WireGuard VPN Server – moderne VPN-Lösung

Warum WireGuard sich gegenüber OpenVPN und IPsec durchgesetzt hat

Der Codebasis-Unterschied ist keine Marketing-Zahl: WireGuard kommt mit rund 4.000 Zeilen Code aus, OpenVPN mit etwa 100.000, IPsec-Implementierungen mit teils 400.000+. Weniger Code bedeutet weniger Angriffsfläche und einfachere Auditierbarkeit — WireGuard wurde formal kryptographisch verifiziert, bevor es in den Linux-Kernel aufgenommen wurde.

WireGuard Server einrichten

apt install -y wireguard

cd /etc/wireguard
wg genkey | tee server-private.key | wg pubkey > server-public.key
chmod 600 server-private.key

# /etc/wireguard/wg0.conf (Server)
[Interface]
Address = 10.10.0.1/24
ListenPort = 51820
PrivateKey = <SERVER_PRIVATE_KEY>

PostUp = sysctl -w net.ipv4.ip_forward=1; iptables -t nat -A POSTROUTING -s 10.10.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -s 10.10.0.0/24 -o eth0 -j MASQUERADE

[Peer]
# Laptop
PublicKey = <CLIENT_PUBLIC_KEY>
AllowedIPs = 10.10.0.2/32

[Peer]
# Firmenhandy
PublicKey = <HANDY_PUBLIC_KEY>
AllowedIPs = 10.10.0.3/32

systemctl enable --now wg-quick@wg0
wg show
ufw allow 51820/udp

Anders als bei OpenVPN gibt es bei WireGuard keine zentrale Zertifizierungsstelle zu verwalten — jeder Peer hat ein simples Schlüsselpaar. Das vereinfacht die Einrichtung enorm, bedeutet aber auch: Es gibt keine eingebaute Widerrufsliste. Ein Peer entfernen heißt, seinen Eintrag aus der Server-Konfiguration zu löschen und wg syncconf oder einen Neustart auszuführen.

Client konfigurieren (Linux/Mac)

wg genkey | tee client-private.key | wg pubkey > client-public.key

# /etc/wireguard/wg0.conf (Client)
[Interface]
Address = 10.10.0.2/24
PrivateKey = <CLIENT_PRIVATE_KEY>
DNS = 1.1.1.1, 8.8.8.8

[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = mein-server.de:51820
AllowedIPs = 0.0.0.0/0
# AllowedIPs = 10.10.0.0/24  # Split-Tunnel: nur VPN-Netz statt allem Traffic
PersistentKeepalive = 25

wg-quick up wg0
wg show

AllowedIPs = 0.0.0.0/0 leitet den kompletten Internet-Traffic durch den VPN-Tunnel (Full-Tunnel) — sinnvoll für maximale Sicherheit in ungesicherten Netzen (Hotel-WLAN), aber langsamer und mit höherer Serverlast. Für reinen Zugriff auf interne Firmenressourcen reicht ein Split-Tunnel mit dem internen Subnetz als AllowedIPs. PersistentKeepalive = 25 ist besonders bei Clients hinter NAT (die meisten mobilen Verbindungen) wichtig — ohne regelmäßige Keepalive-Pakete vergisst der NAT-Router die Verbindung, und der Server kann den Client nicht mehr initiativ erreichen.

Mobile Clients per QR-Code

apt install -y qrencode
qrencode -t ansiutf8 < /etc/wireguard/client-handy.conf

WireGuard-Apps für Windows, Android und iOS gibt es offiziell über wireguard.com bzw. die jeweiligen App-Stores — der QR-Code-Scan überträgt die komplette Konfiguration inklusive privatem Schlüssel, daher sollte er nur über einen vertrauenswürdigen Kanal (Bildschirm, nicht Screenshot per Chat) weitergegeben werden.

Web-UI-Variante: wg-easy

Für Teams ohne tägliche CLI-Routine ist die manuelle wg0.conf-Pflege auf Dauer unpraktisch. wg-easy bietet dieselbe WireGuard-Basis mit Web-Oberfläche für Peer-Verwaltung:

docker run -d --name=wg-easy \
    -e WG_HOST=mein-server.de \
    -e PASSWORD=sicheres-passwort \
    -v ~/.wg-easy:/etc/wireguard \
    -p 51820:51820/udp \
    -p 51821:51821/tcp \
    --cap-add=NET_ADMIN --cap-add=SYS_MODULE \
    ghcr.io/wg-easy/wg-easy

Web-UI: http://server-ip:51821 — neue Peers per Klick anlegen, QR-Code direkt im Browser anzeigen, Peers ohne SSH-Zugriff auf den Server entfernen.

FAQ

Kann WireGuard restriktive Firewalls umgehen, die UDP blockieren?
WireGuard läuft ausschließlich über UDP. In Netzen mit gesperrtem UDP hilft ein TCP-Wrapper wie udp2raw oder das neuere AmneziaWG (WireGuard-Fork mit Traffic-Obfuskierung) — beides zusätzliche Komplexität, die nur bei nachgewiesenem Bedarf eingesetzt werden sollte.

Wie viele Peers verkraftet ein WireGuard-Server?
Deutlich mehr als OpenVPN bei gleicher Hardware — WireGuard läuft im Kernel und verursacht pro Peer minimalen Overhead. Für die meisten KMU-Szenarien (unter 100 Peers) ist die Server-Hardware nie der limitierende Faktor.

Fazit

WireGuard ist für die meisten neuen VPN-Aufbauten die richtige Standardwahl: einfache Konfiguration, hohe Geschwindigkeit, deutlich kleinere Angriffsfläche als OpenVPN oder klassisches IPsec.

Ich richte WireGuard-VPN-Infrastruktur für Unternehmen in Heidelberg, Mannheim, Ludwigshafen und dem Rhein-Neckar-Kreis ein. Projekt anfragen.