Kurzanleitung zur Fehlerbehebung bei WireGuard VPN auf GL.iNet-Routern

Diese Anleitung bietet umfassende Schritte, Tipps und Tricks zur Einrichtung von VPN-Server und VPN-Client auf GL.iNet-Routern für ein persönliches WireGuard VPN.

IP-Adresskonflikte prüfen

Stellen Sie sicher, dass zwischen Server und Client keine IP-Adresskonflikte bestehen. Jedes Gerät im WireGuard-Netzwerk benötigt eine eindeutige Adresse im selben Subnetz.

Im obigen Beispiel lautet die WireGuard-Netzwerk-IP meines Servers 10.1.0.1. Zwei Clientprofile wurden mit 10.1.0.2/24 und 10.1.0.3/24 erstellt. Stellen Sie sicher, dass die ersten drei Oktette (10.1.0) der Clientprofile mit der IP des WireGuard-Servers im Tab „Configuration“ übereinstimmen. Andernfalls können die Geräte keine Verbindung herstellen.

Außerdem wurde die Server-IP vom Standardwert 10.0.0.1 geändert, da das Subnetz 10.0.0 häufig von anderen Netzwerken (z. B. Xfinity) verwendet wird. So vermeiden Sie Konflikte zu Hause und unterwegs. Ich änderte daher das zweite Oktett von „0“ auf „1“, sodass das Subnetz jetzt 10.1.0 lautet.

WireGuard-Port korrekt weiterleiten

WireGuard verwendet normalerweise den UDP-Port 51820. Im WireGuard-Konfigurationsbereich des Serverrouters kann dieser Standardport geändert werden. Ein anderer Port wie 51821 wird empfohlen, wenn die lokale Firewall den Standardport während einer Reise blockiert. In manchen Fällen blockiert das lokale Netzwerk jedoch UDP-Verkehr vollständig. Dann benötigen Sie ein alternatives VPN mit TCP, etwa einen Tailscale-Exit-Node oder OpenVPN.

Weitere Informationen zu diesem wichtigen ersten Schritt finden Sie im Beitrag zur Portweiterleitung.

DNS-Client- und Serverkonfiguration (empfohlen)

Wenn Sie in den Clientprofilen als DNS-Server dieselbe Adresse wie die WireGuard-Server-IP (z. B. 10.1.0.1) eintragen, müssen Sie „Remote Access LAN“ auf Ihrem GL.iNet-Serverrouter aktivieren. Die Option befindet sich im VPN Dashboard über das Zahnradsymbol unter den Einstellungen der WireGuard-Serverzeile.

Auf dem Serverrouter können Sie unter Network -> DNS beliebige bevorzugte DNS-Server konfigurieren. Aus Datenschutzgründen werden meist andere Server als die des ISP empfohlen. Cloudflare bietet gewöhnlich die beste Leistung. Google kann manuell als Backup für DNS-Server 3 und 4 eingetragen werden (8.8.8.8 und 8.8.4.4).

Weitere Fehlerbehebungsszenarien

„Meine Server-/Client-Einrichtung hat eine Weile funktioniert, aber jetzt kann ich keine Verbindung mehr herstellen.“

• Erstellen Sie zunächst eine Profilkonfiguration für Ihr Smartphone und laden Sie das Clientprofil mit der WireGuard-App auf Ihr Telefon. Testen Sie die VPN-Verbindung mit dem Telefon. Funktioniert sie, liegt das Problem wahrscheinlich an Ihrem Reiserouter.
• Aktivieren Sie Dynamic DNS auf dem Server, wenn Ihr Heimnetz statt einer statischen eine dynamische öffentliche IP-Adresse verwendet.
• Möglicherweise ist der WireGuard-Port auf der Clientseite blockiert. Ändern Sie ihn wie oben beschrieben vom Standard 51820 auf einen anderen Port (z. B. 51825) und richten Sie die Portweiterleitung am Heimrouter erneut ein.

„Meine Verbindung ist sehr langsam und/oder instabil.“

• Prüfen Sie mit dem Befehl „ping“ in einem Terminal oder Eingabeaufforderungsfenster die Latenz zu einem DNS-Server wie 8.8.8.8 oder 1.1.1.1. Versuchen Sie, die DNS-Server im Server- und/oder Client-Adminbereich zu ändern.
• Stellen Sie sicher, dass Ihr Heimnetz eine ausreichend hohe Upload-Geschwindigkeit bietet, da diese der Download-Geschwindigkeit am Client entspricht. Am Serverstandort werden mindestens 20 Mbps Upload empfohlen.
• Ihr GL.iNet-Serverrouter kann je nach Modell und laufenden Zusatzdiensten (AdGuard Home, verschlüsseltes DNS usw.) zu schwach sein. Deaktivieren Sie diese Dienste oder wechseln Sie, wenn möglich, zu einem neueren, leistungsfähigeren Router.
• Möglicherweise ist die Maximum Transmission Unit (MTU) für VPN-Verkehr nicht optimiert und verursacht Fragmentierung. Passen Sie die MTU-Werte auf Server- und Clientseite an. Verringern Sie die Client-MTU ausgehend vom Standardwert 1420 in Schritten von „20“, bis die Geschwindigkeit steigt. Gehen Sie nicht unter 1280. Übernehmen Sie diesen MTU-Wert anschließend im Server-Adminbereich. Ein zusätzliches VPN auf dem Client, etwa ein Unternehmens-VPN wie Zscaler, kann ebenfalls eigene MTU-Probleme verursachen.

„Ich kann nicht remote auf den Adminbereich meines GL.iNet-Servers zugreifen.“

• Für den Fernzugriff auf den Server-Adminbereich muss das Clientgerät über den WireGuard-VPN-Tunnel verbunden sein. Aktivieren Sie das VPN auf Ihrem Reiserouter und geben Sie die LAN-IP des GL.iNet-Serverrouters in die Browserzeile ein.
• Wenn Server und Client beide die Standard-LAN-IP 192.168.8.1 verwenden, müssen Sie möglicherweise die LAN-IP ändern, da dies einen Konflikt verursacht. Setzen Sie etwa die Router-IP des Servers oder Clients auf 192.168.10.1.

Wenn die Fehlerbehebung nicht erfolgreich ist, schreiben Sie im GL.iNet-Subreddit (/r/GLiNet) oder treten Sie unserem Discord-Server bei und nutzen Sie den Kanal #tech-support-forum. Teilen Sie für eine effektive Unterstützung detaillierte Protokolle Ihres Routers und/oder WireGuard-Servers.

Über den Autor

Adam stammt aus Virginia, liebt internationale Reisen und hat einen Abschluss in Elektrotechnik von Virginia Tech. Er ist Solutions Engineer und Niederlassungsleiter eines Callcenters bei GL.iNet und der Entwickler von The Wired Nomad, einer Ressource für digitale Nomaden. Vernetzen Sie sich auf seiner Website.