WireGuard vs. OpenVPN vs. IPsec
| Merkmal | WireGuard | OpenVPN | IPsec/IKEv2 |
|---|---|---|---|
| Code-Zeilen | ~4.000 | ~100.000 | ~400.000 |
| Geschwindigkeit | ★★★★★ | ★★★ | ★★★★ |
| Konfiguration | Einfach | Komplex | Sehr komplex |
| Tunnel-Aufbau | <0,1s | 5–15s | 1–2s |
| CPU-Auslastung | Sehr niedrig | Mittel | Niedrig |
| Kernel-Integration | Ja | Nein | Ja |
WireGuard Server einrichten
# Ubuntu/Debian
apt install -y wireguard
# Key-Paar generieren (Server)
cd /etc/wireguard
wg genkey | tee server-private.key | wg pubkey > server-public.key
chmod 600 server-private.key
cat server-private.key # Speichern!
cat server-public.key # Für Clients
# /etc/wireguard/wg0.conf (Server)
[Interface]
Address = 10.10.0.1/24
ListenPort = 51820
PrivateKey = <SERVER_PRIVATE_KEY>
# IP-Forwarding und NAT (Internet-Zugang für Clients)
PostUp = sysctl -w net.ipv4.ip_forward=1; iptables -t nat -A POSTROUTING -s 10.10.0.0/24 -o eth0 -j MASQUERADE
PostDown = iptables -t nat -D POSTROUTING -s 10.10.0.0/24 -o eth0 -j MASQUERADE
# Peer: Laptop
[Peer]
PublicKey = <CLIENT_PUBLIC_KEY>
AllowedIPs = 10.10.0.2/32
# Peer: Handy
[Peer]
PublicKey = <HANDY_PUBLIC_KEY>
AllowedIPs = 10.10.0.3/32
# WireGuard starten
systemctl enable --now wg-quick@wg0
# Status
wg show
# Firewall
ufw allow 51820/udp
Client konfigurieren (Linux/Mac)
# Client Key-Paar
wg genkey | tee client-private.key | wg pubkey > client-public.key
# /etc/wireguard/wg0.conf (Client)
[Interface]
Address = 10.10.0.2/24
PrivateKey = <CLIENT_PRIVATE_KEY>
DNS = 1.1.1.1, 8.8.8.8
[Peer]
PublicKey = <SERVER_PUBLIC_KEY>
Endpoint = mein-server.de:51820
AllowedIPs = 0.0.0.0/0 # Ganzer Traffic durch VPN
# AllowedIPs = 10.10.0.0/24 # Nur VPN-Netz (Split-Tunnel)
PersistentKeepalive = 25
wg-quick up wg0
wg show
Windows/Android/iOS Client
QR-Code für mobile Clients erstellen:
apt install -y qrencode
qrencode -t ansiutf8 < /etc/wireguard/client-handy.conf
# Windows: WireGuard-App von wireguard.com
# Android/iOS: WireGuard App aus Store
WireGuard mit wg-easy (Docker, Web-UI)
# Einfachste Installation mit Docker
docker run -d --name=wg-easy -e WG_HOST=mein-server.de -e PASSWORD=sicheres-passwort -v ~/.wg-easy:/etc/wireguard -p 51820:51820/udp -p 51821:51821/tcp --cap-add=NET_ADMIN --cap-add=SYS_MODULE ghcr.io/wg-easy/wg-easy
# Web-UI: http://server-ip:51821
FAQ
Kann WireGuard UDP geblockter Firewalls umgehen?
WireGuard läuft nur auf UDP. Bei strikten Firewalls (die UDP:51820 sperren) hilft WireGuard über TCP mit udp2raw oder das neuere AmneziaWG.
Fazit
WireGuard ist der neue Standard für VPN: einfache Konfiguration, maximale Geschwindigkeit und kleiner angreifbarer Code.
WireGuard VPN-Einrichtung für KMU in Heidelberg, Mannheim und der Rhein-Neckar-Region. VPN anfragen.