Zum Inhalt springen
IDO DNS Service
Menü
Anmelden Konto anlegen
Alle Themen

Fernzugriff mit WireGuard auf Windows und macOS einrichten

Fernzugriff · Laptop, Arbeitsplatzrechner

Zuletzt überarbeitet am

Für den eigenen Laptop oder Arbeitsplatzrechner — das Gerät, von dem aus Sie arbeiten. Am Ende sind Sie mit einem Schalter in den Netzen Ihrer Kunden, ohne dass dort jemand etwas tun muss.

Sie brauchen dafür die Konfigurationsdatei dieser Gegenstelle. Sie entsteht im Kundenbereich unter Fernzugriff und enthält Ihren geheimen Schlüssel — sie liegt nur einmal vor. Wir speichern den geheimen Teil nicht und können ihn Ihnen kein zweites Mal geben. Ist die Datei weg, legen Sie die Gegenstelle neu an; das dauert eine Minute.

Diese Anleitung gehört zu Fernzugriff von IDO DNS Service — was die Leistung kann und was sie kostet.

Was Sie brauchen

  • Windows 10 oder 11 beziehungsweise macOS — und Administratorrechte, um die WireGuard-Anwendung zu installieren.
  • Ihren Zugang zum Kundenbereich unter Fernzugriff.
  • Einen angelegten Kunden, am besten schon mit einem Standort — etwa der FRITZ!Box. Die Datei trägt die Netze, die es beim Anlegen gibt; ein später angelegter Standort muss nachgetragen werden.
  • Die Konfigurationsdatei — sie entsteht in Schritt 2 und liegt nur einmal vor.

Einrichten

  1. WireGuard installieren

    Windows und macOS: die offizielle Anwendung von wireguard.com/install. Unter macOS gibt es sie auch im App Store. Es wird nichts weiter gebraucht.

  2. Im Kundenbereich die Gegenstelle anlegen

    Fernzugriff → Kunde auswählen → Art: Gerät → Name vergeben (etwa „Laptop Müller“) → „Schlüsselpaar im Browser erzeugen“ → anlegen.

    Der geheime Schlüssel entsteht in Ihrem Browser und wird nicht abgeschickt. Er steht danach nur in der Datei, die Sie im nächsten Schritt speichern.

  3. Die Datei speichern — jetzt, nicht später

    Direkt nach dem Anlegen erscheint „Konfiguration speichern“. Verlassen Sie die Seite vorher, ist der geheime Teil weg, und die Gegenstelle muss neu angelegt werden. Legen Sie die Datei dorthin, wo Sie auch andere Zugangsdaten aufbewahren.

  4. Tunnel importieren

    In WireGuard: Tunnel aus Datei importieren und die gespeicherte .conf auswählen. Danach Aktivieren.

  5. Prüfen

    WireGuard zeigt unter „Letzter Handschlag“ eine Zeit an, die weiterläuft, und steigende Byte-Zähler. Dann steht die Verbindung, und Sie erreichen die Netze, die unter AllowedIPs stehen.

Was dieser Tunnel tut — und was nicht

Es geht nur der Verkehr in die Netze Ihres Kunden durch den Tunnel. Ihr übriges Surfen läuft weiter direkt über Ihren Anschluss: In unseren Dateien steht bewusst kein 0.0.0.0/0. Sie können den Tunnel also den ganzen Tag anlassen, ohne dass Video-Konferenzen oder Downloads darunter leiden.

Welche Netze das sind, steht in der Datei in der Zeile AllowedIPs — dieselbe Liste zeigt auch der Kundenbereich bei jeder Gegenstelle an.

Für ein Telefon brauchen Sie keine Datei. Legen Sie die Gegenstelle hier am Rechner an und lassen Sie sich den QR-Code anzeigen — die WireGuard-App scannt ihn ab. Zur Anleitung für iPhone und Android.

Wenn es nicht klappt

Kein Handschlag, die Zähler bleiben auf null

Meist ist der öffentliche Schlüssel im Kundenbereich ein anderer als der in der Datei. Das passiert, wenn zwischendurch ein zweites Schlüsselpaar erzeugt wurde. Legen Sie die Gegenstelle neu an — das ist schneller als die Suche.

Der Handschlag kommt, aber der Server im Kundennetz antwortet nicht

Prüfen Sie, ob das Büronetz überhaupt in AllowedIPs steht. Ist der Standort erst nach diesem Gerät angelegt worden, fehlt es dort — die Datei wurde ja vorher erzeugt. Der Kundenbereich zeigt bei der Gegenstelle die Zeile an, wie sie heute aussehen müsste; tragen Sie sie in WireGuard nach.

Windows meldet „Der Tunnel konnte nicht gestartet werden“

Dann läuft meist noch ein anderer Tunnel mit denselben Netzen, oder ein zweiter VPN-Dienst belegt den Adapter. Deaktivieren Sie den anderen Tunnel zuerst.

Namen wie „server“ funktionieren nicht, die Adresse aber schon

Dann ist beim Kunden kein Namensdienst hinterlegt oder er ist nicht erreichbar. Im Kundenbereich unter „Kundendaten“ eintragen; bei einer FRITZ!Box zusätzlich den DNS-Rebind-Schutz öffnen — dort gehört der vollständige Name hinein (server.kunde.idodns.de), nicht idodns.de allein.

Wie es weitergeht

Ab jetzt ist das Kundennetz vom Laptop aus einfach da: Remotedesktop auf den Server, SSH auf die Firewall, die Weboberfläche des NAS — unter ihren Adressen und, mit einem Namensdienst beim Kunden, unter ihren Namen. Das Telefon richten Sie in einer Minute per QR-Code ein.

Warnt der Remotedesktop beim Verbinden noch vor dem Zertifikat, ist Remotedesktop ohne Zertifikatswarnung der nächste Schritt — mit einem Skript, das die Erneuerung von allein erledigt. Fehlt noch ein Standort, sind FRITZ!Box, OPNsense und Omada beschrieben. Und für den Server, den Sie jetzt erreichen, gibt es den Cloud-Speicher mit Borg und restic durch denselben Tunnel.

Weiter im selben Bereich

Ihr Gerät ist nicht dabei? Alle Anleitungen

Kommen Sie nicht weiter? Sehen Sie zuerst unter Häufige Fragen nach.

Steht die Antwort dort nicht, schreiben Sie uns an info@idodns.de — mit dieser Anleitung im Betreff. Was mehrfach gefragt wird, steht danach hier.