Wie richte ich WireGuard auf einem VPS ein?

Was gehört in die wg0.conf des Servers?

Die Server-Datei enthält den privaten Schlüssel des Servers, seine Tunnel-Adresse, den Listen-Port, die NAT-Regeln und einen [Peer]-Block pro Gerät. Das Heredoc unten trägt beide Schlüssel aus den in Schritt 3 erzeugten Dateien ein. Ersetzen Sie eth0 durch das Interface aus Schritt 4, bevor Sie es ausführen.

WireGuard identifiziert jedes Gerät anhand seines öffentlichen Schlüssels: Ein Paket wird nur akzeptiert, wenn es mit einem bekannten Schlüssel signiert ist und von der AllowedIPs dieses Peers kommt.

cd /etc/wireguard
cat > wg0.conf <<EOF
[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = $(cat server.key)
# Forward tunnel traffic and hide it behind the VPS address (eth0 = your interface)
PostUp = iptables -I FORWARD -i %i -j ACCEPT
PostUp = iptables -I FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostUp = iptables -t nat -I POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -D FORWARD -o %i -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

[Peer]
# phone
PublicKey = $(cat phone.pub)
AllowedIPs = 10.8.0.2/32
EOF
chmod 600 wg0.conf

Was gehört in die Client-Konfiguration?

Die Client-Datei enthält den privaten Schlüssel des Geräts, seine Tunnel-Adresse, einen DNS-Server sowie den öffentlichen Schlüssel und die Adresse des Servers. AllowedIPs = 0.0.0.0/0, ::/0 leitet den gesamten Verkehr in den Tunnel, IPv6 eingeschlossen, sodass nichts nach außen gelangt. Beim obigen reinen IPv4-Server stoppt IPv6-Verkehr einfach, und die meisten Apps weichen auf IPv4 aus.

cd /etc/wireguard
cat > phone.conf <<EOF
[Interface]
PrivateKey = $(cat phone.key)
Address = 10.8.0.2/32
DNS = 9.9.9.9

[Peer]
PublicKey = $(cat server.pub)
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0, ::/0
EOF

# Phone: scan this QR code in the WireGuard app
apt install -y qrencode
qrencode -t ansiutf8 < phone.conf

# Linux computer: copy phone.conf to /etc/wireguard/, then
# wg-quick up phone

Muss ich einen Firewall-Port öffnen?

Nur wenn auf dem VPS eine Firewall läuft: Sie muss UDP 51820 hereinkommen lassen und den Tunnel-Verkehr durchlassen. Mit ufw führen Sie ufw allow 51820/udp aus. Die FORWARD-Regeln in wg0.conf werden an den Anfang der Kette eingefügt, vor die Standard-Richtlinie DROP, die ufw für gerouteten Verkehr setzt. Halten Sie Port 22 offen, bevor Sie eine Firewall aktivieren, sonst sperren Sie sich selbst aus.

Wie füge ich ein weiteres Gerät hinzu?

Jedes Gerät bekommt sein eigenes Schlüsselpaar, seine eigene Tunnel-Adresse und seinen eigenen [Peer]-Block. Führen Sie wg genkey | tee laptop.key | wg pubkey > laptop.pub in /etc/wireguard aus. Fügen Sie einen [Peer] hinzu, mit PublicKey auf den neuen öffentlichen Schlüssel und AllowedIPs = 10.8.0.3/32 gesetzt. Wenden Sie es an, ohne andere Geräte zu trennen: systemctl reload wg-quick@wg0, das wg syncconf ausführt. Erstellen Sie laptop.conf wie phone.conf, mit Address = 10.8.0.3/32.

Wie route ich IPv6 durch den Tunnel?

Fügen Sie auf beiden Seiten einen privaten IPv6-Bereich hinzu, leiten Sie ihn weiter und übersetzen Sie ihn wie IPv4. Wählen Sie einen zufälligen Unique-Local-Bereich, etwa fd42:42:42::/64.

• Server: Address = 10.8.0.1/24, fd42:42:42::1/64, und im Peer AllowedIPs = 10.8.0.2/32, fd42:42:42::2/128.
• NAT: Kopieren Sie die drei Zeilen PostUp und PostDown mit ip6tables und dem IPv6-Bereich.
• Client: Address = 10.8.0.2/32, fd42:42:42::2/128.
• Forwarding: Fügen Sie net.ipv6.conf.all.forwarding=1 zu /etc/sysctl.d/99-wireguard.conf hinzu.

Prüfen Sie zuerst eines. Bei aktivem Forwarding ignoriert der Linux-Kernel Router-Advertisement-Nachrichten, sofern accept_ra nicht 2 ist. Wenn Ihr VPS seine IPv6-Route auf diese Weise lernt, setzen Sie net.ipv6.conf.eth0.accept_ra=2 in derselben Datei.

Warum verbindet der Tunnel, aber keine Webseite lädt?

Der Handshake funktioniert, aber der Verkehr bleibt am Server stehen, fast immer aus einem von vier Gründen.

• Forwarding ist aus: sysctl net.ipv4.ip_forward muss 1 ausgeben.
• Falsches Interface in der NAT-Regel: Vergleichen Sie eth0 in wg0.conf mit ip route show default.
• Kein Handshake überhaupt: Die Endpoint-IP oder der Port ist falsch, oder eine Firewall blockiert UDP 51820.
• Namen werden nicht aufgelöst: Dem Client fehlt eine funktionierende DNS-Zeile, oder resolvconf fehlt auf einem Linux-Client.

Führen Sie nach jeder Korrektur systemctl restart wg-quick@wg0 aus und testen Sie erneut.

Welchen VPS sollte ich für WireGuard verwenden?

Jeder KVM-VPS mit einer IPv4-Adresse funktioniert; der Tarif hängt davon ab, wie viel Traffic durch den Tunnel läuft. Die Seite dazu, was der beste Offshore-VPS für WireGuard ist, vergleicht Tarife, Quotas und Standorte. Die Preise für jeden Tarif finden Sie unter wie viel ein Offshore-VPS bei OffshoreKVM kostet. Bevor Sie sich für Ihre Privatsphäre darauf verlassen, lesen Sie was Ihr VPS-Anbieter auf Ihrem Server sehen kann.