Die meisten handelsüblichen Router verstecken ihre VPN-Optionen hinter einer verschlossenen Firmware, wenn sie überhaupt welche anbieten. OpenWrt ersetzt diese Firmware komplett, und einmal installiert, wird die Einrichtung eines VPN-Clients für das ganze Netzwerk zu ein paar Konfigurationsseiten statt zu einem Bastelprojekt.
Diese Anleitung zeigt, wie ein OpenWrt-Router als Client mit einem kommerziellen VPN-Anbieter verbunden wird, sodass jedes Gerät im Heimnetzwerk, einschließlich Konsolen, Smart-TVs und allem, was keine VPN-App direkt installieren kann, automatisch abgedeckt ist.
Warum am Router statt auf jedem Gerät einzeln
Eine VPN-App auf einem einzelnen Gerät ist einfacher einzurichten, schützt aber nur dieses eine Gerät und hilft einer PS5, einem Smart-TV oder einer Streaming-Box, die keinen VPN-Client installieren kann, überhaupt nicht. Das VPN einmal am Router einzurichten deckt jedes Gerät im Netzwerk ab, ohne jedes einzeln anfassen zu müssen, und übersteht sogar Werksrücksetzungen anderer Geräte, da der Tunnel oberhalb von ihnen liegt.
Der Nachteil: VPNs auf Router-Ebene lassen sich in der Regel schwerer schnell zwischen Serverstandorten wechseln, da das eine netzwerkweite Einstellung statt eines Tastendrucks in einer App bedeutet. Die meisten, die diesen Weg gehen, behalten eine VPN-App auf Handy oder Laptop für schnelles Serverwechseln und nutzen die Router-Einrichtung als dauerhafte Basis für alles andere.
Was Sie vorher brauchen
Einen Router, auf dem OpenWrt läuft, entweder ab Werk oder selbst geflasht. Prüfen Sie die OpenWrt-Hardwaretabelle, bevor Sie neue Hardware kaufen, da Unterstützung und verfügbarer Flash-Speicher zwischen Modellen stark variieren. Ein Router mit mindestens 128 MB RAM und 16 MB Flash-Speicher kommt mit WireGuard gut zurecht, ältere oder günstigere Modelle mit weniger Reserve können bei zusätzlichen Paketen an ihre Grenzen stoßen.
Außerdem brauchen Sie die WireGuard-Konfigurationsdaten Ihres VPN-Anbieters: einen privaten Schlüssel, den öffentlichen Schlüssel des Anbieters, eine Endpunktadresse mit Port sowie die Einstellungen für erlaubte IPs und DNS. Die meisten Anbieter mit WireGuard-Unterstützung erzeugen das als herunterladbare .conf-Datei oder zeigen es in den App-Einstellungen an, da dasselbe Konfigurationsformat auf OpenWrt, anderen Linux-Systemen und den offiziellen WireGuard-Apps funktioniert.
Schritt 1: WireGuard-Pakete installieren
Loggen Sie sich in die LuCI-Weboberfläche des Routers ein (meist unter 192.168.1.1 im Browser), oder verbinden Sie sich per SSH, falls Ihnen die Kommandozeile lieber ist. Aktualisieren Sie die Paketliste und installieren Sie die nötigen Pakete:
opkg update
opkg install wireguard-tools luci-app-wireguard kmod-wireguard
Starten Sie den Router nach der Installation neu. LuCI sollte jetzt unter Network > Interfaces eine WireGuard-Option anzeigen.
Schritt 2: WireGuard-Interface anlegen
Gehen Sie in LuCI zu Network > Interfaces > Add new interface. Geben Sie einen klaren Namen, vpn0 funktioniert gut, und stellen Sie das Protokoll auf WireGuard VPN.
Fügen Sie im Reiter General Settings des Interfaces Ihren privaten Schlüssel ein (vom VPN-Anbieter erzeugt oder von Ihnen selbst, je nach dessen Einrichtungsprozess), und stellen Sie die vom Anbieter zugewiesene IPv4-Adresse ein, typischerweise etwas wie 10.x.x.x/32.
Schritt 3: den Peer hinzufügen (den Server Ihres VPN-Anbieters)
Wechseln Sie im selben Interface zum Reiter Peers und klicken Sie auf Add Peer. Hier kommen die Angaben Ihres Anbieters hinein:
- Public Key: der öffentliche Schlüssel des Anbieter-Servers
- Endpoint Host: die Adresse oder der Hostname des Servers
- Endpoint Port: meist 51820, manche Anbieter nutzen einen anderen Port
- Allowed IPs:
0.0.0.0/0, ::/0, um den gesamten Traffic durch den Tunnel zu leiten - Route Allowed IPs: aktiviert
- Persistent Keepalive: 25 Sekunden, das hält den Tunnel durch NAT auf beiden Seiten am Leben
Speichern und übernehmen.
Schritt 4: die Firewall-Zone einstellen
WireGuard-Interfaces brauchen eine zugewiesene Firewall-Zone, sonst wird der Traffic nicht korrekt geroutet. Gehen Sie zu Network > Firewall > Zone, und fügen Sie entweder das neue vpn0-Interface zu Ihrer bestehenden LAN-Zone hinzu (am einfachsten, bedeutet aber, dass Geräte den Router ohne Trennung als Standard-Gateway sehen), oder legen Sie eine eigene VPN-Zone mit Weiterleitungsregeln zum LAN an, was mehr Kontrolle darüber gibt, welcher Traffic den Tunnel nutzt.
Für die meisten Heimnetzwerke reicht es, vpn0 zu den von der LAN-Zone abgedeckten Interfaces hinzuzufügen und die WAN-Zone so einzustellen, dass sie von der VPN-Zone weiterleitet (statt vom reinen WAN), um den gesamten ausgehenden Traffic durch den Tunnel zu leiten.
Schritt 5: Traffic durchs VPN routen, nicht am rohen Internet vorbei
Der Schritt, der am häufigsten schiefgeht: Ohne angepasste Routing-Metriken kann Traffic auch nach aktivem Tunnel über die normale WAN-Verbindung entweichen. Bearbeiten Sie unter Network > Interfaces Ihr VPN-Interface und stellen Sie sicher, dass ein Routing im Stil eines Standard-Gateways angewendet wird, entweder direkt über die Interface-Einstellungen oder über eine Policy-Routing-Regel, falls Sie OpenWrts mwan3-Paket für feinere Kontrolle nutzen.
Wenn nur bestimmte Geräte übers VPN laufen sollen statt des gesamten Netzwerks (eine übliche Einrichtung für einen Router, der auch manche Geräte für lokale Dienste oder bestimmte Streaming-Bedürfnisse am Tunnel vorbeileiten muss), ist mwan3 oder ein einfacher Satz von Firewall-Markierungsregeln auf Basis der Quell-IP der Standardansatz. Das ist eine fortgeschrittenere Konfiguration, als diese Anleitung im Detail behandelt, aber die OpenWrt-Dokumentation zum Policy Routing führt durch die Schritte.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Schritt 6: prüfen, ob der Tunnel wirklich funktioniert
Diesen Schritt nicht überspringen. Führen Sie von einem am Router angeschlossenen Gerät aus einen IP-Leck-Test durch und prüfen Sie, ob die angezeigte Adresse Ihrem VPN-Anbieter gehört, nicht Ihrem Internetanbieter. Prüfen Sie den Status des WireGuard-Interfaces in LuCI (Status > WireGuard zeigt Handshake-Zeiten und übertragene Daten), um zu bestätigen, dass der Tunnel tatsächlich Traffic durchlässt statt untätig zu sein.
Ein Tunnel, der in der Interface-Liste als “aktiv” angezeigt wird, aber keinen aktuellen Handshake zeigt, deutet meist auf ein Firewall- oder Routing-Problem aus Schritt 4 oder 5 hin, nicht auf ein Problem mit den WireGuard-Schlüsseln selbst.
Die häufigsten Fehler beheben
| Symptom | Wahrscheinliche Ursache | Lösung |
|---|---|---|
| Interface erscheint, aber kein Handshake | Endpoint-Port blockiert, oder falscher Public Key | Peer-Einstellungen prüfen, sicherstellen, dass der Port nicht vom Provider blockiert wird |
| Handshake klappt, aber kein Internet | Firewall-Zone leitet nicht korrekt weiter | Schritt 4 wiederholen, Weiterleitungsregeln der Zone prüfen |
| Funktioniert auf manchen Geräten, auf anderen nicht | Veraltete DHCP-Zuweisung oder zwischengespeichertes DNS | Gerät neu verbinden, DNS-Cache leeren |
| Geschwindigkeit weit unter der normalen Verbindung | CPU des Routers kommt mit der Verschlüsselung nicht mit | WireGuard-Durchsatzgrenze des Modells im OpenWrt-Hardware-Wiki prüfen |
| Verbindung bricht zufällig ab | Persistent Keepalive nicht gesetzt, oder Server-IP des Anbieters wechselt | Sicherstellen, dass Keepalive auf 25 Sekunden steht |
Einen Anbieter wählen, der das gut unterstützt
Nicht jeder VPN-Anbieter macht die manuelle Erstellung von WireGuard-Konfigurationsdateien einfach, manche drängen Nutzer stattdessen zur eigenen App. NordVPN und Proton VPN bieten beide die manuelle WireGuard-Konfiguration über ihr Konto-Dashboard an, wovon diese Anleitung ausgeht. Anbieter ohne diese Option verlangen meist einen Umweg über ihre Linux-Kommandozeilentools statt einer sauberen .conf-Datei, was eine aufwendigere Einrichtung ist, als die meisten OpenWrt-Nutzer wollen.
Die Einrichtung eines VPN-Clients auf OpenWrt dauert für jemanden, der mit Router-Firmware vertraut ist, etwa 30 bis 45 Minuten und deckt danach dauerhaft das gesamte Netzwerk ab. Das passt besser zu einem Haushalt, der eine einzige VPN-Verbindung für jedes Gerät will, Konsolen und Smart-TVs eingeschlossen, als zu jemandem, der häufig zwischen VPN-Serverstandorten wechseln muss. Wählen Sie einen Anbieter mit unkompliziertem WireGuard-Export, prüfen Sie das Routing der Firewall-Zone sorgfältig, und testen Sie mit einem IP-Leck-Check, bevor Sie der Einrichtung vertrauen.
Wer lieber einen eigenen VPN-Server betreibt statt sich mit einem kommerziellen Anbieter zu verbinden, findet in unserer Anleitung für einen WireGuard-Server auf dem Raspberry Pi das passende Alternativprojekt, und unsere allgemeine Anleitung für VPN am Router deckt den Prozess für Router ab, die nicht mit OpenWrt laufen.
Weiterlesen: VPN auf einem Raspberry Pi: der eigene VPN-Router zum Preis einer Pizza und WireGuard vs. OpenVPN: welches Protokoll wählen?.