Mit einem eigenen VPN greifst du von überall verschlüsselt auf dein Heimnetz zu – auf den Server, die Proxmox-Oberfläche oder deine Dienste, ohne sie öffentlich ins Internet zu stellen. WireGuard ist dafür modern, schnell und in OpenWrt gut integriert. Im Kurs ist genau diese Verbindung die Grundlage für Teil 2.

Du brauchst:

  • einen Router mit vanilla OpenWrt, der hinter deinem Internet-Router hängt
  • eine DuckDNS-Adresse, die auf deine öffentliche IP zeigt
  • ein Handy oder einen Laptop mit der WireGuard-App (kostenlos für alle Systeme)
  • ca. 45 Minuten

Die Beispiele verwenden: Heimnetz 192.168.50.0/24 (Router 192.168.50.1), VPN-Netz 10.10.10.0/24, Port 51820.

Schritt 1: WireGuard-Paket installieren

  1. In LuCI System → Software → Update lists…
  2. Das Paket luci-proto-wireguard installieren (bringt alles Nötige mit)
  3. Den Router einmal neu starten (System → Reboot)

Schritt 2: WireGuard-Schnittstelle anlegen

  1. Network → Interfaces → Add new interface…
  2. Name: wg0, Protokoll: WireGuard VPN → Create interface
  3. Im Tab General Settings:
    • Generate new key pair klicken (erzeugt den Schlüssel des Routers)
    • Listen Port: 51820
    • IP Addresses: 10.10.10.1/24
  4. Im Tab Firewall Settings die Zone lan zuweisen – so dürfen VPN-Geräte später ins Heimnetz, als säßen sie zu Hause
  5. Noch nicht speichern – weiter mit den Peers

Schritt 3: Handy als "Peer" hinzufügen

  1. Tab Peers → Add peer
  2. Description: z. B. handy
  3. Generate new key pair klicken (Schlüssel fürs Handy)
  4. Allowed IPs: 10.10.10.2/32 – die feste VPN-Adresse dieses Geräts
  5. Speichern, dann Save & Apply

Jedes weitere Gerät bekommt einen eigenen Peer mit eigener Adresse (10.10.10.3/32 usw.).

Schritt 4: Firewall – WireGuard von außen erlauben

  1. Network → Firewall → Traffic Rules → Add

  2. Ausfüllen:

    Feld Wert
    Name Allow-WireGuard
    Protocol UDP
    Source zone wan
    Destination zone Device (input)
    Destination port 51820
    Action accept

  3. Save & Apply

Schritt 5: Portfreigabe in der Fritzbox (Double NAT)

Weil der Flint 2 hinter deinem Internet-Router hängt, muss auch dieser die VPN-Pakete durchlassen. Am Beispiel Fritzbox:

  1. Sicherstellen, dass der Flint 2 in der Fritzbox immer dieselbe IP bekommt (Heimnetz → Netzwerk → Gerät bearbeiten → "Immer die gleiche IPv4-Adresse zuweisen")
  2. Internet → Freigaben → Portfreigaben → Gerät für Freigaben hinzufügen → den Flint 2 auswählen
  3. Neue Freigabe → Portfreigabe → Andere Anwendung
  4. Protokoll UDP, Port an Gerät 51820 bis 51820, Port extern gewünscht 51820
  5. Speichern

Achtung DS-Lite/CGNAT: Zeigt die Fritzbox-Übersicht "DS-Lite" oder beginnt die öffentliche IPv4 mit 100.64., kommen von außen keine IPv4-Verbindungen an. Details und Auswege stehen im DuckDNS-Guide.

Schritt 6: Konfiguration aufs Handy bringen

  1. In LuCI wieder Network → Interfaces → wg0 → Edit → Peers
  2. Beim Peer handy auf Generate configuration… klicken
  3. Anpassen:
    • Endpoint: meinhomelab.duckdns.org (deine DuckDNS-Adresse)
    • Allowed IPs: 192.168.50.0/24, 10.10.10.0/24 – nur der Verkehr ins Heimnetz läuft dann durchs VPN, alles andere direkt
    • DNS: 192.168.50.1
  4. Es erscheint ein QR-Code
  5. In der WireGuard-App: + → QR-Code scannen, Namen vergeben, fertig

Schritt 7: Testen

  1. Am Handy WLAN ausschalten (sonst bist du ja schon zu Hause)
  2. In der WireGuard-App den Tunnel aktivieren
  3. Im Handy-Browser http://192.168.50.1 öffnen – erscheint die OpenWrt-Anmeldung, funktioniert dein VPN

Wenn es nicht klappt

  • Handshake bleibt aus (in LuCI unter Status → WireGuard sichtbar): Portfreigabe in der Fritzbox prüfen, Firewall-Regel prüfen, stimmt die DuckDNS-Adresse?
  • Verbindung steht, aber nichts erreichbar: Ist wg0 wirklich der Firewall-Zone lan zugewiesen? Stimmen die Allowed IPs auf dem Handy?
  • Nur zu Hause kein Zugriff: Das ist normal, wenn du im selben WLAN bist – dann VPN einfach ausschalten.