Sichere Site-to-Site-VPN mit WireGuard auf VyOS 1.5 für standortübergreifende Konnektivität

Voraussetzungen

Stellen Sie vor dem Start sicher, dass Folgendes vorhanden ist:

• VyOS 1.5, installiert auf jedem Edge-Router, der als VPN-Endpunkt fungiert
• Öffentliche IP-Adressen an jedem Standort/Server
• Administrativen Zugriff, um Firewall-Regeln auf VyOS zu konfigurieren
• Grundkenntnisse in Routing und Linux-Netzwerkkonzepten

Netzwerktopologie

Wir gehen von folgendem Netzwerklayout aus:

ASCII-Diagramm

   |   10.10.1.0/24   |        | 10.200.1.1 <--> 10.200.1.2 |       |  10.10.2.0/24   |
   |    Site A LAN   |                WireGuard Tunnel              |   Site B LAN    |
   -------------------           -------------------------          -------------------
   | VyOS Router A   |-----------|      UDP Port 51820        |-----| VyOS Router B   |
   | Public IP:      |                                              | Public IP:      |
   | 198.51.100.1    |                                              | 203.0.113.2     |
   -------------------                                              -------------------

Dieses Diagramm zeigt die logische Konnektivität: Der WireGuard-Tunnel verbindet die beiden Standort-LANs sicher miteinander und ermöglicht so das Routing von Traffic zwischen ihnen über das Internet.

Schritt 1: WireGuard-Schlüssel generieren

WireGuard nutzt Schlüsselpaare aus Public Key und Private Key zur Authentifizierung. Generieren Sie auf jedem VyOS-Endpunkt die Schlüssel:

lachlanr@ams-01:~$ generate pki wireguard key-pair
Private key: UBpynSyGezhb9pp3Bddk/g/gdl3SM+oai02HeQ5a11E=
Public key: a/oSvpcQ3BFzmtavPT+D8Rukdc7L+eYLig3zr0wnMGU=

Dieser Befehl gibt einen Private Key und einen Public Key aus. Speichern Sie beide sicher. Der Private Key bleibt auf dem lokalen Router, während der Public Key mit dem Remote-Peer geteilt wird.

Verwenden Sie nicht genau diese Schlüssel, sondern die Schlüssel, die die Ausgabe liefert, wenn Sie die Befehle selbst ausführen.

Schritt 2: WireGuard-Interfaces konfigurieren

Erstellen Sie an Site A ein WireGuard-Interface wg0 mit der lokalen Tunnel-IP und dem Listen-Port:

set interfaces wireguard wg0 address '10.200.1.1/24'
set interfaces wireguard wg0 listen-port '51820'
set interfaces wireguard wg0 private-key '<Site A Private Key>'

Fügen Sie Site B als Peer hinzu:

set interfaces wireguard wg0 peer office-b allowed-ips '10.10.2.0/24'
set interfaces wireguard wg0 peer office-b address '203.0.113.2'
set interfaces wireguard wg0 peer office-b port '51820'
set interfaces wireguard wg0 peer office-b public-key 'a/oSvpcQ3BFzmtavPT+D8Rukdc7L+eYLig3zr0wnMGU='

Wiederholen Sie die Konfiguration an Site B und tauschen Sie dabei die lokalen und Remote-Adressen sowie die Schlüssel.

Schritt 3: Statische Routen konfigurieren

Stellen Sie sicher, dass Traffic zum Remote-LAN über das WireGuard-Interface geroutet wird.

• An Site A:

set protocols static route 10.10.2.0/24 next-hop 10.200.1.2

• An Site B:

set protocols static route 10.10.1.0/24 next-hop 10.200.1.1

ASCII-Diagramm: Traffic-Fluss

Site A LAN 10.10.1.0/24
       |
       |---[WireGuard wg0 10.200.1.1]---> Tunnel ---> [wg0 10.200.1.2]---|
                                                                          |
                                                                  Site B LAN 10.10.2.0/24

So läuft der LAN-zu-LAN-Traffic durch den Tunnel statt direkt über das öffentliche Internet.

Schritt 4: Firewall-Regeln konfigurieren (optional, je nach Konfiguration)

WireGuard erfordert, dass UDP-Traffic Ihre Firewall passieren kann, nach demselben Default-Deny-Allowlist-Ansatz, den Sie bei jedem Server verwenden würden. An jedem Standort:

1. Lassen Sie UDP-Traffic auf dem WireGuard-Port von der öffentlichen IP des Remote-Standorts zu
2. Erlauben Sie Traffic zwischen den LANs über das WireGuard-Interface

Beispiel für Site A:

set firewall name WAN_LOCAL rule 10 action accept
set firewall name WAN_LOCAL rule 10 protocol udp
set firewall name WAN_LOCAL rule 10 destination port 51820
set firewall name WAN_LOCAL rule 10 source address 203.0.113.2

Wenden Sie die Firewall-Regeln auf das WAN-Interface an:

set interfaces ethernet eth0 firewall in name WAN_LOCAL

Schritt 5: Prüfen, ob der Tunnel aktiv ist

Prüfen Sie den Status des WireGuard-Interfaces:

show interfaces wireguard

Testen Sie die Konnektivität, indem Sie Hosts im Remote-LAN anpingen:

ping 10.10.2.1

Wenn die Pings fehlschlagen:

• Prüfen Sie, ob die Public Keys und Tunnel-IPs korrekt sind
• Prüfen Sie die Firewall-Regeln, um sicherzustellen, dass UDP-Traffic erlaubt ist
• Stellen Sie sicher, dass die statischen Routen auf das WireGuard-Interface zeigen

Sie können zusätzlich PMTU (Path MTU Discovery) konfigurieren, wodurch der korrekte Wert für das MSS-Clamping bestimmt wird.

set interfaces wireguard wg0 ip adjust-mss 'clamp-mss-to-pmtu'

Optional: Passen Sie MTU/MSS an, falls Fragmentierung auftritt:

set interfaces wireguard wg0 mtu 1420

Schritt 6: Best Practices für Sicherheit

• Aktivieren Sie optional einen Pre-Shared Key für zusätzliche Sicherheit (Thema eines späteren Beitrags)
• Beschränken Sie allowed-ips strikt auf die benötigten Subnetze
• Überwachen Sie den Tunnel regelmäßig, um Konnektivität und Performance sicherzustellen (Tools wie tcpdump)

Fazit

WireGuard auf VyOS 1.5 bietet eine schlanke, hochperformante VPN-Lösung für Konnektivität zwischen Standorten und Rechenzentren. Nach dieser Anleitung sind Ihre Standorte sicher verbunden, mit Traffic, der effizient zwischen den LANs geroutet wird.

Die Einfachheit von WireGuard, dasselbe Protokoll hinter Mesh-VPNs wie Tailscale, Headscale und NetBird, sorgt zusammen mit den starken Routing-Funktionen von VyOS für eine sichere und wartbare Netzwerkarchitektur, die sich für moderne Organisationen mit mehreren Standorten eignet.