je inderdaad de opties die jij benoemt zou willen gebruiken en je hebt een goed beeld bij wat je daarmee doet, dan is de Fritz helaas niet meer voor jou. Ik heb ook een Fritz gehad en met de groei van mijn netwerk en de daarop beschikbare services die ik wilde gaan ontsluiten kwam ik er ook achter dat een Fritz niet meer voldeed.
Ik ben zelf uiteindelijk overgestapt naar een MikroTik omdat die lekker betaalbaar, maar ook ongelovelijk veel opties hebben, voor die prijs. Ook ik ben hier uiteindelijk voor WireGuard gegaan en kon zonder problemen een scope van netwerkadressen vastpinnen voor mijn externe devices. Aangezien deze adressen specifiek BUITEN de range van mijn DHCP server lagen en ik in de MikroTik een route aangemaakt heb van het WireGuard subnet naar mijn interne netwerk heb ik er geen last van dat er IP adressen dubbel uitgegeven werden.

Wat je ook zou kunnen doen is de range van toe te wijzen IP adressen voor de WireGuard alsnog reserveren in jouw eigen DHCP server. En deze dan wel door de Fritz uit laten delen. Daarmee voorkom je dan ook dat er dubbelingen ontstaan.

In de MikroTik is het zo dat je bij de WireGuard verbinding specifiek per client/peer op kunt geven welk IP adres gebruikt moet worden (Allowed Addresses). Ik weet echter niet of dit ook mogelijk is bij de Fritz. Moet daar per sé gebruik gemaakt worden van DHCP voor WireGuard? Als ik zo snel even door de verschillende posts op het internet blader over WG en de configuratie daarvan dan is er inderdaad behoorlijk wat van de configuratie opties voor WG weggehouden bij de eindgebruiker...