Andere Geräte und Router mit WireGuard als Gegenstelle anbinden

Für welche Geräte diese Seite ist

Für alles, was WireGuard spricht und keine eigene Anleitung hat: einen Mikrotik mit RouterOS 7, einen Router mit OpenWrt, eine pfSense, einen Reiserouter von GL.iNet, einen Linux-Rechner mit wg-quick. Sie alle nehmen entweder unsere .conf-Datei entgegen oder haben ein Formular, in das dieselben Werte von Hand kommen.

Die Entscheidung davor ist dieselbe wie bei der FRITZ!Box: Ein Router, hinter dem ein Netz liegt, wird als Standort angelegt — dann wird alles dahinter erreichbar. Ein einzelner Rechner ist ein Gerät. Was ein Standort ist und weshalb das Netz dahinter genau stimmen muss, steht ausführlich in der FRITZ!Box-Anleitung.

Für OPNsense und TP-Link Omada gibt es eigene Seiten mit den Bildschirmnamen — nehmen Sie dort die.

Was Sie brauchen

Ein Gerät mit WireGuard, seine Oberfläche oder Konsole — und einen angelegten Kunden im Kundenbereich unter Fernzugriff. Dort entstehen alle Werte, die das Gerät braucht. Kann es eine Datei einlesen, ist es die Konfigurationsdatei der Gegenstelle; sie enthält die fünf Werte fertig. Hat es nur ein Formular, tragen Sie die fünf von Hand ein:

Endpunkt

vermittlung.idodns.de:51820 — der Vermittler, den das Gerät anruft. Manche Geräte wollen Adresse und Port in zwei Feldern.

Öffentlicher Schlüssel des Vermittlers

44 Zeichen, endet auf =. Er gehört in das Feld für den Schlüssel der Gegenseite — nicht in das für den eigenen.

Tunneladresse

Die Adresse dieses Geräts im Tunnel, etwa 10.80.7.2/32. Sie wird je Gegenstelle vergeben und gehört genau diesem Gerät.

AllowedIPs

Die Netze, die durch den Tunnel gehen — Ihr Verwaltungsnetz und die Blöcke dieses Kunden, etwa 10.80.7.0/24, 10.80.9.0/24. Nie 0.0.0.0/0.

PresharedKey

Bleibt leer, wenn der Schlüssel im Browser entstanden ist — wir setzen von uns aus keinen. Nur wenn das Gerät sein Schlüsselpaar selbst erzeugt und eine Datei für die Gegenseite ausgegeben hat, die Sie bei uns eingelesen haben, steht darin ein PresharedKey; dann kennen ihn beide Seiten, und er muss auf dem Gerät eingetragen bleiben.

Dazu die Dauerverbindung (PersistentKeepalive) von 25 Sekunden — ohne sie bricht der Tunnel an Anschlüssen mit Adressumsetzung beim Anbieter nach kurzer Zeit ab.

Wo die Werte stehen: In der Tabelle der Gegenstellen unter „Von Hand einrichten“ — Tunneladresse, Endpunkt, unser öffentlicher Schlüssel, AllowedIPs und die Dauerverbindung, je Gegenstelle. Endpunkt, Port und unseren öffentlichen Schlüssel zeigt außerdem die Seite Kundendaten des Kunden unter „Angaben für Geräte, die von Hand eingerichtet werden“ — samt der IP-Adresse des Vermittlers für Geräte, die im Endpunkt keinen Namen annehmen.

Einrichten

Zwei Wege, je nachdem, was das Gerät kann. Der erste ist der kürzere; nehmen Sie den zweiten nur, wenn das Gerät keine Datei einliest oder sein Schlüsselpaar behalten muss.

Weg A: Das Gerät liest die Datei ein

1. Im Kundenbereich die Gegenstelle anlegen

   Fernzugriff → Kunde auswählen → Art: Standort mit dem Netz dahinter, oder Art: Gerät → „Schlüsselpaar im Browser erzeugen“ → anlegen.

2. Die Datei speichern — jetzt, nicht später

   „Konfiguration speichern“. Der geheime Schlüssel steht nur in dieser Datei; wir haben ihn nie gesehen und können sie kein zweites Mal ausgeben.

3. Die Datei auf das Gerät bringen und einlesen

   Über die Oberfläche („Konfiguration importieren“, „Datei hochladen“) oder als Datei auf der Konsole — die Schritte je Gerät stehen unten.

4. Prüfen

   Das Gerät zeigt einen letzten Handschlag vor wenigen Sekunden; im Kundenbereich wechselt die Gegenstelle binnen einer halben Minute auf „Online“ beziehungsweise „Verbunden“.

Weg B: Das Gerät erzeugt den Schlüssel selbst

1. Auf dem Gerät die WireGuard-Schnittstelle anlegen und das Schlüsselpaar erzeugen

   Den öffentlichen Schlüssel kopieren — 44 Zeichen. Der geheime Teil bleibt im Gerät und wird uns nie gezeigt.

2. Im Kundenbereich die Gegenstelle anlegen — mit diesem Schlüssel

   Fernzugriff → Kunde → Art wählen → den kopierten öffentlichen Schlüssel in das Feld „Öffentlicher Schlüssel“ einfügen. Danach stehen unter „Von Hand einrichten“ die Werte für das Gerät.

   Gibt das Gerät eine Datei für die Gegenseite aus (wie eine FRITZ!Box), lesen Sie die beim Anlegen unter „Das Gerät hat mir eine Datei gegeben“ ein — dann stimmen Schlüssel, PresharedKey und Netz von allein.

3. Zurück auf dem Gerät: die Gegenstelle (Peer) eintragen

   Endpunkt, unser öffentlicher Schlüssel, AllowedIPs, Dauerverbindung 25 — und die Tunneladresse als Adresse der Schnittstelle.

4. Prüfen

   Wie in Weg A: Handschlag auf dem Gerät, „Online“ im Kundenbereich, danach ein Ping auf ein Gerät im Netz dahinter — von außerhalb dieses Netzes.

So heißen die Felder auf den einzelnen Geräten

Linux mit wg-quick

Die Datei nach /etc/wireguard/kunde.conf legen (chmod 600), dann wg-quick up kunde; dauerhaft mit systemctl enable --now wg-quick@kunde. wg show zeigt den Handschlag. Soll der Rechner ein Standort sein, muss er weiterleiten (net.ipv4.ip_forward = 1), und die Geräte in seinem Netz brauchen eine Route zurück über ihn — meist als statische Route im Router des Netzes auf die Tunnelnetze.

OpenWrt

Netzwerk → Schnittstellen → Hinzufügen, Protokoll WireGuard VPN; neuere Fassungen bieten dort „Konfiguration laden“ für die Datei. Von Hand: Schlüssel erzeugen, unter IP-Adressen die Tunneladresse, im Reiter Peers unser Schlüssel, Erlaubte IPs, „Erlaubte IPs routen“ an, Endpunkt-Host und -Port, „Persistent Keep Alive“ 25. Die neue Schnittstelle in eine Firewall-Zone legen, die in das LAN weiterleiten darf.

Mikrotik (RouterOS 7)

Keine Datei, nur Werte. WireGuard → Interfaces → + erzeugt das Schlüsselpaar; der öffentliche Schlüssel steht danach in der Zeile. Unter Peers: unser Schlüssel als Public Key, Endpoint und Endpoint Port, Allowed Address die AllowedIPs (eine je Zeile), Persistent Keepalive 25. Die Tunneladresse unter IP → Addresses an die WireGuard-Schnittstelle hängen und unter IP → Routes die Tunnelnetze über diese Schnittstelle eintragen; die Firewall muss den Verkehr aus dem Tunnel ins LAN zulassen.

pfSense

Das Paket WireGuard installieren, dann unter VPN → WireGuard → Tunnels einen Tunnel mit erzeugtem Schlüssel und der Tunneladresse als Interface Address; unter Peers unser Schlüssel, Endpunkt, Allowed IPs, Keepalive 25. Der Tunnel wird als Schnittstelle zugewiesen und braucht eine Firewall-Regel von den Tunnelnetzen nach dem eigenen Netz — dieselben Fallen wie bei OPNsense, die Felder heißen fast gleich.

GL.iNet

VPN → WireGuard-Client → Konfiguration hinzufügen, dort die Datei hochladen oder die Werte von Hand eintragen. Nach dem Verbinden prüfen, dass unter Allowed IPs die Netze aus der Datei stehen und nicht 0.0.0.0/0 — sonst schickt der Router den gesamten Verkehr in den Tunnel.

Wenn es nicht klappt

Kein Handschlag, die Zähler bleiben auf null

Fast immer ein vertauschter Schlüssel: Beim Peer gehört unser öffentlicher Schlüssel hinein, im Kundenbereich der des Geräts. Danach Endpunkt und Port prüfen — und ob auf einer Seite ein PresharedKey steht, den die andere nicht kennt. Auch das ergibt keinen Handschlag und keine Fehlermeldung.

Handschlag da, aber nichts ist erreichbar

Dann stimmt die Tunneladresse nicht — es muss die aus dem Kundenbereich sein, nicht ein Vorschlag des Geräts und nicht das Beispiel einer Anleitung. Der Vermittler schickt die Antworten an die Adresse, die er vergeben hat. Als Zweites: Fehlt in AllowedIPs das Netz, das Sie erreichen wollen, oder blockt die Firewall des Geräts den Verkehr aus dem Tunnel ins LAN.

Es geht kurz und bricht dann ab

Die Dauerverbindung fehlt. PersistentKeepalive = 25 — in unseren Dateien steht sie, in einem Formular muss sie von Hand hinein.

Das Gerät nimmt im Endpunkt keinen Namen an

Tragen Sie die IP-Adresse ein, die auf der Seite Kundendaten neben dem Namen steht. Sie ist fest und bleibt auch dann bestehen, wenn wir den Vermittlungsserver dahinter ersetzen.

Das Gerät will 0.0.0.0/0 in die AllowedIPs schreiben

Nein. Dann liefe der gesamte Internetverkehr des Kunden über den Tunnel, und er würde uns dafür zu Recht anrufen. In die AllowedIPs gehören nur die Netze aus dem Kundenbereich.

Der Router selbst antwortet, das Netz dahinter nicht

Dann ist die Gegenstelle als Gerät statt als Standort angelegt, oder das Netz hinter dem Standort stimmt nicht mit dem überein, das der Router wirklich vergibt. Beides steht im Kundenbereich bei der Gegenstelle.

Wie es weitergeht

Steht der Standort, folgt das Gerät, mit dem Sie hineingehen: das Telefon per QR-Code, der Laptop per Datei — jedes als eigene Gegenstelle desselben Kunden. Danach erreichen Sie den Server, die Kamera und die Oberfläche des Routers unter ihren Adressen.

Für die Geräte im Kundennetz lohnt sich als Nächstes der Name mit Zertifikat: ein Windows-Server ohne Warnung im Remotedesktop, ein QNAP-NAS, das sein Zertifikat selbst abholt. Wer den Kunden im Browser bedienen will, ohne dass auf dessen Rechner etwas installiert wird, nimmt die Fernwartung im Browser. Und ein Linux-Rechner, der jetzt Standort ist, sichert sich mit BorgBackup in den Cloud-Speicher.