← Heimnetz-Übersicht · Netzwerk · Router openwrtone · Proxmox · Sicherungen

Stand: 10.10.2026. Hinweis: Auf dieser Seite stehen keine Schlüssel. Sie liegen nur auf den Geräten (/etc/wireguard im Container, UCI auf dem Router).

• Ausfallsicherung: Arcen hängt mit seinem gesamten Verkehr am WireGuard-Tunnel der FRITZ!Box. Hängt der WireGuard-Dienst der FRITZ!Box (so am 10.10.2026 nach einem Neustart), gibt es einen zweiten Weg über diesen Server.
• Weitere Systeme: Handys, Laptops und andere Standorte können sich hier ebenfalls einwählen, ohne die FRITZ!Box anzufassen.

Die Quelladressen von Arcen erscheinen im Raderbroich-LAN als 192.168.192.5 (NAT im Container). Dadurch braucht die FRITZ!Box keine statische Route.

Im Container (ssh root@192.168.192.5):

wg-peer-hinzufuegen NAME

Das Skript vergibt die nächste freie Adresse, erzeugt Schlüssel und liefert die fertige Konfiguration samt QR-Code (für die WireGuard-App). Standardziele des Clients: Raderbroich-LAN 192.168.192.0/24 und das Tunnelnetz. Weitere Ziele als zweiter Parameter, z. B. „192.168.192.0/24, 10.10.11.0/24“. Gegenstellen mit eigenem Schlüssel (Router): wg-peer-hinzufuegen NAME –pubkey PUBKEY –netze NETZ1,NETZ2. Teilnehmer ansehen: wg show wg0.

FRITZ!Box → Heimnetz → Netzwerk → Gerät wireguard (192.168.192.5) → Portfreigaben → Neue Freigabe:

Ohne diese Freigabe funktioniert der Server nur aus dem LAN und durch den vorhandenen Tunnel, nicht als Ersatz.

Auf dem Router openwrtone gibt es die Schnittstelle pve (WireGuard, Adresse 10.10.20.2/32, erlaubte Ziele 0.0.0.0/0 ohne automatische Routen). Stand 10.10.2026:

• Tunnel steht, Handshake und Ping zum Server 10.10.20.1 getestet. Zugriff ins Raderbroich-LAN und ins Internet über den Server getestet.
• Der Tunnel läuft vorerst mit dem Endpunkt 192.168.192.5:51820 durch den Tunnel der FRITZ!Box (Test). Als Ersatz taugt das erst, wenn der Endpunkt auf p323kqke5o1kdla8.myfritz.net:51820 steht und die Portfreigabe besteht.
• Noch nicht aktiv: das automatische Umschalten (Standardroute von fritzbox auf pve, sobald der FRITZ!Box-Tunnel keinen Handshake mehr hat und der Server erreichbar ist). Wird nach der Portfreigabe gebaut und mit einem echten Ausfalltest geprüft.

Grenzen:

• Fällt die FRITZ!Box komplett aus (Strom, Kabelanschluss), hat auch Raderbroich kein Internet, dann nützt der Server nichts.
• Verkehr von Raderbroich nach Arcen (z. B. HA Raderbroich → HA Arcen) läuft weiter über die FRITZ!Box. Bei einem Ausfall des FRITZ!Box-WireGuard bräuchte das Raderbroich-LAN eine Route auf 192.168.192.5 (für 10.10.11.0/24). Das ist nicht eingerichtet.

LXC 105 ist noch nicht in einer Sicherung. Konfiguration und Schlüssel liegen in /etc/wireguard im Container. Nach der Einrichtung vzdump 105 ausführen und infrastruktur:backup:start ergänzen.

• Portfreigabe: In der FRITZ!Box angelegt. Test von Arcen aus über p323kqke5o1kdla8.myfritz.net:51820 (Weg über Landal direkt zur öffentlichen Adresse): kein Handshake. Im LAN von Raderbroich kommen auf UDP 51820 keine Pakete an. Die Freigabe wirkt also noch nicht (Protokoll, Port, Zielgerät oder Aktivierung in der FRITZ!Box prüfen). Das Umschalten wurde deshalb noch nicht gebaut.
• Weboberfläche: Versuch mit wg-easy (Docker im unprivilegierten Container) gescheitert, die Datenbank-Migration hing. Zurückgebaut, der native WireGuard-Server (wg-quick@wg0) läuft wie zuvor. Docker ist im Container installiert und kann entfernt werden. Das Skript wg-peer-hinzufuegen bleibt die Bedienung.
• SSH auf den Container: Aus Arcen (10.10.11.x) nicht möglich, weil der Container für die Arcen-Netze eine Rückroute über den Tunnel hat. Verwaltung über pve (pct exec 105) oder aus dem Raderbroich-LAN.

Dieser Nachtrag ersetzt die Aussagen weiter oben zum fehlenden Handshake.

• FRITZ!Box-Freigabe: Gerät PC-192-168-192-5 (192.168.192.5), Freigabe „wireguard“, UDP, Port 51820 (IPv4), aktiv. Seitdem Handshake über p323kqke5o1kdla8.myfritz.net:51820 (Server sieht die Landal-Adresse des Chalets als Absender).
• Endpunkt auf dem Arcen-Router: pve zeigt auf den öffentlichen Namen, der Dienst tunnel-failover führt die IP nach (wie bei fritzbox).
• Test Stufe B (12:15 bis 12:19): FRITZ!Box-Tunnel (UDP 55536) blockiert → nach 38 s Stufe B, Internet und Raderbroich-LAN über den Server, öffentliche Adresse blieb die von Raderbroich; Block entfernt → nach ca. 60 s zurück in Stufe A.
• Rückroute im Container: Für 10.10.11.1 gibt es eine Host-Route über die FRITZ!Box (PostUp in wg0.conf), weil sonst Antworten auf Verkehr, der über den FRITZ!Box-Weg aus Arcen kommt, in den falschen Tunnel liefen (Container war aus Arcen nicht erreichbar).
• Sicherung: vzdump von LXC 105 auf pve (/var/lib/vz/dump) am 10.10.2026.
• Offen: Weboberfläche (wg-easy im unprivilegierten Container gescheitert); Docker ist im Container noch installiert.