Keenetic und WireGuard: Server und Client auf einem Router – Schritt-für-Schritt-Anleitung

Einleitung

Du richtest deinen Keenetic-Router so ein, dass er gleichzeitig als WireGuard-Server für deine Geräte und als WireGuard-Client zu einem externen VPN oder entfernten Standort fungiert. So bekommst du ein persönliches VPN-Netz für den Fernzugriff auf dein Heimnetz und dein Router (sowie ausgewählte Geräte) können gleichzeitig über einen externen VPN-Tunnel ins Internet. Diese praktische Schritt-für-Schritt-Anleitung ist ideal für Einsteiger und enthält auch Abschnitte für Fortgeschrittene. Du bekommst ein funktionierendes Setup ohne Rätselraten.

Für wen ist dieser Guide: für Besitzer eines Keenetic mit KeeneticOS 3.7+ (gültig auch für 4.x), die einen WireGuard-Server aufsetzen und den Router als WireGuard-Client auf demselben Gerät verwenden möchten. Vorkenntnisse sind nicht nötig, alle Schritte sind detailliert erklärt.

Was du vorab wissen solltest: Grundbegriffe zu IP-Adressen, was VPN bedeutet und der Unterschied zwischen UDP und TCP (kurz: WireGuard läuft über UDP). Falls du unsicher bist – kein Problem, wir erklären die wichtigsten Konzepte einfach verständlich.

Wie viel Zeit brauchst du: 45–120 Minuten für die Grundkonfiguration und Tests. Falls Routing-Tabellen neu aufgebaut oder Split-Tunnel eingerichtet werden müssen, rechne mit zusätzlichen 20–30 Minuten.

Vorbereitung

Um Fehler zu vermeiden und den Prozess zu beschleunigen, bereite alles Nötige vorher vor.

Benötigte Werkzeuge und Zugänge

• Keenetic-Router mit KeeneticOS 3.7+ und WireGuard-Paket (meist Mittel- bis High-End-Modelle; viele Modelle von 2020–2026 unterstützen das).
• Zugriff auf die Web-Oberfläche des Keenetic (normalerweise unter my.keenetic.net oder IP wie 192.168.1.1).
• Zugriff auf den Account deines Providers oder die Modemeinstellungen, falls Portweiterleitung oder ein „weiße“ IP-Adresse geprüft werden muss.
• Smartphone oder Laptop mit WireGuard-Client (z.B. offizielle WireGuard-App für iOS/Android/Windows/macOS/Linux) für Tests.

Systemvoraussetzungen und Netzwerk

• Eine öffentliche IPv4-Adresse ("weiße" Adresse) am WAN des Keenetic oder mindestens die Möglichkeit, den UDP-Port 51820 weiterzuleiten (wenn der Keenetic hinter NAT steht).
• Freier Adressbereich für das VPN-Netz des WireGuard-Servers, z.B. 10.10.10.0/24 (muss sich von deinem lokalen Netzwerk unterscheiden, z.B. 192.168.1.0/24).
• Zusätzliche Adresse für den WireGuard-Client, z.B. 10.20.20.2/32, falls die entfernte Seite eine /32 zuweist (ist üblich bei Tunneln).

Downloads und Installation

• WireGuard-Paket in KeeneticOS (über Komponenten einrichten).
• WireGuard-Client auf deinem Telefon/Laptop für den Test.

Backup erstellen

1. Mel­de dich in der Web-Oberfläche von Keenetic an.
2. Gehe zu „System“ → „Konfiguration“ (oder „Backup“).
3. Klicke auf „Konfiguration speichern“ und lade die Datei auf deinen Rechner herunter.

⚠️ Achtung: Erstelle vor Firmware-Updates oder Routing-Änderungen unbedingt ein Backup. Damit kannst du Änderungen schnell zurücksetzen, falls etwas schiefgeht.

Tipp: Benenne die Backup-Datei mit Datum und kurzer Beschreibung (z.B. backup-keenetic-2026-05-setup-wg.cfg), um sie später leichter wiederzufinden.

Grundbegriffe

WireGuard ist ein schlankes VPN-Protokoll auf UDP-Basis mit moderner Kryptographie. Es erzeugt ein virtuelles Netzwerkinterface und verschlüsselt den Datenverkehr zwischen zwei oder mehr Knoten, den sogenannten „Peers“. Für die Authentifizierung nutzt es Schlüsselpaare: privat (geheim) und öffentlich (für die Gegenstelle).

• WireGuard-Server – ein Knoten, der auf einem festen UDP-Port lauscht und typischerweise eine konstante Adresse im VPN-Netz besitzt, z.B. 10.10.10.1.
• WireGuard-Client – verbindet sich zum Server, erhält eine eigene Adresse im gleichen Subnetz, z.B. 10.10.10.2; definiert AllowedIPs – die Zielnetze, die über den Tunnel geleitet werden.
• AllowedIPs – zentrale Routing-Konfiguration. Auf dem Server legt es fest, welche IPs hinter welchem Client erreichbar sind; auf Client-Seite sagt es, welcher Verkehr durch den Tunnel läuft.
• Split-Tunnel – nur ein Teil des Traffics läuft über VPN, der Rest geht direkt ins Internet. Erreicht durch passende AllowedIPs und Routing-Regeln.
• Port 51820/UDP – Standardport für WireGuard, kann bei Bedarf geändert werden.

Wichtig: Dein Keenetic wird gleichzeitig eingehende Verbindungen als Server empfangen und selbst ausgehende als Client aufbauen. Das funktioniert ohne Konflikte, wenn Ports, Schlüssel und Routen korrekt eingerichtet sind.

Schritt 1: Firmware aktualisieren und WireGuard-Komponente installieren

Ziel: Sicherstellen, dass KeeneticOS aktuell ist und das WireGuard-Modul installiert wurde.

1. Öffne die Web-Oberfläche von Keenetic.
2. Wechsle zu „System“ → „OS-Aktualisierung“ (oder „Updates“).
3. Klicke auf „Nach Updates suchen“. Falls eine neue Version verfügbar ist, installiere sie. Warte den Neustart ab (3–5 Minuten).
4. Gehe zu „System“ → „Komponenten“ (oder „Komponentenverwaltung“).
5. Suche und aktiviere/installiere die Komponenten „WireGuard VPN“ und falls vorhanden „WireGuard Tools“.
6. Speichere und warte die Installation ab. Der Router startet ggf. neu.

Tipp: Falls du einen Internetausfall während der Aktualisierung vermeiden willst, führe Updates außerhalb der Stoßzeiten durch. Der Vorgang dauert meist 5–10 Minuten inklusive Neustart.

✅ Kontrolle: Im Bereich „Komponenten“ sollte das WireGuard-Paket als „Installiert“ angezeigt werden. Außerdem erscheint ein Menüpunkt zur WireGuard-Konfiguration.

Häufige Probleme & Lösungen:

• Paket lässt sich nicht installieren – überprüfe freien Speicher und entferne nicht benötigte Komponenten, dann starte den Router neu.
• Update schlägt fehl – wechsle vorübergehend zu einer alternativen Internetverbindung, kontrolliere Datum und Uhrzeit des Geräts.

Schritt 2: Öffentliche IP und UDP-Port prüfen

Ziel: Sicherstellen, dass der Router von außen über den WireGuard-UDP-Port erreichbar ist.

1. Rufe im Abschnitt „Internet“ den Status der WAN-Verbindung auf.
2. Notiere dir deine externe IPv4-Adresse. Beginnt sie mit 10.x.x.x, 100.64.x.x, 172.16–31.x.x oder 192.168.x.x handelt es sich um eine private IP, vermutlich mit CG-NAT.
3. Liegt CG-NAT vor, kontaktiere deinen Provider für eine „weiße“ (statische oder dynamische) IP oder konfiguriere Portweiterleitung am vorgelagerten Router/Modem, falls Keenetic dahinter steht.
4. Plane die Ports: Standardmäßig lauscht der Server auf UDP-Port 51820. Ist dieser bereits belegt, wähle z. B. 51821.

⚠️ Achtung: Ohne „weiße“ IP oder korrekte Portweiterleitung können externe Clients keine Verbindung zum WireGuard-Server herstellen. Dies ist kein Fehler von WireGuard, sondern eine Netzwerklimitierung.

Tipp: Falls dein Provider keine öffentliche IPv4-Adresse gibt, du aber IPv6 nutzen kannst, ist eine WireGuard-Verbindung über IPv6 möglich. Diese Anleitung konzentriert sich aber auf IPv4, da es verbreiteter ist.

✅ Kontrolle: Du hast eine externe IPv4-Adresse festgestellt und den UDP-Port für die Server-Verbindung bestimmt.

Schritt 3: Adressierung und Routing-Strategie planen

Ziel: Adressbereiche und Traffic-Verhalten festlegen, um Konflikte zu vermeiden.

1. Merk dir dein lokales LAN, z.B. 192.168.1.0/24. Notiere die LAN-IP des Keenetic (meist 192.168.1.1).
2. Wähle ein Subnetz für den WireGuard-Server wie z.B. 10.10.10.0/24. Die Server-IP ist dann z.B. 10.10.10.1/24.
3. Reserviere Adressen für Server-Clients, etwa 10.10.10.2, 10.10.10.3 usw.
4. Bestimme eine Tunnel-Adresse für den WireGuard-Client auf dem Keenetic zum externen VPN, z.B. 10.20.20.2/32 (wird vom entfernten Server vergeben oder manuell gesetzt).
5. Entscheide, welcher Traffic über das externe VPN gehen soll: gesamter Router (Full-Tunnel), nur einzelne Geräte (Split-Tunnel) oder nur bestimmte Subnetze/Services.

Tipp: Wenn du zum ersten Mal einrichtest, starte einfach: Lass erst mal nur einen Test-Rechner über das entfernte VPN gehen und eine Testseite ausprobieren. So lässt sich einfacher debuggen.

✅ Kontrolle: Du hast alle IP-Bereiche und Regeln schriftlich notiert, welche Geräte welchem Tunnel folgen sollen.

Schritt 4: WireGuard-Server auf Keenetic konfigurieren

Ziel: WireGuard-Server aktivieren, Schlüssel erzeugen und Subnetz sowie Port festlegen.

1. Öff­ne „VPN-Server“ → „WireGuard“ (je nach Version evtl. „Apps“ → „WireGuard-Server“ oder „VPN“ → „WireGuard“).
2. Klicke auf „Server hinzufügen“ oder „Profil erstellen“. Nenne das Profil z.B. „wg-home“.
3. Wähle „Schlüssel generieren“ oder „Schlüsselpaar erstellen“. Das System zeigt privaten und öffentlichen Schlüssel an. Notiere den öffentlichen Schlüssel des Servers, den privaten behalte nur auf dem Router.
4. Gib die Interface-IP ein: 10.10.10.1/24 (oder dein gewähltes Subnetz).
5. Setze den Listening-Port: standardmäßig 51820/UDP (oder deinen gewählten Port).
6. Speichere den Serverprofil und aktiviere den Schalter „Aktivieren“.

Tipp: Manche Versionen generieren gleich QR-Codes für Clients. Das machen wir später bei der Client-Hinzufügung. Wichtig ist jetzt, erst den Server anzulegen.

✅ Kontrolle: Der WireGuard-Server ist aktiv, das Interface „wg-home“ zeigt IP 10.10.10.1/24 und richtigen Port mit Status „Aktiv“ an.

Probleme & Lösungen:

• Profil lässt sich nicht speichern – prüfe, ob WireGuard-Komponenten installiert sind.
• IP-Konflikt – wenn 10.10.10.0/24 schon anderweitig in deinem Netzwerk verwendet wird, wähle z.B. 10.66.66.0/24.

Schritt 5: Port öffnen und Serverzugang sicherstellen

Ziel: Server von außen erreichbar machen – Portweiterleitung und ggf. Firewall-Regeln konfigurieren.

1. Wenn Keenetic direkt mit dem Internet und einer öffentlichen IPv4-Adresse verbunden ist, ist meist keine Portöffnung nötig, da der Server an der externen Schnittstelle lauscht.
2. Steht vor Keenetic noch ein weiterer Router/Modem mit NAT, richte dort Port Forwarding für UDP-Port 51820 auf die WAN-IP von Keenetic ein.
3. In Keenetic unter „Sicherheit“ → „Firewall“ → Eingehende Regeln den UDP-Port 51820 für den Server bzw. Router freigeben. Falls es die Option „WireGuard eingehend erlauben“ gibt, aktiviere sie.
4. Speichere die Konfiguration.

⚠️ Achtung: Erlaube nur die nötigen Ports und Protokolle (UDP 51820). Öffne keine unnötigen Ports.

Tipp: Blockiert dein Provider unübliche UDP-Ports, kannst du auf Port 53 oder 443 wechseln. Beachte dabei mögliche Konflikte mit DNS oder HTTPS-Proxys und Provider-Regeln. Normalerweise läuft 51820 stabil.

✅ Kontrolle: UDP-Port 51820 ist von außen erreichbar. Teste ggf. mit zweiten Internetanschluss oder Mobilfunk und einem WireGuard-Client. Zum Speichern sollte der Serverstatus „Lauscht“ anzeigen.

Schritt 6: Clients zum Server hinzufügen (Smartphones, Laptops)

Ziel: Peers für Geräte erstellen, IP-Adressen vergeben und Verbindungsdaten ausgeben.

1. Unter „VPN-Server“ → „WireGuard“ den Profil „wg-home“ auswählen.
2. „Client hinzufügen“ oder „Peer hinzufügen“ anklicken. Nenne ihn z.B. „iphone-ivan“.
3. Für den Client ein Schlüsselpaar erzeugen (oder bestehenden öffentlichen Schlüssel importieren). Keenetic erstellt meist die Konfiguration automatisch.
4. Client-IP zuweisen, z.B. 10.10.10.2/32. Bei „AllowedIPs“ auf Serverseite: 10.10.10.2/32 und bei Bedarf deine LAN-Subnetze 192.168.1.0/24, wenn der Client auf Heimgeräte zugreifen darf. Das entspricht dem AllowedIPs-Feld für den Peer (kann auch als „erlaubte Peer-Adressen“ bezeichnet sein).
5. Falls der Interface QR-Code unterstützt, öffne diesen. Am Smartphone die WireGuard-App starten, „+“ drücken, „QR-Code scannen“ wählen und Kamera darauf richten. Für PC oder Laptop die .conf-Datei exportieren.
6. Peer speichern und für weitere Geräte (z.B. „laptop-anna“, „ipad-oleg“) mit IPs 10.10.10.3/32, 10.10.10.4/32 wiederholen.

Tipp: In der Clientkonfiguration bestimmt „AllowedIPs“, welcher Traffic über den Tunnel läuft. Für Zugriff nur auf das Heimnetz auf 10.10.10.0/24 und 192.168.1.0/24 einstellen, für kompletten Internettraffic 0.0.0.0/0.

✅ Kontrolle: Verbinde dein Smartphone im mobilen Netz und aktiviere den WireGuard-Tunnel. Im Keenetic-Interface sollte der Peer aktiv sein und Datenvolumen steigen. Prüfe Zugriff auf das Webinterface des Routers (z.B. 192.168.1.1) – bei Öffnung funktioniert der Zugriff.

Probleme & Lösungen:

• Von außen keine Verbindung – prüfe Portweiterleitung und öffentliche IP.
• Verbindung besteht, aber kein LAN-Zugriff – Ergänze 192.168.1.0/24 in AllowedIPs des Clients und auf Serverseite für diesen Peer; kontrolliere Firewall und Routing zwischen wg-home und LAN.
• Verbindung bricht ab – setze Keepalive (z.B. PersistentKeepalive 25 in Clientkonfiguration), um NAT-Mappings zu erhalten.

Schritt 7: Keenetic als WireGuard-Client zum externen VPN konfigurieren

Ziel: Den Router (und je nach Wunsch bestimmte Geräte) als Client zu einem externen WireGuard-Server verbinden, z.B. Büro oder VPS.

1. Gehe zu „Internet“ → „Weitere Verbindungen“ (oder „VPN-Clients“ → „WireGuard“).
2. Klicke auf „WireGuard-Verbindung hinzufügen“. Nenne sie z.B. „wg-upstream“.
3. Schlüsselpaar für den Client generieren (Keenetic) oder privaten Schlüssel einfügen, falls schon vorhanden. Notiere den öffentlichen Schlüssel des Keenetic – er muss auf der entfernten Seite als Peer hinterlegt werden.
4. Tunnel-IP auf Keenetic-Seite eintragen, z.B. 10.20.20.2/32 (oder leer lassen, wenn Remote via Script/Config zuweist; für Einfachheit manuell setzen).
5. Peer-Parameter (entfernter Server) konfigurieren: PublicKey (öffentlicher Schlüssel des entfernten VPN-Servers), Endpoint (Domain oder IP:Port, z.B. vpn.example.com:51820), AllowedIPs (Netze, die über den Tunnel laufen sollen). Für Full-Tunnel 0.0.0.0/0, für Split-Tunnel spezifische Subnetze wie 203.0.113.0/24 oder Büroadressen 10.50.0.0/16.
6. PersistentKeepalive auf 25 Sekunden setzen, wenn Keenetic hinter NAT steht.
7. Speichern und „wg-upstream“ aktivieren.

Tipp: Wenn du zu einem kommerziellen VPN oder eigenem VPS verbindest, ist es oft praktisch, eine fertige .conf-Konfigurationsdatei zu importieren (sofern die Oberfläche das unterstützt). Alternativ gib die Parameter manuell ein und prüfe alle Schlüssel und Adressen sorgfältig.

✅ Kontrolle: Im Status von „wg-upstream“ leuchtet eine grüne Anzeige „Verbunden“, die Tunnel-IP 10.20.20.2/32 ist sichtbar und Traffic-Zähler steigen. Ein Ping auf Peer-Adresse über Router-Diagnose funktioniert.

Probleme & Lösungen:

• Keine Handshakes – prüfe private und öffentliche Schlüssel auf korrekte Eingabe; schon ein Symbolfehler verhindert die Authentifizierung.
• Keine Routen – kontrolliere AllowedIPs; sind diese leer, läuft kein Traffic durch den Tunnel.

Schritt 8: Routing & Split-Tunnel einrichten

Ziel: Festlegen, welcher Traffic wie läuft: Teil über externes VPN, Teil direkt; Server-WireGuard bleibt immer erreichbar.

Variante A: Full-Tunnel für alle

1. In „wg-upstream“ AllowedIPs auf 0.0.0.0/0 setzen.
2. Aktiviere „Als Standardgateway verwenden“ (sofern verfügbar). Alternativ erstelle eine Routing-Policy: „Alle LAN-Ausgänge → wg-upstream Interface“.
3. Schließe die Domain/Adresse des externen Servers ggf. aus, damit der Tunnel beim Start nicht abbricht (meist nicht nötig, aber bei komplexen Setups hilfreich).

Variante B: Split-Tunnel für bestimmte Geräte

1. Bilde eine Gerätegruppe oder markiere einzelne Geräte in der „Geräteliste“.
2. Unter „Internet“ → „Routingregeln“ (oder „Routing-Policies“, „Network rules“, „Traffic classification“ je nach KeeneticOS-Version) eine neue Regel anlegen.
3. Regel definieren: Quelle = ausgewählte Geräte, Ziel = Internet, bevorzugtes Gateway = wg-upstream.
4. Eine Standardausnahmeregel erstellen: Andere Geräte → Standardgateway (WAN).

Schutz vor Routing-Schleifen

1. Vergewissere dich, dass Traffic zu deinem lokalen WireGuard-Server (wg-home) nicht über „wg-upstream“ läuft. Schließe hierzu die öffentliche IP und die lokalen Subnetze 10.10.10.0/24, 192.168.1.0/24 von der Routingpolicy aus.
2. Stelle sicher, dass DNS-Anfragen der Server-Clients korrekt aufgelöst werden. Bei Full-Tunnel sollte DNS im Client über den Tunnel definiert sein.

Tipp: Verteile aussagekräftige Namen für Regeln wie „Route: Laptop-Vanya via wg-upstream“ und „Ausnahmen: lokale Netze via WAN“. Nach einiger Zeit wirst du dir selber danken.

✅ Kontrolle: Das ausgewählte Gerät verwendet die externe VPN-IP (prüfbar über IP-Checkdienste), andere Geräte verwenden die übliche Provider-IP. Server wg-home bleibt aus dem LAN erreichbar.

Probleme & Lösungen:

• Alles läuft über den Tunnel, obwohl nicht gewollt – überprüfe Standardregel und deren Reihenfolge im Router-Interface.
• LAN-Zugriff geht verloren – ergänze Ausnahmen oder kontrolliere, ob VPN-AllowedIPs richtig gesetzt sind.

Schritt 9: DNS und Sicherheit konfigurieren

Ziel: Sicherstellen, welcher DNS für Clients und Router verwendet wird, um Lecks und Namensauflösungsprobleme zu vermeiden.

1. In „System“ → „DNS“ bevorzugte DNS-Server festlegen. Sollten Geräte über „wg-upstream“ VPN den DNS des entfernten Netzwerks nutzen, trage dort die passende IPv4 ein (z.B. 10.20.20.1) und weise diese per Regel bestimmten Geräten zu.
2. Im Clientprofil von wg-home kann man bei Export den DNS-Server angeben, z.B. 192.168.1.1 oder 10.10.10.1, falls im Keenetic ein DNS-Proxy läuft.
3. Unter „Firewall“ sicherstellen, dass die Weiterleitung zwischen wg-home und LAN erlaubt ist. Keenetic erlaubt das standardmäßig oft, aber bei manchen Policies muss dies explizit aktiviert werden.
4. Deaktiviere unerwünschte Management-Dienste auf WAN-Zugängen. Unter „System“ → „Zugriff“ sollte Steuerung nur aus LAN oder VPN möglich sein.

Tipp: Für sauberen Split-Tunnel bei Server-Clients gib als DNS einen im Heimnetz erreichbaren Server an (z.B. 192.168.1.1), so lösen lokale Geräte ihre Namen richtig auf.

✅ Kontrolle: Server-Client kann lokale Ressourcen per Namen anpingen (wenn lokaler DNS existiert), externe Domains werden stabil aufgelöst, DNS-Lecks gibt es nicht (prüfbar mit DNS-Leaktest über Tunnel).

Probleme & Lösungen:

• Seiten laden nicht – prüfe MTU-Einstellungen (siehe Zusatzoptionen). Manchmal hilft z.B. MTU 1420.
• DNS leitet außerhalb des Tunnels – setze DNS-Policies auf Geräteebene und deaktiviere „Automatischen DNS“ bei einzelnen Clients, falls möglich.

Ergebnis prüfen

Checkliste:

• WireGuard-Server (wg-home) ist aktiv und mindestens ein externes Gerät ist verbunden.
• Keenetic ist als Client (wg-upstream) mit entferntem WireGuard-Server verbunden.
• Routing funktioniert: ausgewählte Geräte gehen über wg-upstream, andere durchs normale Internet.
• Server-Client hat LAN-Zugriff, falls vorgesehen.
• UDP-Port 51820 ist von außen erreichbar (wenn Server darauf hört).
• DNS funktioniert korrekt, keine Lecks.

So testest du:

1. Schalte auf dem Smartphone über Mobilnetz den Profil „wg-home“ ein. Rufe die Weboberfläche von Keenetic unter 192.168.1.1 auf.
2. Auf Geräten mit wg-upstream-Verbindung öffne ein IP-Check-Portal und vergewissere dich, dass die VPN-IP angezeigt wird.
3. Auf anderen Geräten sollte die normale Provider-IP sichtbar sein.
4. Pinge die IPs 10.10.10.1 und 10.20.20.1 bzw. die Adresse des entfernten Servers – die Antwortzeiten sollten stabil sein.

Erfolgsindikatoren: Stabile WireGuard-Handshakes, keine Verbindungsabbrüche alle 20–30 Sekunden, schnelle Seitenladezeiten, korrekte IP- und Routing-Konfigurationen, steigende Bytezähler bei Interfaces wg-home und wg-upstream.

Typische Fehler & Lösungen

• Problem: Client verbindet nicht mit Server. Grund: Port ist blockiert oder CG-NAT. Lösung: Öffne oder leite UDP-Port 51820 weiter, sichere eine öffentliche IP beim Provider oder nutze einen externen Tunnel zur Verbindung.
• Problem: Tunnel steht, aber kein LAN-Zugriff. Grund: Falsche AllowedIPs oder Firewall-Blockade. Lösung: Füge 192.168.1.0/24 zu AllowedIPs des Clients hinzu; aktiviere Weiterleitung zwischen wg-home und LAN.
• Problem: Ganzer Traffic läuft über VPN, obwohl Split gewollt. Grund: AllowedIPs 0.0.0.0/0 und Standardregel aktiv. Lösung: Beschränke AllowedIPs auf gewünschte Subnetze; konfiguriere entsprechend Routing-Policies.
• Problem: Langsame Verbindung durch WireGuard. Grund: MTU zu hoch, schwacher CPU im Router, überlastete Leitung. Lösung: Setze MTU auf 1420–1280 bei wg-home und wg-upstream; deaktiviere unnötige DPI/Antivirus-Features; prüfe CPU-Auslastung; wähle nahen Server.
• Problem: Verbindung bricht bei Inaktivität ab. Grund: NAT-Timeouts. Lösung: PersistentKeepalive 25 Sekunden bei Client setzen.
• Problem: IP-Adressenkonflikte, manche Ressourcen nicht erreichbar. Grund: Überschneidende Subnetze 10.x.x.x. Lösung: Ändere wg-home Subnet zu einzigartigem Bereich, z.B. 10.66.66.0/24.
• Problem: Nach Änderungen funktioniert gar nichts mehr. Grund: Fehler in Routing-Policy. Lösung: Backup zurückspielen und Änderungen Schritt für Schritt wieder einführen.

Zusatzoptionen

MTU und Performance

• Bei hängenden Webseiten oder langsamer Verbindung MTU auf 1420 für wg-home und wg-upstream setzen. In manchen Fällen helfen auch 1380–1280.
• Sperre unnötige Traffic-Analyse-Pakete, wenn CPU-Auslastung durch Verschlüsselung bei 80–100% liegt.

App- und Port-Policies

• Erstelle Regeln wie „Streaming-Dienste“ → direkt, „Arbeitsressourcen“ → über wg-upstream. Das erleichtert flexiblen Split-Tunnel.

Bidirektionaler Zugriff zwischen Standorten

• Wenn wg-upstream dein Büro-Server ist, füge gegenseitige Subnetze in AllowedIPs ein und erlaube Weiterleitung. So sehen sich Geräte aus Heim- und Büro-Netz.

CLI für Fortgeschrittene

KeeneticOS bietet CLI via SSH mit Befehlen, die versionsabhängig sind. Du kannst WireGuard-Interface, private-key, address, listen-port setzen; Peers hinzufügen mit public-key, allowed-ips, endpoint; Policy-Routing konfigurieren. Nutze die eingebaute Hilfe und teste Änderungen Schritt für Schritt. Bei Unsicherheiten nutze die Web-Oberfläche.

Logs und Monitoring

• Unter „System“ → „Log“ schalte erweiterte VPN-Logs ein, um Verbindungsabbrüche und NAT-Timeouts besser zu diagnostizieren.

Tipp: Plane nachts einen täglichen Neustart von wg-upstream, falls die Entfernung instabil ist. Das kann die Zuverlässigkeit erhöhen.

Produktive Alternativen zur Eigenlösung

Eigenbau ist super, wenn du Zeit für Diagnose, Monitoring und Backups investieren willst. Für schnelle, sofort funktionierende Setups ohne Konsole und VPS-Miete eignet sich der Dienst vpn.how sehr gut: Persönliche VPN-Server mit separater IP pro Kunde, Support für WireGuard, OpenVPN, IKEv2, L2TP, SSTP; Server in Moskau, St. Petersburg, Amsterdam, Frankfurt, London, New York, San Jose, Chicago, Singapur, Sydney, Madrid, Helsinki, Stockholm, Warschau, Kopenhagen und Stavanger; Bezahlung per russische Karten (Tinkoff, Ozon), Sberbank, USDT/BTC; Tarife ab 490 ₽/Tag und 2490 ₽/Monat mit Rabatten; Auto-Setup 5 Minuten nach Zahlung; kein Logging. Für garantierte Funktion und minimale Wartung ist das eine praktische Empfehlung, wenn wenig Zeit zur Verfügung steht.

FAQ

Frage: Kann ich mehrere WireGuard-Server auf einem Keenetic mit verschiedenen Ports laufen lassen? Antwort: Ja, sofern Modell und Firmware das unterstützen. Einfacher ist, mehrere Peers im selben Server zu verwalten. Separate Server eignen sich für Isolation.

Frage: Was ist besser: Full-Tunnel oder Split-Tunnel? Antwort: Für den Heimgebrauch reicht meist Split: Arbeitsdienste über VPN, Rest direkt. Full-Tunnel ist bei Privacy in öffentlichen Netzen praktisch.

Frage: Was tun, wenn der ISP UDP blockiert? Antwort: Versuche Ports 53 oder 443/UDP. Falls das nicht hilft, verwende einen TCP-basierten Client (z.B. OpenVPN TCP) am externen Server und hinsichtlich Keenetic den passenden Client.

Frage: Kann ich Drucker/Kameras per WireGuard aus dem Internet erreichbar machen? Antwort: Ja, verbinde dich über den wg-home Server und greife über dessen LAN-IP zu. Öffne keine Ports direkt ins Internet.

Frage: Wie teile ich Configs sicher mit Clients? Antwort: Zeige QR-Code persönlich oder sende .conf-Dateien verschlüsselt. Gib den privaten Server-Schlüssel nie weiter.

Frage: Was tun bei Subnetzkonflikten mit 10.x.x.x? Antwort: Ändere dein VPN-Subnetz auf eine eindeutige Range, z.B. 10.66.66.0/24 oder 10.8.0.0/24 und aktualisiere AllowedIPs aller Clients.

Frage: Wird IPv6 unterstützt? Antwort: Neuere Keenetic- und WireGuard-Versionen unterstützen das, aber es erfordert ein sorgfältiges Setup von Prefixen und Policies. Dieser Guide konzentriert sich auf IPv4.

Frage: Wie begrenze ich die Geschwindigkeit für VPN-Clients? Antwort: Nutze QoS bzw. Priorisierungsregeln in Keenetic, um Limits für wg-home Interface oder einzelne Geräte festzulegen.

Frage: Kann ich einem Client nur Internetzugang erlauben, aber keinen LAN-Zugriff? Antwort: Ja, lass im Server AllowedIPs des Clients die LAN-Subnetze weg und sperre Weiterleitung zwischen wg-home und LAN für diesen Peer.

Frage: Wie baue ich ein Backup? Antwort: Halte einen zweiten entfernten Server und ein zweites wg-upstream Profil bereit. Konfiguriere Failover-Regeln, falls der Hauptserver ausfällt.

Fazit

Wir haben deinen Keenetic-Router so eingerichtet, dass er gleichzeitig WireGuard-Server für externe Geräte und Client zu einem externen Server ist. Du hast die Firmware aktualisiert, WireGuard-Komponenten installiert, Adressierung geplant, den Server wg-home erstellt, den UDP-Port geöffnet, Clients hinzugefügt, die Client-Verbindung wg-upstream konfiguriert, Routing und Split-Tunnel eingerichtet, DNS und Sicherheit optimiert und schlussendlich Tests und Fehlerbehebungen durchgeführt. Jetzt kannst du von überall sicher auf dein Heimnetz zugreifen und bei Bedarf einzelne Geräte über das externe VPN leiten. Als nächstes kannst du dich an Feinjustierung von MTU, IPv6, Multi-Channel-Failover und Automatisierung via CLI und KeeneticOS API wagen. Herzlichen Glückwunsch – du hast nun eine vollwertige, verwaltbare und erweiterbare VPN-Infrastruktur in einem Gerät.

Tipp: Gewöhne dir an: Alle Änderungen zuerst an Testregeln bzw. Testgeräten durchführen, erst dann im ganzen Netzwerk einspielen. Das spart Zeit und Nerven.