Eigenen VPN-Server mit WireGuard einrichten

WireGuard ist ein schnelles, modernes VPN. Auf einem KVM-vServer läuft es ohne Einschränkungen, weil das Kernelmodul verfügbar ist.

1. Installieren und Weiterleitung einschalten

apt install -y wireguard
echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-wireguard.conf
sysctl --system

2. Schlüssel erzeugen

cd /etc/wireguard
umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee handy.key | wg pubkey > handy.pub

3. Server konfigurieren

Den Namen deiner Netzwerkkarte zeigt ip route | grep default (oft eth0 oder ens18). Lege /etc/wireguard/wg0.conf an:

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = INHALT_VON_server.key
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = INHALT_VON_handy.pub
AllowedIPs = 10.8.0.2/32

systemctl enable --now wg-quick@wg0
ufw allow 51820/udp

Ist UFW aktiv, blockt es weitergeleiteten Verkehr. Setze in /etc/default/ufw den Wert DEFAULT_FORWARD_POLICY="ACCEPT" und lade die Firewall neu: ufw reload.

4. Gerät verbinden

Konfiguration für Handy oder Laptop:

[Interface]
Address = 10.8.0.2/24
PrivateKey = INHALT_VON_handy.key
DNS = 1.1.1.1

[Peer]
PublicKey = INHALT_VON_server.pub
Endpoint = DEINE-SERVER-IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

In der WireGuard-App importierst du die Datei oder scannst sie als QR-Code: apt install qrencode und qrencode -t ansiutf8 < handy.conf.

Prüfen

wg show zeigt verbundene Geräte und den letzten Handshake.