Mit PiVPN ein Wireguard-VPN einrichten und verwalten (Seite 2)

Der Installationsassistent führt Schritt für Schritt durch die Konfiguration: Wie im Kasten “Voraussetzungen” beschrieben, trägt das Setup entweder eine statische IP-Adresse in das System ein oder belässt es bei DHCP (Abbildung 2). In diesem Fall müssten Sie in der Konfiguration des WLAN-Routers dafür sorgen, dass der PiVPN-RasPi immer dieselbe IP-Adresse erhält. Danach wählen Sie den Nutzer aus, unter dem die VPN-Konfiguration gespeichert wird – in aller Regel der Standardnutzer pi. Als Protokoll wählen Sie Wireguard und als Port 51820; danach spielt der Assistent alle nötigen Pakete ein.

Abbildung 2: Im Idealfall weisen Sie Ihren WLAN-Router an, dem PiVPN-RasPi immer dieselbe IP-Adresse zuzuteilen. Alternativ trägt das Setup von PiVPN eine statische IP in die Netzwerkkonfiguration ein.

Statische IP-Adressen

Anschließend ermittelt das Setup die öffentliche IP-Adresse und bietet an, sie in die Konfiguration zu übernehmen. Da sich die IP des Routers allerdings bei der Einwahl ins Internet jedes Mal ändert, sollten Sie die Option DNS Entry wählen und an dieser Stelle die zuvor eingerichtete und im Router konfigurierte DynDNS-Adresse eintragen (Abbildung 3). So ist Ihr VPN immer unter demselben sprechenden Domain-Namen zu erreichen, wie etwa zuhause.dyndns.org.

Abbildung 3: Da sich die externe IP-Adresse des Routers in der Regel bei jeder Einwahl ins Netz ändert, sollten Sie eine DynDNS-Adresse einrichten und als DNS Entry in die Konfiguration eintragen.

In den letzten Konfigurationsschritten ermittelt das Setup von PiVPN, ob auf dem System bereits ein Pi-hole-Adblocker läuft (siehe Kasten “Schwarzes Loch”) und erstellt die für die Verschlüsselung nötigen kryptografischen Schlüssel. Optional haben Sie noch die Wahl, Unattended Upgrades zu aktivieren, wodurch das System automatisch alle anstehenden Sicherheitsaktualisierungen einspielt. Die Funktion startet das System allerdings nicht automatisch neu, was etwa zum Aktivieren eines neuen Kernels notwendig wäre.

Clients konfigurieren

Zur Konfiguration des VPN-Dienstes nutzen Sie nun das Programm pivpn. Ohne weitere Optionen aufgerufen, zeigt es eine Übersicht aller Schalter des Kommandos an. Mit der Eingabe von pivpn add legen Sie einen ersten Client an. Das Profil überträgt das Programm automatisch nach /home/pi/configs/. Von dort kopieren Sie es auf einen Rechner, der zukünftig über den PiVPN-Tunnel ins Netz gehen soll.

Eine Übersicht über alle bereits angelegten Clients erhalten Sie mit pivpn list. Eine Übersicht mit Statistiken zu den einzelnen Clients zeigt pivpn clients an (Abbildung 4). Bei Bedarf löschen Sie einen Client mit pivpn remove aus dem System oder schalten ihn mit pivpn off vorübergehend ab (und mit pivpn on wieder an). Eine Übersicht über alle Schalter und deren Kurzform zeigt die Tabelle “Optionen für PiVPN-Kommando”.

Abbildung 4: Die Konfiguration und Verwaltung der Zugänge erledigen Sie mit dem Kommando pivpn. Eine grafische Oberfläche zum Einrichten des Diensts gibt es bislang noch nicht.

Für den Zugang von Smartphones oder Tablets erstellen Sie mit pivpn qrcode einen QR-Code (Abbildung 5). Nutzer von Wireguard-Apps für Android oder iOS müssen den Code nur mit der Kamera des Smartphones einscannen, um eine Verbindung einzurichten. Die Eingabe von Server-Namen oder Passwörtern ist dabei dann nicht nötig. Arbeitet auf dem PiVPN gleichzeitig ein Pi-hole-Werbeblocker, kommen mobile Geräte auf diesem Weg auch unterwegs in den Genuss werbefreier Webseiten.

Abbildung 5: Zum Einrichten des Zugangs auf mobilen Geräten erstellen Sie mit pivpn qrcode einen QR-Code, den Sie mit der entsprechenden Smartphone-App nur abfotografieren müssen.

Einwahl in das PiVPN

Nutzer eines PCs müssen die für ihren Client im Ordner /home/pi/configs/ abgelegte Datei mit der Endung .conf auf den entsprechenden Rechner kopieren und dann einen Wireguard-Client installieren. Die Homepage des Projekts verlinkt auf Programme für Linux, MacOS und Windows [12]. Die Clients für MacOS und Windows bringen eine grafische Oberfläche mit, über die sich die Konfiguration leicht importieren und die Verbindung zum VPN aufbauen lässt.

Der Linux-Kernel hingegen unterstützt Wireguard seit längerer Zeit direkt. Für den Verbindungsaufbau benötigt man lediglich das Paket wireguard-tools, das die meisten Distributionen allerdings nicht in der Standardkonfiguration mitführen. Um die Verbindung zu starten, rufen Sie mit wg-quick up /Pfad/zum/Client.conf die Konfigurationsdatei inklusive des vollständigen Pfads zum Speicherort auf.

Ob die VPN-Verbindung wie gewünscht funktioniert, testen Sie mit Webseiten wie etwa http://ifconfig.co (Listing 3). Die Seite zeigt unter anderem die IP-Adresse des genutzten Clients an. Rufen Sie sie einmal mit und einmal ohne PiVPN-Verbindung auf: Ohne VPN sollte die Seite im Feld ASN (organization) Ihren Mobilfunkanbieter ermitteln, bei aktiviertem VPN hingegen den von Ihnen zu Hause genutzten Festnetz- und Internet-Anbieter.

$ curl ifconfig.co ### Internet-IP ohne VPN
46.114.###.###
$ sudo wg-quick up ~/Client.conf
[#] ip link add Client type wireguard
[#] wg setconf Client /dev/fd/63
[...]
[#] sysctl -q net.ipv4.conf.all.src_valid_mark=1
[#] iptables-restore -n
$ curl ifconfig.co ### Internet-IP mit VPN
93.236.###.###

Alternativ verwenden Sie für den Verbindungsaufbau den von vielen Distributionen und Desktop-Umgebungen genutzten NetworkManager, der Wireguard seit der Version 1.16 nativ implementiert. Die Unterstützung beschränkt sich allerdings aktuell noch auf die Kommandozeile (Listing 4). Für den Import der Konfigurationsdatei und den Verbindungsaufbau müssen Sie das Terminal bemühen. Einmal eingerichtet, initiiert der NetworkManager die VPN-Verbindung dann automatisch bei jedem Start des Systems.