Wireguard VPN via Docker

[Maiermobilfunk]

Habe eine DS220+ (Version: 6.2.4-25556) und möchte auf dieser über den verfügbaren Docker Wireguard laufen lassen.
Hat dies schon jemand erfolgreich hinbekommen? Mit der letzten stable Version ( und der "lastest") klappt es nicht.

 

[Fusion]

Container kann man nicht herunterladen. Man lädt Images / Abbilder. Auf Basis dieser kann man einen Container starten mit/ohne weitere Anpassungen

Für die Portweiterleitung ist der lokale Port entscheidend. Auf diesem lauscht die Syno.
Der Container Port gilt nur innerhalb des Containers wo der wireguard Dienst lauscht. Dieser ist aber nur über den lokalen Port auf der Syno von außerhalb des Containers erreichbar.

 

[Benares]

Container-Port ist intern. Probier's mit dem "Lokalen Port"

 

[Maiermobilfunk]

Danke euch schonmal. Denfall ist Wireguard via Docker möglich? Nach der Portfreischaltung kann dann übers Webinterface die Wireguard Konfiguration durchgeführt werden?

 

[stulpinger]

Grundsätzlich läuft wireguard via Docker, aber ganz so im "vorbeigehen" ist es nicht zu konfigurieren ...

Siehe folgenden Link:

https://registry.hub.docker.com/r/linuxserver/wireguard/

 

[Fusion]

Wireguard via Docker Container geht. Ob es auf der Syno geht...keine Ahnung. (Hab wireguard nativ auf einem Linux Server laufen, nicht auf der DS.)
https://hub.docker.com/r/linuxserver/wireguard

Konfigurationen eher über config Files, hab jetzt auf die schnelle nix von Webinterface gelesen.

 

[Maiermobilfunk]

Grundsätzlich läuft wireguard via Docker, aber ganz so im "vorbeigehen" ist es nicht zu konfigurieren ...

Siehe folgenden Link:

https://registry.hub.docker.com/r/linuxserver/wireguard/

Das hab ich mir gedacht. Den Artikel kenne ich, aber wie jetzt mit den Infos auf der Synology vorgehen?

 

[Maiermobilfunk]

@Fusion hab Wireguard auch schon auf meinem Unraid als Docker bzw. Plugin am laufen, möchte nur eben den Zweitweg über meine DS herstellen und dachte, dass dies doch möglich sein muss?!

 

[Fusion]

Denke schon, dass das geht. Aber halt vermutlich nicht per Klicki-Bunti Web-Interface beim Linux-Server Image.
Da hat sich bei unraid halt jemand den Aufwand gemacht und all die config arbeiten in eine web-gui zu packen.
Muss man halt Mal recherchieren ob es standalone oder anderweitige GUIs für Docker Images gibt.

 

[Maiermobilfunk]

Wenn es hier im forum niemand am laufen hat dann lass ich als "laie" bestimmt die Finger davon ?

 

[geimist]

Ich habe mich damit noch nicht befasst, aber neuerdings verteilt Synology über seinen Server das Paket Tilescale. Nachdem was ich lese, sollte das doch eurem Zweck dienen, oder?

Vielleicht liege ich auch völlig falsch …

 

[Maiermobilfunk]

Bin schon ein Schritt weiter gekommen:
https://github.com/runfalk/synology-wireguard
Wireguard Paket ist installiert. Nur die Config lt. Anleitung verstehe ich noch nicht….

@geimist Tilescale wäre für was genau gedacht?

 

[Fusion]

Ist halt ein anderer Ansatz. Nur ein Teil von Wireguard kommt da zum Einsatz.
https://tailscale.com/blog/how-tailscale-works/

Aber ja, hat auch sein Reiz.

 

[mrsandman]

WireGuard in Docker auf der Synology funktioniert, es ist allerdings nicht ganz einfach das ganze Routing richtig zu konfigurieren. Das WireGuard Paket von runfalk ist genial und läuft bei mir problemlos. Am einfachsten ist die Konfiguration via wg-quick:

Zuerst mit wg genkey und wg pubkey je ein public/private key-pair für den Server und den Client erstellen.

Server:
Folgende config Datei unter /etc/wireguard/wg0.conf abspeichern:

[Interface]
Address = 10.0.0.1/24
ListenPort = 51820
PrivateKey = <Server Private Key>

[Peer]
PublicKey = <Client Public Key>
AllowedIPs = 10.0.0.2

Client:
Folgende config importieren:

[Interface]
Address = 10.0.0.2/24
PrivateKey = <Client Private Key>

[Peer]
PublicKey = <Server Public Key>
Endpoint = <Server Public IP>:51820
AllowedIPs = 10.0.0.1, <Server Private IP>

Hierbei ist 10.0.0.0/24 das VPN Tunnelnetz, mit dem Server auf 10.0.0.1 und dem Client auf 10.0.0.2. Dieses Netz kann beliebig gewählt werden, darf aber nicht identisch sein mit den LANs auf Server- und Client-Seite. Auf dem Server können weitere Clients hinzugefügt werden, in dem man einfach weitere [Peer] Abschnitte anhängt. Die <Server Public IP> ist die IP Adresse über welche die Synology Box vom Internet her erreichbar ist, also üblicherweise die WAN-IP des Routers. Die <Server Private IP> ist die LAN-IP der Synology Box. Der Port 51820 ist der Standardport für WireGuard, er kann aber auch beliebig gewählt werden.

Den Server startet man dann via wg-quick up wg0. Wichtig ist dann noch sicherzustellen, dass Port 51820 auf der Synology Box vom Internet her via <Sever Public IP>:51820 erreichbar ist, was üblicherweise mittels Port Forwarding auf dem Router geschieht.

Danach sollte eine Verbindung vom Client zum Server aufgebaut werden können und die Synology Box über diese Verbindung erreichbar sein.

 

[eztam]

Hallo @Maiermobilfunk ,

Wenn es hier im forum niemand am laufen hat dann lass ich als "laie" bestimmt die Finger davon ?

Ich weiß nicht ob wireguard die richtige Lösung für einen Laien ist.
Ich denke in dem Fall dass du wirklich Laie bist, wäre die einfachere Lösung auf OpenVPN über das Synology VPN Paket zurückzugreifen.

Für einen Halblaien sehe ich noch die Möglichkeit eine virtuelle Maschine mit Home Assistant, bzw. Hass.io https://www.home-assistant.io/installation/alternative zu betreiben und deren Addon für Wireguard zu nutzen. In dem Fall würde ich das dann auch gleich in Kombination mit Adguard empfehlen.
Wobei natürlich noch die Frage ist, ob du die 220+ mit 2GB RAM oder einem RAM upgrade hast, denn mit 2GB wird eine VM wohl eher knapp.

Bin schon ein Schritt weiter gekommen:
https://github.com/runfalk/synology-wireguard

Was so ein Paket angeht, bin ich immer erst einmal skeptisch:

You use everything here at your own risk. I am not responsible if this breaks your NAS...

Hat natürlich den Vorteil, dass du dafür keine virtuelle Maschine benötigst.

 

[Maiermobilfunk]

Hallo @etztam

Danke für deine Infos/Hilfe.
In der Tat bin ich wohl eher der Laie auf diesem Gebiet und lasse deshalb bisher auch die Finger davon.
Allerdings finde ich Wireguard im Gegensatz zu OpenVPN eigentlich schlichter und einfacher.

Ich habe Wireguard auf meinem Unraid Server laufen und dort war die Einrichtung problemlos in 10 Minuten erledigt. Ports am Router freigegeben und gut war.

VM auf der DS220+ ist nichts.. Deshalb ja auch Unraid. Allerdings läuft OpenVPN seit den Routertausch vor drei Wochen (Speedport Pro Plus) auf der Synology auch nicht mehr... Aktuell steh ich eben komplett ohne VPN Lösung da...

 

[eztam]

Ich habe Wireguard auf meinem Unraid Server laufen und dort war die Einrichtung problemlos in 10 Minuten erledigt.

Was ist dann der Grund dass du das auf der synology haben willst?

Allerdings läuft OpenVPN seit den Routertausch vor drei Wochen (Speedport Pro Plus) auf der Synology auch nicht mehr...

Der Grund dafür ist der Routertausch?
Dann kann es ja eigentlich nur an der Portfreigabe liegen...

 

[Maiermobilfunk]

@eztam
Weil der Unraid mein Backup Server ist und nicht bei mir steht.

Und zu OpenVPN, glaub mir da habe ich schon fast alles hin- und her versucht. Ich bin mittlerweile so weit das ich glaube, dass der Speedport/Telekom die OpenVPN Verbindung nicht zulässt? Aber evtl. gibt's hier im Forum auch Erfahrungen und Lösungen dazu ..

 

[diver68]

Dann kaufe Dir doch einen Raspi 4 und lasse dort Wireguard drauf laufen, gibt sogar eine GUI für WG, siehe hier:
https://www.bachmann-lan.de/raspberry-pi-mit-wireguard-und-webinterface/

Oder, wie @NSFH schreiben würde: Kauf Dir einen vernünftigen Router....?

 

[Synchrotron]

WireGuard auf einem Raspi installieren ist kein Ding - Raspi 4 nehmen, weil alle kleineren kein echtes Gigabit-LAN an Bord hat. PiVPN herunter laden und in der Variante WireGuard konfigurieren. Man kann mit dem gleichen Paket parallel auch einen OpenVPN Server aufsetzen und beide vergleichen.