WireGuard-VPN-Konfiguration

Die Datei hat zwei Blöcke. Der Interface-Block beschreibt Ihr Ende des Tunnels. PrivateKey ist Ihr Geheimnis und das Einzige in der Datei, das niemals geteilt werden darf: Wer ihn hat, ist für den Server Sie. Address ist die interne Adresse, die der Tunnel Ihnen im VPN-Netz gibt, meist eine einzelne Adresse mit /32, also allein Ihre und kein Bereich, den Sie routen.

Die Zeile DNS im Interface-Block sagt dem Betriebssystem, welchen Resolver es benutzen soll, solange der Tunnel steht. Diese Zeile verhindert DNS-Lecks, denn ohne sie fragt Ihr Gerät weiter den Resolver des lokalen Netzes, und Ihre Anfragen nennen weiterhin jeden Hostnamen, obwohl der Verkehr selbst verschlüsselt ist. MTU taucht auf, wenn der Pfad eine kleinere Paketgröße als die voreingestellten 1420 braucht, und ist der häufigste manuelle Eingriff in Mobilfunknetzen und auf manchen Hotelleitungen.

Der Peer-Block beschreibt den Server. PublicKey identifiziert ihn, so weiß Ihr Client, dass er mit der richtigen Maschine spricht. PresharedKey, falls vorhanden, legt eine symmetrische Schicht über den normalen Handshake; er ist optional und vor allem eine Absicherung gegen künftige Angriffe auf den Schlüsselaustausch. Endpoint ist die Serveradresse samt UDP-Port, an den Ihr Client sendet.

AllowedIPs wird am häufigsten missverstanden. Es ist keine Firewallregel, sondern eine Routing-Entscheidung: Es listet, welche Ziele durch den Tunnel gehen. Auf 0.0.0.0/0 und ::/0 gesetzt heißt es alles, und das ist es, was Sie für ein vollständiges VPN wollen. Ein engerer Bereich ergibt Split Tunneling, bei dem nur diese Ziele das VPN nutzen. PersistentKeepalive, meist 25, schickt alle 25 Sekunden ein winziges Paket, damit ein NAT-Router die Zuordnung nicht vergisst und eingehenden Verkehr stillschweigend abbricht.

iOS und iPadOS: Installieren Sie die offizielle WireGuard-App, wählen Sie Tunnel hinzufügen und Aus QR-Code erstellen, und scannen Sie den QR auf Ihrer Bestellseite. Das ist deutlich schneller, als Schlüssel auf einem Telefon zu tippen. Der Import einer .conf funktioniert ebenfalls, wenn Sie sie zuerst in Dateien ablegen. iOS fragt nach Erlaubnis, eine VPN-Konfiguration hinzuzufügen, das ist normal und notwendig.

Android: Die offizielle WireGuard-App bietet dieselben zwei Wege, der QR ist der bequeme. Auf einem Google-freien Telefon installieren Sie die App über F-Droid statt über den Play Store. Wer App-weises Tunneln nutzt, kann einzelne Anwendungen ein- oder ausschließen; das ist eine Funktion des Clients, nicht der Konfigurationsdatei.

Windows: Der offizielle Client importiert eine .conf über Tunnel hinzufügen und den Dateidialog oder per Ziehen auf das Fenster. QR-Codes liest er nicht, laden Sie also die Datei herunter. Der Client installiert sich als Dienst, der Tunnel kann also mit dem Rechner starten.

macOS: Die WireGuard-App aus dem App Store importiert eine .conf auf dieselbe Weise, und über Homebrew gibt es zusätzlich den Weg über wg-quick auf der Kommandozeile. Die App-Store-Variante läuft als Systemerweiterung und fragt beim ersten Mal nach VPN-Berechtigung.

Linux: Legen Sie die .conf als etwa vpn.conf nach /etc/wireguard/, nur für root lesbar, und starten Sie sie mit wg-quick up vpn, beenden mit wg-quick down vpn. Für den Start beim Booten aktivieren Sie die nach der Datei benannte systemd-Unit. GNOME und KDE können eine .conf auch über ihre Netzwerkeinstellungen importieren, wenn Sie einen grafischen Schalter bevorzugen.

Ein WireGuard-Client ist eine Liste von Tunneln, keine einzelne Verbindung, und mehr als einen zu importieren kostet nichts. Die Gewohnheit, die den Unterschied macht: Importieren Sie am Kauftag drei oder vier Server statt einem. Einen nahen für den Alltag, einen zweiten nahen für den Fall, dass der erste ausgelastet ist, und einen in einer anderen Region, wenn Sie ein anderes Ausgangsland brauchen.

Der Wechsel ist sofort, weil es keine Sitzung auszuhandeln gibt. WireGuard hat keine Anmeldung und keine Verbindungsphase wie OpenVPN: Der Client schickt sein erstes verschlüsseltes Paket, und der Tunnel steht binnen einer Sekunde oder eben nicht. Einen anderen Tunnel zu aktivieren deaktiviert in jedem offiziellen Client den laufenden.

Der Grund, das vorher zu tun: Ein Netz, durch das Sie nicht kommen, ist auch ein Netz, in dem Sie keine Konfigurationen herunterladen können. Ihre Bestellseite braucht eine funktionierende Verbindung. Alles zu importieren, solange alles läuft, macht aus einem schlechten Netz statt eines Problems einen Wechsel von zwei Sekunden.

Alle Server im Netz laufen über dasselbe Konto und dieselben fünf gleichzeitigen Verbindungen, zehn importierte Tunnel und einen genutzten kostet also gar nichts.

Ein Kill Switch heißt, dass der Verkehr stoppt statt auszulaufen, wenn der Tunnel abbricht. Im WireGuard-Protokoll gibt es das nicht, und keine Konfigurationsdatei erzeugt es von allein. Was existiert, ist eine Plattformfunktion, und sie ist überall anders. Seien Sie skeptisch bei Anbietern, die den Kill Switch beschreiben, als wäre er universell.

Windows: Der offizielle Client hat einen echten. In den Tunneleinstellungen ist Block untunneled traffic verfügbar, sobald AllowedIPs 0.0.0.0/0 lautet, und installiert Firewallregeln, die alles außerhalb des Tunnels verwerfen. Das ist die stärkste der eingebauten Optionen.

Android: Der Client selbst hat keinen, Android schon. Schalten Sie in den System-VPN-Einstellungen für die WireGuard-App Immer aktives VPN und Verbindungen ohne VPN blockieren ein. Das ist eine Garantie auf Systemebene und übersteht Neustarts.

iOS: Es gibt keinen echten Kill Switch. On-Demand-Regeln holen den Tunnel automatisch zurück, was die meisten realen Fälle abdeckt, aber während Netzwechseln bleibt ein kurzes Fenster, in dem Verkehr außerhalb des Tunnels hinausgeht. Wer auf unverändertem iOS einen absoluten Kill Switch behauptet, übertreibt.

macOS und Linux: eingebaut keiner von beiden. Unter Linux ist die ehrliche Antwort Firewallregeln, also eine nftables- oder iptables-Politik, die nur Verkehr über die WireGuard-Schnittstelle und zur Endpunktadresse erlaubt, oder wg-quick-Zeilen in PostUp und PostDown, die diese Regeln mit dem Tunnel setzen und wieder entfernen. Unter macOS sind On-Demand-Regeln oder eine Firewall eines Drittanbieters die praktischen Entsprechungen.

Das Symptom ist immer dasselbe: Der Tunnel gilt als aktiv, der Client zeigt gesendete Bytes, aber null oder fast null empfangene, und die Zeit des letzten Handshakes aktualisiert sich nie. WireGuard ist absichtlich still und gibt keine Fehlermeldung, also diagnostiziert man durch Ausschluss.

Gesperrtes UDP ist mit Abstand die häufigste Ursache. WireGuard läuft nur über UDP, und Hotel-, Flughafen-, Firmen- und Campusnetze erlauben oft nur TCP auf Port 80 und 443. Es gibt keine WireGuard-Einstellung, die das löst, weil das Protokoll nicht über TCP laufen kann. Die Antwort ist der Wechsel zu OpenVPN über TCP auf Port 443, das auf demselben Konto und derselben Bestellseite liegt, und danach VLESS, falls auch das gesperrt ist.

MTU ist die zweite Ursache und sieht anders aus: Der Handshake gelingt, Kleinigkeiten funktionieren, aber Seiten bleiben auf halber Strecke hängen und große Downloads stocken. Das ist Fragmentierung. Senken Sie die MTU-Zeile im Interface-Block auf 1380, und wenn es noch stockt, auf 1280. Mobilfunknetze und jeder Pfad mit zusätzlicher Kapselung sind die typischen Orte dafür.

DNS ist die dritte. Wenn der Tunnel steht und eine IP-Adresse antwortet, aber kein Hostname auflöst, fehlt die DNS-Zeile, oder die Plattform ignoriert sie, oder eine Einstellung für privates DNS überschreibt sie. Prüfen Sie unter Android, dass Privates DNS keinen Resolver außerhalb des Tunnels erzwingt.

Zwei Kleinigkeiten noch, bevor Sie schreiben: Eine stark falsch gehende Geräteuhr kann den Handshake stören, und eine Konfiguration, die zweimal unter verschiedenen Namen mit denselben Schlüsseln importiert wurde, kann verwirrendes Verhalten erzeugen, wenn beide Tunnel aktiv sind. Hilft nichts davon, schreiben Sie dem Support mit Servername und Beobachtung; wenn der Dienst danach auf keinem Server verbindet, wird er erstattet.

Jeder Server im Netz bietet eine WireGuard-Konfiguration, und das Netz erstreckt sich über Dutzende Länder. Dasselbe Konto trägt auch OpenVPN und VLESS, und genau das macht den oben beschriebenen Ausweichweg praktikabel statt theoretisch: Wenn UDP gesperrt ist, haben Sie die Alternative bereits.

Fünf Geräte können gleichzeitig verbunden sein. Das Datenvolumen wird nicht gemessen, die Ports sind 1 Gbit/s, und P2P ist erlaubt statt stillschweigend gedrosselt. Laufzeiten von 7 bis 365 Tagen, Preis je Plan auf /vpn/, nichts verlängert sich automatisch. Verlängern ist eine zweite Zahlung auf derselben Bestellseite, und die neue Laufzeit kommt oben auf das aktuelle Ablaufdatum.

Bezahlt wird nur in Krypto, Monero eingeschlossen, ohne Konto, ohne E-Mail und ohne Identitätsprüfung. Das Netz führt keine Protokolle: Quell-IP-Adressen und Verbindungszeitpunkte werden nicht gespeichert, und die Server laufen aus dem RAM, sodass ein Neustart die Maschine leert. Das beschreibt, was wir kontrollieren, und behauptet nicht, ein VPN mache jemanden unauffindbar.

Eine Warnung, die auf diese Seite gehört, weil viele darüber stolpern: Schalten Sie das VPN aus, während Sie eine eSIM installieren. Der eSIM-Download muss den Betreiber direkt erreichen, und ein Tunnel dazwischen ist der häufigste Grund für ein Profil, das sich nicht installieren lässt.