Was diese Anleitung einrichtet
Diese Anleitung beschreibt einen Tunnel von einem einzelnen Gerät zur eigenen FRITZ!Box. Das Smartphone oder Notebook erreicht anschließend Geräte im Heimnetz und kann seinen Internetverkehr über den heimischen Anschluss senden.
Das ist nicht dasselbe wie eine Verbindung der FRITZ!Box zu einem kommerziellen Anbieter. Dafür benötigen Sie eine Konfiguration des Dienstes. Beide Varianten erklärt der Überblick VPN auf der FRITZ!Box einrichten.
WireGuard authentisiert Gegenstellen mit öffentlichen Schlüsseln und ordnet ihnen erlaubte Tunneladressen zu. Die FRITZ!Box erzeugt die nötigen Schlüssel und Routen über einen Assistenten. Sie müssen keine Kryptografieparameter auswählen.
Voraussetzungen
Prüfen Sie vor der Einrichtung:
- Das FRITZ!Box-Modell unterstützt WireGuard.
- Ein aktuelles FRITZ!OS ist installiert.
- Die FRITZ!Box erhält eine öffentlich erreichbare IPv6-Adresse oder öffentliche IPv4-Adresse.
- Auf dem Endgerät ist die offizielle WireGuard-App installiert.
- Das entfernte Netz verwendet nicht denselben privaten Adressbereich wie Ihr Heimnetz.
- Eine MyFRITZ!-Adresse ist eingerichtet.
Die Wissensdatenbank des Herstellers zeigt die Verfügbarkeit für das gewählte Modell. Verlassen Sie sich nicht auf eine alte Modellliste aus einem Forum, da Funktionen und Einschränkungen mit FRITZ!OS geändert werden können.
Warum MyFRITZ! gebraucht wird
Private Internetanschlüsse erhalten häufig wechselnde Adressen. MyFRITZ! stellt einen stabilen Namen bereit, über den die aktuelle Adresse der FRITZ!Box gefunden werden kann. Der Dienst ersetzt nicht die Verschlüsselung von WireGuard. Er löst das Erreichbarkeitsproblem bei dynamischen Adressen.
Öffnen Sie Internet, MyFRITZ!-Konto, hinterlegen Sie die Adresse und bestätigen Sie die Registrierung über die zugesandte Nachricht. Prüfen Sie anschließend, ob die FRITZ!Box eine MyFRITZ!-Adresse anzeigt.
Bei DS-Lite kann der Name auf IPv6 verweisen. Das zugreifende Gerät muss diese Adresse über sein aktuelles Netz erreichen können. Ein reines IPv4-Gastnetz kann keine nur über IPv6 erreichbare FRITZ!Box direkt ansprechen.
Adresskonflikte vorab vermeiden
Ein häufiger Fehler entsteht, wenn Heimnetz und entferntes WLAN denselben Bereich verwenden. Viele FRITZ!Boxen nutzen in der Werkseinstellung 192.168.178.0/24. Befinden Sie sich in einem anderen Netz mit demselben Bereich, interpretiert das Endgerät ein Ziel wie 192.168.178.20 als lokal und sendet es nicht durch den Tunnel.
Wählen Sie für das eigene Heimnetz einen weniger verbreiteten privaten Bereich, bevor Sie Konfigurationen erzeugen. Die Änderung betrifft Drucker, feste Adressen, Smart-Home-Zentralen und Freigaben. Planen und dokumentieren Sie sie, statt den Bereich während einer Reise spontan zu ändern.
WireGuard für Smartphone oder Tablet einrichten
- Installieren Sie die WireGuard-App aus dem offiziellen App-Store.
- Öffnen Sie die FRITZ!Box-Oberfläche im Heimnetz.
- Wechseln Sie zu Internet, Freigaben, VPN (WireGuard).
- Wählen Sie WireGuard-Verbindung hinzufügen.
- Wählen Sie Einzelgerät verbinden.
- Vergeben Sie einen Namen, der Gerät und Eigentümer eindeutig bezeichnet.
- Bestätigen Sie die Einrichtung gegebenenfalls direkt an der FRITZ!Box.
- Öffnen Sie in der WireGuard-App die Funktion zum Scannen eines QR-Codes.
- Scannen Sie den Code aus der Routeroberfläche und speichern Sie den Tunnel.
Zeigen Sie den QR-Code niemandem und speichern Sie keinen Screenshot in einer ungeschützten Fotomediathek. Der Code enthält die Client-Konfiguration einschließlich eines privaten Schlüssels. Er ist keine harmlose Komfortgrafik.
Erstellen Sie für jedes Gerät eine eigene Verbindung. Wenn ein Smartphone verloren geht, löschen Sie nur dessen Eintrag in der FRITZ!Box. Bei einem gemeinsam verwendeten Profil müssten alle Geräte neue Schlüssel erhalten.
WireGuard für Windows, macOS oder Linux einrichten
Der Ablauf in der FRITZ!Box ist derselbe. Statt eines QR-Codes laden Sie die Konfigurationsdatei herunter.
- Installieren Sie die offizielle WireGuard-Anwendung für das Betriebssystem.
- Erzeugen Sie in der FRITZ!Box eine neue Einzelgeräteverbindung.
- Laden Sie die Datei mit der Endung .conf direkt auf den Zielcomputer.
- Importieren Sie die Datei als neuen Tunnel.
- Löschen Sie zusätzliche Kopien aus Downloadordnern, Cloud-Synchronisation und Wechselmedien.
Die Datei ist ein Zugangsschlüssel. Senden Sie sie nicht unverschlüsselt per E-Mail und speichern Sie sie nicht in einem gemeinsamen Ordner.
Was AllowedIPs und Routen bewirken
WireGuard verbindet Schlüssel mit erlaubten IP-Bereichen. Im Client legt AllowedIPs zugleich fest, welche Ziele durch den Tunnel geroutet werden. Ein Standardprofil der FRITZ!Box kann sowohl Heimnetzziele als auch den Internetverkehr über den Router führen.
Verändern Sie die exportierte Konfiguration nur, wenn Sie die Folgen verstehen. Ein zu kleiner Bereich lässt Verkehr am Tunnel vorbeilaufen. Ein zu großer Bereich kann lokale Geräte im Hotelnetz unerreichbar machen oder andere Unternehmensrouten überschreiben.
Bei einem reinen Heimnetzzugriff genügt technisch eine Route zu den internen Netzen. Ein Volltunnel schützt zusätzlich den Datenweg im fremden WLAN und verwendet zu Hause den eigenen Internetanschluss als Ausgang. Welche Variante der Assistent erzeugt und welche Optionen verfügbar sind, hängt von FRITZ!OS und Verbindungstyp ab.
Ersten Funktionstest durchführen
Testen Sie nicht nur im eigenen WLAN. Dort kann ein internes Ziel auch ohne Tunnel erreichbar sein.
- Deaktivieren Sie am Smartphone WLAN und verwenden Sie Mobilfunk.
- Öffnen Sie ohne WireGuard den IP-Check und notieren Sie die Adresse.
- Aktivieren Sie den WireGuard-Tunnel.
- Öffnen Sie eine interne Ressource, etwa die FRITZ!Box-Oberfläche oder ein NAS.
- Laden Sie den IP-Check erneut. Bei einem Volltunnel sollte die Adresse des Heimanschlusses erscheinen.
- Führen Sie den DNS-Leak-Test und den IPv6-Leak-Test aus.
Testen Sie danach in einem fremden WLAN. So erkennen Sie Adresskonflikte und eine fehlende gemeinsame IP-Version.
WireGuard und IPv6 auf der FRITZ!Box
FRITZ dokumentiert, dass die Box WireGuard-Verbindungen sowohl über IPv4 als auch über IPv6 aufbauen kann. Damit ist ein Tunnel auch an einem DS-Lite-Anschluss grundsätzlich möglich.
Die transportierten Protokolle im Tunnel hängen von FRITZ!OS ab. Für aktuelle Versionen beschreibt der Hersteller, dass Geräte im entfernten Netz über IPv4 und IPv6 erreichbar sein können, der Internetzugriff über die entfernte FRITZ!Box jedoch Einschränkungen bei IPv6 haben kann. Vor FRITZ!OS 8 eingerichtete Verbindungen müssen laut Hersteller möglicherweise neu erzeugt werden, um neuere IPv6-Funktionen zu nutzen.
Prüfen Sie deshalb die Dokumentation für Ihr Modell und Ihre installierte Version. Ein grüner Tunnelstatus beweist nicht, dass IPv4, IPv6 und DNS denselben Weg nehmen.
Häufige Fehler beheben
Kein Handshake
Prüfen Sie, ob die MyFRITZ!-Adresse auf eine erreichbare Adresse zeigt und ob das aktuelle Netz die nötige IP-Version unterstützt. Kontrollieren Sie Datum und Uhrzeit des Geräts. Erzeugen Sie bei einer möglicherweise offengelegten Konfiguration ein neues Profil, statt Schlüssel manuell zu reparieren.
Handshake vorhanden, Heimgerät nicht erreichbar
Prüfen Sie den Adressbereich, die lokale Firewall des Zielgeräts und dessen Standardgateway. Ein Ziel kann Zugriffe aus dem Tunnelnetz ablehnen, obwohl WireGuard selbst funktioniert.
Im Hotel geht es nicht, über Mobilfunk schon
Wahrscheinlich liegt ein Adresskonflikt, eine UDP-Sperre oder fehlende IPv6-Erreichbarkeit vor. Vergleichen Sie die Netze. Eine Änderung des lokalen Heimnetzes löst Adresskonflikte dauerhaft, verlangt aber neue Konfigurationen.
Internet geht, Heimnetz nicht
Kontrollieren Sie die Routen und AllowedIPs. Bei manuell veränderten Profilen fehlt möglicherweise der Heimnetzbereich.
Heimnetz geht, Internet nicht
Das Profil kann als Teilroute eingerichtet sein oder DNS funktioniert nicht über den Tunnel. Prüfen Sie die erzeugte Konfiguration und testen Sie eine IP-Adresse getrennt von einem Domainnamen.
Betrieb und Schlüsselpflege
Benennen Sie Profile eindeutig, entfernen Sie alte Geräte und installieren Sie FRITZ!OS- sowie WireGuard-Updates. Nach Verlust eines Geräts löschen Sie dessen Verbindung sofort in der FRITZ!Box. Eine Bildschirmsperre auf dem Smartphone bleibt wichtig, weil ein aktiver Tunnel Zugriff auf interne Dienste ermöglicht.
WireGuard bringt keine Benutzeranmeldung pro Paket mit. Der private Schlüssel ist die technische Identität des Geräts. Behandeln Sie ihn entsprechend.