Ein eigenes VPN mit WireGuard betreiben

WireGuard ist ein im Linux-Kernel enthaltenes VPN-Protokoll, mit dem Sie mit wenigen Befehlen Ihren eigenen VPN-Server einrichten. Ihr eigenes VPN schickt Ihren Datenverkehr über eine IP-Adresse ins Internet, die Sie kontrollieren. Anonym macht es Sie aber nicht: Die Websites, die Sie besuchen, sehen die IP-Adresse Ihres Servers.

Dieser Artikel behandelt, wofür sich ein eigenes VPN eignet und was es nicht löst, die Schritte der manuellen Einrichtung und den einfacheren Weg mit einer Weboberfläche.

Wofür taugt ein eigenes VPN?

• Öffentliches WLAN: In einem Café- oder Hotelnetz läuft Ihr Datenverkehr verschlüsselt bis zu Ihrem Server.
• Eine türkische IP aus dem Ausland: Weil der Server in Istanbul steht, treten Sie im Ausland mit einer türkischen IP-Adresse auf.
• Zugriff auf private Netze: Sie erreichen die Geräte, die Sie mit demselben VPN verbinden, und die Dienste auf dem Server, als wären alle im selben lokalen Netz.
• Eine feste Ausgangsadresse: Auch wenn sich Ihre Heim-IP ändert, bleibt der Ausgang Ihres VPN gleich.

Was löst es nicht?

• Es macht Sie nicht anonym. Websites sehen die IP-Adresse Ihres Servers, und diese Adresse ist mit Ihrem Konto verknüpft.
• Manche Dienste blockieren IP-Adressen von Rechenzentren. Gehen Sie nicht davon aus, dass sich jeder Dienst über Ihr VPN öffnet.
• Es bietet keine Ausgänge in vielen Ländern. Ihr Server steht an einem Ort, bei Seturack ist das Istanbul.
• Es ist nicht dafür gedacht, anderen Internetzugang zu geben. Wenn Sie anderen über Ihren Server Internetzugang bereitstellen, liegen die Pflichten nach dem Gesetz Nr. 5651 laut Dienstleistungsvertrag bei Ihnen. Nutzen Sie das VPN vor allem für Ihre eigenen Geräte und lesen Sie den Dienstleistungsvertrag, bevor Sie jemand anderem Zugang geben.

Warum man WireGuard mag

• Es kam mit Version 5.6 in den Linux-Kernel, auf aktuellen Distributionen müssen Sie also keinen eigenen Treiber installieren.
• Es gibt keine Passwörter. Jedes Ende wird an seinem eigenen privaten und öffentlichen Schlüsselpaar erkannt.
• Die Konfiguration ist kurz und passt in eine Datei.
• Es nutzt UDP. Der Port, den Sie in Beispielen und Werkzeugen am häufigsten sehen, ist 51820.

Manuelle Einrichtung (Ubuntu, als root)

1. Installieren Sie das Paket: apt install wireguard
2. Erzeugen Sie das Schlüsselpaar des Servers: umask 077 && wg genkey | tee privatekey | wg pubkey > publickey
3. Lassen Sie jedes Client-Gerät seinen eigenen Schlüssel erzeugen. Die WireGuard-App auf Handys und Computern übernimmt das, und Sie brauchen nur deren öffentlichen Schlüssel.
4. Schreiben Sie /etc/wireguard/wg0.conf anhand der Tabelle unten.
5. Schalten Sie IP-Forwarding ein: echo 'net.ipv4.ip_forward=1' | tee /etc/sysctl.d/70-wireguard.conf und danach sysctl --system
6. Öffnen Sie den Port in der Firewall: ufw allow 51820/udp
7. Starten Sie es: systemctl enable --now wg-quick@wg0

Schreiben Sie zuerst die Zeilen von [Interface] in die Datei, danach die von [Peer]. Jeder Client erhält einen eigenen [Peer]-Block.

Einen Client verbinden

Tragen Sie auf dem Client in den Abschnitt [Interface] Ihren eigenen privaten Schlüssel, die Zeile Address = 10.8.0.2/24 und eine DNS-Adresse ein. Tragen Sie in den Abschnitt [Peer] den öffentlichen Schlüssel des Servers, die Zeile Endpoint = SERVER_IP:51820 und die Zeile AllowedIPs = 0.0.0.0/0 ein. Der letzte Wert schickt den gesamten IPv4-Verkehr durch den Tunnel. Wenn Sie nur das VPN-Netz erreichen möchten, schreiben Sie stattdessen 10.8.0.0/24. Für Geräte hinter NAT oder einer Firewall schlägt die offizielle Dokumentation PersistentKeepalive = 25 vor.

Führen Sie auf dem Server wg show aus. Hat sich der Client verbunden, sehen Sie eine Zeile „latest handshake“.

Der gesamte Verkehr oder nur ein Teil?

Der Wert AllowedIPs auf dem Client bestimmt, welcher Verkehr in den Tunnel geht. 0.0.0.0/0 schickt den gesamten IPv4-Verkehr hindurch, aber nicht IPv6. Hat Ihr Gerät IPv6, kann dieser Verkehr den Tunnel umgehen. Mit 0.0.0.0/0, ::/0 geht auch IPv6 in den Tunnel und wird dort verworfen, weil der Server kein IPv6 führt, es kann also nicht auslaufen. Wenn Sie nur bestimmte Netze erreichen möchten, zum Beispiel 10.8.0.0/24, schreiben Sie nur diese. Das nennt sich Split Tunneling, und der übrige Verkehr nimmt seinen normalen Weg. Um ein Netz aus der Ferne zu erreichen, genügt Split Tunneling oft. Der übrige Verkehr geht nicht durch den Tunnel und wird deshalb nicht gebremst.

Der einfachere Weg: wg-easy

wg-easy ist ein Werkzeug, das den WireGuard-Server und die Client-Verwaltung mit einer Weboberfläche bündelt. Es fügt Clients hinzu und entfernt sie und zeigt für Handys einen QR-Code. Es wird mit Docker Compose installiert und nutzt 51820/UDP. Ein Reverse-Proxy wird empfohlen, wenn Sie den Admin-Bereich sicher zum Internet öffnen möchten.

Der fertige WireGuard-Server von Seturack nutzt wg-easy und ist in etwa 4 Minuten bereit. Im Panel sehen Sie die Admin-Adresse und das Passwort. Der Tunnel führt nur IPv4. Legen Sie für jedes Gerät einen eigenen Client an, und wenn Sie ein Gerät verlieren, löschen Sie nur dessen Client. Die Schritte zum Verbinden stehen im Hilfeartikel zu WireGuard.

Ihre Geräte einrichten

WireGuard hat offizielle Apps für Windows, macOS, Android und iOS. Unter Linux genügt das Paket. Auf einem Handy fügen Sie die Konfiguration mit einem QR-Code hinzu, auf einem Computer durch Importieren der Konfigurationsdatei. Den Tunnel schalten Sie in der App ein und aus. Solange der Tunnel steht, verlässt Ihr Internetverkehr das Netz über Ihren Server.

Vier kleine Sicherheitsregeln

• Lassen Sie nur root die Konfigurationsdatei lesen: chmod 600 /etc/wireguard/wg0.conf
• Schicken Sie Ihren privaten Schlüssel niemals an jemanden. Der öffentliche Schlüssel ist das Einzige, das Sie weitergeben.
• Löschen Sie den Block [Peer] eines Geräts, das Sie verloren haben oder nicht mehr zulassen möchten.
• Halten Sie den Server aktuell. Updates für Betriebssystem und Anwendungen sind nach der Einrichtung Ihre Sache.

Weil Ihr VPN-Verkehr über den Server läuft, zählt auch das Datenverkehrsvolumen. Im Preis von Seturack ist unbegrenzter Datenverkehr enthalten.

Wenn es sich nicht verbindet

Manche Netzwerke blockieren UDP-Verkehr. Probieren Sie ein anderes Netzwerk, zum Beispiel die mobilen Daten Ihres Handys. Prüfen Sie außerdem, ob Port 51820/UDP in der Firewall offen ist.

Wenn Sie mit der fertigen Installation beginnen möchten, sehen Sie sich die Seite zum WireGuard-VPN an.