Anleitung
VPN auf einem Router einrichten
Wann der Router der richtige Ort für den Tunnel ist und wann nicht, die Konfigurationsdatei des Anbieters auf der VPN-Client-Seite der Firmware, DNS für den ganzen Haushalt und die Prüfungen von einem Gerät dahinter. Geschrieben für einen Router, dessen Firmware eine VPN-Client-Seite besitzt; diese Anleitung installiert keine andere Firmware.
Bevor Sie beginnen
Diese Anleitung nimmt Ihnen die Wahl nicht ab
Jeder der folgenden Schritte ist unabhängig vom verwendeten Anbieter gleich, weshalb hier keiner genannt wird. Die Auswahl ist eine separate Aufgabe und erfolgt im Register, wo die Entscheidung anhand eines veröffentlichten Scores und nicht anhand einer Download-Seite getroffen wird.
Die Konfigurationsdateien stammen aus dem eigenen Kontobereich des Anbieters und von nirgendwo sonst. Eine Datei aus einem Forum enthält den Schlüssel einer anderen Person oder den Server einer anderen Person.
Der Router ist der richtige Ort für den Tunnel, wenn die Geräte dahinter keinen eigenen Client ausführen können — etwa ein Fernseher, eine Konsole oder ein Smart Speaker — oder wenn es um jedes Gerät gleichzeitig geht, ohne etwas installieren zu müssen. Er ist der falsche Ort, wenn der Haushalt den Tunnel manchmal verlassen muss: Hinter einem Router kann das kein Gerät, und alle Geräte teilen sich einen Exit, ein Land und einen Prozessor. Dieser Prozessor begrenzt die Geschwindigkeit und liegt deutlich unter der eines Laptops. Wenn ein oder zwei Geräte der Grund sind, installieren Sie den Client stattdessen auf diesen Geräten; auf den Plattformseiten steht, welche Anbieter welche Geräte unterstützen.
Diese Anleitung installiert keine andere Router-Firmware. Eine der verbreiteten Firmware-Alternativen von Drittanbietern gibt einem Router einen besseren VPN-Client als die meisten Standard-Firmwares. Zugleich ist dies der einzige Schritt in einer Anleitung auf dieser Website, der Hardware in einen unbrauchbaren Baustein verwandeln kann. Wenn die Firmware Ihres Routers eine VPN-Client-Seite besitzt, reichen die folgenden Schritte aus. Wenn nicht, liegt die Entscheidung für eine andere Firmware bei Ihnen; die Anweisungen stammen vom Firmware-Projekt, nicht von uns.
Die Konfiguration laden
- Melden Sie sich auf der Website des Anbieters an und öffnen Sie im Kontobereich den Abschnitt für Router oder manuelle Konfiguration. Erzeugen Sie eine Konfigurationsdatei für das von Ihrer Firmware unterstützte Protokoll und den gewünschten Exit; eine Datei entspricht einem Exit. Die Datei enthält Ihren Schlüssel — behandeln Sie ihn wie ein Passwort.
- Öffnen Sie die Admin-Seite des Routers von einem Gerät im kabelgebundenen oder Heimnetzwerk und suchen Sie die VPN-Client-Seite. Ihr Name ist unterschiedlich — VPN client, VPN Fusion, WAN › VPN — aber es handelt sich um eine Client-Seite, die Verbindungen nach außen herstellt, nicht um eine Server-Seite, über die Sie sich von außen verbinden können. Die beiden sehen ähnlich aus, und nur eine davon ist für diese Anleitung relevant.
- Importieren Sie die Datei oder fügen Sie ihre Felder einzeln dort ein, wo die Firmware danach fragt. Geben Sie dem Profil den Namen des Exits, damit ein später hinzugefügtes zweites Profil unterscheidbar ist.
- Wählen Sie aus, welche Geräte durch den Tunnel gehen, falls die Seite diese Option anbietet, und wählen Sie zunächst alle aus; die Ausnahmeliste ist eine spätere Feinabstimmung. Aktivieren Sie anschließend das Profil.
- Beenden Sie den Vorgang hier nicht. DNS und Kill-Switch befinden sich auf derselben oder der nächsten Seite, und beide sind standardmäßig deaktiviert.
Die Einstellungen, die Sie prüfen sollten
Die Seiten der Firmwares unterscheiden sich, die Einstellungen nicht. Für jede gibt es einen Eintrag im Glossar, falls der Name unbekannt ist.
DNS für den ganzen Haushalt
Jedes Gerät hinter dem Router fragt den Router, wo sich etwas befindet, und der Router fragt den Resolver, der ihm vorgegeben wurde. Wenn das der Resolver des Internetanbieters ist, verlässt jede Abfrage im Haushalt den Tunnel. Der Internetanbieter erfährt dadurch, welche Websites der Haushalt besucht, und verborgen bleibt nur, was dort getan wurde. Legen Sie das DNS des Routers fest — auf der VPN-Client-Seite, wenn dort ein Feld vorhanden ist, andernfalls auf der WAN-Seite — und verwenden Sie den Resolver, den die Datei des Anbieters vorgibt. Stellen Sie den Router so ein, dass er den Geräten seine eigene Adresse als Resolver übergibt, damit kein Gerät die Adresse des Internetanbieters erhält. Wie ein Leak entsteht, steht auf der Seite zu DNS-Leaks.
Der Kill-Switch
Auf einem Router ist er eine Firewall-Regel: Wenn der Tunnel ausfällt, darf nichts von den getunnelten Geräten über die normale Route nach außen gelangen. Manche Firmwares bieten den Schalter als Kontrollkästchen an, manche nennen ihn block routed clients if tunnel goes down, und manche besitzen ihn überhaupt nicht. Wo er vorhanden ist, schalten Sie ihn ein; ein abgebrochener Tunnel trennt den Haushalt dann bis zur erneuten Verbindung vom Netz, und genau das ist sein Zweck. Wo er nicht vorhanden ist, müssen Sie wissen, dass ein abgebrochener Tunnel jedes Gerät ohne Hinweis wieder über die unveränderte Verbindung ins Netz lässt. Wozu der Schalter dient, steht auf seiner eigenen Seite.
IPv6
Die meisten Router-Tunnel übertragen nur IPv4. Wenn der Internetanbieter dem Haushalt auch IPv6 bereitstellt, verwenden die Geräte es für jede Website, die es anbietet, und dieser Datenverkehr umgeht den Tunnel. Sofern die Datei des Anbieters kein IPv6 innerhalb des Tunnels einrichtet, deaktivieren Sie IPv6 auf der WAN-Seite, solange der Tunnel verwendet wird.
Das Protokoll
Verwenden Sie das moderne Protokoll, wo immer die Firmware es anbietet — auf der Protokollseite steht, welche Protokolle aktuell und welche veraltet sind — sowohl aus dem Grund, aus dem das Register es bewertet, als auch weil es auf dem Prozessor eines Routers um ein Mehrfaches schneller ist als das ältere. Ein alter Router, der nur das veraltete Protokoll anbietet, wird nicht nur schlecht bewertet, sondern auch langsam sein.
Bestätigen, dass es tatsächlich funktioniert
Prüfen Sie dies von einem Gerät hinter dem Router aus, nicht auf der eigenen Statusseite des Routers, die nur wiedergibt, was der Router glaubt. Führen Sie diese drei Prüfungen in dieser Reihenfolge durch:
- Die Adresse hat sich geändert, auf einem Gerät ohne eigenen Client. Öffnen Sie auf einem Laptop oder Telefon, das mit dem WLAN des Routers verbunden ist, eine beliebige Seite nach dem Muster „Wie lautet meine IP?“, wobei mobile Daten deaktiviert sein müssen und keine VPN-App laufen darf. Als Land sollte das von Ihnen gewählte Exit-Land angezeigt werden.
- Die Abfragen laufen innerhalb des Tunnels. Führen Sie auf demselben Gerät einen DNS-Leak-Test durch. Alles, was zu Ihrem Internetanbieter gehört, bedeutet, dass die oben beschriebene DNS-Einstellung nicht übernommen wurde oder ein Gerät den falschen Resolver erhalten hat.
- Der Kill-Switch tut, was er verspricht. Starten Sie auf diesem Gerät einen Download, deaktivieren Sie das VPN-Profil auf der Seite des Routers oder ziehen Sie kurz das WAN-Kabel des Routers ab und stecken Sie es wieder ein. Während der Unterbrechung sollte der Download sofort stoppen und nach Wiederherstellung der Verbindung erst fortgesetzt werden, wenn der Tunnel wieder besteht. Läuft er weiter, fehlt der Schalter oder er ist deaktiviert.
Die ausführlichere Testreihe und was die einzelnen Prüfungen zeigen können und was nicht, finden Sie in der eigenen Anleitung dazu.
Was diese Prüfungen belegen
+Jedes Gerät in diesem Netzwerk verlässt es über den Exit-Server im ausgewählten Land, ohne dass darauf etwas installiert ist
+Der Internetanbieter sieht eine einzige verschlüsselte Verbindung aus dem Haushalt und keine Abfragen
+Ein abgebrochener Tunnel führt für den gesamten Haushalt zu einer standardmäßig gesperrten Verbindung, sofern die Firmware den Schalter besitzt
Was sie nicht belegen
−Sie sagen nichts darüber aus, was der Anbieter speichert — das ist eine Frage der Dokumente, die auf den Seiten zur Speicherdauer beantwortet wird
−Sie machen niemanden anonym: Jedes Konto auf jedem Gerät ist weiterhin angemeldet. Siehe wovor ein VPN Sie nicht schützt
−Ein bestandener Test auf einem Gerät sagt nichts über ein Gerät in einem anderen Netzwerk oder eines mit einer eigenen App aus
Ein Haushalt, zwei Netzwerke
Die Beschwerde über einen Router-Tunnel ist immer dieselbe: Etwas muss außerhalb des Tunnels liegen. Die saubere Lösung sind zwei Netzwerke statt eines Netzwerks mit Ausnahmen. Entweder ein zweiter Router hinter dem ersten, der den Tunnel betreibt und dessen WLAN die Geräte nutzen, die sich innerhalb des Tunnels befinden sollen, während alles andere das WLAN des ersten Routers nutzt; oder, wenn die Firmware ein VPN pro Netzwerk erlaubt, ein Gast- oder sekundäres Netzwerk, das durch den Tunnel führt. Ein Gerät entscheidet dann anhand des Netzwerks, mit dem es sich verbindet: Der Fernseher bleibt innerhalb, die Konsole außerhalb, und niemand muss den Tunnel für den ganzen Haushalt deaktivieren.
Der zweite Router beantwortet auch die Geschwindigkeitsfrage: Er überträgt nur die Geräte, die den Tunnel benötigen, sodass sein Prozessor nur für diese Geräte die Grenze bildet.
Wenn es nicht funktioniert
Alles im Haushalt ist langsamer geworden
Der Router verschlüsselt jetzt jedes Byte, das der Haushalt sendet, auf einem Prozessor, der für die Weiterleitung statt für die Verschlüsselung von Paketen gebaut wurde. Diese Grenze wird vom Router bestimmt, nicht vom Anbieter, und sie wird deutlich unter dem erreicht, was ein Laptop mit demselben Vertrag schafft.
Das moderne Protokoll ist deutlich weniger rechenintensiv als das ältere. Verwenden Sie es daher, wenn die Firmware es anbietet. Darüber hinaus hilft nur ein schnellerer Router oder ein Tunnel für weniger Geräte — siehe den letzten Abschnitt.
Ein Gerät muss außerhalb des Tunnels bleiben
Eine Banking-App, die eine ausländische Adresse ablehnt, eine Spielekonsole oder ein Smart Speaker: Irgendetwas muss immer außerhalb bleiben. Manche Firmwares ermöglichen es, ein Gerät anhand seiner Adresse auszuschließen; das ist Split-Tunneling auf dem Router. Wenn die Firmware das nicht kann, ist die Lösung der letzte Abschnitt: ein zweites Netzwerk für den Tunnel, sodass das Gerät einfach dem anderen Netzwerk beitritt.
Deaktivieren Sie nicht den Tunnel für den ganzen Haushalt, um ein einzelnes Gerät zu versorgen.
Der Tunnel bricht ab und nichts verbindet sich wieder
Die meisten Firmwares stellen die Verbindung selbstständig wieder her; manche tun das nur auf Aufforderung. Suchen Sie auf der VPN-Client-Seite nach einer Einstellung für Keep-Alive, automatische Wiederverbindung oder einen Watchdog und aktivieren Sie sie. Wenn die Firmware einen Kill-Switch besitzt und dieser aktiviert ist, trennt ein abgebrochener Tunnel den Haushalt bis zur erneuten Verbindung vom Netz — so funktioniert der Schalter.
Bricht der Tunnel jeden Tag zur gleichen Zeit ab, erneuert der Internetanbieter wahrscheinlich Ihre Adresse und der Router bemerkt das zu langsam. Ein kürzeres Keep-Alive hilft.
Auf manchen Geräten zeigen Websites mein tatsächliches Land, auf anderen nicht
Diese Geräte laufen nicht durch den Tunnel des Routers: etwa ein Telefon mit mobilen Daten, ein Gerät mit eigener VPN-App oder ein Gerät in einem zweiten Netzwerk, das der Tunnel nicht abdeckt. Prüfen Sie, mit welchem Netzwerk jedes Gerät verbunden ist.
Befindet sich ein Gerät im getunnelten Netzwerk und zeigt weiterhin Ihr tatsächliches Land an, erreichen sein DNS oder IPv6 das Internet am Router vorbei. Im Abschnitt zu den Prüfungen steht, wie Sie das erkennen.
Gleiche Schritte, andere Geräte
Die übrigen Plattformen
Jede Plattform hat eine eigene Anleitung statt eines Tabs auf dieser. Die Schritte weichen voneinander ab, sobald sich das Installationsprogramm öffnet, und eine Seite, die drei Plattformen auf einmal beantwortet, beantwortet keine davon richtig.