[?](https://schroederdennis.de/allgemein/wireguard-site-to-site-vpn-zwei-netzwerke-sicher-verbinden/)
1 2 3 4 | `apt update` `apt ``install` `linux-headers-$(``uname` `--kernel-release)` `apt ``install` `wireguard` |
[?](https://schroederdennis.de/allgemein/wireguard-site-to-site-vpn-zwei-netzwerke-sicher-verbinden/)
1 2 3 | `nano ``/etc/sysctl``.conf` `# <- entfernen bei der Zeile "net.ipv4.ip_forward=1" und speichern` `sysctl -p ` |
[?](https://schroederdennis.de/allgemein/wireguard-site-to-site-vpn-zwei-netzwerke-sicher-verbinden/)
1 2 3 4 5 | `cd` `/etc/wireguard/` `umask` `077; wg genkey | ``tee` `privatekey | wg pubkey > publickey` `cat` `privatekey` `cat` `publickey` `chmod` `600 ``/etc/wireguard/privatekey` |
Schritt 2: **Nur** auf SERVER1 ausführen
# Wireguard Netzwerk
Die prinzipielle Einrichtung von Wireguard habe ich in dem Artikel [Wireguard](https://www.edvpfau.de/wireguard/) beschrieben. Es ging um die die Point to Point Einrichtung mehrerer Clients die auf einen PC, der als Server fungiert, zugreifen. Die Clients konnten sich untereinander nicht sehen.
Im folgenden möchte ich beschreiben, wie man ein VPN Netz aufbaut in dem sich die Clients untereinander verbinden können. Damit Clients in dem privaten Netzwerk sich über Hostname ansprechen können, wird ein zentraler DNS Server eingerichtet. Hierfür verwende ich einen vorhandenen OpenWRT Router.
## Aufbau des Netzwerkes
Das Netzwerk ist auf mehrere Standorte verteilt. Es gibt einen zentralen Linux PC der die Rolle des Wireguard Servers einnimmt. Die Rolle einnimmt, weil es per se keinen Wireguard Server gibt. Es ist die Konfiguration die ihn zur Zentrale werden lässt. Damit dieser erreichbar ist, ist ein DynDNS Dienst oder eine feste IP Adresse von Nöten. Dieses ist aber nicht Bestandteil dieses Artikels. Hier verwaise ich zum Beipsiel auf den Artikel [DynDNS mit Duck DNS](https://www.edvpfau.de/dyndns-mit-duckdns/).
Der Server bekommt in dem VPN die Adresse 10.0.0.1. Der Server ist für das Routing unter den Clients verantwortlich. Das heißt er leitet eingehende Pakete an die anderen Clients weiter. Hierfür muss das IP Forwarding aktiviert und einfache Regeln für die **FORWARD** Chain von IPTABLES angelegt werden.
Die Clients stellen eine Reihe von Laptops, Workstations und weiteren Servern da. Die Client erhalten durchnummerierte IP Adressen beginnend mit 10.0.0.2/32. In meinem Setup sind es aktuell 6 weitere PCs die in dem VPN vorhanden sind.
## Konfiguration von Wireguard
Im Folgenden werde ich das Schema wie Clients und der Server einzurichten sind erläutern. Wenn das Schema bekannt ist, dann ist es leicht weitere Clients hinzuzufügen.
### Einrichtung auf dem Server
Das Schema ist eigentlich recht einfach. Es muss allerdings auf die Subnetzmaske bei der Angabe der IP Adressen genau geachtet werden. Die Server Adresse ist mit /24 und die Clients mit /32 anzugeben.
```
[Interface]
PrivateKey = PrivateKeyDesServers
ListenPort = 32768
Address = 10.0.0.1/24
# Allow routing between clients
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT
#
# Client 1
#
[Peer]
PublicKey = PublicKeyDesClient
AllowedIPs = 10.0.0.2/32
#
# Client 2
#
[Peer]
PublicKey = PublicKeyDesClient
AllowedIPs = 10.0.0.3/32
#
# Client 3
#
[Peer]
PublicKey = PublicKeyDesClient
AllowedIPs = 10.0.0.4/32
.
.
.
#
# Client 7
#
[Peer]
PublicKey = PublicKeyDesClient
AllowedIPs = 10.0.0.7/32
```
### Einrichtung der Clients
Es ist hierbei wichtig zu wissen, dass nur ein Client das gesamte Subnetz beanspruchen darf! Sonst funktioniert das ganze nicht. Das heißt auf den Clients sind explizit die Adresse einzutragen mit denen der Client kommunizieren darf. Dieses macht aber nur bei kleineren Netzen einen Sinn.
```
[Interface]
PrivateKey = PrivateKeyDesClients
Address = 10.0.0.3/24
DNS = 10.0.0.7
[Peer]
PublicKey = PublicKeyDesServers
AllowedIPs = 10.0.0.1/32, 10.0.0.2/32, 10.0.0.5/32, 10.0.0.6/32, 10.0.0.7/32
EndPoint = myname.dyndns.org:32222
PersistentKeepalive = 25
```
Wichtig ist das alle Clients mit **10.0.0.X/32** angegeben werden.
## IP Forwarding Aktivierung
Das allgemeine IP Forwarding bzw. auf Geräteebene aktivieren habe ich bereits in dem [Wireguard](https://www.edvpfau.de/wireguard/) Artikel beschreiben.
## Firewall Regeln
Damit die Pakete nun auch an die Client weitergeleitet werden, muss in der **FORWARD** Chain das In-/Output auf dem Wireguard Interface zulassen. Dieses kann mit dem **PostUp** in der Konfiguration automatisch nach dem Starten der Verbindung durchgeführt werden.
```
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT
```
## Verbindungsaufbau
Für den automatischen Verbindungsaufbau muss die Option **PersistentKeepalive** gesetzt werden, damit ein Paket Verbindung öffnet.
## Einrichtung von DNS
Auf dem Client habe ich die Konfiguration mit dem KDE NetworkManager durchgeführt. Bei der Wireguard Konfiguration habe ich nun die Adresse des DNS Servers eingetragen, der für das interne Netzt zuständig ist. Die [Konfiguration der statische Hostnames](https://www.edvpfau.de/statische-dns-eintraege-per-ssh-auf-openwrt-verwalten/) beschriebt ein andere Artikel.
### Testen der Namesauflösung
Auf http://openwrt/cgi-bin/luci/admin/network/dhcp unter *Local Server* mit **/XXXX.duckdns.org/** Anfrage an die Domain nach außen unterbinden, da diese sonst von DuckDNS beantwortet werden würden und somit die IPV6 Adresse genommen wird, was zu Fehlern führt.
[Wireguard](https://www.edvpfau.de/tag/wireguard/)
---