CoreElec und WireGuard - Fragen zur Einrichtung

Ponyriemen

Moin zusammen...

Ich habe eine S905 mit CE 9.2.8 drauf und ein iPhone, das als Hotspot dient (WoMo-Setup).
Ich würde gerne erreichen, dass meine S905 per WireGuard eine VPN nach Hause herstellt (Fritte 7590), die ich im besten Fall in Kodi einfach aktivieren/deaktivieren kann.

hier gibt es eine gute Anleitung, wie man das per SSH/Terminal unter CE einrichtet, aber ich hänge da am Ende was die "wg0"-Datei (config) angeht.

Die Datei soll laut Anleitung folgendes beinhalten:

Code

3.- Create wg0 as file /opt/etc/wireguard/wg0.conf with the content similar to this:


[Interface]
Address = 10.10.10.5 # local-ip-of-wg-interface
PrivateKey = ... # private-key
ListenPort = 51820 # wg-port


[Peer]
PublicKey = ... # public-key
Endpoint = <dynamic-dns-of-server>:51820
AllowedIPs = 0.0.0.0/1,128.0.0.0/1 # instead of 0.0.0.0/0

Alles anzeigen

da mangelt es mir jedoch an Verständnis, welche Daten ich dort abwandeln muss, anhand meiner Ausgangssituation - die conf-Datei meiner Fritte:

Code

[Interface]
PrivateKey = xxxxxxx
Address = 192.168.0.202/24
DNS = 192.168.0.1
DNS = fritz.box


[Peer]
PublicKey = yyyyyy
PresharedKey = zzzzzzz
AllowedIPs = 192.168.0.0/24,0.0.0.0/0
Endpoint = aaaaaaaaa.myfritz.net:55679
PersistentKeepalive = 25

Alles anzeigen

was ich konkret nicht verstehe:

- WAS genau muss in der "wg0" Datei stehen, damit die CE-Box sich korrekt mit der Fritte zu Hause verbinden kann?
- wie kann ich den Start/Stop des Dienstes, der angegeben ist mit "4.- Start the wireguard service with the command: /opt/bin/wg-quick up wg0" einfach aus Kodi heraus regeln?
- falls das nicht gehen sollte und man irgendwie "immer" und automatisiert WireGuard beim booten starten muss - gibt es Nachteile wenn immer der TRaffic über mein zu Hause geht?

Ich habe WireGuard schon auf meinem iPhone eingerichtet, es verbindet sich auch damit schnell mit der Fritte, die Config der Fritte tuts also.
Würde halt gerne WireGuard auf der CE-Box einrichten, da die Hotspots auch mal wechseln können und auch, wenn ich mal auf einem Platz stehe der WLAN hat, aber VPN unterbindet (das gibt es leider), ich WireGuard unter CE wieder (einfach?) deaktivieren kann. UNd da ist ja auch das Problem, dass ich dann nur schlecht bis gar nicht per SSH auf die Box komme, bzw aus gegebenem Anlass SSH sowieso gerne deaktiviert lassen würde.

Ich hoffe, jemand kann mir Licht ins Dunkle bringen.

LG, Pony

P.S.: hab den Fred mal in Netzwerk erstellt, würde aber auch bei CoreElec passen. Gerne verschieben wenn es woanders passender sein sollte. Danke!

kingbuzzzo

Hallo,

einfach die Config der FritzBox nehmen und als wg0 auf die Box schieben. Die Parameter sind ja dieselben. Vielleicht noch den ListenPort = 55679 hinzufügen, wenn es nicht direkt klappt.

- wie kann ich den Start/Stop des Dienstes, der angegeben ist mit "4.- Start the wireguard service with the command: /opt/bin/wg-quick up wg0" einfach aus Kodi heraus regeln?
Da ließe sich bestimmt irgendein Script schreiben und irgendwie einbinden, da bin ich aber raus, nutze kein CoreElec und Kodi.

- falls das nicht gehen sollte und man irgendwie "immer" und automatisiert WireGuard beim booten starten muss - gibt es Nachteile wenn immer der TRaffic über mein zu Hause geht?
Es gibt nicht wirklich Nachteile ausser, dass du auf deinen Upload von zu Hause beschränkt bist, weil der ja der Traffic darüber getunnelt wird und somit darauf begrenzt ist.

Ponyriemen

Der Listenport ist bei der Einrichtung automatisch von der Fritte gesetzt worden, der stünde ja auch in der Config drin. Ist es echt so einfach, dass ich die Datei nur in "wg0" umbenennen muss und sie dann auf die Box schiebe? Das wäre ja wirklich simpel, versuche ich mal.

Gibts noch Ideen, wie ich das aus Kodi heraus starten/stoppen kann?

LG

SkyBird1980

Zitat von kingbuzzzo

Da ließe sich bestimmt irgendein Script schreiben und irgendwie einbinden, da bin ich aber raus, nutze kein CoreElec und Kodi.

https://kodi.wiki/view/Autoexec_Service

Wie das genau auszusehen hat weiß @DaVu vieleicht.

kingbuzzzo

Zitat von Ponyriemen

Der Listenport ist bei der Einrichtung automatisch von der Fritte gesetzt worden, der stünde ja auch in der Config drin. Ist es echt so einfach, dass ich die Datei nur in "wg0" umbenennen muss und sie dann auf die Box schiebe? Das wäre ja wirklich simpel, versuche ich mal.

Den Listenport sehe ich in der Config der Fritte aber nicht, nur in der Beispielconfig von CE, daher der Hinweis, dass der Port eventuell noch manuell eingetragen werden muss. Der Rest der Parameter ist ja wie gesagt gleich, das sollte man ja auch sehen, wenn sich beide Configs mal anschaut. Das ist ja das schöne an standarisierten Configfiles. Im Optimalfall funktionieren die auf allen Systemen gleich.

Ponyriemen

Ok, jetzt weiss ich wie Du es meinst. Ich meinte mit "Port ist von der Fritte gesetzt", dass es beim Punkt "Endpoint" am Ende ja genannt ist. Aber ich schreibe in die wg0 mal den Listenport rein, mal gucken ob es funktioniert. Schaffe es aber frühestens heute Abend zu testen, oder morgen.

Geil wäre ja ein simples Addon, in dem man quasi einen Schalter umlegen könnte (an/aus), das im Hintergrund vielleicht den Start-Befehl oder halt den Stop-Befehl ausführt. Oder aber, man startet die Box einfach dann neu, wenn man vorher aktiviert/deaktiviert hat. Aber keine Ahnung ob es sowas vielleicht schon gibt, bzw. wie viel Arbeit das ist, so ein "Addon" zu schreiben. Würde aber mit Sicherheit vielen Leuten helfen bzw. zu mehr Sicherheit verhelfen.

LG

jkdask

,0.0.0.0/0

Du kannst den Teil auch einfach entfernen dann wird nur dein Heimnetz über WireGuard geroutet und nicht der gesamte traffic. Dann kannst du wireguard auch einfach an lassen.

steff

@Ponyriemen Ich hatte die Software schon mal in einem anderen Thread erwähnt: Tailscale

Ist ein Peer-to-peer-VPN. welches die Wireguarrd-Verschlüsselung verwendet. Zu dem Thema war heute zufälligerweise auch ein Artikel bei heise: Blitz-VPNs: Was Peer-to-Peer-VPNs leisten

In CoreElec kann man das sogar mit entware per opkg install tailscale installieren. Es gibt aber auch Binaries für die manuelle Installation auf anderen Linux-Systemen. Das Einrichten ist super-einfach.
Ich habe die Software beispielsweise auf meinem NAS, meinem Home Assistant und meinem Smartphone.

tavoc

ich würde die wgconfig direkt von der fritzbox erstellen und runterladen.

Die packst du auf coreelec und benennst du um.
Lieber etwas weniger Komplexität

Selbst wenn du daheim bist, dann kann das wireguard anbleiben

Ponyriemen

Zitat von jkdask

,0.0.0.0/0
Du kannst den Teil auch einfach entfernen dann wird nur dein Heimnetz über WireGuard geroutet und nicht der gesamte traffic. Dann kannst du wireguard auch einfach an lassen.

Zitat von tavoc

Selbst wenn du daheim bist, dann kann das wireguard anbleiben

das kappier ich gerade nicht - was macht das genau, wenn ich ",0.0.0.0/0" weglasse?
Irgendwie stehe ich gerade aufm Schlauch. Die Fritte zu Hause ist ja ganz normal am Netz, WG wird nur von meiner S905 im VAN genutzt. Wenn aktiv, dann Datenverkehr erst nach Hause und von da in die weite Welt - soweit ich das verstehe. Alles in meinem Heimnetz zu Hause nutzt doch in dem Moment gar kein VPN weil es doch eh normal an der Fritte hängt, oder was verstehe ich da falsch?

jkdask

Der Teil auf sorgt dafür, dass der gesamte Traffic über dein Heimnetz läuft, wenn du in CE VPN aktiviert hast. Wenn du aber nur auf TVH in deinem Heimnetz zugreifen willst und den Rest über den Hotspot routen willst, kannst du das weglassen bei Bedarf.

Ponyriemen

Ok, so langsam hab ichs.
Kannst Du mir die Funktionsweise noch etwas genauer erklären? Wie funktioniert das, dass man die einen Apps über Hotspot und die anderen über WG routen kann? Ich verstehe den Zusammenhang mit "0.0.0.0/0" nicht.

Sorry wenn ich doof danach frage und mich mit sowas nicht auskenne.

LG

jkdask

Das hat mit den Apps nichts zu tun. Das betrifft nur das IP-Routing. Wenn du den Teil weg lässt, wird die default Route nicht überschrieben. Aber das kann dir Google bestimmt besser und umfangreicher erklären als ich.

Jetzt mitmachen!