Portweiterleitung für WireGuard VPN auf GL.iNet-Routern einrichten

Mit einem WireGuard-VPN-Server auf einem GL.iNet-Router erhalten Sie sicheren (Full-Tunnel-)Fernzugriff auf Ihr lokales Netzwerk. Ist der GL.iNet-Router mit einem Hauptrouter verbunden, etwa mit dem LAN-Port des ISP-Routers, müssen Sie auf dem Hauptrouter eine Portweiterleitung einrichten, damit VPN-Datenverkehr an Ihr GL.iNet-Gerät geleitet wird. Diese Anleitung führt durch die Schritte, erklärt die Einstellungen und erläutert wichtige Begriffe.

Warum Portweiterleitung erforderlich ist

Wenn der GL.iNet-Router mit einem Hauptrouter verbunden ist, muss dieser externe Daten an den WireGuard-Server weiterleiten. Aktivieren Sie die Portweiterleitung am Hauptrouter und öffnen Sie ausschließlich den Port des VPN-Servers (z. B. 51820). Sobald ein Gerät aus dem externen Netzwerk einen VPN-Tunnel zum GL.iNet-Router aufbaut, kann es auf das lokale Netzwerk hinter dem Hauptrouter zugreifen. Damit sind sowohl das LAN des GL.iNet-Routers als auch das LAN des Hauptrouters erreichbar.

Schritt-für-Schritt-Anleitung zur WireGuard-Portweiterleitung

1. Melden Sie sich am Adminbereich des Hauptrouters an (oder laden Sie die mobile App Ihres ISP herunter und melden Sie sich an):

Öffnen Sie die Adminoberfläche, indem Sie die IP-Adresse des Hauptrouters in den Browser eingeben, typischerweise 192.168.1.1 oder 10.0.0.1. Die IP finden Sie schnell über die „Gateway“-IP auf der Internetseite Ihres GL.iNet-Routers, während dieser mit dem Heimnetz verbunden ist.

2. Öffnen Sie den Bereich Portweiterleitung:

Je nach Marke heißt dieser Bereich „Port Forwarding“, „Virtual Server“ oder „NAT Forwarding“.

3. Konfigurieren Sie die Regeln:

• Externer Port (öffentlicher Port): Tragen Sie den Port ein, den Ihr WireGuard-Server verwendet (Standard 51820).
• Interner Port (privater Port): Setzen Sie ihn ebenfalls auf 51820, passend zum Port des GL.iNet-Routers.
• Protokoll: Wählen Sie UDP, da WireGuard über UDP arbeitet.
• Interne IP-Adresse (Ziel-IP): Dies ist die LAN-IP Ihres GL.iNet-Routers, etwa 192.168.x.x oder 10.x.x.x. Sie wird vom Hauptrouter vergeben, sobald der WAN-Port des GL.iNet-Routers mit dem LAN-Port des ISP-Routers verbunden ist. Sie finden sie in der Geräteliste des Hauptrouters oder auf der Internetseite der GL.iNet-Oberfläche.

4. Quellport festlegen (optional):

Wenn der Router eine Option „Source Port“ bietet, setzen Sie sie auf „Any“ oder lassen Sie sie leer. So vermeiden Sie Einschränkungen durch den Ursprungsport. WireGuard-Clients verwenden insbesondere hinter NAT möglicherweise zufällige Quellports.

5. Konfiguration speichern und testen:

• Speichern Sie alle Angaben und starten Sie den Hauptrouter bei Bedarf neu.
• Testen Sie die Einrichtung aus einem externen Netzwerk, etwa über einen mobilen Hotspot, und prüfen Sie die Portweiterleitung. Informationen zur Einrichtung von WireGuard-Server und Clientprofil finden Sie hier.

Wichtige Begriffe

• Externer (öffentlicher) Port: Der für das Internet geöffnete Port des Hauptrouters, an den eingehende VPN-Anfragen gerichtet werden.
• Interner (privater) Port: Der Port des GL.iNet-Routers, an dem WireGuard auf Verbindungen wartet.
• Quellport: Der Port, den der Client zum Starten der Verbindung verwendet. „Any“ wird empfohlen, um legitime Verbindungen nicht zu blockieren.
• Interne IP-Adresse (Ziel-IP): Die IP-Adresse Ihres GL.iNet-Routers im lokalen Netzwerk.

Zusätzliche Tipps

• Sicherheit beachten: Begrenzen Sie die Portweiterleitungsregel auf das erforderliche UDP-Protokoll.
• Dynamic DNS (DDNS) verwenden: Wenn sich Ihre öffentliche IP regelmäßig ändert, aktivieren Sie den integrierten DDNS-Dienst des GL.iNet-Routers, damit Ihr VPN erreichbar bleibt.

Weitere routerspezifische Anleitungen finden Sie in der GL.iNet-Dokumentation zur Portweiterleitung.

CGNAT kurz erklärt

Viele ISPs verwenden CGNAT, um begrenzte IPv4-Adressen zu verwalten, und weisen mehreren Kunden eine gemeinsame öffentliche IP zu. Dadurch ist der direkte Zugriff auf Geräte nicht möglich und Portweiterleitung funktioniert nicht. Bei CGNAT können VPN-Dienste wie AstroWarp oder Tailscale sicheren Fernzugriff ohne Portweiterleitung ermöglichen. Prüfen Sie hier, ob Ihr GL.iNet-Router Tailscale oder AstroWarp unterstützt. Eine Schritt-für-Schritt-Anleitung finden Sie in dieser Videoplaylist.

Über den Autor

Adam stammt aus Virginia, liebt internationale Reisen und hat einen Abschluss in Elektrotechnik von Virginia Tech. Er ist Solutions Engineer und Niederlassungsleiter eines Callcenters bei GL.iNet und der Entwickler von The Wired Nomad, einer Ressource für digitale Nomaden. Vernetzen Sie sich auf seiner Website.