MikroTik als VPN‑Server: WireGuard auf RouterOS 7.16 – Schritt-für-Schritt-Anleitung für Zuhause

Einleitung

In dieser Anleitung richten Sie einen Heim‑VPN‑Server auf Ihrem MikroTik‑Router mit WireGuard unter RouterOS 7.16 ein. Am Ende profitieren Sie von einer sicheren, verschlüsselten Verbindung von überall auf der Welt zu Ihrem Heimnetzwerk und Internet über Ihr Zuhause. Sie können Telefone, Laptops und Tablets verbinden, Zugriff auf NAS, Kameras und Drucker öffnen und zwischen Split‑Tunnel (nur Zugriff auf Zuhause) oder Full Tunnel (gesamter Internettraffic über Ihr Zuhause) wählen.

Der Guide richtet sich an Anfänger: Wir erklären die Grundlagen, erstellen Schritt für Schritt das WireGuard‑Interface, konfigurieren Adressen, Firewall‑ und NAT‑Regeln, öffnen den benötigten Port und verbinden Clients unter iOS, Android, Windows und macOS. Für Fortgeschrittene gibt es Abschnitte zu MTU‑Optimierung, FastTrack‑Ausnahmen, IPv6 und Site‑to‑Site‑Szenarien.

Grundkenntnisse in lokaler Adressierung und Router‑Ports sind hilfreich, aber wir erläutern alle wichtigen Punkte einfach und verständlich. Die Gesamtzeit beträgt 60 bis 120 Minuten inklusive Tests und Fehlerbehebung. Bei dynamischer externer IP richten wir DDNS von MikroTik ein, damit Sie Ihr Zuhause jederzeit zuverlässig erreichen.

Nach der Anleitung können Sie: einen WireGuard‑Server auf MikroTik einrichten, sicheren Firewall‑Zugriff erlauben, VPN‑Adressen an Geräte vergeben, den Traffic‑Routing‑Modus wählen, die Funktion prüfen und Nutzer schnell hinzufügen.

Tipp: Halten Sie den Guide am Laptop offen und WinBox oder WebFig im Fenster daneben, um Schritte direkt mitzuvollziehen ohne Umschalten.

Vorbereitung

Bevor wir starten, prüfen wir, dass alles bereitliegt. So sparen Sie Zeit und vermeiden Fehler.

Benötigte Tools, Programme und Zugänge

• MikroTik‑Router mit RouterOS 7.16 Unterstützung (z.B. hAP ac2/ac3, hAP ax2/ax3, RB4011, Chateau etc.).
• Adminzugang über WinBox (Windows), WebFig (Browser) oder CLI (Terminal/SSH).
• Smartphone und/oder Laptop als Test‑WireGuard‑Client.
• Administratorrechte auf dem Router (voller Zugriff). Passwort bekannt und Login möglich.
• Internetverbindung (DHCP/PPPoE/Glasfaser) mit idealerweise öffentlicher IP. Bei CGNAT vom Provider müssen Ports vom externen Router weitergeleitet oder alternative Zugänge verwendet werden (z.B. über zweiten Kanal).

Systemanforderungen und Voraussetzungen

• RouterOS 7.16 oder höher. WireGuard ist in Version 7 vollständig integriert, Update ggf. notwendig von 6.x.
• Ausreichend freier Arbeitsspeicher (typisch ab 128 MB für Heimanwendungen).
• Freier UDP‑Port am externen Interface (standardmäßig 51820/UDP, kann aber beliebig geändert werden).

Vorab zu installierende Programme

• WinBox – praktisches MikroTik Tool für Windows; macOS und Linux nutzen WebFig im Browser.
• WireGuard Apps für Clients: iOS (App Store), Android (Google Play), Windows und macOS (offizielle Apps). Die Installation dauert nur wenige Minuten pro Gerät.

Backup erstellen

Vor der Konfiguration sichern wir die aktuelle Einstellung, so können Sie bei Fehlern schnell zurückspringen.

1. Starten Sie WinBox und verbinden Sie sich mit dem Router.
2. Öffnen Sie Dateien und klicken Sie auf Backup.
3. Vergeben Sie einen Namen, z.B. backup_before_wireguard.
4. Aktivieren Sie Encryption und setzen Sie ein Passwort, um das Backup zu schützen.
5. Laden Sie die Datei mit Download auf Ihren Rechner.

⚠️ Achtung: Bewahren Sie Backup und Passwort sicher auf. Nur so können Sie den Router bei Problemen zurücksetzen.

Empfehlung: Zusätzlich exportieren Sie die Konfiguration mit /export file=pre_wg_config im Terminal und laden die Datei pre_wg_config.rsc aus Dateien herunter.

Grundbegriffe

Wir klären kurz die wichtigsten Begriffe, damit Sie die Anleitung gut verstehen.

• WireGuard – moderner VPN‑Protokollstandard mit starker Kryptografie und einfacher Einrichtung. Arbeitet über UDP und baut Tunnel zwischen Peers mit Schlüsselpaaren auf.
• Peer – Teilnehmer des WireGuard‑Tunnels: Server oder Client. Jeder Peer hat ein Schlüsselpaar (privat und öffentlich) und eine AllowedIPs‑Liste für erlaubte Adressen.
• WireGuard‑Interface – virtuelles Netzwerkinterface auf MikroTik (z.B. wg-home), hier wird die Adresse vergeben, über die Clients kommunizieren.
• Listen Port – UDP‑Port, an dem der WireGuard‑Server auf eingehende Verbindungen wartet.
• AllowedIPs – „Whitelist“ der Adressen, die ein Peer ankündigen darf und die über ihn geroutet werden. Auf dem Server meist die VPN‑IP des Clients (z.B. 10.10.10.2/32). Auf dem Client Zielnetze (Split Tunnel) oder 0.0.0.0/0 für Full Tunnel.
• Split Tunnel – nur Traffic zu heimischen Netzen geht durch den Tunnel, alle anderen Verbindungen laufen direkt über das mobile Netz oder WLAN.
• Full Tunnel – gesamter Internet-Traffic des Clients läuft durch den Tunnel ins Heimnetz (mit NAT auf dem Server für die VPN‑Subnetze).
• DDNS – dynamischer DNS‑Dienst. MikroTik bietet einen integrierten Dienst, der eine Adresse wie something.sn.mynetname.net bereitstellt und bei IP‑Wechsel automatisch aktualisiert.
• FastTrack – beschleunigt Verbindungen im MikroTik. Für Tunneltraffic sollte es korrekt umgangen werden, damit Steuerungs-Sitzungen erhalten bleiben.

Wichtig: WireGuard kennt keine klassische Server-Session. Clients senden das erste Paket, der Server merkt sich die Quelle und antwortet. Für Clients hinter NAT ist Persistent Keepalive nützlich, um Verbindungen aktiv zu halten.

Schritt 1: RouterOS aktualisieren und Gerät vorbereiten

Ziel

Sicherstellen, dass RouterOS 7.16 läuft, Zeitraum und Backup korrekt sind – Basis für zuverlässige WireGuard‑Funktion.

Anleitung

1. Starten Sie WinBox oder WebFig und melden Sie sich als Administrator an.
2. Wechseln Sie zu System → Packages und prüfen Sie die RouterOS-Version.
3. Ist die Version niedriger als 7.16, gehen Sie zu System → Packages → Check for Updates.
4. Wählen Sie den stable Kanal und updaten Sie auf 7.16 oder höher.
5. Warten Sie auf den Router Neustart und loggen Sie sich erneut ein.
6. Gehen Sie zu System → Identity und vergeben Sie einen einprägsamen Namen, z.B. MT‑Home.
7. Öffnen Sie System → Clock, stellen Sie die korrekte Zeitzone und Uhrzeit ein.
8. Aktivieren Sie System → SNTP Client oder System → NTP Client (ab 7.16) und synchronisieren Sie die Uhrzeit über öffentliche Server.
9. Prüfen Sie unter IP → Addresses, dass Ihr WAN‑Interface eine externe Adresse (DHCP, PPPoE, statisch) hat.
10. Kontrollieren Sie unter IP → Firewall → Filter die Basisregeln: erlauben Sie established und related, blockieren Sie invalid, und sperren Sie ungewünschten Traffic vom WAN.

⚠️ Achtung: Unterbrechen Sie niemals Strom oder Update‑Prozess! Bei unsicherer Stromversorgung empfiehlt sich eine USV.

Tipp: Nach Update prüfen Sie unter System → Routerboard → Upgrade die Firmware und starten Sie den Router neu, damit Firmware und RouterOS Versionen übereinstimmen.

Erwartetes Ergebnis

Router läuft unter RouterOS 7.16, Uhrzeit ist genau, Internetzugang besteht, Basis‑Firewall läuft, Backup liegt vor.

Probleme und Lösungen

• Kein Internet nach Update → Prüfen Sie, ob PPPoE- oder VLAN-Einstellungen verloren gingen, setzen Sie Parameter ggf. aus Backup zurück.
• Uhrzeit synchronisiert nicht → Fügen Sie DNS Server unter IP → DNS hinzu (z.B. 1.1.1.1, 9.9.9.9), aktivieren Sie NTP erneut.
• WinBox Verbindung klappt nicht → Aktivieren Sie MAC‑WinBox in Neighbors oder nutzen Sie WebFig im LAN per IP.

✅ Kontrolle: Unter System → Packages Version 7.16 oder höher sichtbar, System → Clock zeigt korrekte Zeit, Firewall erlaubt established/related und blockiert unerwünschten WAN‑Traffic.

Schritt 2: Adressierung und Zugriffsmodus planen

Ziel

VPN‑Subnetz festlegen, Routingmodus (Split oder Full Tunnel) bestimmen, DNS, Port und DDNS‑Name für externen Zugriff wählen.

Anleitung

1. Wählen Sie eine VPN‑Subnetzadresse, getrennt von Ihrem Heim‑LAN, z.B. 10.10.10.0/24.
2. Geben Sie dem Server in diesem Subnetz die Adresse 10.10.10.1/24 (wg-home Interface).
3. Entscheiden Sie sich für Split Tunnel (nur Heimnetz erreichbar) oder Full Tunnel (kompletter Internetverkehr über Zuhause).
4. Für Split Tunnel notieren Sie alle Heimnetze, die erreichbar sein sollen, z.B. 192.168.88.0/24 und 192.168.10.0/24.
5. Für Full Tunnel richten Sie NAT für 10.10.10.0/24 im Router ein.
6. Legen Sie Listenport für WireGuard fest, z.B. 51820/UDP; ein alternativer Port hilft, unerwünschte Scanner zu minimieren.
7. Ermitteln Sie, ob Sie eine öffentliche öffentliche IP oder CGNAT nutzen. Bei CGNAT bitten Sie den Provider um öffentliche IP oder stellen Sie Portweiterleitungen über externe Router ein.
8. Aktivieren Sie MikroTik DDNS unter IP → Cloud → Enable DDNS; merken Sie sich den angezeigten Namen, z.B. abcd1234.sn.mynetname.net.
9. Legen Sie DNS für Ihre Clients fest: Router (10.10.10.1) oder externe wie 1.1.1.1, 9.9.9.9. Für Heimnetznamen empfiehlt sich 10.10.10.1.

Tipp: Haben Sie einen Pi‑hole oder Unbound Server, geben Sie dessen Adresse als DNS ein, um Werbung zu filtern und lokale Namen aufzulösen.

Erwartetes Ergebnis

Plan steht: WireGuard Server 10.10.10.1/24, Heimnetze für Split Tunnel, gewählter Modus, Port 51820/UDP, DDNS‑Name eingerichtet.

Probleme und Lösungen

• VPN Subnetz überschneidet sich mit LAN → Wählen Sie ein anderes VPN‑Subnetz, z.B. 10.20.30.0/24, um Routingkonflikte zu vermeiden.
• DDNS liefert keinen Hostnamen → Prüfen Sie Internet- und DNS-Zugang des Routers, starten Sie IP → Cloud neu, prüfen Sie ausgehenden Traffic auf Blockierungen.
• Öffentliche IP fehlt → Fragen Sie den Provider nach einer öffentlichen IP oder nutzen Sie Portweiterleitung über eine öffentliche Adresse.

✅ Kontrolle: Im IP → Cloud ist DDNS aktiv, VPN‑Subnetz und Routingmodus definiert, Port eingestellt.

Schritt 3: WireGuard Interface und Basismrouting erstellen

Ziel

WireGuard Interface auf MikroTik anlegen, Schlüssel generieren, Adresse zuweisen, DNS Resolver aktivieren und NAT für VPN‑Netz vorbereiten.

Anleitung

1. Öffnen Sie Interfaces → WireGuard und klicken Sie auf + für ein neues Interface.
2. Geben Sie den Namen ein: wg-home.
3. Listen Port: 51820 einstellen.
4. MTU Standard lassen (meist 1420) oder auf 1412 setzen, falls WAN über PPPoE mit MTU 1492 läuft.
5. Interface speichern und öffentlichen Schlüssel (Public Key) notieren – den brauchen die Clients zum Verbinden.
6. Gehen Sie zu IP → Addresses und klicken auf +.
7. IP-Adresse: 10.10.10.1/24 eingeben.
8. Interface wg-home auswählen und speichern.
9. Unter IP → DNS das Häkchen bei Allow Remote Requests setzen.
10. DNS Server eintragen: 1.1.1.1 und 9.9.9.9 oder lokalen Resolver.
11. Zu IP → Firewall → NAT und + zum Hinzufügen.
12. Chain=srcnat auswählen.
13. Src. Address festlegen: 10.10.10.0/24.
14. Out. Interface List: WAN auswählen.
15. Action auf masquerade setzen und speichern.

Alternativ Terminal-Kommandos: /interface/wireguard add name=wg-home listen-port=51820, /ip address add address=10.10.10.1/24 interface=wg-home, /ip dns set allow-remote-requests=yes servers=1.1.1.1,9.9.9.9, /ip firewall nat add chain=srcnat action=masquerade src-address=10.10.10.0/24 out-interface-list=WAN comment="WG clients to internet".

Tipp: Versehen Sie jede Regel mit einem aussagekräftigen Kommentar, um später den Überblick zu behalten – das spart viel Zeit bei Wartung.

Erwartetes Ergebnis

wg-home Interface ist aktiv, öffentlicher Schlüssel vorhanden, IP 10.10.10.1/24 zugewiesen, Router beantwortet Client-DNS-Anfragen, NAT für VPN‑Netz aktiviert.

Probleme und Lösungen

• Kein Public Key → Stellen Sie sicher, dass das Interface gespeichert wurde, ein Schlüsselpaar wird automatisch generiert.
• DNS-Anfragen funktionieren nicht → Prüfen Sie, ob Allow Remote Requests aktiv ist und gültige DNS Server eingetragen sind.
• Kein Internet bei Full Tunnel Clients → Prüfen Sie, ob NAT masquerade Regel für 10.10.10.0/24 existiert und an korrekter Position über anderen srcnat Regeln steht.

✅ Kontrolle: In Interfaces → WireGuard sehen Sie wg-home mit Listen Port 51820 und Public Key, in IP → Addresses ist 10.10.10.1/24 auf wg-home eingetragen, Allow Remote Requests unter IP → DNS aktiviert.

Schritt 4: Firewall konfigurieren, Port öffnen und DDNS prüfen

Ziel

UDP Port für WireGuard sicher öffnen, Verkehr zwischen VPN und LAN erlauben und Sichtbarkeit über DDNS sichern.

Anleitung

1. Gehen Sie zu IP → Firewall → Filter und zum input Chain.
2. Vergewissern Sie sich, dass erste Regel Verbindungen mit connection-state=established,related,untracked akzeptiert.
3. Stellen Sie sicher, dass invalid Pakete verworfen werden.
4. Erstellen Sie eine Regel: chain=input, protocol=udp, dst-port=51820, in-interface-list=WAN, action=accept, Kommentar „Allow WireGuard“.
5. Ergänzen Sie Regel: chain=input, in-interface=wg-home, action=accept, Kommentar „Allow input from WG“.
6. Kontrollieren Sie, dass danach eine Regel zum droppen unerwünschten WAN Traffic steht (z.B. chain=input, in-interface-list=WAN, action=drop).
7. Wechseln Sie zu forward Chain.
8. Regel hinzufügen: in-interface=wg-home, out-interface-list=LAN, action=accept, Kommentar „WG → LAN“.
9. Regel hinzufügen: in-interface=wg-home, out-interface-list=WAN, action=accept, Kommentar „WG → Internet“.
10. Optional: Regel für LAN→WG (in-interface-list=LAN, out-interface=wg-home, action=accept).
11. Prüfen Sie FastTrack Regel, üblicherweise accept fasttrack connection-state=established,related.
12. Verschieben Sie WireGuard-Regeln über FastTrack oder fügen Sie Ausnahmen für Tunneltraffic hinzu.
13. Unter IP → Cloud kontrollieren Sie, dass DDNS aktiviert ist und der DNS Name angezeigt wird.
14. Falls MikroTik hinter anderem Router steht, richten Sie dort UDP 51820 Portweiterleitung zum MikroTik ein.
15. Von extern prüfen Sie den Port mittels beliebigem UDP‑Scan-Tool (z.B. nmap) auf Erreichbarkeit.

CLI Beispielfilter: /ip firewall filter add chain=input action=accept connection-state=established,related,untracked comment="accept established", /ip firewall filter add chain=input action=drop connection-state=invalid comment="drop invalid", /ip firewall filter add chain=input action=accept protocol=udp dst-port=51820 in-interface-list=WAN comment="allow WG", /ip firewall filter add chain=input action=accept in-interface=wg-home comment="allow input from wg", /ip firewall filter add chain=input action=drop in-interface-list=WAN comment="drop rest from WAN", /ip firewall filter add chain=forward action=accept in-interface=wg-home out-interface-list=LAN comment="WG to LAN", /ip firewall filter add chain=forward action=accept in-interface=wg-home out-interface-list=WAN comment="WG to Internet".

⚠️ Wichtig: Öffnen Sie niemals alle Ports offen aus dem Internet. Erlauben Sie nur unbedingt notwendige Protokolle und Ports, der Rest muss blockiert sein.

Tipp: Nutzen Sie Interface Lists für WAN und LAN im IP → Firewall, um Regeln übersichtlicher und weniger fehleranfällig zu gestalten.

Erwartetes Ergebnis

UDP Port 51820 ist von außen erreichbar, VPN‑Traffic zwischen wg-home und LAN/Internet ist erlaubt, DDNS ist aktiv, Portweiterleitung (falls nötig) konfiguriert.

Probleme und Lösungen

• Port von außen nicht erreichbar → Prüfen Sie, ob die Firewall-Regel vor der Drop-Regel steht, ob Provider UDP blockiert und ob Portweiterleitung am externen Router korrekt konfiguriert ist.
• Kein Zugriff vom WG zu LAN → Kontrollieren Sie Forward-Regeln WG → LAN und AllowedIPs des Clients (für Split Tunnel müssen Hausnetze drin stehen).
• WG-Sitzungen brechen ab → FastTrack-Regeln müssen für Tunnelverkehr umgangen oder vorgezogen werden.

✅ Kontrolle: Externer UDP Scan zeigt Port 51820 offen oder antwortend, Firewall-Regeln sind strukturiert, DDNS Name ist aktuell.

Schritt 5: Ersten Client (Smartphone) hinzufügen und Tunnelmodus konfigurieren

Ziel

Peer am Server für Handy erstellen, Schlüssel auf dem Client generieren, Routingmodus wählen und Verbindung herstellen.

Anleitung

1. Installieren Sie die WireGuard App auf Ihrem Smartphone (iOS oder Android).
2. Öffnen Sie die App und erstellen Sie einen neuen Tunnel mit „Create from scratch“.
3. Die App generiert PrivateKey und PublicKey, lassen Sie den Tunnel offen.
4. Auf MikroTik unter Interfaces → WireGuard → Peers auf + klicken.
5. Interface wg-home auswählen.
6. Public Key aus der App in das Feld Public Key einfügen.
7. Allowed Address auf 10.10.10.2/32 setzen (VPN IP des Clients).
8. Optional: Preshared Key in der App erzeugen, auf MikroTik und Client eintragen für stärkere Verschlüsselung.
9. Persistent Keepalive auf 25 setzen, um die Verbindung hinter NAT stabil zu halten.
10. Peer speichern.
11. In der App den Tunnel bearbeiten und Serverdaten eingeben.
12. Unter Interface Adresse 10.10.10.2/32, DNS 10.10.10.1 (oder gemäß Plan 1.1.1.1) angeben.
13. Im Peer‑Abschnitt den Public Key vom MikroTik wg-home Interface hinzufügen.
14. Bei Nutzung des Preshared Key die Eingabe ergänzen.
15. Endpoint als Ihr DDNS‑Name mit Port, z.B. abcd1234.sn.mynetname.net:51820 eingeben.
16. AllowedIPs für Split Tunnel mit 10.10.10.0/24 plus Heimnetze (z.B. 192.168.88.0/24) setzen oder für Full Tunnel 0.0.0.0/0, ::/0.
17. Speichern und Tunnel am Smartphone aktivieren.
18. In WinBox Interfaces → WireGuard → Peers überprüfen, ob Handshake und RX/TX stimmen.
19. Verbindung testen: Lokale Geräte wie 192.168.88.1 (Router) oder NAS anpingen.
20. Bei Full Tunnel externe Seite „Meine IP anzeigen“ kontrollieren – IP muss Ihre Heim‑IP sein, nicht die mobile.

CLI Alternative für Peer: /interface/wireguard peers add interface=wg-home public-key="IHR_PUBLIC_KEY_CLIENT" allowed-address=10.10.10.2/32 persistent-keepalive=25 comment="phone".

Tipp: Weisen Sie jedem Client eine feste /32 Adresse in Ihrem VPN‑Subnetz zu und dokumentieren Sie diese übersichtlich für leichten Überblick und schnelle Sperrung.

Erwartetes Ergebnis

Smartphone verbindet sich erfolgreich mit WireGuard auf MikroTik, taucht in Peer Liste auf, Zugriff auf Heimnetz funktioniert und bei Full Tunnel läuft der gesamte Traffic über Zuhause.

Probleme und Lösungen

• Kein Handshake → Prüfen Sie PublicKey und Endpoint des Clients, Portöffnung, aktuelle DDNS und Firewall Input Regeln.
• Handshake vorhanden, aber kein LAN Zugriff → Kontrollieren Sie Forward Regeln und AllowedIPs (bei Split Tunnel die richtigen Netze für Heim angeben).
• Kein Internet bei Full Tunnel → Prüfen Sie NAT für 10.10.10.0/24 und Forward WG → WAN Veranstaltungen.
• DNS-Auflösung klappt nicht → Prüfen Sie Allow Remote Requests auf MikroTik und DNS Einstellung auf dem Client.

✅ Kontrolle: WireGuard App zeigt verbundenen Status, MikroTik verzeichnet aktuellen Handshake, 10.10.10.1 und Heimnetzgeräte sind erreichbar, Full Tunnel zeigt Heim-IP extern.

Schritt 6: Laptop oder PC (Windows/macOS/Linux) verbinden

Ziel

Einen weiteren Client mit eigenem Schlüssel hinzufügen, Konfiguration für Windows/macOS erklären, Verbindung und Autostart testen.

Anleitung

1. Laden und installieren Sie WireGuard-App für Ihr Betriebssystem, starten Sie sie.
2. Erstellen Sie neuen Tunnel mit Schlüsselgenerierung („Add Tunnel“ → „Add empty tunnel“).
3. Speichern Sie die generierten PrivateKey und PublicKey für das Gerät.
4. Im MikroTik unter Interfaces → WireGuard → Peers neuen Peer hinzufügen.
5. Interface wg-home wählen.
6. Public Key vom Laptop eintragen.
7. Allowed Address z.B. 10.10.10.3/32 vergeben (nächste freie IP).
8. Persistent Keepalive auf 25 setzen, falls Client oft hinter NAT (Cafés, Hotels).
9. Peer speichern.
10. In der Laptop-Konfiguration unter Interface Adresse 10.10.10.3/32 und DNS 10.10.10.1 eintragen.
11. Im Peer‑Abschnitt PublicKey des Servers eingeben.
12. Endpoint als DDNS‑Name und Port, z.B. abcd1234.sn.mynetname.net:51820, konfigurieren.
13. AllowedIPs je nach Tunnelmodus anpassen: Split (VPN Subnetz + Heimnetze) oder Full Tunnel (0.0.0.0/0, ::/0).
14. Bei PresharedKey diesen auch im Client und Server übernehmen.
15. Tunnel speichern und aktivieren.
16. Ping zu 10.10.10.1, dann 192.168.88.1 und weitere lokale Hosts testen.
17. Bei Full Tunnel Internetseiten öffnen und externe IP prüfen, sie muss Ihrer Heimadresse entsprechen.
18. Autostart beim Systemstart aktivieren (Windows: „Activate on boot“, macOS: in Login Items einfügen).

Tipp: Für Arbeitsgeräte ist Split Tunnel oft besser, um Unternehmensdaten nicht über das Heimnetz zu routen und nur Zugriff auf Zuhause zu ermöglichen.

Erwartetes Ergebnis

Laptop stellt stabile Verbindung her, Zugriff auf Heimnetz vorhanden, Full Tunnel leitet Internet über Zuhause, Autostart optional aktiviert.

Probleme und Lösungen

• Tunnel startet nicht unter Windows automatisch → App als Administrator ausführen und Autostart aktivieren, Dienste prüfen.
• macOS vergisst Berechtigungen → WireGuard in System‑Netzwerkeinstellungen als VPN zulassen und nötige Rechte erteilen.
• Keine Antwort vom Router (192.168.88.1) → Prüfen Sie Forward Regeln, evtl. blockiert eine Regel höher, Ausnahmen hinzufügen.

✅ Kontrolle: Im Client wird Status „Established“ angezeigt, RX/TX Werte steigen, Routing stimmt, Heimnetz ist erreichbar.

Schritt 7: Nützliche Routing‑Regeln, Ausnahmen und MTU‑Optimierung

Ziel

Routen für Split Tunnel feinjustieren, lokale Netze von Full Tunnel ausschließen, MTU optimieren und FastTrack-Fallen umgehen.

Anleitung

1. Für Split Tunnel stellen Sie AllowedIPs auf den Clients mit Adressen Ihrer Heimnetze ein: 10.10.10.0/24, 192.168.88.0/24 etc.
2. Bei Full Tunnel und Bedarf lokaler Ausnahmen (z.B. Hotel WLAN Drucker) passen Sie am Client die Routen an oder nutzen unterschiedliche Profile für Split Tunnel.
3. Auf MikroTik prüfen Sie, dass NAT masquerade für 10.10.10.0/24 aktiv ist, damit Internet für VPN‑Clients funktioniert.
4. FastTrack Regel nach unten verschieben oder so konfigurieren, dass Tunnelverkehr davon ausgenommen bleibt.
5. Bei PPPoE WAN reduzieren Sie die MTU des WireGuard Interfaces auf 1412, um Fragmentation und Paketverluste zu vermeiden.
6. Bei instabilen Verbindungen erhöhen Sie Persistent Keepalive auf 25–30 Sekunden für Clients hinter striktem NAT.
7. Optional aktivieren Sie auf LAN Interfaces reply-only ARP (IP → ARP), um ARP Traffic zu reduzieren – besonders in großen Netzwerken hilfreich.

Tipp: Kontrollieren Sie MSS Settings auf Clients mit Full Tunnel. Manche Mobilgeräte profitieren von MTUs zwischen 1280 und 1380 für stabile Verbindungen.

Erwartetes Ergebnis

Routing passt genau zu Ihren Anforderungen, keine Fragmentierung, FastTrack blockiert keine Sitzungssteuerung, Clients behindern keine strengen NATs.

Probleme und Lösungen

• Seiten laden stockend → MTU am Client und/oder wg-home auf 1412 oder sogar 1380 reduzieren und erneut testen.
• Ungewollter Tunnelumgehung → Kontrollieren Sie AllowedIPs, nur gewollte Netze sollten drin stehen, sonst bleibt Internet außerhalb Tunnel.
• Verbindung bricht im Leerlauf → Persistent Keepalive auf 25 setzen zur besseren NAT-Pflege.

✅ Kontrolle: Traceroute vom Client zu Internetadressen läuft über Heimnetz im Full Tunnel, bei Split Tunnel nur interne Netze, Webseiten laden flink ohne Verzögerungen.

Schritt 8: Weitere Nutzer hinzufügen, Dokumentation und Sicherheit

Ziel

Regelmäßiges Hinzufügen von Peers vereinfachen, Transparenz behalten, erweiterte Sicherheitsmaßnahmen und Logs aktivieren für schnelle Problemdiagnose.

Anleitung

1. Für jeden neuen Nutzer einen eigenen Peer mit eindeutiger /32 Adresse anlegen, z.B. 10.10.10.4/32, 10.10.10.5/32 etc.
2. Im Comment Feld Informationen zum Nutzer speichern (Name, Gerät, Ausgabe-Datum).
3. Führen Sie eine Tabelle mit Name, Gerät, Adresse, PublicKey, Datum, Tunnelmodus und PresharedKey.
4. Beschränken Sie mit Firewall Filtern und AllowedIPs den Zugriff einzelner Peers auf gewünschte Netze.
5. Aktivieren Sie das Log für WireGuard unter System → Logging mit topics=wireguard und action=memory oder file für Überblick über Verbindungsversuche.
6. Überprüfen Sie regelmäßig Peers auf Last Handshake und Datenverbrauch (RX/TX).
7. Sperren Sie verlorene Geräte sofort, indem Sie den entsprechenden Peer in MikroTik löschen.

Tipp: Bei einem generellen Drop aller WAN Eingänge immer über physischen Zugang oder Out-of-Band-Kanal verfügen, um sich nicht versehentlich auszusperren.

Erwartetes Ergebnis

Neukundenanbindung läuft reibungslos, transparente Übersicht aller Nutzer, Zugriff wird bei Verlust oder Sicherheitsbedenken schnell entzogen.

Probleme und Lösungen

• Nutzer berichtet von langsamer Verbindung → Überprüfen Sie MTU, Netzqualität, WAN-Last und führen Sie iperf Tests im Tunnel durch.
• Logs mit zu vielen Nachrichten → Filtern Sie Topics oder schalten Sie Rotations-Logging auf Datei um, damit Speicher entlastet wird.
• Unbeabsichtigte Verkehrssperren → Prüfen Sie die Reihenfolge der Firewall-Regeln, erlaubende Regeln für WG müssen vor Drop kommerziell stehen.

✅ Kontrolle: Neue Clients fügen Sie in wenigen Minuten hinzu, Handshake erscheint sofort, Zugriffsprotokolle werden aktualisiert, entzugene Zugänge funktionieren nicht mehr.

Ergebnisprüfung

Checkliste

• Interface wg-home ist aktiv mit Adresse 10.10.10.1/24.
• UDP Port 51820 ist extern offen und erreichbar.
• Server zeigt Public Key, Clients haben korrekten Endpoint und Schlüssel eingetragen.
• Firewall Regeln erlauben Input auf UDP 51820 und Forward von WG zu LAN/WAN.
• DNS vom Router löst Namen für entfernte Clients auf.
• Clients können auf Heimnetze (Split Tunnel) oder Internet (Full Tunnel) zugreifen.

Testanleitung

1. Schalten Sie den Tunnel am Smartphone ein und pingen Sie 10.10.10.1, dann 192.168.88.1.
2. Zugriff auf NAS oder Router Web GUI über lokale IP testen.
3. Bei Full Tunnel kontrollieren Sie externe IP, sie muss die Heim‑IP sein.
4. Von außen testen Sie die Erreichbarkeit von UDP 51820 am DDNS Namen.
5. In MikroTik Kontrolle unter WireGuard → Peers: Last Handshake Aktualisierung, RX/TX Aktivität.

Erfolgsindikatoren

• Handshakes alle 20–120 Sekunden bei aktiven Verbindungen.
• Geringe Latenz und keine Fragmentierung – Webseiten laden flüssig.
• Keine Logeinträge für generelle Traffic Drops auf WireGuard Traffic.

Typische Fehler und Lösungen

• Problem: Kein Handshake beim Client.Ursache: Port 51820 UDP geschlossen oder falscher Endpoint/DDNS.Fix: Prüfen Sie Firewall Input Regeln, Portweiterleitungen, DDNS Aktualität; Endpoint des Clients muss mit DDNS + Port übereinstimmen.
• Problem: Handshake da, aber kein LAN Zugriff.Ursache: Fehlende Forward-Regel WG → LAN oder Client AllowedIPs ohne Heimnetze.Fix: Forward Regel ergänzen und Client AllowedIPs um 192.168.88.0/24 erweitern.
• Problem: Kein Internet bei Full Tunnel.Ursache: NAT masquerade für 10.10.10.0/24 fehlt oder steht hinter anderen NAT Regeln.Fix: MASQUERADE Regel hinzufügen und nach oben verschieben.
• Problem: Langsame Webseiten, Stocken.Ursache: Falsche MTU oder Fragmentierung.Fix: MTU auf wg-home und Clients auf 1412 bis 1380 senken und prüfen.
• Problem: Verbindungsabbrüche bei mobilen Clients.Ursache: NAT mit kurzer Zeitüberschreitung.Fix: Persistent Keepalive auf 25 setzen bei Client und Server.
• Problem: Nach Verschärfung Regeln kein Admin Zugriff.Ursache: Drop Regel steht vor erlaubenden Eingängen.Fix: Über MAC WinBox einloggen, Regelpriorität anpassen, ggf. Backup zurückspielen.
• Problem: Clients können keine DNS Namen auflösen.Ursache: Allow Remote Requests nicht aktiviert oder DNS nicht gesetzt.Fix: Allow Remote Requests einschalten und DNS auf 10.10.10.1 oder extern setzen.

Erweiterte Möglichkeiten

Fortgeschrittene Einstellungen

• IPv6 über WireGuard: Fügen Sie ULA Adressen für VPN hinzu, z.B. fd00:10:10::1/64 auf wg-home, erlauben Sie ::/0 in AllowedIPs für Full Tunnel. NAT66 ist nicht notwendig, aber prüfen Sie Provider und Routing.
• Site‑to‑Site (Haus und Ferienwohnung): WireGuard auf zweitem MikroTik installieren, Public Keys austauschen, gegenseitige Netze in AllowedIPs zulassen und statische Routen anlegen zur Standortvernetzung.
• Nur einzelne Dienste zugänglich machen: Statt komplettes LAN in AllowedIPs einzutragen, nutzen Sie gezielte IP/Port Freigaben und Firewall Filter Forward zur Einschränkung.
• FastTrack ausnehmen: Für stabile Tunnelsteuerung schließen Sie Tunneltraffic in fasttrack aus oder verschieben Sie WireGuard Regeln davor.

Optimierungen

• Hardware Performance: Moderne MikroTik Geräte bewältigen WireGuard sehr schnell. Überwachen Sie CPU Auslastung bei hoher Last.
• Queues: Bei QoS prüfen Sie die Klassifikation des wg-home Traffics.
• Logs: Aktivieren Sie vorübergehend das Logging, um Speicher zu schonen, nutzen Sie Rotation und gezielte Filter.

Was sonst noch geht

• Automatisierte Konfigurationsausgabe: Halten Sie Vorlage‑.conf Dateien für Clients bereit, mit Platzhaltern für Schlüssel und Adressen. QR Codes für Mobilgeräte eignen sich zur einfachen Verteilung. Dokumentieren Sie wichtige Notizen im MikroTik.
• VPN Pool Segmentierung: Nutzen Sie Adressbereiche wie 10.10.10.2–50 für Familie, 10.10.10.51–100 für Gäste und regeln Sie Zugriffe per Firewall gezielt.

Tipp: Verwalten Sie mindestens zwei Admin‑Benutzer mit unterschiedlichen Geräten für WireGuard, damit Sie bei Verlust eines Zugangs immer eine Alternative haben.

FAQ

• Welcher Port ist für WireGuard optimal? Standard ist 51820/UDP, aber jeder freie UDP Port kann genutzt werden. Ein ungewöhnlicher Port reduziert Hintergrund-Scanner.
• Kann ich mehrere Geräte gleichzeitig verbinden? Ja, jedes Gerät braucht einen eigenen Peer mit eigenem /32 IP im VPN‑Subnetz.
• Brauche ich eine feste externe IP? Nein, MikroTik DDNS genügt, wichtig ist nur, dass der Port von außen erreichbar ist.
• Wie schalte ich ein verlorenes Gerät schnell ab? Einfach den entsprechenden Peer in MikroTik löschen – der Zugang erlischt sofort.
• Worin unterscheiden sich Split und Full Tunnel? Split Tunnel leitet nur Heimnetztraffic durch, Full Tunnel den kompletten Internetverkehr mit NAT im Server.
• Wie wähle ich die MTU aus? Starten Sie mit 1420, bei PPPoE 1412; bei Problemen schrittweise auf 1380 senken und testen.
• Sollte ich PresharedKey benutzen? Das ist eine optionale Zusatzverschlüsselung über die WireGuard Schlüssel, verbessert aber die Sicherheit.
• Kann ich den Clientzugang nur auf einen LAN Server begrenzen? Ja, vereinbaren Sie die erlaubten IPs auf dem Client und setzen Sie explizite Firewall‑Erlaubnisse und Verbote.
• Warum zeigt die Traffic‑Grafik keine Daten trotz Verbindung? Prüfen Sie, ob WG Traffic vom FastTrack ausgenommen ist und ob die richtigen Interfaces angezeigt werden.
• Wie teste ich Port-Erreichbarkeit ohne Webseite? Nutzen Sie von einem entfernten Server einen UDP Scan mit nmap auf Ihren DDNS und Port 51820; ist eine Antwort da, ist Port geöffnet.

Fazit

Sie haben erfolgreich einen WireGuard‑Server auf MikroTik mit RouterOS 7.16 eingerichtet, wg-home Interface erstellt, das VPN‑Subnetz 10.10.10.0/24 eingerichtet, DNS Resolver und passende Firewall/NAT Regeln aktiviert, UDP Port 51820 extern geöffnet, Smartphone und Laptop verbunden, Routingmodus konfiguriert und die Funktion getestet. Außerdem lernten Sie MTU‑Optimierung, FastTrack Ausnahmen, IPv6 Erweiterungen und Site‑to‑Site Nutzung kennen.

Ab jetzt können Sie weitere Nutzer hinzufügen, den Zugriff segmentieren, Smart‑Home und lokale Dienste integrieren und Ihre Konfiguration automatisiert verteilen. Achten Sie darauf, RouterOS aktuell zu halten und regelmäßige Backups zu machen, um Ihre Einstellungen jederzeit wiederherstellen zu können.

Tipp: Prüfen Sie vierteljährlich Ihre Peer‑Liste, entfernen Sie ungenutzte und aktualisieren Sie kritische Schlüssel – so halten Sie das VPN sicher und sauber.

⚠️ Hinweis: Ein DIY‑VPN erfordert nicht nur Einrichtung, sondern auch Verwaltung: Port-Monitoring, Backups und schnelle Wiederherstellung bei Fehlern. Für eine sofortige Lösung ohne Console‑Aufwand bietet sich ein fertiger persönlicher VPN‑Server auf vpn.how an: dort erhalten Sie eine eigene dedizierte IP, Support für WireGuard, OpenVPN, IKEv2, L2TP und SSTP, automatischen Serverstart 5 Minuten nach Bezahlung, keine Logs, Zahlungsmöglichkeiten per russische Karten (Tinkoff, Ozon), SBP und USDT/BTC sowie Serverstandorte in Städten wie Moskau, St. Petersburg, Amsterdam, Frankfurt, London, New York, San Jose, Chicago, Singapur, Sydney, Madrid, Helsinki, Stockholm, Warschau, Kopenhagen, Stavanger; Preise ab 490 ₽ pro Tag bzw. 2490 ₽ pro Monat mit Langzeit-Rabatten. Diese Variante ist besonders komfortabel bei fehlender öffentlicher IP oder fehlender Zeit für Portweiterleitungen beim Provider.

Sie haben jetzt ein funktionierendes Heim‑VPN auf MikroTik. Üben Sie, dokumentieren Sie Ihre Anpassungen und verbessern Sie die Konfiguration mit wachsendem Bedarf. Viel Erfolg!