Komplette Fritzbox per Tunnel hinter Starlink exponieren

[BigKid]

Ich suche Hilfe in jeder Form auch in Form von Hinweisen auf ein Forum in dem solche Themen eher diskutiert werden...

Ich möchte eine Fritzbox 7590 das Internet des Skylink Routers benutzen lassen aber trotzdem exponieren als wäre sie der eigentliche Internet-Zugangspunkt. Leider bin ich Skylink Netz hinter einer CGNAT.
Der erste Teil ist bei einer 7590 (nicht die AX) einfach: Als Internetanbieter "anderen Anbieter" und "bestehende Internetverbindung per WLAN" auswählen.

Der Zweite Teil ist das Problem denn ich möchte diese Fritzbox mit einer anderen Fritzbox per VPN Tunnel LAN-LAN koppeln können. Mir wäre es wurscht wenn das nicht so super performant wird weil ich nen Tunnel durch nen Tunnel jagen muss...
Ein kleiner Server mit einer Owncloud Lösung hängt auch noch dahinter, ferner läuft die gesammt Telefonie über die eine Box, die andere hängt da nur als Telefoniegerät über die LAN-LAN Kopplun drann (selbe Vorwahl daher sehe ich da nix illegales).

Bisher läuft das alles da beide Standorte per DSL eine öffentliche IPv4 Adresse haben - aber ich das DSL ist seeehr lahm an einem Standort und Mobilfunk leider nicht verfügbar.

Vorhanden sind: Ein Raspi4 der grad nix zu tun hat und auch ein DynDNS Account.

Ist das machbar ? Mir schwebt etwas vor mit Reverse VPN Tunnel über einen VPN Server mit öffentlicher IP Adresse und den Raspi dann quasi zu nutzen um die Fritzbox zu exponieren. Der Raspi würde dazu vermutlich im Netz des Skylink Routers hängen.

[Opprobrium]

Müsste das nicht ganz einfach mit der im FritzOS integrierten VPN Funktion klappen? Seit Version 7.50 auch per Wireguard :up:

[BigKid]

Müsste das nicht ganz einfach mit der im FritzOS integrierten VPN Funktion klappen? Seit Version 7.50 auch per Wireguard :up:
Eine der Boxen ist leider doch schon eine AX ... die sind noch auf 7.31 aber ich schau mal ins Fritz-Labor...
Wenn ich die LAN LAN Kopplung erst einmal hinbekommen habe, dann habe ich das Problem aber nur "verschoben"... Denn an dem "nicht Starlink" Standort kommt dann in 1-2 Jahren Glasfaser... Die Leerrohre wurden schon bis ins Haus gelegt... Einblasen ist für dieses Jahr geplant... Dann ist die Frage ob ich nicht an dem Standort vor dem selben Problem stehe...
Ausserdem würde ich an dem Starlink Standort schon auch gerne mal einen Gameserver hosten können -> da müsste ich dann zumindest einzelne Ports irgendwie durchtunneln...
Es sei denn ich mache das auch über die LAN LAN Kopplung und statische Routen oder sowas ? Nur ist das dann vermutlich noch inperformanter als direkt zu tunneln - oder ?

[Semmel]

Kannst du den Starlink-Router nicht in den "Bypass-Mode" versetzen? Dann sollte er zum Modem degradiert werden und die Fritzbox kann zum Router werden. Wenn du die neuere Starlink-Hardware hast, dann brauchst du dafür allerdings noch den hauseigenen Ethernet-Adapter.

Im Business-Tarif kannst du übrigens auch eine öffentliche IPv4-Adresse bekommen.

[BigKid]

Kannst du den Starlink-Router nicht in den "Bypass-Mode" versetzen? Dann sollte er zum Modem degradiert werden und die Fritzbox kann zum Router werden. Wenn du die neuere Starlink-Hardware hast, dann brauchst du dafür allerdings noch den hauseigenen Ethernet-Adapter.

Im Business-Tarif kannst du übrigens auch eine öffentliche IPv4-Adresse bekommen.
Der Business Tarif ist aus Kostengründen einfach mal raus... ;-)
Der Skilink-Router steht im Moment auf dem Balkon... Fenster anbohren ist nicht erlaubt ;-) Das wird sich die nächsten 2-3 Monate nicht ändern... Wenn wir in spätestens 25 Tagen entschieden haben ob wir es behalten beginnt die Planung mit der Festinstallation und dann könnte es gut sein, dass ich den Skilink Ethernetadapter nehme, wenn ich irgend wie das Kabel mit vernünftigem Aufwand verlegt bekome... Nur - das ändert nix am CGNAT Problem und der fehlenden IPv4 und der (vermutlich) fehlenden IPV6 ... meines Wissens nach... Oder ?

[Semmel]

Wenn du beim Privat-Tarif bleibst, dann bleibt es bei CG-NAT.
Eine VPN-Koppelung von zwei Fritzboxen klappt aber auch, wenn nur eine von beiden eine öffentliche IPv4-Adresse hat.

Ob oder wie gut das funktioniert, wenn die Fritzbox selbst auch nochmal hinter einem lokalen NAT durch den Starlink-Router ist, weiß ich nicht.
Daher wäre es evtl. schon sinnvoll, den Starlink-Router zu umgehen, damit die Fritzbox der Router sein kann.
Was spricht dagegen die Fritzbox ebenfalls mit auf den Balkon zu stellen und per Adapter mit Starlink zu verbinden?

[Tyrann]

Der Business Tarif ist aus Kostengründen einfach mal raus... ;-)
Der Skilink-Router steht im Moment auf dem Balkon... Fenster anbohren ist nicht erlaubt ;-) Das wird sich die nächsten 2-3 Monate nicht ändern... Wenn wir in spätestens 25 Tagen entschieden haben ob wir es behalten beginnt die Planung mit der Festinstallation und dann könnte es gut sein, dass ich den Skilink Ethernetadapter nehme, wenn ich irgend wie das Kabel mit vernünftigem Aufwand verlegt bekome... Nur - das ändert nix am CGNAT Problem und der fehlenden IPv4 und der (vermutlich) fehlenden IPV6 ... meines Wissens nach... Oder ?

vielleicht hilft sowas:

https://www.kabelscheune.de/out/pictures/generated/product/1/450_450_90/rj45-fensterdurchfuehrung-fuer-lan-kabel.jpg

[BigKid]

Wenn du beim Privat-Tarif bleibst, dann bleibt es bei CG-NAT.
Eine VPN-Koppelung von zwei Fritzboxen klappt aber auch, wenn nur eine von beiden eine öffentliche IPv4-Adresse hat.

Ob oder wie gut das funktioniert, wenn die Fritzbox selbst auch nochmal hinter einem lokalen NAT durch den Starlink-Router ist, weiß ich nicht.
Daher wäre es evtl. schon sinnvoll, den Starlink-Router zu umgehen, damit die Fritzbox der Router sein kann.
Was spricht dagegen die Fritzbox ebenfalls mit auf den Balkon zu stellen und per Adapter mit Starlink zu verbinden?
Naja - der Starlink Router scheint mir so gebaut zu sein, dass er durchaus auch draussen stehen kann... Die Stecker werden alle "von unten" eingeschoben und sind jeweils mit mehreren Gummiringen abgedichtet...
Aber um mal zu testen kann ich die FB auch nach aussen stellen...


Ich beschreib mal was ich schon probiert habe:
Um Dinge gegenprüfen und basteln zu können ohne den Rest der Familie lahmzulegen habe ich eine dritte Fritzbox hinzugezogen - eine 7590AX mit Labor Firmware 7.39 um auch dort an Wireguard zu kommen...

Alle Fritzboxen sind in meinem DynDNS Account registriert (a.a.de , b.a.de und c.a.de)

Fritzbox 1: 1&1 Anschluss
Fritzbox 2: anderer 1&1 Anschluss
Fritzbox 3: ist als Router konfigruiert , der die Internetverbindung des Starlink Routers per WLAN mitbenutzt (Einstellung bei Zugangsdaten "anderer Anbieter", "vorhandene Verbindung per WLAN mitbenutzen". Den Anschluss per Kabel würde ich zunächst gerne vermeiden, da der Starlink Router erstmal provisorisch auf dem Balkon steht
<- Das wäre die Zielkonfiguration für die nächsten Monate

Ob also die DynDNS Einträge von Router 3 nicht absoluter Blödsinn sind wäre noch festzustellen... Ich gehe davon aus, dass die Infos, die die FB3 bekommt falsch sind weil da ja noch der Starlink Router dazwischen hängt...

Versuch zunächst noch einmal mit Boardmitteln:
- Wireguard gemäss Beschreibung von AVM eingerichtet 1 <-> 3 - keine Verbindung
- IPSEC 1 <-> 3 - keine Verbindung (der Versuch mit deine custom cfg steht noch aus, versucht habe ich bei für Fritzbox 3: keine Einträge bei Internet-Adresse eigene , Keep Alive ja
Fritzbox 1: kein Eintrag bei Internet-Adresse andere Box, Keep Alive nein
- IPSEC 1<-> 2 besteht munter weiter

Jetzt wäre ich sehr froh, wenn mir jemand mit Custom.cfgs für IPSEC für die beiden Boxen helfen könnte um mal zu schauen ob es damit hinzubekommen ist.
VPN Verbindung vom Firmenlaptop über Starlink geht jedenfalls... Also ganz Aussichtslos ist das nicht...

@Tyrann: Fensterdurchführung... Genial... Hab ich gar nicht drann gedacht... Danke... Starlink Ethernetadapter ist geordert...

[Opprobrium]

Miete Dir für ein paar Euro einen virtuellen Server mit fester IP und genügend Traffic (bei hosting.de bspw. 4,90€ für 1-Kern und 5TB Traffic) und nutz das als Wireguardportal.

Die 7590 AX sollte auch demnächst Wireguardsupport bekommen, Labor gibt es afaik bereits. Laborversion gibt es sogar für die olle 7490 :)

[BigKid]

Ich habs tatsächlich über die Boardmittel der Fritzboxen hinbekommen... IPSEC mit einer Custom Cfg die dafür sorgt, dass die Box die hinter/über Starlink läuft die Verbindung initiiert und nie die andere... Es reicht wenn man EINE Box hat die eine öffentliche IP Adresse hat, man muss nur dafür sorgen, dass die Verbindung immer von der ausgeht, die keine öffentliche IP hat...
Hat Nerven gekostet... Ich hatte es mit einem Testsubnetz am laufen damit ich das Hausnetz nicht zu lange lahmlege, dann habe ich alles auf die finalen IPs umgestellt nix ging mehr... Alles wieder von vorne... Mal gings... Dann wieder nicht... Dann gingen plötzlich auch die orginalen Einstellungen nicht mehr... Dann Backup zurückgespielt... Ging wieder... Kleinigkeit geändert... Ging wieder nix...
Was wars ? Die Fritzboxen übernehmen anscheinend die IPSEC/VPN Einstellungen nicht sauber wenn man sie nicht durchstartet... Das Backup zurückspielen hat immer auch zu nem Neustart geführt - daher gings dann immer...
Ein Teil meines Problems ist damit gelöst und der eine Server den ich betreibe, den könnte ich nun umstellen - oder - ich versuche das über den VPN Tunnel der beiden Boxen zu routen... Ist halt blöd für spontan mal nen Game-Server hosten...
Werde mir also vermutlich die Sache mit dem Amazon Linux Server (Lightsail ?) und nem Raspi mal ansehen... Den Raspi hab ich eh noch von einem anderen Experiment...