Wireguard VPN traffic in Opensense Adguard Filtern

[RX4HX]

Moin Leute ,
ich habe meine Opnsense mit wireguard, Adguard etc. Konfiguriert.
nun habe ich das Problem das ich wenn ich mit meiner VPN im Home-Netz bin wird nichts geblockt von dem DNS.
Ich kann in den Wireguard Einstellungen auf meinem Client auch nicht meine öffentliche ip eingeben als dns. Er hat zwar ein Handshake aber ich kann nur im Heimnetzwerk rum surfen :/. Sobal ich Google öffne läd er nur. Hat einer von euch da eine Lösung ? (mit der 1.1.1.1 kann ich Surfen und ins Heimnetzt, hab aber kein Filter für ADs)

[tiermutter]

Moin und Willkommen!

Jetzt bitte nochmal etwas langsamer und ausführlicher

Was genau funktioniert nicht?
Was soll funktionieren?
Was funktioniert vom WG setup?
Was ist das für ein Client?

[RX4HX]

Erstmal danke für deine Antwort !
F: Also erstmal was möchte ich damit bezwecken?
A: Ich möchte gerne von überall auf mein Heimnetz zugreifen, da ich viel auf Montage bin.
Dazu möchte ich aber auch das mein Traffic vom Handy über meinen DNS geroutet wird, da ich dann auch einen Adblock etc. habe.

Was ich bis jetzt gemacht habe:
Ich habe die WireGuard VPN eingerichtet Funktioniert auch alles einwandfrei auf 3 Geräten.(Ping im Heimnetzt und ins Öffentliche)
Danach habe ich bei Rules -> WAN eine Regel für den Port 53 auf meine OPNSense erstellt (in+out)

Jetzt war mein gedanke das ich der WireGuard APP den DNS von CLoudflare(Oder halt die man benutzt) raus nehme und meine Öffentliche IP dort eintrage. Das der Traffic dann über den Adguard DNS läuft. (Funktioniert aber nicht) 

Mein Problem ist ich habe dann einen Handshake aber nur ein Ping auf das Interne/Private Netzt und keinen Verbindung zu Google, Outlook etc.

Ändere ich dann die DNS IP wieder auf 1.1.1.1 Funktioniert alles außer Adblock etc.

Ist evtl. die Regel Falsch gesetzt ? Wäre jetzt das einzige was ich mir vorstellen kann.

[tiermutter]

Ok...
also Zugriff aufs Heimnetz, alles klar.
Außerdem soll der hemische DNS (Adguard) verwendet werden, klar soweit ("Traffic über DNS routen" ist aber nicht so recht zutreffend).
Dann stellt sich noch die Frage, ob auch der Traffic über deinen heimischen Internetanschluss laufen soll, oder ob dieser ganz normal über das Mobilfunknetz gehen soll (Adguard kann ja dennoch verwendet werden).

>> Danach habe ich bei Rules -> WAN eine Regel für den Port 53 auf meine OPNSense erstellt (in+out)

Das ist unnötig. Auf WAN kommt bei Dir ja keine DNS Anfrage.
Um den DNS zu nutzen ist erstmal keine gesonderte Regel erforderlich. Wo läuft Adguard? Auf der Sense? Dann einfach in der WG Client config die WG IP der Sense als DNS angeben.

>> und meine Öffentliche IP dort eintrage.

Nein nein... wie gesagt die WG IP der Sense. Wenn AGH woanders läuft sieht es anders aus...

>> Mein Problem ist ich habe dann einen Handshake aber nur ein Ping auf das Interne/Private Netzt und keinen Verbindung zu Google, Outlook etc.

Also keine Namenauflösung. Ist klar, denn auf deiner öffentlichen IP ist sicherlich kein DNS erreichbar

>> Ändere ich dann die DNS IP wieder auf 1.1.1.1 Funktioniert alles außer Adblock etc.

Auch klar... Namenauflösun geht wieder, aber eben über 1.1.1.1 und nicht AGH...

[RX4HX]

Ok...
also Zugriff aufs Heimnetz, alles klar.
Außerdem soll der hemische DNS (Adguard) verwendet werden, klar soweit ("Traffic über DNS routen" ist aber nicht so recht zutreffend).
Dann stellt sich noch die Frage, ob auch der Traffic über deinen heimischen Internetanschluss laufen soll, oder ob dieser ganz normal über das Mobilfunknetz gehen soll (Adguard kann ja dennoch verwendet werden).

-Genau Richtig ! Wo wäre da der Unterschied ? Sinnvoller wäre es ja wenn ich den Traffic über den Heimischen Internetanschluss laufen lasse, wenn ich im Ausland auch keine Sperren haben möchte. Richtig ?

>> Danach habe ich bei Rules -> WAN eine Regel für den Port 53 auf meine OPNSense erstellt (in+out)

Das ist unnötig. Auf WAN kommt bei Dir ja keine DNS Anfrage.
Um den DNS zu nutzen ist erstmal keine gesonderte Regel erforderlich. Wo läuft Adguard? Auf der Sense? Dann einfach in der WG Client config die WG IP der Sense als DNS angeben.

-Ja ich habe es auf der Sense per Plugin! Ich habe das jetzt so verstanden das ich bei der sense in VPN -> WireGuard -> Instances dann (Advanced Setting an) und bei DNS die Opnsense ip eingebe z.b. 192.168.0.1

>> und meine Öffentliche IP dort eintrage.

Nein nein... wie gesagt die WG IP der Sense. Wenn AGH woanders läuft sieht es anders aus...

-Alles Klar also immer die 192.168.0.1(Sense) oder die 10.10.10.1/24 WG Interface IP ?

>> Mein Problem ist ich habe dann einen Handshake aber nur ein Ping auf das Interne/Private Netzt und keinen Verbindung zu Google, Outlook etc.

Also keine Namenauflösung. Ist klar, denn auf deiner öffentlichen IP ist sicherlich kein DNS erreichbar

-Alles klar AdGuard Home ist dann also kein DNS Server sondern nur eine (Sozusagen) Filter GUI ?

>> Ändere ich dann die DNS IP wieder auf 1.1.1.1 Funktioniert alles außer Adblock etc.

Auch klar... Namenauflösun geht wieder, aber eben über 1.1.1.1 und nicht AGH...

[tiermutter]

>> -Genau Richtig ! Wo wäre da der Unterschied ? Sinnvoller wäre es ja wenn ich den Traffic über den Heimischen Internetanschluss laufen lasse, wenn ich im Ausland auch keine Sperren haben möchte. Richtig ?

zB. deine Aktivitäten lassen sich so zB in Hotel WLAN auch nicht so einfach nachverfolgen, etc.
Realisiert wird das dann im Client (Smartphone) mit allowed IPs = 0.0.0.0/0

>> -Ja ich habe es auf der Sense per Plugin! Ich habe das jetzt so verstanden das ich bei der sense in VPN -> WireGuard -> Instances dann (Advanced Setting an) und bei DNS die Opnsense ip eingebe z.b. 192.168.0.1

Nein. Bzw mache ich es nicht so... im Client selbst (Smartphone) den DNS entsprechend einstellen.
Welche IP das bei Dir ist weiß ich nicht, um interne IPs muss aber auch kein Hehl gemacht werden, die kannste preisgeben

>> -Alles Klar also immer die 192.168.0.1(Sense) oder die 10.10.10.1/24 WG Interface IP ?

Ich nehme immer die WG IP, hier dann wohl die 10.10.10.1 (ohne /24 und ohne /32).

>> -Alles klar AdGuard Home ist dann also kein DNS Server sondern nur eine (Sozusagen) Filter GUI ?

Naja DNS Auflösun macht der schon... und filtern... aber bei der Einstellung die du da hattest konnte das Gerät gar keinen DNS mehr erreichen und daher auch keine Namen auflösen.

[tiermutter]

Achja... die 192.168.0.x ist ein Netzbereich den viele Home-Router verwenden. Aus diesen Netzen wirst Du dann immer Probleme haben, daher solltest Du besser einen anderen Bereich für dein LAN nehmen...

[RX4HX]

>>zB. deine Aktivitäten lassen sich so zB in Hotel WLAN auch nicht so einfach nachverfolgen, etc.
     Realisiert wird das dann im Client (Smartphone) mit allowed IPs = 0.0.0.0/0

Alles Klar perfekt das wollte ich genau so haben !!

>>Nein. Bzw mache ich es nicht so... im Client selbst (Smartphone) den DNS entsprechend einstellen.
     Welche IP das bei Dir ist weiß ich nicht, um interne IPs muss aber auch kein Hehl gemacht werden, die
     kannste preisgeben

HAHA ja stimmt ich bin nur manchmal bisschen verpeilt und deswegen gehe ich manchmal lieber auf nummer sicher xD Ich habe jetzt den DNS eintrag vom Server genommen und Funktioniert !

>> Ich nehme immer die WG IP, hier dann wohl die 10.10.10.1 (ohne /24 und ohne /32).

Alles Klar habe ich gemacht und nun Funktioniert es einwandfrei die NS Auflösung ist da und die Filter des ADH sind nun auch am laufen !!!

>> Naja DNS Auflösun macht der schon... und filtern... aber bei der Einstellung die du da hattest konnte das Gerät gar keinen DNS mehr erreichen und daher auch keine Namen auflösen.

Ah ok weil er dadurch nur noch im IP bereich Arbeiten konnte und nicht wusste das Google.de z.b. die 8.8.8.8 hat... Krass ich danke dir auf jeden fall viel mals für deine Hilfe ! bist du vom Fach oder eher Hobby mäßig in dem Thema drin ?

[RX4HX]

Ich habe bei mir die 192.168.1.X als Heimnetz.
Jetzt habe ich noch eine Frage. Kennst du die d3ward.github.io Adblock Test Website ?
Ich habe dort mal auf allen endgeräten ein Test gemacht und bekomme bei allen Geräten mit über Google Chrome 100% Blocking angezeigt wenn ich einen anderen Browser nehme Kommen Cosmetic Filter und Ad Scripts Loading durch. kann ich die sachen auch noch durch AdGuard Filtern lassen oder brauch man dafür etwas auf dem endgerät ?

[tiermutter]

Das ist nur Hobby das aus dem heimischen "alltagsgeschäft" entstanden ist... Wenn Internet immer und überall ist, muss man das alles auch ein bissl beherrschen... Ein schnitzel muss man sich im Ernstfall ja auch selbst braten können 

[tiermutter]

Der Adressbereich ist nicht viel besser

Das kann daran liegen dass zB
A) Der andere Browser IPv6 verwendet, hier muss auch noch Hand angelegt werden damit v6 (insgesamt, nicht nur DNS) nicht am Tunnel vorbeigeht...
B) Der Browser eigene DNS verwendet. Um hier relativ safe zu sein müsste man anderweitige DNS anfragen umleiten und DoH und DoT blockieren.

Beides wirkt sich gleichermaßen übrigens auch auf das LAN aus, da "können" also die selben Probleme bestehen!

Mit beiden Sachen wird es dann natürlich nochmal richtig speziell

[RX4HX]

HAHAHA ja da hast du auf jedenfall recht ! 
Alles klar dann setze ich mich da mal ran
Komisch ist nur das ich noch keine IPv6 Konfiguriert habe, da ich die letzten Tage dabei war über Überhaupt eine Verbindung auf die sense zu bekommen. Wir haben hier ein Modem was das Glasfaser auf DHCP umleitet und Ipv6 kommt da irgendwie nicht an... also habe ich nur eine Ipv4 bis dato

[RX4HX]

OK Sorry Ipv6 Funktioniert hatte gestern doch wieder auf DHCP gestellt und das Modem hat mir eine Zugewiesen übernacht !

[tiermutter]

Selbst wenn v6 nicht aktiv wäre, dann würde dein Telefon im Mobilfunknetz ja eine v6 haben und damit um den Tunnel herum arbeiten...

Entsprechend muss / kann nun dafür gesorgt werden, dass auch v6 durch den Tunnel geht. Damit würde ich anfangen damit wir uns dann ordentlich um das DNS Problem kümmern können.
Allerdings muss ich jetzt erstmal einen mittagsschlaf machen und habe dann noch reichlich zu tun... Kann also sein dass ich morgen erst wieder da bin.
In der Zeit muss jemand anders übernehmen oder du liest dich schonmal etwas in v6 ein

Wir wollen dann folgendes machen:
1. Der Sense eine ULA zuweisen (damit sie darüber später als DNS erreichbar ist)
2. Dem WG VPN ein ULA Adressbereich zuweisen
3. Den WG peers eine ULA zuweisen
4. Den WG peers die ULA der Sense zusätzlich zur v4 als DNS zuweisen
5. Die Sense / AGH auch im LAN als v6 DNS verteilen

Damit kommt dann niemand mehr mit v6 um den Tunnel bzw AGH herum.
Wenn das erledigt ist, kümmern wir uns um die DNS Umleitungen und Blockieren von DoT und DoH....

[tiermutter]

Nur als randinfo:
Den ULA Mist machen wir nur weil unsere Provider meist noch nicht fähig sind v6 so umzusetzen wie es gedacht ist (wechselnder Präfix).
Wäre der Präfix und damit die GUA stets unverändert, könnten wir damit arbeiten. Unter dem diesen Umständen sehe ich da aber keinen Sinn, da man bei einem Präfixwechsel wieder umkonfigurieren müsste...