FRITZ!Box: WireGuard einrichten und nutzen
von caschy | 81 Kommentare
Seit einiger Zeit hat die FRITZ!Box eine WireGuard-Integration. Das bedeutet für euch, dass ihr einfacher als bisher sicher auf eure Infrastruktur daheim zugreifen könnt, ferner surft ihr somit quasi über eure eigene Leitung und nicht die von irgendwelchen Dritten, sofern ihr unterwegs seid.
Die Einrichtung ist normalerweise in wenigen Augenblicken abgeschlossen und eigentlich auch selbsterklärend. Allerdings gibt es ein paar Infos im Netz, die so nicht ganz richtig sind. Viele erwähnen im Zusammenhang immer, dass die Nutzung vom MyFRITZ!-Service gepaart mit einem Anbieter von dynamischen DNS erfolgen muss. Das ist dahingehend nicht richtig, da der MyFRITZ!-Service schon reicht, denn er leitet die normalerweise gelegentliche wechselnde IP-Adresse ja so um, dass eure Box von Außen immer erreichbar ist. Und eben jene Adresse nutzt auch WireGuard.
- WLAN Mesh: automatische Zusammenlegung der eingesetzten FRITZ!-Produkte zu einem intelligenten WLAN-Netz...
Natürlich ist es nicht verboten, aus welchem Grunde auch immer, einen Dritt-Anbieter in die FRITZ!Box einzutragen. Die FRITZ!Box unterstützt WireGuard nur in Verbindung mit einer MyFRITZ!- oder Dynamic-DNS-Adresse. Dadurch ist sichergestellt, dass WireGuard-Verbindungen sowohl aus Mobilfunknetzen hergestellt werden können, die schon von IPv4 auf IPv6 umgestellt wurden, als auch über WLAN-Hotspots bzw. aus Firmennetzwerken, die IPv6 noch nicht unterstützen.
MyFRITZ! oder DynDNS können Anwender auch dann nutzen, wenn sie die FRITZ!Box an einem Internetzugang mit fester („statischer“) öffentlicher IPv4-Adresse einsetzen. Die FRITZ!Box ist dann über ihre MyFRITZ!- bzw. DynDNS-Adresse sowohl unter der festen IPv4- als auch der wechselnden IPv6-Adresse erreichbar. Falls in der FRITZ!Box sowohl MyFRITZ! als auch DynDNS eingerichtet ist, verwendet die FRITZ!Box die MyFRITZ!-Adresse für die WireGuard-Verbindung, so AVM.
Kurzform: Wer ein MyFRITZ!-Konto hat und die Box von Außen erreichbar macht, der braucht für WireGuard keinen anderen Anbieter, der dafür sorgt, dass eine wechselnde IP-Adresse des Providers dafür sorgt, dass die Box immer unter gleichbleibender Adresse verfügbar ist. Anmerkung: CG-NAT oder DS-Lite sind von außen nur über IPv6 erreichbar.
MyFRITZ! einrichten
Registriert eure FRITZ!Box bei MyFRITZ!Net, damit sie im Internet jederzeit unter einer festen MyFRITZ!-Adresse erreichbar ist:
- Klickt in der Benutzeroberfläche der FRITZ!Box auf „Internet“.
- Klickt im Menü „Internet“ auf „MyFRITZ!-Konto“.
- Tragt im Eingabefeld „Ihre E-Mail-Adresse“ eure E-Mail-Adresse ein.
- Klickt auf „Übernehmen“. Jetzt sendet MyFRITZ!Net euch eine E-Mail mit dem Bestätigungslink zu eurer FRITZ!Box.
- Öffnet die E-Mail, die ihr von MyFRITZ!Net erhalten habt.
- Klickt in der E-Mail auf die Schaltfläche „Ihre FRITZ!Box registrieren“.
WireGuard einrichten
- Klickt in der Benutzeroberfläche der FRITZ!Box auf „Internet“.
- Klickt im Menü „Internet“ auf „Freigaben“.
- Klickt auf die Registerkarte „VPN (WireGuard)“.
- Klickt Sie auf die Schaltfläche „Verbindung hinzufügen“.
- Klickt Sie auf „Einzelgerät verbinden“ und dann auf „Weiter“.
- Tragt einen Namen für die VPN-Verbindung ein (z. B. Carstens iPhone).
- Klickt auf „Fertigstellen“.
Am Ende bekommt ihr die Möglichkeit, mit dem Handy einen QR-Code zu scannen oder eine .conf-Datei für euren Computer herunterzuladen. Sowohl der QR-Code kann mit der WireGuard-App gescannt werden als auch die Konfigurationsdatei in der Desktop-App übergeben werden. Randbemerkung: Ihr könnt auch Software wie WG Tunnel (Android) verwenden.
Habt ihr das Ganze dann abgeschlossen, sprich: WireGuard in der FRITZ!Box aktiviert und euren Rechner / Mobilgerät konfiguriert, dann könnt ihr das Ganze testen. Wichtig: Wenn ihr das VPN zum Testen aktiviert, dann stellt am Testgerät am besten das heimische WLAN aus. Sobald das Gerät nämlich in eurem eigenen Netzwerk ist, funktioniert die VPN-Verbindung nicht. Am Handy kann man z. B. das WLAN deaktivieren, das VPN aktivieren und schon sollte eine Meldung kommen, dass das VPN verbunden ist. Aktive Verbindungen werden auch in der Übersicht der FRITZ!Box unter Freigaben > VPN (WireGuard) angezeigt. Klappt das Ganze, dann könnt ihr von überall auf sicher über eure eigene Leitung surfen und auch auf Geräte in eurem Netzwerk zugreifen – so, als wärt ihr direkt daheim.
- Ultraschnelles Wi-Fi 6 im gesamten Heimnetz sowie intelligente automatische Bandauswahl...
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Vergrößert sich der Traffic durch die Umleitung von/zur heimischen Fritz!Box erheblich (vor allem wenn man von unterwegs übers Mobilnetz drauf zugreift)?
Für deine FRITZ!Box erhöht sich der Traffic um das Volumen, das du mit dem Handy abrufst.
Für dein Handy ergibt sich eine sehr geringfügige Volumenerhöhung.
ja um das was du unterwegs surfst, und deine maximale DL Geschwindigkeit entspricht deine Upload-Geschwindigkeit zu Hause, ist aber logisch.
Ja, danke, meinte natürlich den Mobiltraffic wenn man von unterwegs auf FB zugreift.
Der durchs VPN verursachte Traffic ist gering.
Blöd ist irgendwie, dass man den QR Code im Nachhinein sich leider nicht mehr anzeigen lassen kann. Also am Besten irgendwo im Passwort-Manager speichern.
Oder das Config-File herunterladen…
Ja schon klar, das geht nachträglich auch noch. Aber versuche mal mit Handy oder iPad mal eben schnell die Verbindung einzurichten, ist mit Config File schon etwas umständlich auf mobilen Geräten.
Eigentlich braucht man den QR Code nur genau einmal, um ein Gerät einzurichten.
Wenn man dann später dasselbe Gerät noch mal enrichten will, kann man die alte Verbindung auf der FritzBox löschen und eine neue anlegen.
Die Idee ist ja, für jedes Gerät eine eigene Verbindung anzulegen, so daß man die Verbindung auch gerätegenau unterbinden kann, z.B. wenn ein Gerät gestohlen wurde (oder im Firmeneinsatz ein Mitarbeiter die Firma verlässt).
Stimmt, das macht natürlich Sinn. Danke dir!
Danke für die Erklärung!
Hmm.. ich habe zufällig heute den Wireguard VPN Zugriff per Android Smartphone aktiviert und anschließend den Zugriff auf meine Fritzbox via MyFritz-Adresse (aKa der „AVM DynDNS“) deaktiviert. Klappt wunderbar! Ich denke also nicht, dass MyFritz für diesen Use-Case zwingend erforderlich ist.
Du brauchst aber einen DynDNS Dienst für die WireGuard Verbindung selbst. Es sei denn, Du hast einen Anschluss mit fester IP, die wirklich IMMER unverbändert bleibt.
Verstehe ich irgendwie nicht. Ich kann doch auf jedem Gerät (trotz dynamischer IP) ganz gewöhnlich ein VPN einrichten. Warum soll das ausgerechnet bei der Fritz Box nicht klappen?
Und dieser usecase, dass sich das Telefon von auswärts mit der FritzBox verbinden soll.. warum sollte man das wollen? Von auswärts kann man doch direkt mit dem VPN sprechen, ohne Umweg über die Fritzbox.
Für mich klingts deshalb wie ne Masche von AVM, um ihren Service zu pushen.
Es geht doch um eine VPN (WireGuard) das auf der Fritzbox läuft. Wir sprechen nicht über die Nutzung eines exernen VPNs.
Für die Nutzung der Fritzbox als VPN-Server braucht man immer die aktuelle IP-Adresse deines Anschlusses, damit dein Gerät weiß wohin es sich verbinden soll. Dazu brauchst du entweder eine fixe IP, einen DynDNS-Dienst oder eben MyFritz als DynDNS-Service.
Ist es so verständlich erklärt?
Zwingend erforderlich nein.
Aber in der Standardkonfiguration wird für jede angelegte Wireguard-Verbindung eine individuelle myfritz-Adresse generiert.
Du hast Recht. Ich hab gerade noch mal ins config-file geschaut und dort ist die generierte MyFritz-Adresse mit einem dedizierten fünfstelligen Port hinterlegt.
Ich kann aber den HTTPS Zugriff für das FritzOS danach deaktivieren.
Das ganze ist wirklich einfach und schnell eingerichtet. Jedoch hatte ich mit meinem alten iPhone das Problem, dass bei permanenter Nutzung der Akku ziemlich schnell leer geworden ist. In den Einstellungen gibt es einen Keep-Alive von 25 Sekunden oder so. Kann bzw. sollte man da noch was ändern?
Warum möchtest du es denn überhaupt permanent nutzen?
Ich hab zuhause einen Pi-hole aktiv und die Werbung dementsprechend auch weg blocken, wenn ich unterwegs oder nicht im heimischen Netzwerk bin.
Also nur, um den DNS-Server des Heimnetzes zu nutzen, um etwas Werbung zu blockieren? Dafür ist das Setup Wireguard mit Fritzbox zu teuer für den Akku. Das kannst du mit einem Dienst wie NextDNS deutlich einfacher und Akku schonender haben und die Listen wie zu Hause fahren.
Ich habe es dauerhaft an. Wieso, z.B. Surfen ohne Werbung (adguard Home), Zugriff auf Daten die auf dem NAS oder im heimischen Netz liegen.
Das wäre mir für den Akku auch zu teuer. Wie oft brauchst du unterwegs Zugriff auf das NAS? Kannst du es dann nicht einfach kurz einschalten?
Für mich war ein großer Stolperstein das der DHCP IP Bereich nur von 192.168.1.1-253 gehen darf, weil Wireguard die 254 braucht.
Habe ich nirgendswo gelesen oder in YT Videos gesehen. Ein Tipp bei Computerbase hat mir da weitergeholfen. Nach der Begrenzung hat es sofort funktioniert.
Wireguard braucht nichts dergleichen.
Mein Gateway hat auf IP V4 die 254 und wireguard ist es vollkommen egal.
Unterstützt denn iOS WireGuard mittlerweile nativ, ansonsten bleibe ich lieber beim bisherigen IPSec VPN?
Und das ist jetzt so ein Problem, Dir eben die WireGuard App zu ziehen, den QR-Code für deine Verbindung einzuscannen und die WireGuard-Verbindugn als Standard zu definieren? Alleine der Datendurchsatz bei WireGuard-Verbindungen rechtfertigt schon den Verzicht auf die IPSec Verbindung. Ich hab meine hinterlegte jedenfalls nie weider gebraucht / angerührt.
Ein „Problem“ ist das sicher nicht, aber ich bevorzuge bei solchen Basisfunktionen normalerweise auch wenn sie direkt vom Hersteller des Smartphones integriert werden.
Vielleicht kommt das ja in Zukunft, bis dahin braucht man die App nach meinem Verständnis tatsächlich nur zur Einrichtung und kann das VPN dann zukünftig wie bei IPSEC auch in den iPhone Settings aktivieren.
Schön blöd, wenn man die verwendete VPN Technik von den Einstellungen des iPhones abhängig macht, zumal erstens WireGuard einen viel höheren Durchsatz bietet und zweitens, was noch viel wichtiger für dich sein dürfte, die eingerichtete(n) WireGuard Verbindung(en) sehr wohl einfach in den iOS Einstellungen aktivierbar sind, ganz normal über Einstellungen > VPN
Wenn man keine hardwarebeschleunigung bei ipsec hat dann stimmt das wohl.
Nein. Ich bleibe auch bei IPSec.
IPSec kann kein ipv6 und der datebdurchsatz ist schlecht. Sich wegen einer App Neuerungen zu verschließen, dem entgeht was.
Viele kommerzielle vpn Lösungen setzten auf Apps die sich in iOS einklinken. Kann nur Passepartout vpn als WireGuard Client empfehlen. Leider möchte er nur die config als Datei. Das Tool kann vpn on demand.
IPSec an sich kann sehr wohl IPv6. Es ist nur ein sehr altes Protokoll, weshalb IPv6 entsprechend oft nicht in IPsec eingebaut ist.
Interessanterweise sieht IPv6 sogar IPsec in einer Art und Weise vor, die IPSec in IPv6 integriert.
Die FRITZ!Box kann mit IPSec kein IPv6. Das ist aber erstmal ein reines FRITZ!Box-problem.
Sehe absolut keinen grund, WireGuard zu meiden, nur weil man kein extra Icon auf dem Homescreen haben will.
WireGuard ist IPSec überlegen.
Der Geschwindigkeitsunterschied ist in etwa so wie vom Fahrrad auf einen Porsche Carrera Turbo umzusteigen, aber ok.
Das Problem bei MyFritz ist die kryptische Adresse, die sich eigentlich kein normal sterblicher merken kann und ferner, dass diese kryptische Adresse sich auch mal ändern kann. Dann muss man eigentlich die ganzen Configs bearbeiten / neu erstellen. Da macht ein Drittanbieter schon mehr Freude. Wo auch immer legt man sich einmal seine Adresse an und die bleibt erhalten und man kann sie sich merken.
Diese kryptische MyFritz-Adresse ist doch genau dazu da, immer gleich und erhalten zu bleiben!?
Wann soll sich die „kryptische Adresse“ (= myfritz DynDNS-Name) ändern?
Doch eigentlich nur, wenn du die FritzBox zurück setzt oder eventuell, wenn du Wireguard auf der FritzBox komplett deaktivierst.
Der QR-Code bzw. die Konfigurationsdatei sind dazu da, daß du dir nichts merken und nichts manuell eintragen musst.
Wenn du ein weiteres Gerät einrichten willst, generierst du auf der FritzBox eine neue WireGuard-Verbindung.
Wenn du für mehrere Geräte dieselbe Verbindung nutzt, verlierst du die Möglichkeit, den Zugang gerätegenau zu steuern.
Meine MyFritz Adresse hat sich seit 10 Jahren nicht geändert. Ich habe das vor drei FRITZ!Boxen mal eingerichtet und immer migriert.
MyFRITZ hat den Vorteil, dass es schön in der FRITZ!Box eingebaut ist. Die FRITZ!Box unterstützt aber auch andere dyndns-Dienste.
Wenn du eine eigene Domain hast, kannst du die auch per CNAME auf die MyFRITZ-Adresse zeigen lassen. Dann brauchst du dir nur deine eigene Domain merken.
Super Anleitung, danke dafür. Werde in meinem Bekanntenkreis darauf verweisen. 🙂
Ich persöhnlich finde es beschämend, dass Synology oder UniFi in den Top Router Modellen immer noch nicht WireGuard hat.
Ubiquiti hat das seit bestimmt 2 Jahren.
Diese Behauptung ist zumindest für Unifi nicht zutreffend.
Nutzer Wireguard jetzt seit eingen Monaten sogar im Business Umfeld ohne Probleme auf unserer Unifi Dream Machine Pro.
Man sollte vielleicht dazu noch erwähnen, das man bei solchen Umsetzungen durchaus überlegen sollte, wem man die Daten in die Hände gibt. MyFRITZ!-Service ist nett und von jedem User leicht einzurichten, jedoch sollte man bedenken, das bei einem Hack bei AVm die eigenen Daten dann auch mit betroffen sind. Daher sollte man sich gut überlegen ob und was man beim MyFRITZ!-Service alles freigibt oder nicht doch lieber zu einem anderen DynDNS Anbieter wechselt.
Ich kann deinem Artikel inhaltlich nicht ganz Folgen. Im Netz findet man entweder Anleitungen WireGuard mit MyFRITZ!-Service zu aktivieren oder wenn man speziell danach sucht Tutorials wie man ohne MyFRITZ!-Service das ganze an den Start bringt. Habe noch keinen einzigen Artikel gesehen, bei dem beides so drinsteht, wenn dann als Alternative.
Wenn Du statt des angezeigten QR-Codes die Konfigurationsdatei herunterlädst, dann findest Du in dieser Datei die Zeile:
Endpoint = myfritadresse:12345 (verwendete Portnummer)
Wenn Du die MyFritz! Adresse vor dem : durch die selbst gewählte dynamische DNS Adresse, die Du beim Drittanbieter deiner Wahl erstellt hast ersetzt, ist doch alles wunderbar.
Verstehe die Begründung nicht. Weshalb sollte AVM eher gehackt werden, als ein anderer DNS-Provider?
MyFRITZ sieht außer deiner IP-Adresse nichts.
Der verkehrt läuft nicht über AVM. MyFRITZ tritt hier lediglich als dyndns-Anbieter auf.
Das Risiko hier ist genau das gleiche wie bei anderen Dyndns-Diensten.
Und wenn das bekanntsein deiner IP oder des darauf auflösenden DNS-Namen ein Problem ist, hat man in der Regel ganz andere Security-Probleme.
Komisch, verbindet sich ein Gerät per Wireguard mit meinem Heimnetz kann ich nicht damit kommunizieren. Es sei denn ich aktiviere – obwohl ich ja schon in dem Netz bin – auf dem Gerät ebenfalls Wireguard.
Hat einer eine Idee woran das liegen kann?
Hast Du mal die IP Ranges und Subnetmasken der beiden Geräte verglichen? Hört sich so an als wären die in unterschiedlichen Netzen….
Hab ich auch erst gedacht, ist aber beides fein.
Witziger Weise ist der Windows Rechner mit dem ich das eingerichtet habe immer in der Lage das externe Wireguard Gerät zu erreichen was tatsächlich keinen Sinn macht.
Ich habe aktuell keine FRITZ!Box im Einsatz, um WireGuard damit zu testen.
Beim letzten Mal war IPv6 im Tunnel nicht möglich, was ich total absurd fand.
Ist das inzwischen behoben?
die letzten Versionen – zumindest die Labor (teste ich gerade ohne Probleme mit) unterstützen das. Ob die Gegenstelle ipv4 oder ipv6 gerade verwendet, ist bei mir jedenfallls egal.
Hier nochmal der Tipp den ich bekommen haben:
„Für die Wireguard-Verbindungen werden IPs oberhalb der DHCP-Range vergeben. Wenn die Range bis zur letzten IP geht klappt das anlegen der Wireguard-Verbindung nicht.“
Vor der Einrichtugn wäre es sinnvoll sich für eine individuelle IP-Range zu entscheiden und eben NICHT bei der Standard-AVM-IP von 192.168.178.X zu bleiben. Befindet man sich nämlich im Urlaub in einem solchen AVM Standard-Netzwerk, so hat sich damit der Wireguard Zugriff aufs Netzwerk zuhause auch erledigt…
Warum sollte das so sein?
Der Client bekommt eine IP. Über diese kommuniziert der Client mit dem Router.
Die Wireguard IP ist nur auf dem Client und dem Netzwerk der Gegenstelle aktiv und nach außen, außerhalb des Tunnels, nicht ansprechbar.
Man kann die VPN Verbindung sogar im selben Netzwerk aufbauen, in dem die Gegenstelle der Router ist.
Sprich, wenn du zu Hause in deinem WLAN bist und dein Router der Wireguard Server, kannst du die VPN Verbindung von deinem Smartphone problemlos aufbauen.
Ich habe gerade nicht im Kopf, aus welchem IP-Bereich das FB WireGuard seine IP zuweist. Aber generell muss du darauf achten, dass dein lokales Netz und das Fernnetz nicht im gleich IP-(Sub-)Bereich liegen. Du wirst sonst Routing- bzw. DHCP-Probleme bekommen. Alle FB kommen per Default mit dem 192.168.178.xxx Bereich. Wenn dein Heimnetz in dem Bereich Adressen vergibt und im Remote-Netzt im gleichen bereich Adressen vergeben werden, wird es zwangsläufig zu Problemen kommen. Die beiden FB schließen sich ja nicht zu einem gemeinsamen DHCP zusammen, sie haben jeweils ihr eigenes Gateway etc.
Ist die Erklärung so verständlich? Sonst schau nochmal bei AVM nach, dort ist das auch in den FAQ erklärt.
Kann ich mit Wireguard auch zwei Fritzboxen (die an verschiedenen Standorten den Internetzugang regeln) miteinander verbinden, du dass Geräte im aus dem jeweiligen LAN miteinander kommunizieren können?
Ja.
https://avm.de/service/vpn/wireguard-vpn-zwischen-zwei-fritzbox-netzwerken-einrichten/
Mir geht die Konfigurationsmöglichkeiten nicht weit genug. Bei Wireguard kann man z.B. auch festlegen, dass nur bestimmte Ziele über den Tunnel laufen und der Rest nicht. Diese „feinen“ Einstellungen fehlen in der Fritz!Box leider
Sobald du die Konfiguration auf dem Handy hast, kannst du diese ändern.
Was du willst, kann über AllowedIPs geregelt werden.
Davon muss die FRITZ!box erstmal nichts wissen.
Richtig, allerdings wäre die „Serverseitige“ die bessere. ICh habe Wireguard dehalb auf einen Pi laufen. So hat die Familie Zugriff auf das NAS, auf dem Immich und Nextcloud läuft. Alles andere im Netz geht sie nichts an. Natürlich muss man es auch beim Clienten einstellen, aber wenn Sie es selbst ändern, bringt es nichts.
Ging das alles nicht eh schon immer über HeimnetzVPN in der MyFritz App ?
Das war eine IPSec Verbindung. Die kann nur IPv4 und ist sehr langsam.
Das funktioniert noch. Allerdings wirklich nur IPsec. Weiß eventuell jemand, ob es dahingehend Pläne von AVM gibt, das umzustellen?
Funktioniert auch wunderbar mit dem wireguard Android Client auf einem FireTV Stick oder dem Cube.
Wer also außerhalb des europäischen Ausland unterwegs ist und seinen FireTV mit nimmt um dann auf die europäischen Services zugreifen möchte, ist gut mit dieser Möglichkeit versorgt. Die Geschwindigkeit der wireguard Verbindung, in Abhängigkeit der heimischen Down- und Uploadgeschwindigkeiten erlaubt sogar problemlos UHD Streams.
Um die Konfigurationsdatei auf den Stick/Cube zu bekommen, nutze ich LocalSend (https://localsend.org)
nutze WG seit geraumer Zeit ohne Probleme; und ich hab 5 „FritzBox-Knotenpunkte“; auf die ich per WG zugreife.
Ich nutze meine eigenen DDNS Server und nicht das AVMmyfritz. Auch wenn ein Raspberry als PiHole / Unbound dazwischen hängt, funzt das alles ohne Probleme.
gilt das auch für die fritz 6850 5G?
Generell: ja. Du brauchst aber einen Tarif mit einer öffentlichen IP-Adresse. Bei Telekom-Verträgen kann man den APN Internet.t-d1.de probieren.
Danke für den Tipp.
Laut AVM ja.
-Internet – Sicherer Fernzugang, LAN-LAN-Kopplung und Einwahl in Firmennetzwerk mit VPN (WireGuard und IPSec)
https://avm.de/produkte/fritzbox/fritzbox-6850-5g/technische-daten/
Danke, das werde ich mir ansehen.