pfSense bietet seit Version 2.7 WireGuard-Unterstützung direkt im Basissystem, was bedeutet, dass du kein Drittanbieter-Paket mehr brauchst, um einen modernen, schnellen VPN-Tunnel auf deiner Firewall laufen zu lassen. Diese Anleitung zeigt, wie du pfSense als Client mit einem kommerziellen VPN-Anbieter verbindest, sodass jedes Gerät hinter deiner Firewall automatisch über das VPN läuft, ohne auf einzelnen Geräten etwas zu installieren.
Warum an der Firewall statt auf jedem Gerät einzeln
Eine pfSense-Box sitzt bereits zwischen deinem gesamten Netzwerk und dem Internet, daher deckt eine einmalige VPN-Konfiguration auf dieser Ebene jedes nachgelagerte Gerät ab: Laptops, Handys, Spielkonsolen, Smart-TVs und alles andere, das keine eigene VPN-App ausführen kann. Ausserdem übersteht der Tunnel einen Werksreset oder ein neues Gerät im Netzwerk, da nichts pro Gerät konfiguriert werden muss.
Der Kompromiss ist derselbe wie bei jedem VPN auf Router-Ebene: Ein Serverstandort-Wechsel bedeutet, eine Firewall-Konfiguration zu bearbeiten statt einen Knopf in einer App zu drücken. Die meisten pfSense-Nutzer, die diesen Weg gehen, behalten eine VPN-App auf Handy oder Laptop für schnelle Standortwechsel und behandeln den Firewall-Tunnel als dauerhaft aktive Grundeinstellung für alles andere.
Was du vor dem Start brauchst
Eine pfSense-Installation ab Version 2.7, da WireGuard erst ab dieser Version ins Basissystem gewandert ist, statt ein separates Paket zu benötigen. Admin-Zugang zur Weboberfläche und die WireGuard-Konfigurationsdaten deines VPN-Anbieters: ein privater Schlüssel, der öffentliche Schlüssel des Anbieters, eine Endpunkt-Adresse und ein Port sowie die vom Anbieter zugewiesenen erlaubten IPs und DNS-Einstellungen. Anbieter, die manuelle WireGuard-Einrichtung unterstützen, stellen das meist als herunterladbare Konfigurationsdatei oder als Detailansicht im Konto-Dashboard bereit.
Schritt 1: WireGuard-Verfügbarkeit prüfen
Ab pfSense 2.7 ist WireGuard im Basissystem enthalten und erscheint unter VPN > WireGuard in der Weboberfläche, ohne zusätzliche Paketinstallation. Bei einer älteren Version installierst du zuerst das WireGuard-Paket über System > Package Manager > Available Packages und startest danach neu, bevor du weitermachst.
Schritt 2: den WireGuard-Tunnel erstellen
Gehe zu VPN > WireGuard > Tunnels und füge einen neuen Tunnel hinzu. Gib ihm eine klare Beschreibung, generiere oder füge einen privaten Schlüssel ein und weise ihm eine Tunnel-Adresse in einem privaten Bereich zu, der sich nicht mit deinem bestehenden LAN überschneidet, etwas wie 10.10.10.1/24 funktioniert für die meisten Heimnetzwerke. Speichere den Tunnel nach dem Anlegen.
Schritt 3: den Peer hinzufügen (den Server deines VPN-Anbieters)
Füge im selben Tunnel einen Peer-Eintrag mit den Daten deines Anbieters hinzu:
- Öffentlicher Schlüssel: der öffentliche Schlüssel des Anbieter-Servers
- Endpunkt: Hostname oder IP-Adresse des Servers
- Endpunkt-Port: meist 51820, manche Anbieter nutzen einen anderen
- Erlaubte IPs:
0.0.0.0/0, um den gesamten Traffic durch den Tunnel zu leiten - Keep Alive: 25 Sekunden, damit der Tunnel durch NAT auf beiden Seiten aktiv bleibt
Speichern und anwenden.
Schritt 4: den Tunnel als Interface zuweisen
Gehe zu Interfaces > Assignments und weise den neuen WireGuard-Tunnel als Interface zu, aktiviere ihn dann unter Interfaces und gib ihm einen erkennbaren Namen wie WG_VPN. Dieser Schritt wird leicht übersprungen und ist der häufigste Grund, warum ein korrekt eingerichteter Tunnel trotzdem keinen Traffic durchlässt; pfSense braucht den Tunnel formal als Interface zugewiesen, bevor Firewall-Regeln ihn richtig referenzieren können.
Schritt 5: Firewall-Regeln auf dem neuen Interface setzen
Wähle unter Firewall > Rules den Tab deines neuen WireGuard-Interfaces und füge eine Regel hinzu, die Traffic vom Quellnetzwerk deines LAN zu jedem Ziel erlaubt. Ohne diese Regel kann der Tunnel technisch “up” sein, ohne dass tatsächlich etwas durch ihn läuft.
| Einstellung | Typischer Wert |
|---|---|
| Interface | WG_VPN |
| Quelle | LAN net |
| Ziel | Any |
| Protokoll | Any |
Schritt 6: ausgehendes NAT für den Tunnel einrichten
Wechsle unter Firewall > NAT > Outbound in den Hybrid- oder manuellen Modus und füge eine Regel hinzu, die dein LAN-Netzwerk dem WireGuard-Interface zuordnet. Dieser Schritt sorgt tatsächlich dafür, dass Traffic so aussieht, als käme er von der IP-Adresse deines VPN-Anbieters statt von deiner eigenen; ohne ihn können Pakete das Tunnel-Interface durchlaufen, ohne korrekt übersetzt zu werden, und Verbindungen schlagen fehl oder fallen still auf dein reguläres WAN zurück.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Schritt 7: LAN-Traffic über das VPN-Gateway routen
Gehe zu System > Routing > Gateways und prüfe, ob ein Gateway für das WireGuard-Interface existiert, lege es dann entweder als Standard-Gateway fest (leitet alles über das VPN) oder nutze eine richtlinienbasierte Routing-Regel unter Firewall > Rules auf deinem LAN-Interface, um nur bestimmten Traffic dorthin zu leiten. Richtlinien-Routing ist die bessere Wahl, wenn manche Geräte, etwa ein Smart-Home-Hub oder eine Konsole mit strengen NAT-Anforderungen, das VPN umgehen sollen, während alles andere es nutzt.
Schritt 8: prüfen, ob der Tunnel wirklich funktioniert
Diesen Teil nicht überspringen. Führe von einem Gerät hinter pfSense einen IP-Lecktest durch und bestätige, dass die angezeigte Adresse deinem VPN-Anbieter gehört, nicht deinem Internetanbieter. Prüfe Status > WireGuard in der pfSense-Weboberfläche, um zu bestätigen, dass der Peer einen aktuellen Handshake zeigt statt untätig zu bleiben, da ein Tunnel, der konfiguriert aussieht, aber keinen aktuellen Handshake zeigt, fast immer auf ein Firewall- oder NAT-Problem aus Schritt 5 oder 6 hinweist, nicht auf die WireGuard-Schlüssel selbst.
Die häufigsten Fehler und ihre Lösungen
| Symptom | Wahrscheinliche Ursache | Lösung |
|---|---|---|
| Tunnel erscheint, kein Handshake | Endpunkt-Port blockiert, oder falscher öffentlicher Schlüssel | Peer-Einstellungen prüfen, sicherstellen, dass der Port nicht blockiert ist |
| Handshake erfolgreich, kein Internet | Ausgehende NAT-Regel fehlt | Schritt 6 erneut prüfen, NAT-Zuordnung zum WireGuard-Interface bestätigen |
| Manche Geräte laufen über VPN, andere nicht | Richtlinien-Routing-Regel zu eng gefasst | Prüfen, ob das Quellnetzwerk der LAN-Regel die betroffenen Geräte abdeckt |
| Tempo deutlich unter der normalen Verbindung | pfSense-Hardware kommt mit der Verschlüsselung nicht mit | WireGuard-Durchsatzgrenze deines Geräts prüfen; ältere, schwächere Boxen tun sich bei Gigabit schwer |
| Verbindung bricht regelmässig ab | Keep-Alive nicht gesetzt, oder Anbieter wechselt Server-IPs | Keep-Alive auf 25 Sekunden beim Peer bestätigen |
Wann sich Richtlinien-Routing wirklich lohnt
Nicht jeder Haushalt will wirklich den gesamten Traffic durch das VPN leiten. Ein Smart-Home-Hub, der auf ein lokales Zeitprotokoll angewiesen ist, oder eine Konsole, die eine offene NAT-Verbindung für Online-Spiele braucht, funktioniert manchmal besser ausserhalb des Tunnels. In diesen Fällen lohnt sich der zusätzliche Aufwand einer richtlinienbasierten Regel gegenüber einem einfachen Standard-Gateway-Wechsel, auch wenn die Einrichtung etwas länger dauert, da du für jedes Gerät oder jeden Gerätebereich, der das VPN umgehen soll, eine eigene Ausnahme definieren musst.
Einen gut geeigneten Anbieter wählen
Nicht jeder VPN-Anbieter macht eine manuelle WireGuard-Konfiguration einfach zugänglich, manche lenken lieber zur eigenen App. NordVPN und Proton VPN bieten beide eine manuelle WireGuard-Konfigurationsgenerierung über das Konto-Dashboard an, wovon diese Anleitung ausgeht. Mullvads Einrichtung ist ähnlich unkompliziert und braucht kein Konto über eine generierte Nummer hinaus. Anbieter ohne manuelle Export-Option verlangen meist Umwege über eigene Kommandozeilen-Tools, ein aufwendigerer Prozess, als die meisten pfSense-Nutzer für eine Router-Einrichtung wollen.
Einen WireGuard-Client auf pfSense einzurichten dauert etwa 30 Minuten für jemanden, der mit der Firewall-Oberfläche bereits vertraut ist, der grösste Teil davon entfällt auf die NAT- und Firewall-Regel-Schritte statt auf den Tunnel selbst. Es ist der richtige Ansatz für einen Haushalt oder ein kleines Büro, das eine VPN-Verbindung dauerhaft für jedes Gerät will, weniger für jemanden, der mehrmals täglich den Serverstandort wechselt. Prüfe die ausgehende NAT-Regel sorgfältig, und teste immer mit einem IP-Lecktest, bevor du der Einrichtung für irgendetwas Sensibles vertraust.
Weiterlesen: VPN auf einem OpenWrt-Router einrichten und WireGuard vs. OpenVPN 2026: Welches Protokoll ist besser?.