Wichtig: Was eero unterstützt & was nicht
eero-Router verwenden proprietäre Firmware und erlauben nicht die Installation von VPN-Client-Software von Drittanbietern. OpenVPN oder WireGuard lassen sich auf keinem eero-Gerät direkt konfigurieren.
Um den Großteil des Internetverkehrs aus deinem eero-Mesh-Netzwerk durch Windscribe zu leiten, muss sich zwischen deinem Modem und dem Gateway-eero ein VPN-fähiges Gateway-Gerät befinden – also vor dem eero, das an einen GL.iNet-LAN-Port angeschlossen ist. Lokaler LAN-Datenverkehr und alles, was auf dem GL.iNet-Router ausdrücklich umgangen wird, nutzt den Tunnel nicht. In dieser Anleitung dient ein GL.iNet-Router als Gateway: Diese weitverbreiteten Router für Privatanwender unterstützen WireGuard nativ und erfordern kein Aufspielen anderer Firmware.
Endgültige Netzwerktopologie:
Modem → GL.iNet-Router (Windscribe WireGuard aktiv) → eero-Gateway (Bridge-Modus) → eero-Knoten
Modem-Router-Kombigeräte: Wenn das von deinem Internetanbieter bereitgestellte Gerät Modem und Router kombiniert (häufig bei Kabel- und Glasfaser-Gateways), versetze es in den Bridge- oder Passthrough-Modus, sofern dein Anbieter dies zulässt. Falls das nicht möglich ist, funktioniert die Topologie trotzdem, allerdings befindet sich dann eine zusätzliche NAT-Schicht vor dem GL.iNet-Router.
Abbildung 1: Die vollständige Topologie – der GL.iNet-Router baut den Tunnel auf, das eero-Mesh läuft dahinter im Bridge-Modus und das Gateway-eero ist mit einem GL.iNet-LAN-Port verbunden, niemals mit dem GL.iNet-WAN-Port.
Was du benötigst
- Ein kostenpflichtiges Windscribe-Konto: Pro oder Build-A-Plan mit dem gewünschten kostenpflichtigen Standort. Die manuelle Erstellung einer WireGuard-Konfiguration ist für kostenlose Konten nicht verfügbar.
- Ein GL.iNet-Router mit WireGuard-Unterstützung (z. B. GL-MT3000 „Beryl AX“, GL-AXT1800 „Slate AX“ oder GL-MT6000 „Flint 2“)
- Ein Computer oder Smartphone für den Zugriff auf das GL.iNet-Administrationspanel
- Die installierte eero-App (iOS oder Android), in der du bei deinem eero-Konto angemeldet bist
- Zwei Ethernet-Kabel (Modem zum GL.iNet-WAN-Port, GL.iNet-LAN-Port zum Gateway-eero)
Schritt 1: Eine WireGuard-Konfigurationsdatei bei Windscribe erstellen
- Melde dich unter windscribe.com bei deinem Konto an.
- Gehe zu My Account und wähle anschließend im Bereich Config Generator den Tab WireGuard aus.
- Konfiguriere die folgenden Einstellungen:
- Location: Wähle das gewünschte Land und die gewünschte Stadt.
- Port: 443 UDP (verwende diesen Port, wenn du nicht sicher bist, welchen du auswählen sollst).
- Key Pair: Wähle New Key Pair, sofern du kein vorhandenes Schlüsselpaar erneut verwenden möchtest.
- Klicke auf Download Config.
- Speichere die Datei
.conf auf deinem Computer. Diese Datei enthält deinen privaten Schlüssel, den öffentlichen Schlüssel des Servers, die zugewiesene IP und die Adresse des DNS-Servers. Bewahre sie sicher auf.
Hinweis zu R.O.B.E.R.T.: Deine kontoweiten R.O.B.E.R.T.-Einstellungen bei Windscribe (Werbeblockierung, Malware-Filterung) gelten, wenn die DNS-Server von Windscribe aktiv sind. Da die WireGuard-Konfigurationsdatei DNS-Anfragen standardmäßig an die Resolver von Windscribe leitet, ist die R.O.B.E.R.T.-Filterung für alle Geräte im eero-Netzwerk aktiv, sobald der Tunnel verbunden ist – vorausgesetzt, GL.iNet verwendet den DNS-Wert aus der Windscribe-Konfiguration und auf dem Router ist keine benutzerdefinierte DNS-Überschreibung festgelegt.
Schritt 2: WireGuard auf dem GL.iNet-Router einrichten
2a. Auf das GL.iNet-Administrationspanel zugreifen
- Verbinde den GL.iNet-Router per Ethernet mit deinem Computer oder stelle eine Verbindung zu seinem standardmäßigen WLAN her (SSID und WLAN-Passwort stehen auf dem Etikett des Routers).
- Öffne einen Browser und rufe
192.168.8.1 auf.
- Melde dich mit dem Administratorpasswort an, das du bei der Ersteinrichtung von GL.iNet erstellt hast. Wenn du das Gerät zum ersten Mal einrichtest, folge den Anweisungen auf dem Bildschirm, um ein Passwort zu erstellen.
2b. Die Windscribe-Konfiguration hochladen
- Gehe im GL.iNet-Administrationspanel zu VPN > WireGuard Client.
- Klicke auf Add Manually.
- Wähle den Upload-Bereich und dann die in Schritt 1 von Windscribe heruntergeladene Datei
.conf aus.
Abbildung 2: Das Upload-Panel im WireGuard Client von GL.iNet. Die Datei .conf von Windscribe gehört zu den akzeptierten Dateitypen. Screenshot: GL.iNet.
- Gib der Gruppe bzw. dem Profil einen aussagekräftigen Namen (z. B.
Windscribe-Canada-443), damit du Serverstandorte bei mehreren Konfigurationen leicht unterscheiden kannst.
- Klicke auf Apply.
Integrierte Windscribe-Option: Die aktuelle GL.iNet-Firmware bietet unter VPN > WireGuard Client > Windscribe auch einen integrierten Einrichtungsweg für Windscribe. Dabei werden derselbe Benutzername und dasselbe Passwort abgefragt, mit denen du dich bei Windscribe anmeldest. Anschließend kannst du Server auswählen. Beim oben beschriebenen manuellen Konfigurationsweg musst du dein Windscribe-Kontopasswort nicht in den Router eingeben.
Abbildung 3: Beim integrierten Windscribe-Anmeldeschritt werden dein Windscribe-Benutzername und dein Passwort abgefragt. Beim oben beschriebenen manuellen Konfigurationsweg musst du sie nicht in den Router eingeben. Screenshot: GL.iNet.
2c. Den Tunnel verbinden
- Suche unter WireGuard Client das Windscribe-Profil, das du gerade hinzugefügt hast.
- Klicke neben dem Profil auf das Symbol mit den drei Punkten und wähle Start.
Abbildung 4: Das Drei-Punkte-Menü neben einem Profil. Screenshot: GL.iNet.
- Nach dem Verbindungsaufbau zeigt GL.iNet neben dem Profilnamen einen grünen Punkt an. Öffne das VPN Dashboard, wenn du die Verbindungsdetails sehen möchtest.
Abbildung 5: GL.iNet kennzeichnet das verbundene Profil mit einem grünen Punkt; die angezeigten Hostnamen sind WireGuard-Endpunkte von Windscribe. Screenshot: GL.iNet.
- Um zu bestätigen, dass der Tunnel aktiv ist, öffne ipleak.net auf einem Gerät, das mit dem WLAN des GL.iNet-Routers verbunden ist. Die angezeigte IP-Adresse sollte eine Ausgangs-IP von Windscribe sein und nicht die echte, von deinem Internetanbieter zugewiesene IP. Der Standort, den die Testseite dieser IP zuordnet, stimmt möglicherweise nicht mit der von dir ausgewählten Stadt überein, da Geolokalisierungsdatenbanken ungenau sind.
Schritt 3: eero in den Bridge-Modus versetzen
Vor dem Umverkabeln: Lass dein bestehendes eero-Netzwerk lange genug online, um in der eero-App die Einstellung DHCP & NAT zu ändern. Nachdem der Bridge-Modus gespeichert wurde, schalte alle Geräte aus und verkabele sie gemäß der Topologie am Anfang dieser Anleitung neu.
Standardmäßig übernimmt das Gateway-eero NAT und DHCP selbst. Wenn du es unverändert hinter dem GL.iNet-Router platzierst, entsteht doppeltes NAT. Dies kann die Leistung beeinträchtigen und bestimmte Anwendungen stören. Der Bridge-Modus beseitigt die zusätzliche NAT-Schicht zwischen dem GL.iNet-Router und dem eero-Netzwerk.
3a. Den Bridge-Modus in der eero-App aktivieren
- Öffne die eero-App.
- Tippe auf den Tab Settings.
- Tippe auf Advanced networking und anschließend unter Network services auf DHCP & NAT.
- Ändere den Modus von Automatic zu Bridge.
- Tippe auf Save. Der Bridge-Modus deaktiviert mehrere erweiterte Netzwerkfunktionen von eero und Funktionen von eero Plus: Advanced Security, Ad Blocking, Content Filters, historische Datennutzung und Hotspot Backup. Die grundlegende WLAN- und Mesh-Abdeckung funktioniert weiterhin. Eine aktuelle Liste findest du im eero-Artikel zum Bridge-Modus. Bestätige, um fortzufahren.
Im Bridge-Modus übernimmt der GL.iNet-Router DHCP sowie das nachgelagerte Routing und NAT für das eero-Netzwerk. Die eero-Geräte fungieren weiterhin als Access Points und verteilen das WLAN über das Mesh.
Abbildung 6: Der Pfad zum Bridge-Modus in der eero-App, die Funktionen, die nach der Änderung weiterarbeiten, und jene, die nicht mehr funktionieren.
3b. Das eero-Gateway mit dem GL.iNet-Router verbinden
- Verbinde einen Ethernet-Port des Gateway-eero mit einem LAN-Port des GL.iNet-Routers.
- Verbinde das eero nicht mit dem GL.iNet-WAN-Port; es muss mit einem GL.iNet-LAN-Port verbunden werden.
- eero-Knoten (Satellitengeräte) verbinden sich wie gewohnt mit dem Gateway-eero – je nach deiner Einrichtung per WLAN-Backhaul oder Ethernet-Backhaul.
Führe einen Neustart mit vollständiger Stromunterbrechung zuerst beim GL.iNet-Router, dann beim Gateway-eero und anschließend bei allen eero-Knoten durch (falls sie sich nicht automatisch wieder verbinden). Warte bei jedem Gerät 60 bis 90 Sekunden, bis es vollständig hochgefahren ist.
Schritt 4: Die vollständige Einrichtung überprüfen
Wenn alle Geräte verbunden sind und der WireGuard-Tunnel auf dem GL.iNet-Router aktiv ist:
- Verbinde ein Smartphone oder einen Laptop mit deinem eero-WLAN (nicht direkt mit dem GL.iNet-WLAN).
- Rufe ipleak.net oder browserleaks.com/ip auf.
- Überprüfe Folgendes:
- Die IP-Adresse ist eine Ausgangs-IP von Windscribe und nicht die IP deines Internetanbieters. Der Standort, den die Testseite dieser IP zuordnet, stimmt möglicherweise nicht mit der von dir ausgewählten Stadt überein.
- Im DNS-Bereich werden die DNS-Resolver von Windscribe angezeigt und nicht die DNS-Server deines Internetanbieters. Ein DNS-Leak bedeutet, dass DNS-Anfragen nicht das DNS von Windscribe verwenden, selbst wenn der IP-Tunnel aktiv ist.
- Prüfe IPv6 separat. Wenn die Testseite eine IPv6-Adresse deines Internetanbieters anzeigt, wird dein IPv6-Datenverkehr nicht durch den Windscribe-Tunnel geleitet. Deaktiviere IPv6 auf dem GL.iNet-Router (unter Network > IPv6) und teste erneut, bevor du die Einrichtung als leakfrei betrachtest.
Wenn weiterhin deine echte, vom Internetanbieter zugewiesene IP-Adresse angezeigt wird, lies den nachfolgenden Abschnitt zur Fehlerbehebung.
Verfügbarkeit von Windscribe-Funktionen auf Routerebene
- IP-Maskierung für alle eero-Geräte: Aktiv für gerouteten IPv4-Datenverkehr von Geräten, die mit eero verbunden sind, solange der WireGuard-Tunnel verbunden ist und die Leak-Tests bestanden werden.
- R.O.B.E.R.T. (DNS-basierte Werbe- und Malware-Blockierung): Auf Netzwerkebene aktiv, wenn das DNS von Windscribe über die WireGuard-Konfiguration verwendet wird. Lege deine R.O.B.E.R.T.-Einstellungen im Dashboard deines Windscribe-Kontos fest. Stelle sicher, dass auf dem GL.iNet-Router keine benutzerdefinierte DNS-Überschreibung festgelegt ist.
- Static IP: Funktioniert bei kostenpflichtigen Konten mit einem Static IP-Add-on. Bei Build-A-Plan erfordert die Berechtigung für Static IP das Add-on Unlimited Bandwidth and R.O.B.E.R.T. Erstelle die WireGuard-Konfiguration für die Static IP mit dem Konfigurationsgenerator und lade sie als separates Profil hoch.
- Split Tunneling (pro Gerät oder App): Ist auf Routerebene nicht verfügbar. Dafür ist auf jedem Gerät die Desktop- oder Mobil-App von Windscribe erforderlich.
- Kill Switch: Aktiviere bei GL.iNet-Firmware 4.7 oder älter Block Non-VPN Traffic (in einigen Versionen auch Kill Switch genannt) unter VPN > VPN Dashboard > VPN Client > Global Options. Bei Firmware 4.8 oder neuer ist bei aktivem Tunnel ein tunnelspezifischer Kill Switch verfügbar; außerdem gibt es im Policy Mode einen separaten Enhanced Kill Switch. Prüfe die Option für deine Firmware und teste ihr Verhalten nach dem Trennen und erneuten Verbinden mit einem Leak-Test.
- Portweiterleitung: Wird von dieser WireGuard-Routereinrichtung nicht abgedeckt. Eine permanente Portweiterleitung erfordert eine Static IP. Temporäre Portweiterleitung ist ausschließlich mit Pro verfügbar und wird auf der Windscribe-Kontoseite konfiguriert. Ob sie bei einer WireGuard-Einrichtung auf Routerebene funktioniert, hängt jedoch von deiner spezifischen Konfiguration ab. Gehe nicht davon aus, dass diese Einrichtung die Portweiterleitung übernimmt.
Windscribe-Serverstandorte wechseln
- Melde dich unter windscribe.com an und erstelle gemäß Schritt 1 eine neue WireGuard-Konfiguration für den gewünschten Serverstandort.
- Gehe im GL.iNet-Administrationspanel zu VPN > WireGuard Client.
- Klicke beim aktiven Windscribe-Profil auf Disconnect.
- Lade die neue Konfigurationsdatei hoch und benenne sie entsprechend.
- Klicke neben dem neuen Profil auf das Symbol mit den drei Punkten und wähle Start.
Du kannst mehrere Windscribe-Konfigurationen im GL.iNet-Panel speichern (eine pro Serverstandort) und zwischen ihnen wechseln, ohne die Dateien jedes Mal erneut herunterzuladen.
Fehlerbehebung
Alle mit eero verbundenen Geräte zeigen meine echte IP-Adresse an
- Stelle sicher, dass das WireGuard-Profil in GL.iNet eine grüne Verbindungsanzeige zeigt.
- Überprüfe, ob das Ethernet-Kabel vom Gateway-eero mit einem GL.iNet-LAN-Port und nicht mit dem GL.iNet-WAN-Port verbunden ist.
- Starte den GL.iNet-Router neu und warte 30 Sekunden. Starte anschließend das Gateway-eero neu.
Die eero-App zeigt nach Aktivierung des Bridge-Modus „Keine Internetverbindung“ an
- Stelle sicher, dass der GL.iNet-Router vollständig hochgefahren ist und über eine aktive Internetverbindung verfügt, bevor du das Gateway-eero einschaltest.
- Stelle sicher, dass das Ethernet-Kabel von einem GL.iNet-LAN-Port zum Gateway-eero und nicht zum GL.iNet-WAN-Port führt.
- Falls die eero-App weiterhin keine Verbindung anzeigt, deaktiviere den Bridge-Modus, starte beide Geräte neu und aktiviere den Bridge-Modus erneut, sobald die Verbindung wiederhergestellt ist.
DNS-Leak auf ipleak.net erkannt
- Öffne die Datei
.conf in einem Texteditor und suche die Zeile DNS =. Stelle sicher, dass sie der DNS-Adresse in deiner erstellten Windscribe-Konfiguration entspricht.
- Gehe im GL.iNet-Administrationspanel zu Network > DNS und stelle sicher, dass keine benutzerdefinierte DNS-Einstellung das DNS des WireGuard-Tunnels überschreibt.
IPv6-Leak erkannt
- Wenn ein IPv6-Test die IPv6-Adresse deines Internetanbieters anzeigt, gehe im GL.iNet-Administrationspanel zu Network > IPv6 und deaktiviere IPv6.
- Teste erneut unter ipleak.net, um sicherzustellen, dass keine IPv6-Adresse deines Internetanbieters angezeigt wird.
Die WireGuard-Verbindung wird zeitweise unterbrochen
- Verwende Update Servers im GL.iNet WireGuard Client, um die Liste der verfügbaren Server zu aktualisieren.
- Wechsle zu einem anderen Windscribe-Serverstandort oder erstelle die Konfiguration mit einem anderen UDP-Port neu, den der WireGuard-Generator von Windscribe anbietet.
- Suche unter System > Upgrade nach Firmware-Updates für GL.iNet.
Die Warnung vor doppeltem NAT bleibt in der eero-App bestehen
- Der Bridge-Modus wurde möglicherweise nicht korrekt gespeichert. Wiederhole Schritt 3a und stelle sicher, dass als Modus Bridge und nicht Automatic angezeigt wird.
- Schließe die eero-App nach dem Speichern vollständig und öffne sie erneut, um den Status zu aktualisieren. Beachte, dass ein Modem-Router des Internetanbieters, der sich nicht im Bridge-Modus befindet, weiterhin eine separate vorgelagerte NAT-Schicht erzeugen kann.
Häufig gestellte Fragen
