Die FRITZ!Box ermöglicht die Einrichtung von WireGuard-VPN-Verbindungen für Einzelgeräte wie Smartphones, Tablets oder Laptops. Dabei wird die IP-Adresse des verbundenen Geräts automatisch aus dem Heimnetz vergeben. Eine direkte manuelle Vergabe ist nicht vorgesehen, lässt sich aber gezielt beeinflussen. Dieser Beitrag zeigt, wie sich durch eine Anpassung des DHCP-Bereichs eine feste, planbare IP-Adresse für ein VPN-Gerät erreichen lässt. Zusätzlich werden technische Hintergründe zur IP-Vergabe, zur Rolle virtueller Netzwerkschnittstellen sowie zum Verhalten der FRITZ!Box bei ARP und DHCP erläutert.
Voraussetzungen
- FRITZ!Box mit WireGuard-Unterstützung (mind. FritzOS 7.50)
- Zugriff auf die Weboberfläche der FRITZ!Box
- Ein VPN-Gerät, z. B. Android-Gerät mit WireGuard-App
Besonderheiten der FRITZ!Box bei WireGuard
Die FRITZ!Box vergibt für jedes neue VPN-Gerät automatisch eine freie IP-Adresse aus dem lokalen Heimnetz (z. B. 192.168.1.0/24). Die Auswahl folgt dabei einem festen Schema:
Die nächsthöhere, noch freie IP-Adresse direkt hinter dem DHCP-Bereich wird verwendet.
Beispiel: Wenn der DHCP-Bereich von 192.168.1.1 bis 192.168.1.234 reicht, erhält das erste WireGuard-Gerät automatisch die IP 192.168.1.235.
Diese IP kann nicht direkt festgelegt werden, aber die Vergabe kann beeinflusst werden, indem der DHCP-Bereich vor der Erstellung der WireGuard Verbindung entsprechend angepasst wird.
DHCP-Bereich einschränken
- Anmeldung an der FRITZ!Box:
http://fritz.box - Navigation: Heimnetz > Netzwerk > Netzwerkeinstellungen
- Klick auf „IPv4-Adressen“
- Einstellung des DHCP-Bereichs, z. B.:
- Start:
192.168.1.1 - Ende:
192.168.1.234
- Start:
Damit wird 192.168.1.235 zur ersten freien IP außerhalb des DHCP-Pools.
Zusätzliche Hinweise zur technischen Umsetzung
WireGuard-Netzwerke in der FRITZ!Box
- VPN-Clients erhalten keine separaten WireGuard-IP-Adressen wie
10.x.x.x, sondern direkt eine IP aus dem lokalen Netz - Die Verbindung wird wie ein lokales Gerät behandelt
- Es kommen IP-basiertes Routing, ARP und Firewall-Regeln zum Einsatz
Keine manuelle IP-Vergabe möglich
- Die FRITZ!Box erlaubt keine manuelle IP-Vergabe für WireGuard-Geräte, weder beim Erstellen oder nachträglichem Editieren
- Auch durch Import eigener Konfigurationen ändert sich daran nichts
- Techniken wie NAT oder Bridging auf dem Client sind aufgrund von ARP-Prüfungen und Anti-Spoofing nicht erfolgreich
Die IP-Adresse eines VPN-Geräts kann in der FRITZ!Box nicht direkt manuell gesetzt werden. Durch Einschränkung des DHCP-Bereichs lässt sich jedoch steuern, welche Adresse automatisch zugewiesen wird. Diese Methode ist einfach, verlässlich und nutzt die Logik der FRITZ!Box gezielt aus.
by Speefak
