Wireguard VPN funktioniert, aber nur auf lokales Netz --- Internet geht nicht

[halloween]

Here we go...

1. - ohne Wireguard - mit Hotspot vom Handy verbunden
2. - mit Wireguard - mit Hotspot vom Handy verbunden
3. - mit Wireguard - mit Hotspot vom Handy verbunden - auf die IP der Opnsense

[knebb]

Gut, das heißt, dass entweder auf dem Mac dann irgendeine Firewall-Regel gesetzt wird (was ich nicht glaube) oder das WG auf Deinem Mac das default Gateway ändert, wenn WG verbunden ist. Die Pakete gehen also vermutlich alle in Richtung OPNsense.

Dann jetzt bitte die Route-Einträge von der OPNSense in Richtung verbundenes MacBook.

Und sehr hilfreich, PAcketaufzeichnung vom WG-Interface, gerne auch von ROT.

/KNEBB

[halloween]

Wenn du mir sagst, was ich wo nachschauen soll, dann gerne...

Rot = WAN ?
Ich habe keine Routen gesetzt...

Was genau soll ich überprüfen?

Kann es etwas mit dem DNS-Server zu tun haben? Kann ich das irgendwie prüfen? Vielleicht wenn ich die IP einer Homepage direkt im Browser eingebe?

[halloween]

Ich habe auf meinem iPad auch die Wireguard-App installiert und dieses als weiteren Peer zu meiner Opnsese hinzugefügt.

Selbes Ergebnis: Sobald ich 0.0.0.0/0 eintrage, erhalte ich Zugriff aufs Home-LAN aber nicht mehr aufs Internet...

[halloween]

Was ich noch herausgefunden habe:

Im Firewalllog sehe ich alle lokalen Zugriffe vom Notebook auf das Webinterface, auf andere Server usw.
Die Zugriffe ins Internet hingegen nicht. Garnichts, kein block, kein pass.

Pings vom MacBook aus ins Internet zu 8.8.8.8 funktionieren, ping zu google.de nicht.

Vom Ping sehe ich ein icmp pass auf 8.8.8.8 von der ip des macbooks aus im firewall livelog.

Wenn ich im Browser 1.1.1.1 eingebe, dann komme ich auf die Internetseite, im Livelog wird auch port 443 udp zugriff als pass schön angezeigt.

Also muss es doch irgendwie mit der Namensauflösung zusammenhängen?

[knebb]

Bitte geh strukturiert vor.

Zuerst muss "ping-mäßig" alles, aber auch wirklich ALLES passen. Also ping nur auf IPs, nicht auf Namen.

Wenn das dann wirklich sauber funktioniert, kannst Du auf "Namen" pingen, dann merkt man, ob der Name auflöst oder nicht (alternativ geht hierfür auch das "host" Kommando).

Und wenn das dann funktioniert, dann darfst Du die "üblichen" Internetdienste testen (Browser etc.)

Alles Andere ist ein Hin- und Her, dem keiner hier mehr folgen kann.

/KNEBB

[halloween]

Danke für die vielen Tipps und die schnelle Hilfe!

Ich habs hinbekommen!

Das Problem war, dass ich auf meinem Notebook den DNS-Eintrag in der Wireguard-Config setzen musste und dann hab ich noch herausgefunden, dass im pihole die Option gesetzt war, dass er nur Zugriffe vom lokalen Netz zulässt.