Überblick
Wenn du Windscribe auf deinem Router installierst, wird der Internetverkehr der Geräte, die dem VPN-Profil zugewiesen sind, durch das VPN geleitet: Smartphones, Smart-TVs, Spielkonsolen und andere Geräte, die sich darüber verbinden. Bei Routern mit einer Option zur Anwendung auf alle Geräte kann dies je nach Router die meisten Geräte im primären Netzwerk umfassen, abgesehen von den unten genannten Ausnahmen. Das ist besonders nützlich für Geräte, auf denen keine VPN-App nativ ausgeführt werden kann, und bedeutet, dass du die Verbindung nur einmal einrichten musst, statt auf jedem Gerät einzeln.
Achtung: Ein Router-VPN ist nützlich, aber kein magischer Unsichtbarkeitsmantel für dein gesamtes Netzwerk. Geräte in Gastnetzwerken oder an sekundären Access Points, lokaler LAN-Verkehr zwischen Geräten am selben Router, die eigenen Hintergrunddienste des Routers sowie Geräte, auf denen ein separates VPN oder ein Proxy läuft, werden nicht automatisch durch den Tunnel geleitet. Je nach Router und Konfiguration kann auch IPv6-Verkehr den Tunnel umgehen.
Abbildung 1: Was ein Tunnel auf Router-Ebene abdeckt und welche Lücken bei einem Leak-Test häufig übersehen werden.
Hinweis: Diese Anleitung gilt nur für die Standard-Firmware (OEM). Wenn auf deinem Router DD-WRT, OpenWrt oder Tomato/FreshTomato läuft, findest du die entsprechenden Firmware-Anleitungen von Windscribe in der Wissensdatenbank.
Hinweis zu GL.iNet: Die Standard-Firmware von GL.iNet basiert auf OpenWrt, verwendet aber eine eigene Router-Oberfläche von GL.iNet. Wenn du die Standard-Firmware von GL.iNet verwendest, befolge die GL.iNet-Schritte in dieser Anleitung und nicht die allgemeine OpenWrt-Anleitung. GL.iNet-Router verwenden häufig 192.168.8.1 für das Admin-Bedienfeld.
WireGuard® wird in der Standard-Firmware nur von bestimmten neueren Modellen unterstützt. Bevor du mit Teil 2 beginnst, prüfe, ob die aktuelle Firmware deines Routers eine native WireGuard-Client-Funktion enthält.
Abbildung 2: Ein VPN-Server und ein VPN-Client erfüllen entgegengesetzte Funktionen. Im ersten Schritt musst du herausfinden, welche davon dein Router bietet.
Voraussetzungen
- Ein kostenpflichtiges Windscribe-Abonnement vom Typ Pro oder Build-A-Plan, das für den Zugriff auf den Config Generator und das Herunterladen von Konfigurationsdateien erforderlich ist
- Zugriff auf das Admin-Bedienfeld deines Routers, normalerweise unter
192.168.1.1 oder 192.168.0.1
- Die Admin-Zugangsdaten deines Routers, normalerweise ein Admin-Passwort oder bei Systemen wie TP-Link Deco ein App- oder Cloud-Konto
- Ein Computer oder Smartphone, der bzw. das per Ethernet oder WLAN mit dem Router verbunden ist
- Wichtig: Router-Konfigurationen verfügen nicht über die Firewall der Windscribe-App. Wenn der Tunnel abbricht und dein Router keinen Kill-Switch hat, kann er den Datenverkehr ohne Weiteres wieder über deinen Internetanbieter leiten. Suche in den VPN-Client-Einstellungen deines Routers nach der Option Block traffic if VPN disconnects oder einer entsprechenden Kill-Switch-Option und aktiviere sie, bevor du dich zum Schutz deiner Privatsphäre auf diese Einrichtung verlässt. Viele Standard-Firmwares für Router bieten keinen echten Kill-Switch. Wenn dein Router keinen solchen Schutz bietet und du eine ausfallsichere Sperre benötigst, verwende stattdessen die Windscribe-App auf den einzelnen Geräten.
Abbildung 3: Verfügbarkeit eines Kill-Switches in der Standard-Firmware, anhand der Dokumentation der jeweiligen Anbieter geprüft.
Bevor du beginnst: Sichere die aktuellen Einstellungen deines Routers über die Export- oder Sicherungsfunktion im Admin-Bedienfeld. Nimm alle Änderungen vor, während du lokal per Ethernet oder WLAN mit dem Router verbunden bist. So kannst du das VPN-Profil deaktivieren und den Internetzugang wiederherstellen, ohne eine Remote-Verbindung zu benötigen, falls etwas schiefgeht.
Teil 1: OpenVPN einrichten
Schritt 1: Deine OpenVPN-Konfigurationsdatei herunterladen
- Öffne den Windscribe OpenVPN Config Generator und melde dich an.
- Wähle im Dropdown-Menü unter Location / IP einen Eintrag aus.
- Wähle unter Protocol: UDP wird für eine höhere Geschwindigkeit empfohlen; TCP kann bei instabilen oder eingeschränkten Verbindungen zuverlässiger sein.
- Wähle einen Port aus. Verwende 443, wenn du dir nicht sicher bist.
- Wähle die von deinem Router unterstützte OpenVPN Version aus. Wenn du dir nicht sicher bist, orientiere dich an den Kompatibilitätshinweisen des Generators und der Dokumentation deines Routers.
- Klicke auf Download Config und speichere die
.ovpn-Datei auf deinem Computer.
- Klicke auf Get Credentials. Kopiere den angezeigten OpenVPN-Benutzernamen und das Passwort. Diese unterscheiden sich von den Anmeldedaten deines Windscribe-Hauptkontos.
Schritt 2: Auf das Admin-Bedienfeld deines Routers zugreifen
- Öffne auf einem mit deinem Router verbundenen Gerät einen Browser.
- Gib die Gateway-IP deines Routers in die Adressleiste ein. Häufige Beispiele sind
192.168.1.1, 192.168.0.1 und 192.168.8.1 bei vielen GL.iNet-Routern. Wenn du dir nicht sicher bist, sieh auf dem Etikett an der Unterseite deines Routers nach.
- Melde dich mit den Admin-Zugangsdaten deines Routers an.
Schritt 3: Den VPN-Client-Bereich finden
Die Navigationspfade unterscheiden sich je nach Hersteller und Firmware-Version. Die folgenden Angaben sind ungefähre Ausgangspunkte und können je nach Modell abweichen:
- ASUS: Advanced Settings > VPN > VPN Client oder bei neuerer Firmware mit VPN Fusion: VPN > VPN Fusion > Add Profile > OpenVPN
- TP-Link Archer: Advanced > VPN Client
- GL.iNet: VPN > OpenVPN Client oder ab Firmware 4.9: VPN > VPN Client Profile
Abbildung 4: Der VPN-Client-Bereich in drei Standard-Oberflächen. Screenshots: ASUS, TP-Link, GL.iNet.
Wichtig: Viele Router mit Standard-Firmware unterstützen keine ausgehenden VPN-Client-Verbindungen. Die meisten Linksys-Router für Privatkunden bieten in ihrer Standard-Firmware keinen ausgehenden VPN-Client. Prüfe die Funktionsliste deines genauen Modells, bevor du fortfährst. Viele Netgear-Nighthawk- und D-Link-Router für Privatkunden bieten nur eine VPN-Server-Funktion für den Fernzugriff auf das Heimnetzwerk und können keine ausgehende Verbindung zu einem externen VPN-Dienst herstellen. Wenn dein Router keinen VPN Client-Bereich hat, kannst du DD-WRT oder OpenWrt installieren, sofern dein genaues Modell und dessen Hardware-Revision unterstützt werden, oder den Router durch ein Modell mit nativer VPN-Client-Funktion ersetzen.
Schritt 4: Ein neues OpenVPN-Profil hinzufügen
- Klicke im VPN Client-Bereich auf Add Profile oder die entsprechende Schaltfläche.
- Wähle OpenVPN als VPN-Typ aus.
- Importiere die von Windscribe heruntergeladene
.ovpn-Datei:
- Die meisten Oberflächen bieten eine Schaltfläche wie Import oder Browse, über die du die Datei direkt hochladen kannst.
- Bei einigen älteren Oberflächen musst du den vollständigen Inhalt der
.ovpn-Datei in ein Textfeld einfügen.
- Gib deinen Windscribe-OpenVPN-Benutzernamen und das Passwort aus dem Config Generator ein, nicht die Anmeldedaten deines Windscribe-Hauptkontos. Der im ASUS-Beispiel des Anbieters unten sichtbare Wert
admin ist ein Beispielwert der Oberfläche und kein Windscribe-Zugangsdatenwert.
Abbildung 5: Importieren der .ovpn-Datei und Auffinden der OpenVPN-Zugangsdatenfelder. Der ASUS-Screenshot enthält Beispielwerte des Anbieters; verwende ausschließlich die generierten Windscribe-OpenVPN-Zugangsdaten. Screenshots: ASUS, TP-Link.
- Speichere oder übernimm das Profil.
Schritt 5: Die OpenVPN-Verbindung aktivieren
- Suche in der VPN Client-Liste nach dem von dir erstellten Profil.
- Klicke auf Connect oder aktiviere den Schalter.
- Warte, bis sich der Status in Connected oder Active ändert. Der Status Connecting bedeutet noch nicht, dass der Tunnel funktioniert.
Abbildung 6: Wo drei Standard-Oberflächen den Profilstatus anzeigen. ASUS meldet Connected, TP-Link meldet Connecting und GL.iNet zeigt einen grünen Statuspunkt. Überprüfe den tatsächlichen Tunnel wie unten beschrieben von einem Client-Gerät aus. Screenshots: ASUS, TP-Link, GL.iNet.
Hinweis zu IPv6: Wenn dein Internetanbieter IPv6 bereitstellt, gehe nicht davon aus, dass OpenVPN in der Standard-Firmware deines Routers damit umgehen kann. Deaktiviere IPv6 in den Router- oder WAN-Einstellungen oder prüfe auf ipleak.net oder test-ipv6.com, dass während der Verbindung keine IPv6-Adresse deines Internetanbieters angezeigt wird.
Teil 2: WireGuard einrichten
Kompatibilität prüfen
WireGuard-Client-Unterstützung ist in der Standard-Firmware nur bei ausgewählten Modellen verfügbar. Häufige Beispiele, abhängig von Modell und Firmware, sind:
- ASUS: Unterstützte ASUS-Modelle mit aktueller Firmware und VPN Fusion-Unterstützung. Gleiche dein Modell mit dem ASUS-Supportartikel zum WireGuard VPN Client in VPN Fusion.
- GL.iNet: Die meisten aktuellen GL.iNet-Modelle bieten WireGuard-Client-Unterstützung in der Standard-Firmware. Prüfe dies jedoch für dein genaues Modell.
- TP-Link Archer: Nur ausgewählte Modelle und Firmware-Versionen. Prüfe vor dem Fortfahren in den Versionshinweisen zu deinem genauen Modell und dessen Hardware-Revision, ob der WireGuard-Client unterstützt wird.
- TP-Link Deco: Nur ausgewählte Modelle und Firmware-Versionen, die über die mobile Deco-App statt über das Web-Admin-Bedienfeld des Routers konfiguriert werden. Prüfe in den Versionshinweisen zu deinem genauen Modell und dessen Hardware-Revision, ob die Funktion unterstützt wird.
Überprüfe die Unterstützung in den Versionshinweisen oder der Funktionsliste des Herstellers deines Routers, bevor du fortfährst.
Abbildung 7: Wo die WireGuard-Unterstützung in der Standard-Firmware bestätigt ist und wie verlässlich die Liste des jeweiligen Anbieters ist.
Schritt 1: Eine WireGuard-Konfiguration erstellen
- Öffne den Windscribe WireGuard Config Generator und melde dich an.
- Wähle im Dropdown-Menü unter Location einen Eintrag aus.
- Wähle einen Port aus. Verwende 443, wenn du dir nicht sicher bist. WireGuard verwendet UDP. Netzwerke, die UDP blockieren oder drosseln, können die Verbindung daher unabhängig vom Port weiterhin blockieren.
- Lass unter Key Pair die Option New Key Pair ausgewählt oder wähle ein bereits zuvor erstelltes Schlüsselpaar.
- Klicke auf Download Config und speichere die
.conf-Datei.
Die Datei enthält deinen privaten Schlüssel, den öffentlichen Schlüssel des Servers, den vorab geteilten Schlüssel, den Endpunkt, die Routen, die Schnittstellenadressen und die DNS-Einstellungen. Gib diese Datei nicht weiter und bewahre sie nicht an einem ungesicherten Ort auf.
Schritt 2: Auf das Admin-Bedienfeld oder die App deines Routers zugreifen
- Befolge bei ASUS-, TP-Link-Archer- und GL.iNet-Routern dieselben browserbasierten Schritte wie in Teil 1, Schritt 2.
- Öffne bei TP-Link-Deco-Routern die Deco-App auf deinem Smartphone und melde dich bei deinem TP-Link-Konto an.
Schritt 3: Den WireGuard-Client-Bereich finden
- ASUS, unterstützte Modelle: VPN > VPN Fusion > Add Profile > WireGuard
- GL.iNet: VPN > WireGuard Client oder ab Firmware 4.9: VPN > VPN Client Profile
- TP-Link Archer, unterstützte Modelle: Advanced > VPN Client > WireGuard tab
- TP-Link Deco, unterstützte Modelle in der Deco-App: More > Advanced > VPN Client > Add Profile > WireGuard, anschließend die Konfiguration importieren
Menübezeichnungen können je nach Modell und Firmware-Version abweichen.
Schritt 4: Die WireGuard-Konfiguration importieren
- Klicke im WireGuard-Client-Bereich auf Add Profile, Import oder die entsprechende Option und lade anschließend die von Windscribe heruntergeladene
.conf-Datei hoch.
Abbildung 8: Importieren einer WireGuard-Konfigurationsdatei (.conf) in vier Oberflächen, einschließlich der Deco-App. Ausgefüllte Schlüssel- und Tunneladresswerte im TP-Link-Archer-Beispiel sind unkenntlich gemacht. Screenshots: ASUS, TP-Link, GL.iNet.
- Die meisten Router füllen die Felder automatisch aus der
.conf-Datei aus. Wenn bei deinem Router eine manuelle Eingabe erforderlich ist, übernimm jeden Wert aus der heruntergeladenen Konfiguration:
- Private Key: dein Client-Schlüssel aus
PrivateKey
- Address: die generierte IPv4-Adresse und die optionale IPv6-Adresse aus
Address
- DNS: der generierte Windscribe-DNS-Wert aus
DNS
- Public Key: der Windscribe-Serverschlüssel aus
PublicKey
- Preshared Key: der separate erforderliche Wert aus
PresharedKey
- Allowed IPs: übernimm den vollständigen Wert aus
AllowedIPs genau wie generiert. Füge keine Routen hinzu, entferne keine und schränke sie nicht ein.
- Endpoint: die Serveradresse und der Port aus
Endpoint
Abbildung 9: Die Felder, die ein Router abfragt, wenn er die Datei nicht importieren kann. Übernimm jeden generierten Schlüssel und jede Route genau wie angegeben.
Wenn der Router eine IPv6-Adresse oder eine MTU-Zeile ablehnt, entferne nur das Feld, das in der Dokumentation der genauen Firmware als nicht unterstützt angegeben ist. Entferne nicht PresharedKey und ändere AllowedIPs nicht. Wenn du IPv6-Felder entfernst, deaktiviere IPv6 auf Router- oder WAN-Ebene und prüfe auf ipleak.net, dass keine IPv6-Adresse deines Internetanbieters angezeigt wird.
- Speichere die Konfiguration.
Schritt 5: Die WireGuard-Verbindung aktivieren
- Wähle das importierte Profil aus.
- Klicke auf Connect oder aktiviere den Schalter.
- Warte, bis die Statusanzeige Connected oder Active anzeigt.
Gerätezuweisung
Bei einigen Routern kannst du auswählen, welche Geräte das jeweilige VPN-Profil verwenden. Wenn dein Router eine Gerätezuweisung, VPN Fusion, richtlinienbasiertes Routing oder die Option apply to clients bietet, stelle vor dem Überprüfen der Verbindung sicher, dass das Profil auf alle Geräte angewendet wird, deren Datenverkehr durch Windscribe geleitet werden soll.
Verbindung überprüfen
Überprüfe den Tunnel nach dem Aktivieren eines der beiden Protokolle von einem Gerät hinter dem Router aus:
- Öffne die Windscribe-Seite „What Is My IP“ oder ipleak.net. Vergewissere dich, dass die öffentliche Adresse zu einem VPN-Ausgangspunkt und nicht zu deinem normalen Internetanbieter gehört. Standortangaben können je nach Datenbank abweichen, daher ist der Stadtname allein kein Beweis.
- Prüfe auf ipleak.net auch die DNS-Angaben. Erwartet wird Windscribe-DNS, dessen IP- oder Stadtangabe nicht mit dem VPN-Ausgangspunkt übereinstimmen muss. Resolver deines Internetanbieters oder unerwartete Resolver von Drittanbietern müssen überprüft werden.
- Prüfe IPv6 separat. Eine sicher getunnelte VPN-IPv6-Adresse ist unproblematisch; die von deinem Internetanbieter zugewiesene IPv6-Adresse ist ein Leak. Wenn der Router die generierte IPv6-Route nicht tunneln kann, deaktiviere IPv6 auf dem Router oder am WAN und teste erneut.
Wenn die Adresse deines Internetanbieters oder unerwartete DNS-Resolver weiterhin sichtbar sind, trenne das VPN-Profil, stelle die Verbindung erneut her und prüfe noch einmal. Wenn das Problem bestehen bleibt, kontrolliere die Konfiguration auf Eingabefehler.
Abbildung 10: Die drei Prüfungen der Verbindung, einschließlich des DNS-Ergebnisses, das anders als der VPN-Ausgangspunkt aussehen kann, ohne dass ein Leak vorliegt.
Fehlerbehebung
Verbindung kann nicht hergestellt werden:
- Vergewissere dich, dass du deinen Windscribe-OpenVPN-Benutzernamen und das Passwort aus dem Config Generator verwendest und nicht die Anmeldedaten deines Windscribe-Hauptkontos.
- Wechsle bei OpenVPN das Protokoll: Lade eine neue Konfiguration mit TCP statt UDP oder umgekehrt herunter.
- Prüfe bei WireGuard den im Feld
Endpoint angegebenen Port. WireGuard verwendet ausschließlich UDP, daher kann es in manchen eingeschränkten Netzwerken unabhängig vom Port blockiert oder gedrosselt werden. Wenn 443 nicht funktioniert, erstelle die Konfiguration mit einem anderen verfügbaren Port neu. Wenn in diesem Netzwerk kein UDP-Port funktioniert, verwende stattdessen OpenVPN über TCP.
Einige Geräte scheinen das VPN zu umgehen:
- Bei Routern mit einer Option zur Anwendung auf alle Geräte wird der Datenverkehr von Geräten im primären Netzwerk im Allgemeinen durch den Tunnel geleitet, abgesehen von den oben genannten Fällen: Gastnetzwerke, sekundäre Access Points, VPNs oder Proxys auf Geräteebene, fest vorgegebenes DNS oder IPv6-Verkehr, den dein Router nicht tunnelt. Bei Routern mit VPN Fusion oder Gerätezuweisung, etwa einigen ASUS- und TP-Link-Modellen, müssen einzelne Geräte möglicherweise ausdrücklich dem VPN-Profil zugewiesen werden.
Die Geschwindigkeit ist deutlich geringer als erwartet:
- Wähle einen Windscribe-Server, der geografisch näher an deinem tatsächlichen Standort liegt.
- Wechsle bei OpenVPN von TCP zu UDP, falls du das noch nicht getan hast.
- WireGuard ist auf derselben Router-Hardware in der Regel schneller als OpenVPN. Die tatsächliche Geschwindigkeit hängt jedoch stark von der Router-CPU, der Firmware und davon ab, ob der Router über VPN-Beschleunigung verfügt.
OpenVPN schlägt mit TLS-, Zertifikats- oder Authentifizierungsfehlern fehl:
- Überprüfe, ob Datum und Uhrzeit des Routers richtig eingestellt sind. VPN-Handshakes können fehlschlagen, wenn die Uhr des Routers falsch geht. Die meisten Admin-Bedienfelder von Routern bieten unter Administration oder Advanced Settings eine Seite für Zeit- oder NTP-Einstellungen.
Der VPN-Tunnel bricht nach einer gewissen Inaktivitätszeit ab:
- Einige Router trennen inaktive VPN-Sitzungen. Suche in den VPN-Client-Einstellungen nach der Option Keep Alive oder Reconnect on Disconnect und aktiviere sie, falls deine genaue Firmware sie anbietet.
- Bei WireGuard ist ein dauerhafter Keepalive-Wert von 25 Sekunden eine gängige Einstellung, die NAT-Zeitüberschreitungen verhindert. Dieses Feld kann in der WireGuard-Peer-Konfiguration deines Routers erscheinen.
Der Tunnel wird verbunden, aber Websites reagieren nicht oder große Seiten laden nicht:
- Versuche, die VPN-MTU ausgehend vom Standardwert in kleinen Schritten zu verringern. Übliche Werte für die Fehlerbehebung liegen bei etwa 1400 für OpenVPN und 1380 für WireGuard, sofern dein Router diese Einstellung anbietet. Nicht jede Standard-Firmware tut das.
Dieser Router befindet sich hinter einem ISP-Gateway oder einem anderen Router:
- Der VPN-Client schützt nur Geräte, die diesen Router als Gateway verwenden. Wenn dein ISP-Gateway ebenfalls WLAN bereitstellt, verwenden Geräte, die mit diesem WLAN verbunden sind, nicht das VPN des Windscribe-Routers. Verbinde zu schützende Geräte mit dem Windscribe-Router oder versetze das ISP-Gateway in den Bridge- oder reinen Modemmodus, sofern dies unterstützt wird.
Das Admin-Menü des Routers weicht von dieser Anleitung ab:
- Optionsnamen und Positionen unterscheiden sich je nach Modell und Firmware-Version. Besuche das Windscribe-Hilfecenter und gib dort dein genaues Router-Modell und deine Firmware-Version an.
Hinweise zu Windscribe-Funktionen auf Router-Ebene
- Split Tunneling: Split Tunneling der Windscribe-App ist nicht verfügbar, wenn das VPN auf der Standard-Firmware des Routers ausgeführt wird. Richtlinienbasiertes Routing oder die Gerätezuweisung des Routers können ähnliche Steuerungsmöglichkeiten bieten. Wenn du Split Tunneling von Windscribe für einzelne Apps verwenden möchtest, installiere die Windscribe-App direkt auf dem Gerät.
- Firewall-Schutz: Die Firewall der Windscribe-App wird nicht auf Konfigurationen auf Router-Ebene übertragen. Ein Router kann einen eigenen Kill-Switch haben. Aktiviere und teste ihn, indem du das VPN trennst und sicherstellst, dass der Datenverkehr blockiert wird, statt wieder über den Internetanbieter zu laufen.
- R.O.B.E.R.T.: R.O.B.E.R.T. kann DNS-Anfragen nur filtern, wenn diese über Windscribe-DNS durch den VPN-Tunnel laufen. Geräte mit fest vorgegebenem DNS oder DNS over HTTPS können das Router-DNS umgehen.
- Static IPs: Static IPs funktionieren mit Router-Konfigurationen. Für den Kauf ist ein berechtigtes kostenpflichtiges Abonnement erforderlich; bei Build-A-Plan werden zusätzlich die Optionen Unlimited Bandwidth und R.O.B.E.R.T. benötigt. Static IPs sind jährliche Zusatzoptionen. Kehre nach dem Kauf zum Config Generator zurück und wähle den Static IP-Standort aus, um die passende OpenVPN- oder WireGuard-Konfiguration zu erstellen.
Abbildung 11: Welche Windscribe-Funktionen in einer Router-Konfiguration verfügbar sind und welche nur in der App bleiben.
Häufig gestellte Fragen
