Fritzbox Talk Speziell: mehrere Fritzboxen per VPN verbinden

Ausgangslage​

• Fritzbox A (3490)
  • Firmware 7.31
  • Mit und
• Fritzbox B (7590)
  • Firmware 8.20
  • Mit
  • Per klassischem -VPN mit A verbunden → funktioniert
• Fritzbox C (7590)
  • Firmware vermutlich aktuell
  • Kein
  • Soll auf bestimmte Hosts hinter A zugreifen
  • Darf keinen Zugriff auf Netz von B bekommen
  • Netz von B darf keinen Zugriff auf Netz von C bekommen
  • Netz von A darf auf keines der beiden anderen Netze zugreifen

• B → A (Vollzugriff)
• C → A (Teilzugriff, nur bestimmte Hosts)
• B ↔ C (kein Zugriff)
• A → B/C (kein Zugriff)

Was mit Standard-Fritzbox-VPN nicht geht​

• Die eingebaute VPN-Funktion der -Fritzboxen (IPSec) kann nur Site-to-Site mit vollständiger Routenweitergabe.
• Sie kann keine Firewall-/Routing-Policies: Wenn zwei Netze per Site-to-Site verbunden sind, routet sie standardmäßig den gesamten Traffic zwischen ihnen.
• Es gibt kein Policy-Based Routing, keine Access Control Lists, keine Paketfilter zwischen VPNs.

🛠 Lösungskonzept: A als VPN-Zentralrouter mit Firewall​

• A für B per IPSec und für C per WireGuard ein Gateway ist.
• Auf A richtest du Routing und Firewall-Regeln (iptables)so ein, dass:
  • Verbindungen aus B nur zu A dürfen
  • Verbindungen aus C nur zu bestimmten Hosts in A dürfen
  • Verbindungen aus A ins VPN komplett blockiert werden
  • Verbindungen zwischen B und C blockiert werden

Vorteil: Du brauchst auf B und C nichts Komplexes, nur die VPN-Anbindung — die komplette Steuerung macht A.

Zum Vergrößern anklicken....

Beispiel-Setup (schematisch)​

Netzwerke​

Umsetzung auf Fritzbox A​

1. WireGuard-Tunnel für C einrichten
   • über Freetz-Weboberfläche ein WireGuard-Peer erstellen
   • AllowedIPs = 192.168.3.0/24
2. IPSec-Tunnel für B beibehalten
   • funktioniert bereits
   • Routen nach 192.168.2.0/24 sind vorhanden
3. Firewall-Regeln mit iptables
   
   Code:

   # Annahme: wg0 ist WireGuard-Interface für C, ipsec0 ist IPSec-Interface für B
   
   # alles standardmäßig verbieten
   iptables -P FORWARD DROP
   
   # B (192.168.2.0/24) darf auf alles im Netz von A
   iptables -A FORWARD -s 192.168.2.0/24 -d 192.168.1.0/24 -j ACCEPT
   
   # C (192.168.3.0/24) darf nur auf bestimmte Hosts
   iptables -A FORWARD -s 192.168.3.0/24 -d 192.168.1.100 -j ACCEPT
   iptables -A FORWARD -s 192.168.3.0/24 -d 192.168.1.101 -j ACCEPT
   
   # Verbiete alles von A nach B oder C
   iptables -A FORWARD -s 192.168.1.0/24 -d 192.168.2.0/24 -j DROP
   iptables -A FORWARD -s 192.168.1.0/24 -d 192.168.3.0/24 -j DROP
   
   # Verbiete direkten Verkehr zwischen B und C
   iptables -A FORWARD -s 192.168.2.0/24 -d 192.168.3.0/24 -j DROP
   iptables -A FORWARD -s 192.168.3.0/24 -d 192.168.2.0/24 -j DROP

4. IP-Forwarding aktivieren (falls nicht)
   
   Code:

   echo 1 > /proc/sys/net/ipv4/ip_forward

5. Statische Routenfür B und C auf A einrichten
   • In der Freetz-Umgebung unter /etc/network/interfaces oder /etc/iproute2/rt_tables
   • Oder via Weboberfläche statisch eintragen

Wichtige Hinweise​

• Diese Konfiguration muss auf A persistent gemacht werden (z. B. über Freetz-Startskripte), da iptables nach Neustart zurückgesetzt wird.
• Box C braucht kein Freetz, nur einen WireGuard-Client (z. B. auf einem einzelnen Host hinter C, falls keine Freetz-Integration möglich ist).
• Alternativ kann man auf C ein separates Gerät (Raspberry Pi, Router) mit WireGuard nutzen, um die Fritzbox nicht modifizieren zu müssen.

Ergebnis​

• B sieht A (vollständig)
• C sieht nur bestimmte Hosts in A
• B sieht C nicht
• C sieht B nicht
• A sieht niemanden (keine ausgehenden Regeln erlaubt)

Problem: Überlappende IP-Netze bei VPNs​

• Sobald beide per VPN an A angebunden sind,
  weiß A nicht, an welches VPN-Peer es Pakete für 192.168.178.x senden soll.
• Das Routing bricht zusammen, weil überlappende Netze nicht unterscheidbar sind.

Lösungen / Workarounds​

Beste Lösung: Netz anpassen (wenn irgendwie möglich)​

• Box B: z. B. 192.168.2.0/24
• Box C: z. B. 192.168.3.0/24

Alternative: VPN-Tunnel mit NAT (Masquerading)​

• B bleibt bei 192.168.178.0/24,
• C auch 192.168.178.0/24
• Auf A wird aber der Traffic aus B beim Eintreten ins VPN auf ein fiktives Netz z. B. 10.10.2.0/24 genattet
• Traffic aus C wird auf 10.10.3.0/24 genattet

• Dann schreibst du Routing- und Firewallregeln gegen 10.10.2.0/24 und 10.10.3.0/24.
• Für die Geräte hinter B und C sieht alles normal aus, aber A sieht sie unter unterschiedlichen Netzen.

Annahmen für dieses Beispiel​

nftables-Regeln (/etc/nftables.conf oder Startskript)​

#!/bin/sh
# /etc/init.d/vpnfirewall (ausführbar machen mit chmod +x)

nft -f - <<'EOF'
flush ruleset

table inet vpnfilter {

  chain forward {
    type filter hook forward priority 0; policy drop;

    # B -> A: alles erlaubt
    ip saddr 192.168.2.0/24 ip daddr 192.168.1.0/24 accept

    # C -> A: nur bestimmte Hosts erlaubt
    ip saddr 192.168.3.0/24 ip daddr 192.168.1.100 accept
    ip saddr 192.168.3.0/24 ip daddr 192.168.1.101 accept

    # Alles andere: DROP (greift durch policy drop)
  }

  chain input {
    type filter hook input priority 0; policy accept;
  }

  chain output {
    type filter hook output priority 0; policy accept;
  }
}

# Optional: IPv4 Forwarding einschalten
sysctl -w net.ipv4.ip_forward=1
EOF

Einbindung in​

1. nftables-Paket aktivieren
   • make menuconfig
   • unter Packages → Networking → nftables → [ * ] nft auswählen
   • Firmware bauen & flashen
2. Script auf der Box ablegen
   
   Code:

   mkdir -p /etc/init.d
   vi /etc/init.d/vpnfirewall
   # (Inhalt von oben einfügen)
   chmod +x /etc/init.d/vpnfirewall

3. Beim Start automatisch laden
   • In Freetz-Weboberfläche unter System → Startskripte den Pfad /etc/init.d/vpnfirewall eintragen
   • oder manuell Link setzen:
     
     Code:

     ln -s /etc/init.d/vpnfirewall /etc/rc.d/S99vpnfirewall

​