In dieser Anleitung erfährst du, wie du Windscribe OpenVPN-Client auf einem Router mit DD-WRT-Firmware konfigurierst. Jedes Gerät, das diesen Router für den Internetzugang nutzt, leitet seinen Datenverkehr durch den VPN-Tunnel, solange der OpenVPN-Tunnel verbunden ist, sofern keine Umgehungen durch richtlinienbasiertes Routing eingerichtet sind und IPv6 korrekt gehandhabt wird.
Hinweis zu App-Funktionen: Eine manuelle Router-Konfiguration umfasst nicht alle Funktionen, die in Windscribe offiziellen Apps verfügbar sind. Firewall-Steuerung auf App-Ebene, automatischer Protokoll-Failover und von der App verwalteter Schutz vor Datenlecks sind bei dieser Einrichtung nicht verfügbar. Der Schutz vor Datenlecks muss wie in Teil 4 beschrieben manuell eingerichtet werden.
Geschätzter Zeitaufwand: 15–30 Minuten.
Verwende während der Konfiguration eine kabelgebundene Verbindung zu deinem Router. Änderungen an den VPN-Einstellungen können die WLAN-Verbindung vorübergehend unterbrechen.
Hinweis zur Firmware: Verwende immer den DD-WRT-Build, der speziell für dein exaktes Routermodell kompiliert wurde. Die Installation eines falschen Builds kann dazu führen, dass ein Router nicht mehr reagiert. Vergewissere dich vor Beginn, dass du weißt, wie du dein Gerät auf die Werkseinstellungen zurücksetzt, falls während der Konfiguration die Verbindung verloren geht.
OpenVPN ist ein bewährtes Open-Source-VPN-Protokoll, das den Datenverkehr zwischen einem Client-Gerät und einem VPN-Server mithilfe von TLS verschlüsselt. Windscribe unterstützt bei kostenpflichtigen Tarifen manuelle OpenVPN-Profile über den OpenVPN Config Generator. Der aktuelle Generator lädt ein .ovpn-Profil herunter und ruft die OpenVPN-Zugangsdaten separat ab. Für eine manuelle DD-WRT-Einrichtung müssen die Angaben aus diesem Profil den Feldern im Admin-Bereich des Routers zugeordnet werden.
Windscribe-Location.ovpn gespeichert.
Öffne die heruntergeladene .ovpn-Datei in einem Nur-Text-Editor. Du verwendest die darin enthaltenen Werte und eingebetteten Blöcke in DD-WRT:
remote enthält den Hostnamen und den Port des Servers: remote [hostname] [port].
proto enthält das Tunnelprotokoll.dev, cipher oder data-ciphers, auth, Komprimierung, Zertifikatsprüfung, MTU und MSS. Stimme deine DD-WRT-Felder auf dieses erstellte Profil ab, statt Beispielwerte aus einer anderen Anleitung zu verwenden.<ca>. Du kopierst den Zertifikatsinhalt zwischen <ca> und </ca> in das DD-WRT-Feld CA Cert.
<tls-auth>. Du kopierst seinen Inhalt in TLS Auth Key und behältst die Schlüsselrichtung des Profils bei, wenn dein DD-WRT-Build diese Einstellung anzeigt.
Windscribe erstellt separate OpenVPN-Zugangsdaten, die sich von den Anmeldedaten deines Hauptkontos unterscheiden.
Abbildung 1: Der aktuelle OpenVPN-Generator erstellt ein Profil; die Zugangsdaten werden separat abgerufen. Das Diagramm zeigt, welche Profilwerte und Blöcke DD-WRT benötigt.
Vor dem Aktivieren: Gehe zu Administration > Backup und speichere eine Kopie deiner aktuellen DD-WRT-Konfiguration. Falls die VPN-Einrichtung die Verbindung unterbricht, kannst du diese Sicherung wiederherstellen, nachdem du den Router zurückgesetzt oder wieder Zugriff darauf erlangt hast.
Setze Start OpenVPN Client auf Enable. Darunter werden weitere Konfigurationsfelder angezeigt.
Verwende die in Teil 1, Schritt 3 aus deiner .ovpn-Datei kopierten Werte und deine OpenVPN-Zugangsdaten aus Teil 1, Schritt 4.
Die DD-WRT-Feldnamen unterscheiden sich je nach Build. Stimme bedingte Felder auf dein erstelltes Profil und deinen genauen Router-Build ab. Wenn ein Feld fehlt, erfinde keine Entsprechung und kopiere keinen Beispielwert aus einem anderen Profil.
dev-Anweisung des Profils übereinstimmen. Aktuelle Windscribe-Routerprofile verwenden ein geroutetes TUN-Gerät.
cipher, data-ciphers und allen in deinem Profil vorhandenen Fallback-Anweisungen übereinstimmen. Gehe nicht davon aus, dass ein Algorithmus für jede OpenVPN-Version gilt.
auth-Anweisung des Profils übereinstimmen.
Ältere Builds: Wenn dein DD-WRT-Build nach dem Aktivieren von User Pass Authentication keine Felder für Username und Password anzeigt, verwende einen DD-WRT-Build für dein genaues Modell/deine genaue Revision, der Felder für OpenVPN-Benutzername und -Passwort enthält. Wenn die Authentifizierungsfelder leer bleiben, kann die Verbindung nicht authentifiziert werden.
Setze Advanced Options auf Enable. Dadurch wird der vollständige Satz an Konfigurationsfeldern eingeblendet.
tls-cipher oder tls-ciphersuites in deinem Profil übereinstimmen. Behalte andernfalls die Standardeinstellung deines DD-WRT-Builds bei.
compress oder comp-lzo übereinstimmen, wenn die Anweisung im erstellten Profil vorkommt. Lasse die Komprimierung andernfalls deaktiviert.
tun-mtu übereinstimmen, wenn dies im Profil angegeben ist. Behalte andernfalls die Standardeinstellung des Builds bei und ändere sie nur bei einem getesteten Path-MTU-Problem.
fragment übereinstimmen, wenn die Anweisung vorhanden ist; andernfalls leer lassen.
mssfix übereinstimmen, wenn die Anweisung vorhanden ist. Ändere den Wert nur bei einem getesteten MTU- oder Fragmentierungsproblem.
remote-cert-tls, verify-x509-name oder eine ältere ns-cert-type-Anforderung mit dem entsprechenden Steuerelement oder dem in deinem Build verfügbaren Feld Additional Config bei.
Verwende Additional Config nur für Anweisungen aus deiner erstellten .ovpn-Datei, für die es kein entsprechendes DD-WRT-Feld gibt:
reneg-sec 432000 nicht hinzu; der aktuelle Windscribe-Generator entfernt diese Anweisung absichtlich aus heruntergeladenen Profilen.
Füge keine vollständigen Beispielblöcke aus Screenshots oder älteren Anleitungen ein. Wenn du eine Anweisung nicht sicher zuordnen kannst, lasse das Feld unverändert und gleiche es mit deinem erstellten Profil und dem genauen DD-WRT-Build ab.
.ovpn-Datei den Block <ca>.
<ca> und </ca>, einschließlich der vollständigen Zeilen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----.
.ovpn-Datei den Block <tls-auth>.
<tls-auth> und </tls-auth>, einschließlich der tatsächlichen Kopf- und Fußzeilen aus deiner Datei.
key-direction oder den Richtungswert aus dem Tag <tls-auth> bei, wenn dein DD-WRT-Build dieses Steuerelement anzeigt.
Lasse Public Client Cert und Private Client Key leer, sofern deine erstellte .ovpn-Datei keine Blöcke <cert> oder <key> enthält. Aktuelle Windscribe-Profile mit Benutzername und Passwort erfordern keine Felder für clientbezogene Zertifikate.
Abbildung 2: Die in dieser Anleitung verwendeten OpenVPN Client-Felder. Grüne Werte stammen aus deinem Profil oder deinen Zugangsdaten; bedingte Felder müssen mit deiner erstellten Datei und dem genauen DD-WRT-Build übereinstimmen.
Klicke unten auf der Seite auf Save und anschließend auf Apply Settings. Der Router benötigt normalerweise etwa 30–60 Sekunden, um die Änderungen anzuwenden und eine Verbindung herzustellen.
Manuelle VPN-Konfigurationen blockieren nicht automatisch alle möglichen Datenlecks. Führe beide folgenden Schritte aus, bevor du dich zum Schutz deiner Privatsphäre auf diese Einrichtung verlässt.
Kein Kill-Switch: Diese Anleitung fügt keinen Kill-Switch auf Routerebene hinzu. Ohne separat getestete Fail-Closed-Firewall- und Routingregeln kann eine typische DD-WRT-Einrichtung mit Standardroute den Datenverkehr wieder über das reguläre WAN leiten, wenn der OpenVPN-Tunnel abbricht. DNS-Einstellungen allein verhindern dieses Zurückfallen nicht.
Abbildung 3: Das Fehlerszenario bei einem Tunnelabbruch für diese Einrichtung. Ohne separat getestete Fail-Closed-Regeln kann der Datenverkehr zum normalen WAN zurückkehren und die dem Internetanbieter zugewandte IP offenlegen.
Wenn unerwartete Resolver angezeigt werden, verlasse dich erst dann auf diese Einrichtung, wenn der DNS-Pfad korrigiert und erneut getestet wurde.
Der aktuelle OpenVPN-Generator weist darauf hin, dass einige Router für Privathaushalte kein vom Server übermitteltes DNS akzeptieren. Wenn dies auf deinen DD-WRT-Build zutrifft, konfiguriere Windscribe DNS wie folgt manuell. Dadurch werden DNS-Lecks verringert; es handelt sich nicht um einen Kill-Switch für den Datenverkehr:
10.255.255.1. Dies ist eine interne Windscribe-Adresse und funktioniert nur, solange eine Verbindung mit Windscribe besteht.
Betrachte diese OpenVPN-Routereinrichtung als reine IPv4-Lösung, sofern du nicht ausdrücklich überprüft hast, dass dein erstelltes Profil und der DD-WRT-Build IPv6 durch den Tunnel leiten. Windscribes automatische IPv6-Verarbeitung in den offiziellen Apps konfiguriert DD-WRT nicht für dich.
fe80::/10 ist nicht über das Internet routbar.
Wenn du IPv6 benötigst, verlasse dich erst dann auf diese Einrichtung, wenn du die erstellte IPv6-Route, den DNS-Pfad und das Verhalten bei einem Tunnelabbruch auf deinem genauen DD-WRT-Build überprüft hast.
Abbildung 4: Vier voneinander unabhängige Prüfungen für Tunnelstatus, öffentliche IP, DNS und IPv6. Das Bestehen einer Prüfung belegt nicht, dass die anderen sicher sind.
Wenn die Verbindungs- und Leckprüfungen erfolgreich sind, stoppe den Tunnel absichtlich und bestätige das erwartete Fail-Closed- oder WAN-Fallback-Verhalten, bevor du dich auf die Einrichtung verlässt.
.ovpn-Profil für den gewünschten Standort.
remote, proto, Verschlüsselung/Authentifizierung, Zertifikatsprüfung, <ca> und <tls-auth>.
<ca> und <tls-auth> ohne fehlende Zeilen kopiert wurde. Behalte die Richtung des TLS-Schlüssels bei.
10.255.255.1. Betrachte diese DNS-Einstellung nicht als Kill-Switch.
Wenn dein DD-WRT-Build WireGuard unterstützt, kann es auf leistungsschwächeren Routern eine bessere Performance als OpenVPN bieten. Suche nach Setup > Tunnels. Wenn dieser Punkt fehlt, enthält dein Build kein WireGuard. Eine Anleitung zur Einrichtung findest du in der von Windscribe empfohlenen DD-WRT-Anleitung für WireGuard.
Ja. Für manuelle Routerprofile ist ein Pro- oder Build-A-Plan-Abonnement erforderlich. Mit Build-A-Plan können nur Profile für die im Tarif enthaltenen Standorte erstellt werden; der Free-Tarif umfasst den OpenVPN Config Generator nicht.
Sie schützt Geräte, die diesen Router als Internet-Gateway verwenden, während der OpenVPN-Tunnel aktiv ist, sofern sie nicht durch einen anderen Router, eine VPN-App, ein Gastnetzwerk, VLAN oder eine Regel für richtlinienbasiertes Routing anderweitig geleitet werden. Ohne getestete Fail-Closed-Regeln kann der Datenverkehr zum regulären WAN zurückkehren, wenn der Tunnel abbricht.
Nein. Die offiziellen Apps umfassen die Windscribe Firewall, automatischen Protokoll-Failover und automatische IPv6-Verarbeitung. Ein manuelles Routerprofil konfiguriert diese App-Funktionen nicht. Die R.O.B.E.R.T.-Filterung hängt vom Konto und davon ab, ob der Router tatsächlich Windscribe DNS verwendet; überprüfe den DNS-Pfad, statt dies vorauszusetzen.
Ohne separat getestete Fail-Closed-Firewall- und Routingregeln kann eine typische DD-WRT-Einrichtung mit Standardroute den Datenverkehr zum regulären WAN zurückleiten. Der Anwendungsdatenverkehr verwendet möglicherweise weiterhin HTTPS oder eine andere Verschlüsselung, ist jedoch nicht mehr durch den VPN-Tunnel geschützt, und die dem Internetanbieter zugewandte IP kann offengelegt werden.
Betrachte sie als reine IPv4-Lösung, sofern das erstellte Profil und dein genauer DD-WRT-Build IPv6 nicht ausdrücklich durch den Tunnel leiten und die IPv6-, DNS- und Tunnelabbruchtests bestehen. Deaktiviere IPv6 andernfalls wie in Teil 4, Schritt 2 beschrieben.
Ja. Wähle im OpenVPN Config Generator unter Location / IP deine Static IP aus. Wähle bei Aufforderung das richtige Static IP-Gerät aus, bevor du die Zugangsdaten abrufst.
Bei Routern mit älteren oder leistungsschwächeren CPUs: ja. Die OpenVPN-Verschlüsselung ist CPU-intensiv. Wenn dein DD-WRT-Build WireGuard unterstützt, beansprucht dieses Protokoll die Hardware deutlich weniger.
Ja, aber erstelle ein neues .ovpn-Profil und vergleiche alle relevanten Werte und eingebetteten Blöcke. Gehe nicht davon aus, dass es genügt, nur Hostname, Port und Protokoll zu ändern.
Für manuelle Routerprofile ist ein Pro- oder Build-A-Plan-Abonnement erforderlich. Mit Build-A-Plan können nur Profile für die im Tarif enthaltenen Standorte erstellt werden.
Alles ist bereits eingerichtet, aber etwas funktioniert noch immer nicht? Die Windscribe-Communitys auf Reddit und Discord kennen so gut wie jedes Router-Konfigurationsproblem, das es gibt.