Google Nest Wifi (alle Generationen), Google Wifi und Nest Wifi Pro verwenden proprietäre Firmware von Google und unterstützen es nicht, einen VPN-Client direkt auf dem Gerät auszuführen. Windscribe unterstützt das Aufspielen anderer Firmware auf Google-Mesh-Hardware nicht als Einrichtungsweg.
Es gibt zwei praktische Möglichkeiten, Datenverkehr in einem Google-Mesh-Netzwerk durch Windscribe zu leiten:
Abbildung 1: Die beiden Möglichkeiten im direkten Vergleich – was sie jeweils abdecken und welche Nachteile sie mit sich bringen.
Der VPN-Router befindet sich zwischen deinem Modem und dem Google-Mesh-System. Der Datenverkehr durchläuft die Geräte in dieser Reihenfolge:
Gerät → Google-Mesh-Knoten → VPN-Router → Windscribe-Server → Internet
Manuelle OpenVPN- und WireGuard-Konfigurationen umfassen nicht die integrierten Schutzfunktionen der Windscribe-App. Beachte daher Folgendes, bevor du fortfährst:
Wenn der VPN-Tunnel abbricht und dein Router nicht so konfiguriert ist, dass er Nicht-VPN-Datenverkehr blockiert, wird dein Datenverkehr ohne Warnung über die reguläre WAN-Verbindung geleitet. Weitere Informationen findest du im Abschnitt zum Kill Switch unter Fehlerbehebung.
Abbildung 2: Wo sich der VPN-Router befindet, welche Geräte sich innerhalb des Tunnels befinden und in welcher Reihenfolge alles eingeschaltet wird.
.conf herunterzuladen..ovpn herunterzuladen. Wähle anschließend separat Get Credentials und notiere den erstellten OpenVPN-Benutzernamen und das Passwort. Diese unterscheiden sich von deinen normalen Windscribe-Anmeldedaten.WireGuard-Pakete installieren
192.168.1.1.luci-proto-wireguard, wireguard-tools und kmod-wireguard. Starte den Router nach der Installation neu.Schnittstelle erstellen
windscribe) und lege als Protokoll WireGuard VPN fest. Klicke auf Create Interface.Konfigurationsdatei auslesen
Öffne die heruntergeladene Datei .conf in einem reinen Texteditor. Sie enthält Werte in der folgenden Form:
[Interface] PrivateKey = <your_private_key> Address = <your_vpn_tunnel_ip> DNS = <dns_server>[Peer] PublicKey = <server_public_key> PresharedKey = <preshared_key> AllowedIPs = <allowed_ip_ranges> Endpoint = <server_hostname>:<port>
PresharedKey ist in manchen Windscribe-Konfigurationen enthalten und fehlt in anderen. Füge ihn ein, wenn er in deiner Datei vorhanden ist; andernfalls lässt du das Feld leer. Betrachte jeden erstellten Wert, einschließlich AllowedIPs, als maßgeblich für diese Konfiguration.
Abbildung 3: Dieselben sieben erstellten Konfigurationswerte werden OpenWrt LuCI und DD-WRT zugeordnet. Kopiere AllowedIPs genau aus deiner Datei und füge keine IPv6-Route hinzu, sofern die Konfiguration keinen funktionierenden IPv6-Tunnel bereitstellt.
General Settings tab
PrivateKey einAddress einAdvanced Settings tab
DNS ein. Ohne diesen Wert werden DNS-Anfragen möglicherweise nicht durch den VPN-Tunnel geleitet.Peers tab
Klicke auf Add Peer und gib Folgendes ein:
PublicKey unter [Peer]PresharedKey, falls er in der Konfigurationsdatei vorhanden ist; andernfalls lässt du das Feld leerAllowedIPsEndpointEndpoint25Klicke auf Save.
Firewall und Routing
Gehe zu Network > Firewall und konfiguriere die WireGuard-Schnittstelle so, dass LAN-Datenverkehr an sie weitergeleitet werden kann und Masquerading für den VPN-Ausgang aktiviert ist. Am übersichtlichsten ist eine eigene VPN-Firewall-Zone. Die Schnittstelle der vorhandenen WAN-Zone zuzuweisen, kann ebenfalls funktionieren, das Verhalten variiert jedoch je nach OpenWrt-Version und Konfiguration.
Bei den meisten OpenWrt-Versionen übernimmt WireGuard das Routing automatisch über route_allowed_ips. Überprüfe unter Network > Routing, ob Routen, die den erstellten AllowedIPs-Werten entsprechen, auf der WireGuard-Schnittstelle vorhanden sind. Falls sie fehlen und du Routen manuell hinzufügst, stelle sicher, dass sie nicht mit einer vorhandenen Standard-WAN-Route in Konflikt stehen.
Klicke auf Save & Apply.
Windscribe bietet zwei aktuelle Anleitungen für WireGuard auf DD-WRT. Verwende die empfohlene Anleitung, wenn dein DD-WRT-Build den Import von Konfigurationen unterstützt. Verwende die manuelle Anleitung für ältere Builds oder wenn du die Werte lieber von Hand eingibst:
Die folgenden Schritte entsprechen dem allgemeinen Ablauf der manuellen Methode.
192.168.1.1..conf über die Importoption, sofern dein Build dies unterstützt, oder gib die Werte aus der Konfiguration manuell ein:
PrivateKeyAddressDNS[Peer] ein:
PublicKeyPresharedKey, falls vorhandenEndpointAllowedIPs25Wenn dein DD-WRT-Build WireGuard nicht unterstützt, verwende OpenVPN und ziehe das Windscribe-Hilfezentrum zurate, anstatt einer veralteten DD-WRT-OpenVPN-Anleitung zu folgen.
Wenn das Google-Mesh-System hinter einem weiteren Router platziert wird, entsteht doppeltes NAT: zwei Schichten Network Address Translation. Bei den meisten Aktivitäten verursacht dies keine Probleme. Bei Spielen, VoIP und Diensten, die eine Portweiterleitung erfordern, kann es jedoch zu Problemen kommen.
Wenn du ein einzelnes Google Wifi-Gerät ohne zusätzliche Mesh-Knoten verwendest:
Der Bridge-Modus ist verfügbar, wird von Google jedoch nicht als bevorzugte Konfiguration empfohlen. So aktivierst du ihn:
Bei aktiviertem Bridge-Modus dient das Google-Gerät als durchleitender Access Point. NAT und DHCP für das nachgelagerte Google-Netzwerk werden vom vorgelagerten VPN-Router übernommen.
Wenn du mehrere Google-Mesh-Knoten verwendest:
Versetze den primären Knoten nicht in den Bridge-Modus. Wird der Bridge-Modus bei einer Einrichtung mit mehreren Knoten auf dem primären Knoten aktiviert, werden die Mesh-Funktion und mehrere Funktionen von Google Nest Wifi deaktiviert. Gehe stattdessen wie folgt vor:
Abbildung 4: Ob du den Bridge-Modus verwenden solltest, hängt davon ab, wie viele Google Wifi-Geräte du hast und ob dein ISP-Gerät ebenfalls NAT ausführt. Das Diagramm enthält den abschließenden Schritt Save sowie die Grenzen der Pro-exklusiven und der eine Static IP voraussetzenden Portweiterleitung.
Diese Anleitung konfiguriert das IPv4-Routing durch Windscribe. Wenn dein Router oder Google-Netzwerk auch IPv6-Datenverkehr weiterleitet und dieser nicht durch den Tunnel geroutet wird, umgeht er das VPN und legt auf IPv6-fähigen Websites deine echte IP-Adresse offen.
So verhinderst du dies:
Führe nach Abschluss der Einrichtung alle drei Prüfungen durch.
Installiere Windscribe direkt auf jedem Gerät. Dazu sind keine Änderungen am Router erforderlich, die Einrichtung muss jedoch auf jedem Gerät einzeln erfolgen.
Der Download ist unter windscribe.com/download verfügbar.
Die Desktop- und Mobil-Apps enthalten die integrierte Firewall von Windscribe, die den gesamten Datenverkehr blockiert, wenn der VPN-Tunnel unerwartet abbricht. Dieser Schutz ist in der Browsererweiterung nicht verfügbar.
Das VPN ist aktiv, aber die IP-Adresse hat sich nicht geändert: Stelle sicher, dass der VPN-Tunnel aktiv ist und Datenverkehr weiterleitet. Überprüfe unter OpenWrt unter Network > Routing, ob Routen vorhanden sind, die den erstellten AllowedIPs-Werten auf der WireGuard-Schnittstelle entsprechen. WireGuard fügt sie normalerweise automatisch über route_allowed_ips hinzu. Überprüfe bei DD-WRT den Verbindungsstatus unter Status > WireGuard oder Status > OpenVPN.
Kill Switch: Fail-closed-Verhalten konfigurieren: Ohne die Firewall der Windscribe-App muss der VPN-Router manuell so konfiguriert werden, dass er Datenverkehr außerhalb des Tunnels blockiert. Die genaue Vorgehensweise hängt von der Firmware ab und liegt außerhalb des Umfangs dieser Anleitung. Informationen zur Fail-closed-Konfiguration der VPN-Firewall findest du in der Dokumentation deiner Routerplattform. Falls Windscribe eine Anleitung zum Kill Switch für deine Firmware veröffentlicht, folge dieser statt allgemeinen Firewall-Regeln.
Langsame Geschwindigkeiten: WireGuard bietet in den meisten Fällen einen höheren Durchsatz als OpenVPN und sollte verwendet werden, wenn es unterstützt wird. Wenn du OpenVPN über TCP verwendest, wechsle zu UDP. Wähle einen Windscribe-Server, der sich geografisch in deiner Nähe befindet. Überprüfe außerdem die CPU-Auslastung des VPN-Routers: Ältere Hardware für Privatanwender kann den VPN-Durchsatz unabhängig von der Verbindungsgeschwindigkeit begrenzen.
DNS-Leaks: Lege auf der VPN-Schnittstelle als DNS-Server den Wert aus dem Feld DNS der Windscribe-Konfigurationsdatei fest. Wenn bei einem Leak-Test weiterhin DNS-Server deines Internetanbieters angezeigt werden, stelle sicher, dass der VPN-Router das DNS von Windscribe durch den Tunnel leitet und dass das Google-Mesh-System den VPN-Router als vorgelagertes DNS und nicht das Gateway deines Internetanbieters verwendet. Wenn die erstellte Konfiguration keinen funktionierenden IPv6-Tunnel bereitstellt, deaktiviere IPv6, da IPv6-DNS-Anfragen andernfalls weiterhin deinen Internetanbieter erreichen können.
Doppeltes NAT verursacht Probleme mit Spielen, VoIP oder Portweiterleitung: Richte für lokalen Netzwerkverkehr sowohl auf dem VPN-Router als auch auf dem Google-Mesh-Router eine Portweiterleitung ein. Wenn außerdem eingehender Datenverkehr einen Dienst durch den VPN-Tunnel selbst erreichen soll, reichen lokale Router-Weiterleitungen allein nicht aus: Du musst auch innerhalb von Windscribe eine Portweiterleitung einrichten. Temporäre Portweiterleitung ist ausschließlich mit Pro verfügbar. Permanente Portweiterleitung erfordert eine gekaufte Static IP. Einrichtungsdetails findest du im Abschnitt zur Portweiterleitung in deinem Windscribe-Konto oder in der Dokumentation. Wenn du ein einzelnes Google Wifi-Gerät verwendest, solltest du den Bridge-Modus wie in Teil 4 beschrieben aktivieren. Wenn dein ISP-Modem ebenfalls NAT ausführt, versetze zuerst das ISP-Gerät in den Bridge-Modus.
Der WireGuard-Tunnel bricht bei Inaktivität ab: Stelle sicher, dass Persistent Keep Alive in der Peer-Konfiguration auf 25 Sekunden festgelegt ist.
OpenVPN-Authentifizierung schlägt fehl: Stelle sicher, dass du die Windscribe-OpenVPN-Anmeldedaten verwendest, die du über Get Credentials im OpenVPN Config Generator erhalten hast, und nicht deine normalen Konto-Anmeldedaten. Lade die Konfigurationsdatei .ovpn erneut herunter, wenn das Problem weiterhin besteht.
Geräte im Google-Netzwerk können nach der Einrichtung nicht auf das Internet zugreifen: Führe den Neustart in dieser Reihenfolge durch: zuerst das Modem, als Zweites den VPN-Router und als Drittes den primären Google-Mesh-Knoten. Warte zwischen dem Einschalten der einzelnen Geräte jeweils 30 bis 60 Sekunden. Überprüfe unter OpenWrt, ob die Firewall-Zone der WireGuard-Schnittstelle korrekt für VPN-Weiterleitung und Masquerading konfiguriert ist. Lade die Konfigurationsdatei erneut über den Windscribe Config Generator herunter, um eine veraltete oder fehlerhafte Konfiguration auszuschließen.
Die App stellt eine Verbindung her, aber die Geschwindigkeit ist langsam: Wechsle zu einem Windscribe-Server, der sich geografisch näher an deinem Standort befindet. Wechsle auf einem Mobilgerät von einer Mobilfunkverbindung zu WLAN oder umgekehrt, um eine netzwerkseitige Drosselung auszuschließen. Überprüfe auf einem Desktop-Computer, ob eine andere Anwendung im Hintergrund Bandbreite verbraucht.
Die Windscribe-Firewall blockiert nach dem Trennen der Verbindung den gesamten Datenverkehr: Die Firewall der Windscribe-App ist so konzipiert, dass sie den gesamten Datenverkehr blockiert, wenn das VPN nicht aktiv ist. Um die normale Verbindung wiederherzustellen, verbinde dich erneut mit Windscribe oder deaktiviere vor dem Trennen der Verbindung die Firewall unter Preferences > Firewall.
Die Browsererweiterung schützt nicht den gesamten Datenverkehr: Die Erweiterungen für Chrome, Firefox und Edge schützen nur den Browserdatenverkehr. Der Datenverkehr anderer Apps auf demselben Gerät umgeht die Erweiterung vollständig. Installiere die vollständige Desktop- oder Mobil-App von Windscribe, um das gesamte Gerät zu schützen.
R.O.B.E.R.T. blockiert eine benötigte Website: Melde dich beim Dashboard deines Windscribe-Kontos an, gehe zum Bereich R.O.B.E.R.T. und überprüfe deine aktiven Blocklisten. Deaktiviere jede Kategorie, von der die Website erfasst wird, oder füge einen Whitelist-Eintrag für die entsprechende Domain hinzu.
Die Methode mit Apps auf den einzelnen Geräten (Methode B) funktioniert mit dem kostenlosen Tarif von Windscribe. Er bietet nach der Bestätigung der E-Mail-Adresse bis zu 10GB Datenvolumen pro Monat und für die Registrierung ist keine Kreditkarte erforderlich.
Für die Methode mit dem vorgelagerten Router (Methode A) ist ein kostenpflichtiges Konto erforderlich, um OpenVPN- oder WireGuard-Konfigurationsdateien zu erstellen. Zwei kostenpflichtige Optionen stehen zur Verfügung:
Überprüfe vor dem Kauf die aktuellen Preise unter windscribe.com/upgrade.