WireGuard-VPN mit FritzBox und Ubuntu-Server einrichten¶

Stand: 04/2025
Verwendete Software - Ubuntu 24.04 LTS - WireGuard 1.0.20210914 - FRITZ!OS 8.03
Weitere Dokumentationen:

Vorwort¶

Diese Dokumentation beschreibt die Einrichtung einer VPN-Verbindung zwischen einer FRITZ!Box und einem Ubuntu-Server mithilfe von WireGuard.

Der WireGuard-Server fungiert in dieser Anleitung als VPN-Gateway bzw. Router zwischen dem lokalen Netzwerk der FRITZ!Box und einem (ggf. größeren) entfernten Netz am Ubuntu-Standort. Der VPN-Tunnel ermöglicht den Zugriff auf weitere Geräte im entfernten Netzwerk, etwa Server, Drucker oder Steuergeräte.

Ziel ist es, zwei Netzwerke dauerhaft und sicher über das WireGuard-Protokoll zu koppeln, sodass Geräte beider Seiten direkt miteinander kommunizieren können (z. B. für SSH-Zugriffe, Dateifreigaben oder Management-Zugänge). Die Konfiguration ist bewusst einfach gehalten und auf direkte Umsetzung in realen Heimumgebungen oder kleinen Netzwerken ausgelegt.

Für die korrekte Kommunikation müssen im entfernten Netzwerk (z. B. beim Hosting-Anbieter) ggf. statische Routen für das Netzwerk der FritzBox gesetzt werden. Dies ist notwendig, da der WireGuard-Server typischerweise nicht das Standardgateway im entfernten Rechenzentrum ist – ohne diese Routen wäre ein Rückweg in das lokale Netz nicht möglich.

flowchart LR
    A((lokales Netz)) -->|192.168.178.0/32| FB["FritzBox
(192.168.178.1)"]
    FB --> WG["WireGuard-Server
(192.0.2.42)"]
    WG -->|192.168.179.0/32| B((entferntes Netz))

    subgraph "FritzBox"
        FB
    end

    subgraph "WireGuard-Server"
        WG
    end

Es sind Grundkenntnisse im Umgang mit Linux erforderlich, da die Vorgehensweise, wie sie hier beschrieben ist, in manchen Teilen abweichen kann. Kein System ist wie das Andere. Die Dokumentation wurde sorgfältig von mir geprüft. Dennoch kann ich keinerlei Haftung für Schäden an Ihrem System oder eine Gewährleistung übernehmen. Bitte verwenden Sie diese Dokumentation auf eigene Gefahr.

Was muss ich in der Konfiguration anpassen?¶

Einige Parameter müssen auf Ihre Umgebung angepasst werden. Im Verlauf dieser Dokumentation müssen Sie nur die Parameter anpassen, die in der nachfolgenden Tabelle aufgelistet sind. Sie können also ganz einfach durch die Funktion "Suchen und Ersetzen" (STRG + H), die Konfigurationsdateien auf Ihre Umgebung anpassen. Das Gleiche gilt für auszuführende Kommandos.

Folgende Parameter werden verwendet:

Server vorbereiten¶

Root-Rechte einräumen¶

Während der gesamten Dokumentation werden Root-Rechte benötigt. Um auf das Voranstellen von sudo zu verzichten, verschaffen Sie sich für die gesamte Sitzung erhöhte Rechte mit:

sudo -i

Update durchführen¶

Bringen Sie den Server auf den aktuellen Patchstand:

apt update && apt upgrade

Software installieren¶

Laden Sie wireguard aus dem offiziellen Ubuntu-Repository herunter:

apt install wireguard

WireGuard-VPN einrichten¶

Keys generieren¶

Generieren Sie zunächst die Server-Keys:

wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key

und anschließend die FritzBox-Keys:

wg genkey | tee /etc/wireguard/fritzbox_private.key | wg pubkey > /etc/wireguard/fritzbox_public.key

Schränken Sie die Zugriffsrechte auf die Keys ein:

chmod 600 /etc/wireguard/*.key

WireGuard Konfiguration erstellen¶

wg0.conf¶

Erstellen Sie eine neue Datei /etc/wireguard/wg0.conf mit folgendem Inhalt:

nano /etc/wireguard/wg0.conf

[Interface]
PrivateKey = <server_private.key>
Address = 10.10.10.1/24
ListenPort = 51820
PostUp = sysctl -w net.ipv4.ip_forward=1
PostDown = sysctl -w net.ipv4.ip_forward=0

[Peer]
PublicKey = <fritzbox_public.key>
AllowedIPs = 192.168.178.1/32, 192.168.178.0/24
PersistentKeepalive = 25

[...]
PrivateKey = <server_private.key>
[...]
PublicKey = <fritzbox_public.key>
[...]
AllowedIPs = [...], 192.168.178.0/24
[...]

<server_private.key>:

cat /etc/wireguard/server_private.key
    EEmwz05[...]cqoYiWIFQ=

<fritzbox_public.key>:

cat /etc/wireguard/fritzbox_public.key
    kxN9mgY[...]mihEmfPR0=

wg-fritzbox.conf¶

Erstellen Sie eine neue Datei /etc/wireguard/wg-fritzbox.conf mit folgendem Inhalt:

nano /etc/wireguard/wg-fritzbox.conf

[Interface]
PrivateKey = <fritzbox_private.key>
Address = 192.168.178.1/24

[Peer]
PublicKey = <server_public.key>
AllowedIPs = 10.10.10.0/24, 192.168.179.0/24
Endpoint = 192.0.2.42:51820
PersistentKeepalive = 25

[...]
PrivateKey = <fritzbox_private.key>
[...]
PublicKey = <server_public.key>
[...]
AllowedIPs = [...], 192.168.179.0/24
Endpoint = 192.0.2.42:[...]
[...]

<fritzbox_private.key>:

cat /etc/wireguard/fritzbox_private.key
    NxX5oPX[...]pVdrD0hUF8=

<server_public.key>:

cat /etc/wireguard/server_public.key
    Emwz05y[...]mqoYiWIFQ=

Schränken Sie die Zugriffsrechte auf die Dateien ein:

chmod 600 /etc/wireguard/*.conf

WireGuard starten¶

Führen Sie folgendes Kommando aus, damit WireGuard nach einem Neustart automatisch startet:

systemctl enable wg-quick@wg0

Starten Sie WireGuard.

systemctl start wg-quick@wg0

Kontrollieren Sie, ob der Dienst erfolgreich gestartet ist:

wg show

interface: wg0
  public key: Emwz05y[...]mqoYiWIFQ=
  private key: (hidden)
  listening port: 51820

FritzBox konfigurieren¶

• Rufen Sie das Webinterface Ihrer FritzBox auf und wählen Sie unter Internet -> Freigaben -> VPN (WireGuard) den Punkt Verbindung hinzufügen aus:
  
  

• Wählen Sie den Punkt Netzwerke koppeln oder spezielle Verbindungen herstellen aus und klicken Sie auf Weiter:
  
  

• Wählen Sie Ja aus und klicken Sie auf Weiter:
  
  

• Vergeben Sie einen Verbindungsnamen, wählen Sie die Datei wg-fritzbox.conf und klicken Sie auf Fertigstellen:
  
  

• Die Verbindung ist jetzt eingerichtet und sollte nach einem kurzen Augenblick aktiv (grün) werden:
  
  

Inbetriebnahme und Test¶

Kontrollieren Sie auf dem WireGuard-Server, ob VPN-Verbindung besteht:

wg show

interface: wg0
  public key: Emwz05y[...]mqoYiWIFQ=
  private key: (hidden)
  listening port: 51820

peer: kxN9mgY[...]mihEmfPR0=
  endpoint: 203.0.113.42:57509
  allowed ips: 10.10.10.2/32, 192.168.178.0/24
  latest handshake: 54 seconds ago
  transfer: 8.21 KiB received, 25.24 KiB sent
  persistent keepalive: every 25 seconds

Routing in Cloud-Umgebungen (Hetzner, IONOS, etc.)¶

flowchart LR
    subgraph "lokales Netz"
        FritzBox(("FritzBox
(192.168.178.1/24)"))
    end

    subgraph "entferntes Netz"
        Gateway["Subnetz-Gateway (192.168.179.1/24)"]
        Server1(("WireGuard-Server
192.168.179.10/32"))
        Server2(("Server A
192.168.179.11/32"))
        Drop["✖ Paket verworfen"]
    end

    FritzBox -->|VPN-Traffic mit Quell-IP 192.168.178.x| Server1
    Server1 -->|weitergeleitetes Paket mit Quell-IP 192.168.178.x| Gateway
    Gateway -->|strict uRPF verwirft Paket| Drop["✖ Paket verworfen"]

    Server2 -. "möchte 192.168.178.x erreichen" .-> Gateway
    Gateway -. "Route nicht bekannt" .-> Drop

Option 1: Statische Route im Cloud-Netz (empfohlen, wenn möglich)¶

Wenn der Anbieter dies erlaubt (z. B. vSwitch bei Hetzner Robot oder IONOS Private Network), kann eine Route für das FritzBox-Netz gesetzt werden:

ip route add 192.168.178.0/24 via <IP-des-WG-Servers>

Option 2: NAT (Masquerading)¶

Falls keine Routing-Anpassung möglich ist (z. B. bei Hetzner Cloud), kann man als Fallback Masquerading aktivieren – d. h. der WireGuard-Server ersetzt die Quelladresse durch seine eigene. Beispielkonfiguration wg0.conf mit nftables:

[Interface]
[...]
PostUp = sysctl -w net.ipv4.ip_forward=1
PostUp = nft add table ip nat
PostUp = nft add chain ip nat postrouting { type nat hook postrouting priority srcnat\; policy accept\; }
PostUp = nft add rule ip nat postrouting ip saddr 192.168.178.0/24 oifname != "wg0" masquerade

PostDown = sysctl -w net.ipv4.ip_forward=0
PostDown = nft flush chain ip nat postrouting && nft delete chain ip nat postrouting && nft delete table ip nat

[Peer]
[...]

[...]
PostUp = nft add rule ip nat postrouting ip saddr 192.168.178.0/24 oifname != "wg0" masquerade
[...]

Fazit¶

Cloud-Netzwerke mit uRPF erfordern zusätzliche Maßnahmen.
Die beste Lösung ist eine statische Route – wenn das nicht geht, kann Masquerading helfen, bringt aber Einschränkungen mit sich.

Abschluss¶

Wenn die VPN-Verbindung erfolgreich hergestellt wurde und Sie keine Fehlermeldungen erhalten haben, ist Ihr WireGuard-VPN einsatzbereit.