VPN-Tunnel mit Wireguard – mögliche Fehler und Probleme
Aus Portunity Wiki
Inhaltsverzeichnis |
Verbindung funktioniert nicht an einem reinen IPv4-Zugang
Wir liefern standardmäßig einen Hostname als Verbindungsziel aus, welcher auf IPv6 und IPv4 auflöst.
Insbesondere, wenn der Tunnel durch ein CG-NAT aufgebaut wird, ist die Verbindung über IPv6 hinsichtlich Performance und Stabilität zu bevorzugen.
Leider führt dies mit Wireguard zu Problemen, falls Ihr Anschluss nur eine IPv4-Adresse hat – in dem Fall versucht Wireguard trotzdem, eine Verbindung per IPv6 aufzubauen, was dann zwangsläufig scheitert.
Dies können Sie mit folgenden Konfigurationen beheben:
Linux-basiertes System
- In der Datei
/etc/gai.confans Ende einfügen:
# IPv6-Auflösung für Tunnelendpunkte schlechter priorisieren precedence 2a02:a00:1f:a061:188:246:1::/112 5
Windows-basiertes System
- Führen Sie mit Administrator-Rechten folgenden Befehl in einer Kommandozeile aus:
netsh interface ipv6 set prefixpolicy 2a02:a00:1f:a061:188:246:1::/112 50 0
Verbindung bleibt down, wenn ein Tunnel-Endpunkt ausfällt
Für höhere Ausfallsicherheit betreiben wir Tunnelendpunkte an verschiedenen unserer Rechenzentrums-Standorte. Auch wenn ein einzelner Tunnel-Einwahlserver ausfällt, verbinden sich die Clients normalerweise mit den anderen verbliebenen Servern, so dass die Dauer der Unerreichbarkeit möglichst niedrig gehalten wird, während wir den Ausfall schnellstmöglich beheben.
Dies funktioniert mit Wireguard leider nicht, da Wireguard diesen automatischen Failover schlicht nicht unterstützt.
Hierzu ist uns leider kein "Trick" bekannt, um einen automatischen Failover zu erreichen – sogar ein manuelles Trennen und Neu-Aufbauen der Verbindung funktioniert in dem Fall möglicherweise nicht auf Anhieb, falls Wireguard sich erneut zum ausgefallenen Endpunkt verbinden will.