UPDATE 31.10.: Amazon Alexa - ioBroker Skill läuft aus ?

[CrunkFX]

Hallöchen,

nachdem hier immer wieder Fragen bezüglich VPN etc. kommen, habe ich mich entschlossen eine kleine Anleitung zum Thema WireGuard zu erstellen. Ich habe versucht die Anleitung so einfach und kurz wie möglich zu halten.

Installationszeit	ca. 15 Minuten je nach Internetverbindung
Stand	V1.2.2 18.01.2022
Github Link	https://github.com/KleSecGmbH/ioBroker/tree/main/wireguard

Voraussetzungen:

• Proxmox als Grundgerüst mit Kernel Version min.: 5.11 Ältere Version?
• Einen Dual-Stack Internetanschluss (also kein DS-Lite, hierzu kommt bei Bedarf eine gesonderte Anleitung)
• Portfreigabe im Router (Protokoll: UDP, Port: 51820 , auf die IP Adresse des neuen Linux Containers)
  !!! Keine Portfreigabe auf den im späteren Verlauf erstellten Port 5000 setzen !!!
• Falls keine feste IP vorhanden ist benötigt ihr einen Hostnamen. Das kann z.b. MyFritz sein oder DynDns, Hauptsache ein Dienst mit dem ihr auf eure aktuelle IP verweisen könnt.

Anleitung:

Linux Container/CT Anlegen

Zunächst müssen wir das LXC Template für Ubuntu 21.04 oder 21.10 installieren.


Anschließend basierend auf diesem Image einen neuen Container anlegen

einen Hostnamen vergeben sowie ein Passwort

Danach das Image auswählen

Und mit den Standardwerten bis zur Netzwerkkonfiguration weitermachen.



Nun noch eine IP vergeben und der erste Teil wäre geschafft.

WireGuard & WireGuard-UI Installation

Ab hier wird auf dem Proxmox Host gearbeitet!

Zunächst passen wir die Konfiguration des neu erstellten Containers an.
Dazu mit dem Befehl

nano /etc/pve/lxc/100.conf

(!! 100 durch die Nummer bei eurem Container ersetzen !!)

die Konfigurationsdatei anpassen.

Und diese beiden Zeilen am Ende der Datei anhängen:

---

Proxmox Version 7.xx :

lxc.cgroup2.devices.allow: c 10:200 rwm
lxc.mount.entry: /dev/net dev/net none bind,create=dir

---

Proxmox Version 5.xx/6.xx:

lxc.cgroup.devices.allow: c 10:200 rwm
lxc.mount.entry: /dev/net dev/net none bind,create=dir

Nach dem Einfügen das Fenster mit STRG + X --> Enter speichern und verlassen.

Danach auf dem Proxmox Host die Zugriffsrechte für den Tunneladapter freigeben mit dem Befehl:

chown 100000:100000 /dev/net/tun

---

Ab hier wird auf dem neuen Container gearbeitet!

Danach können wir unseren LXC/CT starten und uns anmelden.

Ich habe alle zur Installation notwendigen Befehle und Konfigurationsdateien in einem kleinen Shell-Skript zusammengefügt.
Dazu also folgendes ausführen:

wget https://raw.githubusercontent.com/KleSecGmbH/ioBroker/main/wireguard/installer-pve.sh -O installer-pve.sh && bash installer-pve.sh

Der Installer läuft bis zu diesem Punkt automatisch durch. Die abgefragten Punkte ALLE mit Enter bestätigen, da später in der Grafischen Oberfläche Konfiguriert wird.

WireGuard-UI Konfiguration

Nachdem wir erfolgreich WireGuard und WireGuard-UI Installiert haben, können wir WireGuard-UI Konfigurieren.

Dazu rufen wir http://IP-AdresseVomLinuxContainer:5000 auf und melden uns mit Benutzer und Passwort admin an.

Die Anmeldedaten können mit dem Installer und dem Punkt Anmeldedaten ändern geändert werden.

Zunächst müssen wir den WireGuard Server Konfigurieren. Dazu muss in den Global Settings unter dem Punkt Endpoint-Address euer Hostname(MyFritz, DynDns) oder eine feste IP (falls vorhanden) Bei Fragen hierzu siehe oben!

Nachdem wir Hostname/IP eingegeben haben und auf Apply Config geklickt haben, müssen wir noch einen kleinen Punkt durchführen um Clients anlegen zu können.

Dazu im Fenster WireGuard Server unter dem Punkt Post Up Script folgendes eintragen:

iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

und um Feld Post Down Script folgendes eintragen:

iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -o %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

Danach speichern und Apply Config drücken.

Clients anlegen:

Ab hier dürfte alles recht selbsterklärend sein.
Im Menü WireGuard Clients auf New Client drücken

Name und Email Konfigurieren

und Bestätigen.

Nun bekommt ihr einen Client mit einem QR Code den ihr mit der WireGuard App scannen könnt oder alternativ als Datei zum Download für Desktoprechner.

Sollten sich doch Fehler eingeschlichen haben, bitte melden. Getestet wurde auf Proxmox V7.0-11.
Bei Bedarf kann ich diese Anleitung gerne für RasPi und Konsorten ebenfalls erstellen.

LG
CrunkFX

[CrunkFX]

AN ALLE DIE DIESE ANLEITUNG MIT VERSION 1.0.0 BEREITS AUSGEFÜHRT HABEN:

Ich habe dort einen Fehler gefunden und in Version 1.0.1 behoben!
https://forum.iobroker.net/topic/49177/anleitung-wireguard-mit-wireguard-ui-auf-proxmox/27?_=1636392854747

Proxmox Kernel < 5.11:
Da WireGuard das Kernel-Modul des Hostsystems nutzt muss logischerweise auf dem Hostsystem das Kernelmodul vorhanden sein.
Dieser Fehler äußert sich z.B. in einer Auslastung im Bereich von 100% auf dem Container.
Dazu könnte man die PVE Header sowie wireguard-dkms manuell installieren.
Die einfachste Lösung hierzu ist allerdings ein Kernel-Update.
Dazu wie folgt vorgehen (ich setze ein Backup wie bei allen änderungen am System voraus, auch wenn sich ein Kernel Update schlimmer anhört als es ist =) ) :

• Auf dem Hostsystem folgendes ausführen und anschließend Neustarten:

  apt install pve-kernel-5.11
  

Ab Version 5.11 updated sich der Kernel automatisch.

[CrunkFX]

reserviert

[Thomas Braun]

@crunkfx

Oh, das interessiert mich auch.
Wäre an einer Anleitung für Raspi hinter einer FritzCable an einem 1GB-DS-Lite-Anschluss bei Vodafone interessiert. Zugriff dann via o2-Mobilfunk (IPv6).

[Negalein]

@crunkfx sagte in [Anleitung] WireGuard mit WireGuard-UI auf Proxmox:

Zunächst müssen wir das LXC Template für Ubuntu 21.04 oder 21.10 installieren.

20.04 reicht auch?
Das hab ich bereits in Proxmox!

Oder doch lieber 21.04 od. 21.10? Schmeissts mir dann eh nicht die anderes LXC durcheinander?

[CrunkFX]

@negalein Müsste gehen, ist mit aktuellem Update derselbe Kernel

Schmeissts mir dann eh nicht die anderes LXC durcheinander?

Ne, stell dir die Templates wie einen Bauplan vor, sobald der Container einmal gebaut ist ist das Template uninterressant

[Thomas Braun]

@negalein sagte in [Anleitung] WireGuard mit WireGuard-UI auf Proxmox:

Oder doch lieber 21.04 od. 21.10?

Wireguard ist in aktuellen Linux-Kerneln schon direkt als Kernel-Modul vorhanden. Kann sein, dass das erst ab 21.x bei ubuntu drin ist.

[CrunkFX]

@thomas-braun Lt. Wikipedia schon ab 20.04 Wiki Eintrag
Aber 20.04 und 21.04 haben mit aktuellen Updates beide Kernel v5.11

[Negalein]

@crunkfx sagte in [Anleitung] WireGuard mit WireGuard-UI auf Proxmox:

Aber 20.04 und 21.04 haben mit aktuellen Updates beide Kernel v5.11

muss ich das Template updaten, oder eh erst im erstellten LXC?

[kilasat]

@crunkfx sehr geil. Besten Dank.

[crunchip]

@crunkfx sagte in [Anleitung] WireGuard mit WireGuard-UI auf Proxmox:

Danach auf dem Proxmox Host die Zugriffsrechte für den Tunneladapter freigeben mit dem Befehl:
chown 100000:100000 /dev/net/tun

hab zwar schon openvpn laufen, würde aber gerne wireguard mal testen, jetzt aber die Frage,
für was ist das genau, warum muss ich dies auf dem Host freigeben?
Nächste Frage,
ich hab nen Cluster laufen, wenn ich den LXC nun auf nen anderen Host migriere? Müsste ich somit auf allen Servern setzen?

[CrunkFX]

@negalein Du erstellt ein neues

[CrunkFX]

@crunchip Damit gibst du den tunneladapter an den Proxmox Host frei. Wenn einer belegt ist z.b. OVPN macht PMX einfach nen neuen auf. Z.b. tun0 OVPN tun1 WireGuard

[crunchip]

@crunkfx hmm ok, kann mich nicht mehr erinnern bei Openvpn etwas am Host gemacht zu haben.
ich teste einfach mal aus.

[Dolomiti]

Das passende Video gibt es hier, alerdings ohne Wiregard-UI-Installation.
Habs nach dieser Anleitung gemacht. Funktioniert super.

[crunchip]

@crunkfx kurze Verständnisfrage noch
bei WireguardServer >Adresse der Serverschittstelle< muss da noch etwas eingetragen werden?
Denn ich bekomme keine Verbindung mit meinem Handy.
Alles soweit durchgelaufen, App am Handy läuft und auch die Portweiterleitung ist im Unifi Controller eingetragen.

EDIT
ich hab die ganze Zeit gewartet das hier etwas angezeigt wird, tut es aber nicht, auch nicht nach einem kompletten Neustart

aber die Verbindung steht, bzw ich komm in mein Netz:+1:

mal sehen wie es sich verhält, wenn man in ein Funkloch gerät, ob sich die Verbindung abschaltet, bzw wenn man switcht zwischen zweier Sim Karten.

[Negalein]

@crunkfx sagte in [Anleitung] WireGuard mit WireGuard-UI auf Proxmox:

alternativ als Datei zum Download für Desktoprechner

da steh ich jetzt an.
Hätt es gerade auf Win10 eingerichtet.

Welchen VPN-Typ benötige ich da?

Und unter Anmeldeinformationstyp?

Es gibt leider keine Möglichkeit in Win10 die .conf zu importieren.

[dslraser]

@negalein
Braucht man da nicht das hier ?

https://www.wireguard.com/install/

[Negalein]

@CrunkFX

beim Import am Handy (oder auch QR-Scan) schreibt er ungültiger Name.

Wäre hier IP 10.0.1.1/24 richtig?
10.0.1.x ist mein internes Netz.

Ist aber bis auf Name & IP (hier soll der gesamte IP-Bereich gelten) alles gleich.

[Negalein]

@dslraser sagte in [Anleitung] WireGuard mit WireGuard-UI auf Proxmox:

Braucht man da nicht das hier ?

Ah, da hab ich nicht geschaut.
Danke