www.simplify-data.de
WireGuard hat sich in wenigen Jahren zu einem verbreiteten VPN-Protokoll entwickelt. Es ist im Linux-Kernel enthalten und steht für alle gängigen Betriebssysteme bereit. Dieser Artikel erklärt, was WireGuard technisch ausmacht, wie eine Konfiguration aussieht und was Sie ergänzen müssen, damit daraus ein sicherer Fernzugriff fürs Homeoffice wird.
Was WireGuard auszeichnet
WireGuard ist ein VPN-Protokoll, also ein Verfahren, um eine verschlüsselte Verbindung zwischen zwei Geräten über das Internet aufzubauen. Im Vergleich zu älteren Lösungen wie IPsec oder OpenVPN verfolgt es einen bewusst schlanken Ansatz.
Die wichtigsten Eigenschaften:
- Feste, moderne Kryptografie: WireGuard nutzt ChaCha20 und Poly1305 für die Verschlüsselung, Curve25519 für den Schlüsselaustausch und BLAKE2s als Hashfunktion. Der Handshake basiert auf dem Noise Protocol Framework.
- Keine Verhandlung von Verfahren: Anders als bei IPsec oder TLS handeln die Gegenstellen keine Verschlüsselungsverfahren aus. Das verringert Konfigurationsfehler und Angriffe, die auf schwächere Verfahren zielen.
- Geringer Codeumfang: Der Code ist im Vergleich zu älteren VPN-Lösungen klein. Das erleichtert Prüfungen durch Sicherheitsforscher.
- UDP-basiert: WireGuard überträgt alle Pakete per UDP.
- Verhält sich still: Auf Pakete ohne gültige Authentifizierung antwortet WireGuard nicht. Für einen Portscan ist der Dienst damit kaum erkennbar.
- Roaming: Wechselt ein Gerät das Netz, etwa vom WLAN ins Mobilfunknetz, bleibt die Verbindung bestehen.
- Regelmäßiger Schlüsselwechsel: Alle paar Minuten werden neue Sitzungsschlüssel ausgehandelt. Das sorgt für Forward Secrecy: Ein später bekannt gewordener Schlüssel macht früher aufgezeichneten Verkehr nicht lesbar.
Seit Linux 5.6 ist WireGuard Teil des Linux-Kernels. Offizielle Clients gibt es unter anderem für Windows, macOS, iOS und Android.
Das Grundprinzip: Cryptokey Routing
Jedes Gerät in einem WireGuard-Netz, ein sogenannter Peer, hat ein Schlüsselpaar aus privatem und öffentlichem Schlüssel. Statt Benutzername und Passwort identifizieren sich die Peers über ihre öffentlichen Schlüssel.
Zentral ist die Einstellung AllowedIPs. Sie legt für jeden Peer fest, welche IP-Adressen ihm zugeordnet sind. Für ausgehenden Verkehr wirkt sie wie eine Routingtabelle, für eingehenden wie eine Zugriffsliste. Diese Verknüpfung von Schlüssel und erlaubten Adressen nennt das WireGuard-Projekt Cryptokey Routing.
Eine vereinfachte Client-Konfiguration sieht so aus:
[Interface]
PrivateKey = PRIVATER_SCHLUESSEL_NOTEBOOK
Address = 10.20.0.15/32
DNS = 10.20.0.1
[Peer]
PublicKey = OEFFENTLICHER_SCHLUESSEL_GATEWAY
Endpoint = vpn.example.de:51820
AllowedIPs = 10.20.10.0/24
PersistentKeepalive = 25
In diesem Beispiel leitet das Notebook nur Verkehr für das Netz 10.20.10.0/24 durch den Tunnel, alles andere geht direkt ins Internet. Das nennt man Split Tunneling. Die Option PersistentKeepalive sendet regelmäßig ein kleines Paket, damit die Verbindung auch hinter NAT-Routern erhalten bleibt.
Was WireGuard nicht mitbringt
WireGuard ist bewusst nur ein Protokoll für den verschlüsselten Tunnel. Für den Unternehmenseinsatz fehlen einige Bausteine, die Sie ergänzen müssen:
| Anforderung | WireGuard allein | Was ergänzt werden muss |
|---|---|---|
| Benutzerverwaltung | nur Schlüssel pro Gerät | Zuordnung zu Personen und Rollen |
| Multi-Faktor-Authentifizierung | nicht vorgesehen | über Verwaltungsplattform oder Identity Provider |
| Feingranulare Zugriffsregeln | über AllowedIPs und Firewall | zentrale Richtlinien pro Gruppe und Dienst |
| Schlüsselverteilung | manuell | automatisierte Ausgabe und Sperrung |
| Protokollierung | minimal | Logging auf Gateway oder Plattform |
| Dynamische IP-Vergabe | statisch je Peer | Verwaltung durch die Plattform |
Gerade die Schlüsselverwaltung wird oft unterschätzt. Geht ein Notebook verloren oder verlässt eine Mitarbeiterin das Unternehmen, muss der zugehörige Schlüssel sofort entfernt werden. Bei einer Handvoll Geräte geht das von Hand, bei Dutzenden nicht mehr zuverlässig.
Vom Tunnel zum Zero-Trust-Zugriff
Mit WireGuard allein bauen Sie zunächst ein klassisches VPN. Wenn AllowedIPs ganze Firmennetze freigibt, hat jedes verbundene Gerät weitreichenden Zugriff. Um das Least-Privilege-Prinzip umzusetzen, also nur die wirklich nötigen Rechte zu vergeben, brauchen Sie zusätzlich:
- Segmentierung: Interne Dienste liegen in getrennten Netzbereichen.
- Regeln pro Gruppe: Eine Firewall am Gateway erlaubt jeder Gruppe nur die Ziele und Ports, die sie braucht.
- Gerätebezogene Schlüssel: Jedes Gerät bekommt einen eigenen Schlüssel, nie einen gemeinsamen für mehrere Personen.
- Gekoppelte Identität: Die Freigabe eines Schlüssels hängt an einem Benutzerkonto mit Multi-Faktor-Authentifizierung.
So wird aus dem schnellen Tunnel ein kontrollierter Zugang zu einzelnen Diensten.
Typische Stolperfallen in der Praxis
Einige Probleme tauchen beim Einsatz im Homeoffice immer wieder auf:
- Überschneidende Adressbereiche: Nutzt das Heimnetz eines Mitarbeitenden denselben Adressbereich wie das Firmennetz, etwa 192.168.178.0/24, kommt es zu Routingkonflikten. Ein eher ungewöhnlicher interner Bereich vermeidet das.
- Namensauflösung: Interne Servernamen funktionieren nur, wenn der Client einen internen DNS-Server nutzt. Planen Sie die DNS-Einstellung von Anfang an mit.
- MTU-Probleme: Der Tunnel benötigt etwas Platz im Paket. Bei manchen Mobilfunk- oder DSL-Anschlüssen hängen Verbindungen deshalb scheinbar grundlos. Eine etwas kleinere MTU, also maximale Paketgröße, hilft oft.
- Gesperrte UDP-Ports: In Hotels oder Gastnetzen ist UDP manchmal eingeschränkt. Testen Sie solche Umgebungen vorab.
- Full Tunnel ohne Bedarf: Wird der gesamte Internetverkehr über die Firma geleitet, steigt die Last auf der Firmenleitung. Entscheiden Sie bewusst, welcher Verkehr durch den Tunnel muss.
Checkliste für die Einführung
- Ziele festlegen: Welche internen Dienste sollen aus dem Homeoffice erreichbar sein?
- Rollen definieren: Wer braucht Zugriff auf welche Dienste?
- Adresskonzept planen: Vergeben Sie einen eigenen Adressbereich für VPN-Clients, der sich nicht mit typischen Heimnetzen überschneidet.
- Gateway absichern: Halten Sie das System aktuell und öffnen Sie nur den UDP-Port für WireGuard.
- Schlüssel verwalten: Erzeugen Sie Schlüssel auf dem jeweiligen Gerät, dokumentieren Sie die Zuordnung und regeln Sie die Sperrung.
- Firewall-Regeln setzen: Erlauben Sie pro Gruppe nur die nötigen Ziele.
- Testen: Prüfen Sie Verbindungen aus verschiedenen Netzen, etwa Heimnetz, Mobilfunk und Hotel-WLAN.
- Offboarding einplanen: Nehmen Sie das Entfernen der Schlüssel in den Austrittsprozess auf.
Managed WireGuard mit Simplify Data
Simplify Data betreibt für kleine und mittlere Unternehmen ein Zero-Trust-Netzwerk auf WireGuard-Basis. Wir kümmern uns um Gateway, Schlüsselverwaltung und Zugriffsregeln, damit Ihre Mitarbeitenden aus dem Homeoffice nur die Dienste erreichen, die sie benötigen. Zero-Trust-VPN kennenlernen