Hallo zusammen, ich habe einen Fritzbox 7690 und dahinter einen Asus RT-BE88U und möchte das ich per Wireguard von Unterwegs über die Fritzbox auch auf die Geräte zugreifen kann die am Asus Router hängen. Als Acces-Point möchte ich den Asus nicht betreiben, da ich auf die Funktionen des Asus als Router angewiesen bin. vor allem möchte ich von unterwegs streamen können und auf meinem Receiver zugreifen können.
Ich müsste auch auf den Laserdrucker zugreifen können auch von der Fritzbox 7690 aus, komme leider nicht mehr dort drauf wenn er per Lan am Asus angeschlossen ist.
Ich habe gelesen das man wohl die Wireguard Verbindung mit dem Asus verbinden kann, dass hat aber bisher nicht funktioniert.
Das mit statischen Routen hat auch nicht funktioniert.
Ich möchte diese beiden Netzwerke miteinander verbinden aber nicht als Acces-Point.
Hallo!
Ich hab mal die KI beschäftigt und hier gibt es eine mögliche Lösung, die du mal testen könntest und bitte einen Feedback dazu geben, ob es auch so funktioniert hat wie vorgeschlagen.
Gute Beschreibung — das Problem ist klassisch (zwei Router in Reihe, einer soll nicht nur als AP arbeiten) und lässt sich in der Regel per Site-to-Site-WireGuard lösen — aber es gibt ein paar Fallen (IP-Routen, NAT, Firewall, Multicast/UPnP). Ich erkläre erst das Konzept, dann konkretes Schritt-für-Schritt-Vorgehen mit Beispiel-Konfigurationen, typische Fehler + wie du sie prüfst, und am Ende noch Hinweise speziell für Streaming (Receiver) und Drucker.
Kurz vorweg: AVM beschreibt, wie man eine FRITZ!Box per WireGuard mit einem anderen Router koppelt (LAN-zu-LAN). Asus-Router (RT-BE88U) unterstützen WireGuard. Wichtig: beide Seiten müssen über erreichbare Adressen kommen (öffentliche IPv4 oder IPv6 / DDNS / MyFRITZ!), und die WireGuard-Peers müssen die Remote-LANs in den Allowed-IPs haben. (
Sie müssen registriert sein, um Links zu sehen.
)
1) Konzept kurz (was muss passieren)
Du willst, dass ein Gerät, das per WireGuard zur Fritzbox verbunden ist (z. B. Handy unterwegs), Zugriff auf Geräte im Asus-LAN hat.
Lösung: Site-to-Site WireGuard zwischen Fritzbox ↔ Asus. Beide Router routen die jeweiligen LAN-Subnets über das WireGuard-Interface zum jeweils anderen LAN.
Wichtige Punkte:
Die Allowed-IPs / Routen müssen beide LAN-Netze einschließen (z. B. Fritz: 192.168.178.0/24, Asus: 192.168.2.0/24).
Keine NAT (Masquerading) über die Tunnel-Richtung zwischen den LANs — sonst kommen Rückpakete nicht an oder IPs stimmen nicht.
Firewalls auf beiden Routern müssen Forwarding erlauben.
Multicast/UPnP/DLNA (für viele Receiver/Streaming) wird nicht automatisch über VPN übertragen — dazu weiter unten Lösungen. (
Sie müssen registriert sein, um Links zu sehen.
)
2) Vorbereitungen (notwendig)
Notiere die LAN-Subnets:
Fritzbox-LAN (z. B.) 192.168.178.0/24
Asus-LAN (z. B.) 192.168.2.0/24
Sorge dafür, dass beide Router von außen erreichbar sind:
Fritzbox: MyFRITZ! oder DDNS / öffentliche IPv4 oder IPv6 (AVM verlangt MyFRITZ!/DDNS für WireGuard). (
Sie müssen registriert sein, um Links zu sehen.
)
Asus: ebenfalls öffentliche IP oder Port-Weiterleitung falls nötig (bei doppeltem NAT komplizierter).
Stelle sicher, dass auf der Fritzbox aktuell WireGuard aktiviert/konfigurierbar ist (FRITZ!OS-Version ausreichend). AVM-Guides zeigen, wie man WireGuard LAN↔LAN einrichtet. (
Sie müssen registriert sein, um Links zu sehen.
)
Auf dem Asus: Firmware/Interface, das WireGuard kann (AsusWRT oder Merlin oder aktuelles GUI). Asus-Support bestätigt WireGuard-Support. (
In der Fritzbox Weboberfläche → VPN / WireGuard → neue Verbindung zu anderem Router erstellen (AVM-Anleitung „WireGuard-zwischen-FRITZ!Box und anderem Router“ nutzen). (
Sie müssen registriert sein, um Links zu sehen.
)
Als Peer gibst du an:
Public Key des Asus-WireGuard-Peers
Endpoint: IP oder DDNS des Asus (oder leer, wenn Asus als Client sitzt und sich verbindet)
Allowed IPs: 192.168.2.0/24 (das Asus-LAN) — das sagt der Fritzbox: alle Pakete für dieses Netz gehen durch diesen Peer.
Falls die Fritzbox das nicht automatisch macht: lege (oder überprüfe) eine statische Route 192.168.2.0/24 → wgX (AVM GUI macht das bei der Site-to-Site Konfiguration meist automatisch). (
Auf Fritz: Firewall/NAT muss das Forwarding in den Tunnel erlauben (AVM ist normalerweise so voreingestellt, wenn Site-to-Site eingerichtet).
Auf Asus: keine Masquerade zwischen LAN und WireGuard-Interface für die Richtung zum Fritz-LAN. Sonst erscheinen Pakete als aus Asus-WAN-IP und Rückverkehr fehlt.
4) Beispiel WireGuard-Konfiguration (minimal, illustrativ)
Fritz (Peer A) — GUI erzeugt oft Schlüssel, aber so ungefähr):
Code:
# Fritz erzeugt private/pubkey intern; GUI: Allowed IPs für Peer B:
AllowedIPs = 192.168.2.0/24
Endpoint = <Asus_public_ip_or_ddns>:51820 # nur nötig wenn Fritz die Verbindung aufbaut
Asus (Client B) — /etc/wireguard/wg0.conf (Beispiel)
Wichtig: AllowedIPs enthält das FRITZ-LAN. Auf der Fritz entsprechend das Asus-LAN.
5) Typische Fehler + wie du prüfst sie
NAT auf Asus: Wenn der Asus NATt (masq) für LAN→Tunnel, kommen Rückpakete nicht korrekt an. Prüfen: auf Asus keine masquerade rule für Tunnel-Interface. Test: tcpdump/Logs oder traceroute vom entfernten Client zum Gerät im Asus-LAN.
Wrong Allowed-IPs: Häufig wird nur die einzelne WireGuard-IP eingetragen, nicht das ganze LAN-Netz. Prüfe beide Seiten, dass AllowedIPs jeweils das ganze entfernte LAN enthalten.
Firewall: Ping/Port-Zugriff von Fritz-LAN auf Asus-LAN geht nicht → temporär Firewall deaktivieren oder Regeln anpassen.
Asus hinter doppeltem NAT: Wenn Asus keine öffentliche IP hat, musst du Port-Weiterleitung vom darüber liegenden Gerät einrichten oder den Tunnel andersherum initiieren (Asus initiiert Clientverbindung, Fritz als Server). PersistentKeepalive hilft bei NAT.
AVM-Eigenheiten: AVM verlangt manchmal, dass keine anderen WireGuard-Verbindungen konfiguriert sind, wenn man Site-to-Site einrichtet. Löse ggf. alte Peer-Konfigurationen. (
Sie müssen registriert sein, um Links zu sehen.
)
Prüfen (Diagnose-Reihenfolge):
Kann Asus die Fritzbox public IP erreichen (UDP Port)? nc -u oder ping (UDP nicht pingbar) — check Logs.
wg Status auf beiden Seiten: zeigt Handshake/Bytes? (Handshake vorhanden = UDP Verbindung OK)
ip route auf beiden Routern: existiert Route zu Remote-LAN über wg-Interface?
traceroute/ping vom Gerät im Fritz-LAN zum Gerät im Asus-LAN; und umgekehrt.
Auf einem externen Gerät (Handy per WireGuard zur Fritz verbunden): traceroute zum Asus-LAN Gerät — zeigt, ob Traffic im Tunnel landet.
Viele Receiver/Streaming-Services nutzen Multicast (mDNS/SSDP/IGMP). Standard-WireGuard tunnelt nur Unicast IP-Pakete; Multicast wird nicht automatisch zwischen Netzen weitergeleitet.
Lösungen:
Verwende den direkten IP-Zugriff (z. B. Receiver-Webinterface oder Player-App mit IP). Das funktioniert, sobald Routing & Firewall stehen.
Wenn du automatische Dienstentdeckung brauchst: setze einen mDNS/SSDP-Reflector (z. B. avahi mit Reflector/relay) auf einem Gerät, das auf beiden Netzen erreichbar ist — oder ein IGMP/MDNS Proxy. Das erfordert etwas Basteln (RaspberryPi im Fritz-LAN, der die Dienste zwischen Netzen spiegelt).
Alternative: Port-Forward bestimmter Services vom Asus zum Fritz (oder umgekehrt) — aber das ist Aufwand und weniger elegant.
Kurz: Für reines Streaming (z. B. Mediendatei vom Smartphone zum Receiver) ist Unicast meist besser; für automatische Geräte-Erkennung musst du Multicast bridgen/reflecten.
7) Drucker (Laserdrucker am Asus)
Wenn Drucker per LAN am Asus hängt und du von Fritz-LAN darauf zugreifen willst, müssen:
Der Drucker IP (z. B. 192.168.2.50) pingbar sein vom Fritz-LAN nach Einrichtung des Tunnels.
Druckprotokolle (SMB, IPP, RAW Port 9100) nicht durch lokale Firewall am Drucker eingeschränkt sein (manche Drucker erlauben nur Subnetzzugriff).
Falls Drucker nur auf Subnetz beschränkt ist (viele Drucker haben „Netzwerkzugang nur aus eigenem Subnetz“), ändere Einstellung oder setze auf Router (Asus) eine Port-Weiterleitung bzw. einen Druckserver im Fritz-LAN, der die Jobs an den Drucker weiterreicht.
Test: telnet 192.168.2.50 9100 vom Fritz-LAN-PC — wenn Verbindung da ist, sollte Drucken möglich sein.
8) Wenn du bisher „statische Routen“ versucht hast und es nicht ging
Wahrscheinlich war das Problem entweder:
Allowed-IPs in WireGuard nicht korrekt (Tunnel bringt Verkehr nicht ins andere LAN), oder
NAT/Firewall auf Asus hat die Pakete „überschrieben“, oder
Asus hatte keine öffentliche/erreichbare Adresse → Tunnel nicht etabliert.
Lösung: Konfiguriere Site-to-Site mit Allowed-IPs, setze PersistentKeepalive falls hinter NAT, entferne NAT/Masquerade für Tunneltraffic.
AVM hat eine Schritt-für-Schritt Anleitung genau dafür (Fritz ↔ anderer Router) — sehr hilfreich zum Durchgehen der GUI-Einstellungen. (
wg Status auf beiden Routern → Handshake sichtbar? (wenn nein: Endpoint/Port/UDP blockiert)
Auf Fritz: ist Peer für Asus vorhanden und AllowedIPs = Asus-LAN? Auf Asus: AllowedIPs = Fritz-LAN?
Route prüfen: ip route (oder GUI Routing-Tabelle) → Route zum entfernten LAN über wg-Interface?
Firewall: temporär lockern, um Connectivity zu testen.
NAT: ist Masquerading aktiv? Wenn ja, ausschalten für LAN↔Tunnel.
Test pings: vom Gerät auf Fritz-LAN zu Gerät auf Asus-LAN (und umgekehrt). Nutze traceroute um zu sehen, wo Paket hängen bleibt.
If behind double NAT: setze PersistentKeepalive auf Clientseite und/oder richte Port Forwarding ein.
Prüfe spezielle Dienste: Port 9100 (Drucker), 1900/5353 (SSDP/mDNS) — ob diese ankommen.
10) Wenn’s immer noch nicht läuft — pragmatische Alternativen
Asus in DMZ/Exposed Host auf Fritz: Fritz leitet gesamten Verkehr zur Asus weiter — aber du sagtest, du willst Asus als Router behalten; das ist eine Option, löst aber nicht das WireGuard-Ziel ideal.
Asus als WireGuard-Server: Statt Fritzserver, kannst du auch auf Asus einen WireGuard-Server laufen lassen und dein Handy verbindet per WG zum Asus. Nachteil: Dann muss Asus von außen erreichbar sein (öffentliche IP / Port-FW). Viele Nutzer betreiben auf Asus WG-Client/Server via Merlin. (Das war wohl schon probiert und „hat nicht funktioniert“ — oft wegen NAT/AllowedIPs.)
VPN-client auf Gerät statt Router: Wenn es nur wenige Geräte sind, kannst du WireGuard direkt auf Handy/Notebook konfigurieren, dann erreichst du Fritz-LAN und (falls Router-Routen stimmen) auch Asus-LAN. Nicht ideal für Geräte im Asus-LAN, weil diese nicht automatisch über das Tunnel geleitet werden.
11) Zusammenfassung / was du jetzt tun solltest (konkrete To-Dos)
Prüfe die public reachability: hat Asus eine öffentliche IP oder musst du Portweiterleitung einrichten?
Auf Fritz: erstelle Site-to-Site according to AVM guide; setze AllowedIPs = Asus-LAN. (AVM Guide: „WireGuard-zwischen-FRITZ!Box und anderem Router einrichten“). (
Sie müssen registriert sein, um Links zu sehen.
)
Auf Asus: konfiguriere WireGuard Peer zum Fritz, AllowedIPs = Fritz-LAN, PersistentKeepalive = 25 falls nötig. Entferne NAT für Tunnel. (
Sie müssen registriert sein, um Links zu sehen.
)
Test: wg status, ping, traceroute, Ports (9100 für Drucker).
Falls Receiver/DLNA nicht sichtbar: akzeptiere Unicast-Zugriff oder setze mDNS-Reflector (z. B. RaspberryPi als Relay).