Neckrez

WireGuard-VPN auf dem eigenen VPS einrichten (Ubuntu, Schritt für Schritt)

Ein eigenes WireGuard-VPN auf einem VPS in etwa zehn Minuten: Installation, Schlüssel, Firewall und QR-Code fürs Handy. Bezahlt mit Krypto, stündlich abgerechnet.

Warum WireGuard auf dem eigenen VPS laufen lassen

Um ein WireGuard-VPN auf einem VPS einzurichten, installieren Sie ein Paket, erzeugen zwei Schlüsselpaare, schreiben eine kurze Konfiguration und öffnen einen UDP-Port. Diese Anleitung führt Sie in etwa zehn Minuten von einem leeren Ubuntu-Server zu einem funktionierenden VPN auf Handy und Laptop.

Ein selbst betriebenes VPN hat genau einen Nutzer: Sie. Sie wählen das Land, wissen, wer Root-Zugriff hat, und hinter derselben IP sitzen keine Fremden. WireGuard ist klein, schnell und im Linux-Kernel enthalten, daher reicht ein Server mit 1 vCPU für einige persönliche Geräte.

  • Eigene IP - der Server hat eine dedizierte IPv4, die niemand sonst nutzt.
  • Eigener Standort - wählen Sie das passende Land aus 51 Standorten in sechs Regionen.
  • Geringer Overhead - WireGuard braucht einen UDP-Port und sehr wenig CPU.
  • Volle Kontrolle - Sie entscheiden, was protokolliert wird, standardmäßig muss es nichts sein.

Ein ehrlicher Vorbehalt: Ein eigenes VPN verlegt Ihren Datenverkehr auf eine andere IP, aber der Server gehört weiterhin einem Hosting-Anbieter. Es ersetzt keine guten Gewohnheiten und macht Sie allein nicht anonym.

So geht es bei Neckrez

  • Registrieren - mit E-Mail oder Google/GitHub. Kein KYC, kein Ausweis, keine Telefonnummer, keine Karte.
  • Guthaben in Krypto aufladen - ab $15. USDT über BEP20, TON, Polygon oder Solana kostet nur Cent-Beträge an Gebühren; TRC20 kostet pro Aufladung ein paar Dollar mehr.
  • Tarif, Standort und Betriebssystem wählen - Quark (1 vCPU, 1 GB, $10/Monat) reicht für den privaten Gebrauch. Wählen Sie Ubuntu und das Land, aus dem Sie ins Netz gehen wollen.
  • Server in etwa einer Minute bereit - mit vollem Root-Zugriff und dedizierter IPv4.
  • Stündliche Abrechnung - ein Server wird abgerechnet, solange er existiert, auch gestoppt. Löschen Sie ihn, endet die Abrechnung.

Auf der Deploy-Seite gibt es außerdem eine WireGuard-1-Click-App, wenn Sie das Ergebnis ohne die folgenden Schritte wollen. Der manuelle Weg lohnt sich einmal: Sie verstehen jede Zeile und können später alles anpassen. Die Seite zum Thema: VPS für VPN.

WireGuard installieren und Schlüssel erzeugen

Melden Sie sich per SSH als root oder als sudo-Nutzer an. Installieren Sie WireGuard und qrencode, das einen QR-Code zum Scannen mit dem Handy ausgibt.

sudo apt update
sudo apt install -y wireguard qrencode

Erzeugen Sie dann ein Schlüsselpaar für den Server und eines für das erste Gerät. Die umask sorgt dafür, dass nur root die privaten Schlüssel lesen kann. Der letzte Befehl zeigt den Namen Ihrer Netzwerkschnittstelle; merken Sie ihn sich, denn die Konfiguration unten geht von eth0 aus.

sudo -i
cd /etc/wireguard
umask 077
wg genkey | tee server.key | wg pubkey > server.pub
wg genkey | tee phone.key | wg pubkey > phone.pub
ip -o -4 route show to default | awk '{print $5}'

Server-Konfiguration schreiben und Firewall öffnen

Legen Sie /etc/wireguard/wg0.conf mit dem folgenden Inhalt an. Ersetzen Sie die beiden Platzhalter durch den echten Inhalt von server.key und phone.pub. Heißt Ihre Schnittstelle nicht eth0, ändern Sie sie in PostUp und PostDown.

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <contents of server.key>
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -A FORWARD -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
PublicKey = <contents of phone.pub>
AllowedIPs = 10.8.0.2/32

Aktivieren Sie jetzt die IP-Weiterleitung, erlauben Sie SSH und den WireGuard-Port in der Firewall und starten Sie den Tunnel. Erlauben Sie SSH, bevor Sie ufw aktivieren, sonst sperren Sie sich aus.

echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-wg.conf
sysctl --system
ufw allow OpenSSH
ufw allow 51820/udp
ufw enable
systemctl enable --now wg-quick@wg0
wg show

Zeigt wg show die Schnittstelle wg0, ist die Serverseite fertig. Der Tunnel startet nach jedem Neustart automatisch, weil er in systemd aktiviert ist.

Handy oder Laptop hinzufügen

Legen Sie /etc/wireguard/phone.conf mit der Client-Konfiguration unten an. Tragen Sie die echte Server-IP aus Ihrem Neckrez-Dashboard ein. AllowedIPs = 0.0.0.0/0 leitet den gesamten Verkehr durch das VPN; schränken Sie den Wert ein, wenn Sie nur den Server selbst erreichen wollen.

[Interface]
Address = 10.8.0.2/24
PrivateKey = <contents of phone.key>
DNS = 1.1.1.1

[Peer]
PublicKey = <contents of server.pub>
Endpoint = YOUR_SERVER_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

Zeigen Sie die Datei als QR-Code im Terminal an und scannen Sie sie mit der offiziellen WireGuard-App. Auf einem Laptop importieren Sie stattdessen die Datei in die WireGuard-App.

qrencode -t ansiutf8 < /etc/wireguard/phone.conf

Öffnen Sie den Tunnel und prüfen Sie Ihre öffentliche IP im Browser. Sie sollte jetzt die Adresse des Servers sein. Für ein zweites Gerät wiederholen Sie den Schlüsselschritt, fügen einen weiteren [Peer]-Block mit AllowedIPs = 10.8.0.3/32 hinzu und geben dem Gerät Address = 10.8.0.3/24.

Faustregel: ein Schlüsselpaar pro Gerät, nie geteilt. Geht ein Handy verloren, entfernen Sie seinen [Peer]-Block und starten den Tunnel neu; die anderen Geräte laufen weiter.

Welche Neckrez-Serverlinie zu einem privaten VPN passt

Ein normaler VPS ist hier die richtige Wahl. WireGuard braucht wenig CPU, deshalb reichen die kleinsten Tarife für eine Person oder eine Familie. Dedicated CPU, bei der die Kerne für Sie reserviert sind, ist nur dann der nächste Schritt, wenn viele Nutzer den ganzen Tag schweren Verkehr darüber leiten. Bare Metal ist für diese Aufgabe weit überdimensioniert.

Zwei Funktionen helfen in der Praxis. Jeder Tarif enthält kostenlosen Anti-DDoS-Schutz. Auf Vultr-Servern liefert der Instant-IP-Swap eine neue IPv4, ohne dass Sie neu aufbauen müssen, falls eine Adresse gesperrt wird; er kostet eine Stunde des Tarifs und funktioniert einmal pro 24 Stunden und Server. Für eine andere Region starten Sie einen zweiten kleinen Server und zahlen stündlich. Siehe auch anonymer VPS.

FAQ

Was kostet ein privates WireGuard-VPN? Der Tarif Quark kostet $10/Monat, stündlich abgerechnet vom vorausbezahlten Guthaben. Die Mindestaufladung beträgt $15.

Kann ich mehrere Geräte verbinden? Ja. Fügen Sie pro Gerät einen [Peer]-Block mit eigenem Schlüssel und eigener 10.8.0.x-Adresse hinzu.

Läuft das VPN weiter, wenn das Guthaben aufgebraucht ist? Nein. Bei einem Guthaben von null wird ein Snapshot der Festplatte erstellt, der Server gelöscht und der Snapshot 7 Tage aufbewahrt. Laden Sie auf und stellen Sie ihn mit einem Klick wieder her.

Gibt es eine Verfügbarkeitsgarantie? Nein. Neckrez bietet kein Uptime-SLA und keine Gutschriften bei Ausfällen. Sehen Sie das VPN als Werkzeug, das Sie in zehn Minuten neu aufbauen können.

Jetzt starten

Tarife ab $10/Monat, stündlich abgerechnet. Jetzt einen Server starten. Neckrez vermietet VPS, Dedicated CPU und Bare-Metal-Server sowie GPU-Server, wenn der Anbieter Kapazität hat, alles über ein Krypto-Guthaben mit stündlicher Abrechnung.