Wireguard

Über Wireguard

Was Sie mit Wireguard tun können

• Vorkonfigurierter Full Tunnel

  Der erzeugte Client verwendet AllowedIPs = 0.0.0.0/0, sodass der gesamte IPv4-Verkehr über den VPS läuft. Als DNS-Server ist im Client 1.1.1.1 eingetragen.

• Client-Konfiguration und QR-Code

  Die Datei /root/wg-client.conf lässt sich unverändert in die WireGuard-Clients importieren. Den QR-Code aus /root/wg-client-qr.txt zeigen Sie im Terminal an und scannen ihn mit der Mobile-App.

• Pre-Shared Key pro Peer

  Ein mit wg genpsk erzeugter Schlüssel ergänzt den Austausch der öffentlichen Schlüssel und stärkt den Schutz der Verbindung. Sensible Dateien werden mit Modus 600 angelegt.

• Automatischer Start beim Booten

  Der Dienst wg-quick@wg0 ist über systemd aktiviert. Nach einem Neustart des Servers steht der Tunnel von selbst wieder bereit.

• NAT und Forwarding bereits aktiv

  IPv4-Forwarding ist in /etc/sysctl.d/99-wireguard.conf eingeschaltet. Die iptables-Regeln für FORWARD und Masquerade werden beim Start von wg0 gesetzt und beim Stoppen wieder entfernt.

Erste Schritte mit Wireguard

Von der Bestellung bis zum Produktivbetrieb in wenigen Minuten.

1. 1

   Bestellen Sie den VPS mit WireGuard

   Wählen Sie einen Linux-VPS in Paris oder Frankfurt (Debian 12, Debian 13, Ubuntu 20.04, 22.04 oder 24.04). Setzen Sie im Reiter „Anwendungen“ des Bestellformulars den Haken bei WireGuard.

2. 2

   Verbinden Sie sich und holen Sie den Client

   Sobald der Server geliefert ist, öffnen Sie per SSH eine Sitzung mit den erhaltenen Zugangsdaten. Prüfen Sie, ob der Tunnel läuft, und zeigen Sie dann den QR-Code an oder kopieren Sie die Konfigurationsdatei auf Ihren Rechner.

   Bash
   1ssh root@SERVER_IP
   2systemctl status wg-quick@wg0
   3cat /root/wg-client-qr.txt
   4# von Ihrem Rechner aus:
   5scp root@SERVER_IP:/root/wg-client.conf .

3. 3

   Importieren Sie die Konfiguration und testen Sie

   Scannen Sie den QR-Code mit der WireGuard-App auf dem Smartphone oder importieren Sie wg-client.conf in die Desktop-Anwendung. Unter Linux genügt ein einziger Befehl, danach prüfen Sie, ob ein Handshake stattgefunden hat.

   Bash
   1sudo wg-quick up ./wg-client.conf
   2sudo wg show

4. 4

   Sichern Sie den Server für den Produktivbetrieb

   Stellen Sie sicher, dass UDP-Port 51820 offen ist, und beschränken Sie alle übrigen erreichbaren Ports. Möchten Sie statt der IP einen Namen verwenden, ersetzen Sie die Zeile Endpoint im Client durch YOUR_DOMAIN:51820, nachdem der DNS-Eintrag angelegt ist. Sichern Sie /etc/wireguard außerhalb des Servers.

   Bash
   1tar czf wg-backup.tgz /etc/wireguard /root/wg-client.conf

Einsatzbereiche von Wireguard

• Öffentliches WLAN absichern

  Im Hotel, im Zug oder im Café läuft Ihr IPv4-Verkehr durch einen verschlüsselten Tunnel zu Ihrem VPS, bevor er im Internet ankommt.

• Feste Ausgangs-IP nutzen

  Ihre ausgehende IP-Adresse ist die des VPS. So können Sie in einer Firewall, einer Datenbank oder einer Admin-API genau eine Adresse freigeben.

• Eigene Geräte miteinander verbinden

  Rechner, Smartphone und entfernte Maschinen treten dem Netz 10.8.0.0/24 bei und erreichen sich über ihre privaten Adressen, wobei der Server als zentraler Knoten dient.

• Paris oder Frankfurt als Ausgang

  Mit dem Standort des VPS legen Sie bei der Bestellung die Region für den Internetausgang fest, etwa um einen Dienst aus Frankreich oder Deutschland heraus zu testen.

Häufige Fragen zu Wireguard

Mehr über Wireguard

Bash
1cd /etc/wireguard
2umask 077
3wg genkey | tee client2.key | wg pubkey > client2.pub
4wg genpsk > client2.psk

Bash
1wg syncconf wg0 <(wg-quick strip wg0)