QNAP QuRouter WireGuard VPN mit VPN Tracker einrichten

QNAP QuRouter WireGuard VPN ermöglicht Ihnen den sicheren Zugriff auf Ihr Büro- oder Heimnetzwerk mit VPN Tracker auf Mac, iPhone oder iPad. Bei dieser Konfiguration arbeitet der QNAP Router als WireGuard VPN-Server und VPN Tracker als Client.

Diese Anleitung zeigt Ihnen, wie Sie WireGuard in QuRouter aktivieren, die benutzerspezifische .conf-Datei exportieren, in VPN Tracker hochladen und den Fernzugriff testen. Sie können auch direkt den QNAP QuRouter WireGuard Connection Creator öffnen.

So funktioniert die QNAP QuRouter WireGuard VPN-Konfiguration

Ihr QuRouter Gerät nimmt eingehende WireGuard Verbindungen aus dem Internet an. VPN Tracker authentifiziert sich mit einem individuellen Client-Schlüssel und einer Tunnel-Adresse. Anschließend wird der Datenverkehr in das Netzwerk hinter dem QNAP Router geleitet.

Damit dies zuverlässig funktioniert, muss der Router von außerhalb Ihres lokalen Netzwerks erreichbar sein. Ideal ist eine öffentliche IP-Adresse oder ein DDNS-Hostname. Befindet sich QuRouter hinter einem weiteren Modem oder Router, muss dieses vorgeschaltete Gerät den konfigurierten WireGuard UDP-Port an QuRouter weiterleiten.

Kompatible QNAP QuRouter Geräte

Diese Anleitung gilt für QNAP Router mit QuRouter und WireGuard Server-Unterstützung:

• QNAP QHora-301W
• QNAP QHora-321
• QNAP QHora-322
• QNAP QMiro-201W
• QNAP QMiroPlus-201W

Die Bezeichnungen einzelner Menüpunkte können sich je nach QuRouter Version geringfügig unterscheiden. Die benötigten WireGuard Einstellungen bleiben gleich.

Voraussetzungen

Sie benötigen:

• Administratorzugriff auf die QuRouter Weboberfläche
• Eine aktuelle QuRouter Firmware
• Eine öffentliche IP-Adresse oder einen DDNS-Hostnamen für den VPN-Endpunkt
• Das lokale Netzwerk, auf das Sie zugreifen möchten, zum Beispiel 192.168.100.0/24
• VPN Tracker auf Ihrem Mac, iPhone oder iPad oder der QNAP QuRouter Connection Creator

Prüfen Sie zuerst die Erreichbarkeit: Verwendet Ihr Internetanbieter Carrier-Grade NAT (CGNAT), können eingehende WireGuard Verbindungen Ihren Router in der Regel nicht erreichen. Fragen Sie Ihren Anbieter nach einer öffentlichen Adresse oder einer anderen Option für eingehende Verbindungen. Bei einem vorgeschalteten NAT-Router richten Sie eine UDP-Portweiterleitung für den WireGuard Port ein.

Vermeiden Sie überlappende Netzwerke. Das QuRouter LAN, der Adresspool für WireGuard Clients und das Netzwerk, aus dem Sie die Verbindung starten, sollten unterschiedliche IP-Bereiche verwenden.

Diese WireGuard Werte benötigen Sie

QuRouter schreibt die folgenden Werte in die exportierte WireGuard Konfigurationsdatei. Sie helfen Ihnen bei der Kontrolle des Imports oder bei einer manuellen Konfiguration als Ausweichlösung:

Wert	Beispiel	Quelle
VPN-Endpunkt	vpn.example.com	Ihre öffentliche IP-Adresse oder Ihr DDNS-Hostname
UDP-Port	51820	WireGuard Server-Einstellung in QuRouter
Öffentlicher Server-Schlüssel	Von QuRouter erzeugt	WireGuard Server-Einstellungen
Privater Client-Schlüssel	Für den QVPN Benutzer erzeugt	QVPN Benutzer-Datensatz; geheim halten
Client-Tunneladresse	198.18.7.2/32	Dem QVPN Benutzer zugewiesene Adresse
Entferntes Netzwerk	192.168.100.0/24	Ihr QuRouter LAN
DNS-Server	Optionaler interner oder öffentlicher DNS-Server	Ihre Netzwerkkonfiguration

Die angegebenen Adressen sind Beispiele. Verwenden Sie die Werte aus Ihrer eigenen QuRouter Konfiguration.

1. WireGuard Server in QuRouter konfigurieren

1. Melden Sie sich an der QuRouter Administrationsoberfläche an.
2. Öffnen Sie QVPN Servers und wählen Sie QVPN Settings.
3. Suchen Sie WireGuard und öffnen Sie die Bearbeiten-Aktion.
4. Aktivieren Sie den WireGuard Server.
5. Legen Sie den Client-IP-Pool fest. QNAP verwendet in der aktuellen Dokumentation standardmäßig 198.18.7.1/24. Ändern Sie ihn, falls sich dieser Bereich mit einem anderen verwendeten Netzwerk überschneidet.
6. Legen Sie den UDP-Port fest. Standard ist 51820. Ein anderer Port ist möglich, wenn VPN Tracker und eine eventuell vorgeschaltete Portweiterleitung denselben Wert verwenden.
7. Erzeugen Sie das Server-Schlüsselpaar und notieren Sie den öffentlichen Server-Schlüssel.
8. Konfigurieren Sie bei Bedarf DNS und Persistent Keepalive.
9. Wählen Sie Apply.

Befindet sich QuRouter hinter einem anderen Router, leiten Sie den gewählten UDP-Port an die WAN-Adresse von QuRouter weiter. Öffnen Sie nicht die QuRouter Administrationsoberfläche zum Internet, nur um VPN zu ermöglichen.

2. WireGuard Benutzer anlegen und .conf-Datei herunterladen

1. Öffnen Sie in QuRouter QVPN Servers > QVPN User Management > QVPN User Settings.
2. Wählen Sie im WireGuard Bereich Add.
3. Geben Sie einen eindeutigen Profilnamen ein, zum Beispiel Anna-MacBook.
4. Wählen Sie Generate Keypairs, um den privaten und öffentlichen Client-Schlüssel zu erzeugen.
5. Wählen Sie Add. QuRouter erstellt und aktiviert das WireGuard Benutzerprofil.
6. Suchen Sie den neuen Benutzer und wählen Sie unter Actions die Download-Aktion.
7. Wählen Sie im Fenster Download WireGuard Configuration den WAN-Port aus, über den sich entfernte Clients verbinden.
8. Wählen Sie Download. QuRouter speichert die benutzerspezifische WireGuard .conf-Datei auf Ihrem Gerät.

Legen Sie für jedes Gerät einen eigenen QVPN Benutzer mit eigenem Schlüsselpaar an. Wird dieselbe WireGuard Identität gleichzeitig auf zwei Geräten verwendet, kann die Weiterleitung instabil werden. Außerdem lässt sich der Zugriff später nicht gezielt für ein einzelnes Gerät sperren.

Schützen Sie die exportierte .conf-Datei: Sie enthält den privaten Client-Schlüssel. Behandeln Sie sie wie ein Passwort, übertragen Sie sie direkt auf das vorgesehene Gerät, veröffentlichen Sie sie niemals und hängen Sie sie nicht an Support-Anfragen an.

3. WireGuard .conf-Datei in VPN Tracker hochladen

1. Öffnen Sie den QNAP QuRouter WireGuard Connection Creator.
2. Laden Sie die aus QuRouter heruntergeladene .conf-Datei hoch. Auf dem Mac können Sie die Datei alternativ auf VPN Tracker ziehen oder Ablage > Neu aus Datei > WireGuard Verbindung wählen.
3. Kontrollieren Sie den importierten Verbindungsnamen, Endpunkt, UDP-Port, die Schlüssel, Tunnel-Adresse, DNS-Einstellungen und erlaubten Netzwerke.
4. Prüfen Sie, ob das entfernte Netzwerk das LAN hinter QuRouter enthält, zum Beispiel 192.168.100.0/24. Fügen Sie es hinzu, falls die exportierte Datei die benötigte Route nicht enthält.
5. Speichern Sie die Verbindung sicher in VPN Tracker.

Die exportierte Datei ist die empfohlene Einrichtungsmethode, weil sie die WireGuard Schlüssel und zentralen Tunnel-Einstellungen ohne manuelles Kopieren überträgt. Erstellen und laden Sie für jeden Mac, jedes iPhone und jedes iPad eine eigene Konfiguration herunter.

Manuelle Konfiguration als Ausweichlösung

Falls Sie keine Konfigurationsdatei verwenden können, erstellen Sie eine manuelle WireGuard Verbindung und tragen Sie Endpunkt, UDP-Port, öffentlichen Server-Schlüssel, privaten Client-Schlüssel, Client-Tunneladresse, DNS-Server und entferntes Netzwerk aus QuRouter ein. Verwenden Sie für einen Full-Tunnel 0.0.0.0/0 nur dann als entferntes IPv4-Netzwerk, wenn dies Ihrer Richtlinie entspricht und QuRouter den gesamten Datenverkehr weiterleiten soll.

4. Verbindung testen

1. Trennen Sie das Client-Gerät vom lokalen WLAN des QNAP Routers. Verwenden Sie Mobilfunk oder ein anderes externes Netzwerk.
2. Starten Sie die Verbindung in VPN Tracker.
3. Öffnen Sie eine interne IP-Adresse, einen Dateiserver oder eine andere freigegebene Ressource hinter QuRouter.
4. Wenn Sie internes DNS konfiguriert haben, testen Sie zusätzlich einen internen Hostnamen.
5. Prüfen Sie bei einem Full-Tunnel Ihre öffentliche IP-Adresse. Sie sollte der Internetverbindung am entfernten Standort entsprechen.

Fehlerbehebung für QNAP QuRouter WireGuard VPN

Kein WireGuard Handshake

• Prüfen Sie, ob die öffentliche IP-Adresse oder der DDNS-Hostname aktuell ist.
• Kontrollieren Sie, ob der UDP-Port in VPN Tracker mit QuRouter übereinstimmt.
• Prüfen Sie die UDP-Portweiterleitung eines vorgeschalteten Routers.
• Klären Sie, ob Ihr Internetanbieter CGNAT einsetzt.
• Kontrollieren Sie den öffentlichen Server-Schlüssel und den privaten Client-Schlüssel.

VPN ist verbunden, aber das entfernte LAN ist nicht erreichbar

• Prüfen Sie, ob das richtige LAN als entferntes Netzwerk eingetragen ist.
• Kontrollieren Sie lokale und entfernte Netzwerke auf überlappende IP-Bereiche.
• Prüfen Sie die Firewall- und Zugriffsregeln in QuRouter sowie auf dem Zielsystem.
• Testen Sie die IP-Adresse der Ressource, um Routing- und DNS-Probleme zu unterscheiden.

Ein Gerät funktioniert, ein anderes verliert die Verbindung

Erstellen Sie für jeden Mac, jedes iPhone und jedes iPad einen eigenen QuRouter WireGuard Benutzer mit eigenem Schlüsselpaar. Verwenden Sie dasselbe Client-Profil nicht gleichzeitig auf mehreren Geräten.

Nach einer Konfigurationsänderung funktioniert die Verbindung nicht mehr

Wenn Sie Schlüssel neu erzeugt, den UDP-Port geändert, den Client-IP-Pool angepasst oder den Router ersetzt haben, laden Sie eine neue .conf-Datei aus QuRouter herunter und importieren Sie diese erneut. Eine veraltete Konfiguration kann sich mit neu erzeugten Schlüsseln nicht authentifizieren.

Verwenden Sie stattdessen ein QNAP NAS?

QuRouter und QNAP NAS Geräte verwenden unterschiedliche Oberflächen für die VPN-Verwaltung. Läuft Ihr VPN-Server direkt auf einem QNAP NAS mit QVPN Service, verwenden Sie unsere separate Anleitung: VPN für QNAP NAS konfigurieren.