VPN-Router auf Raspberry Pi: Schritt-für-Schritt-Einrichtung 2026

VPN-Router auf Raspberry Pi: vollständige Einrichtung im Jahr 2026

Ein Heimrouter mit Hersteller-Firmware kann selten ordnungsgemäß mit VPN auf Netzwerkebene arbeiten. Wenn der gesamte Datenverkehr aller Geräte geschützt werden muss — Smart-TV, Konsole, Laptop des Kindes und ein Dutzend IoT-Geräte — muss entweder ein Router mit Unterstützung für benutzerdefinierte Firmware gekauft oder ein solches Gerät selbst gebaut werden. Raspberry Pi bewältigt diese Aufgabe hervorragend: Ein Einplatinencomputer, der etwa 6000–9000 Rubel kostet, verwandelt sich in einen vollwertigen VPN-Router, der den gesamten ausgehenden Datenverkehr verschlüsselt und Blockaden umgeht, ohne Clients auf jedes Gerät installieren zu müssen.

Warum einen VPN-Router genau auf Raspberry Pi machen

Es gibt drei Szenarien, in denen ein separater VPN-Router das Problem besser löst als eine App auf dem Telefon oder Laptop.

Geräte ohne Unterstützung für VPN-Clients

Smart-TVs mit ihren Firmware-Versionen, Spielkonsolen wie PlayStation 5 und Xbox Series X, intelligente Lautsprecher und Überwachungskameras erlauben physisch nicht die Installation eines VPN-Clients. Der einzige Weg, ihren Datenverkehr durch einen verschlüsselten Tunnel zu leiten, besteht darin, sie mit einem Netzwerk zu verbinden, in dem das VPN bereits auf Routerebene eingerichtet ist.

VPN für das ganze Zuhause

Verbinden Sie alle Geräte auf einmal

1. Laden Sie die NvoVPN-App herunter
2. Melden Sie sich mit Google oder E-Mail an
3. Richten Sie Ihren Router mit unserer Anleitung ein

Für Windows herunterladen Andere Geräte →

• ab 0,06 € pro Tag
• Karte oder Krypto
• 14 Server online

Ein einziger Einrichtungspunkt für die gesamte Wohnung

Anstatt WireGuard oder OpenVPN auf acht verschiedenen Geräten zu installieren und einzurichten, wird die Konfiguration einmal auf dem Raspberry Pi vorgenommen. Ein neues Gerät wird einfach mit dem WLAN dieses Mini-Routers verbunden und erhält automatisch einen geschützten Internetzugang.

Flexibilität der Routenführung

Auf dem Raspberry Pi kann Split-Tunneling eingerichtet werden: Ein Teil der Geräte oder Websites geht über das VPN, ein Teil direkt. Das ist praktisch, wenn beispielsweise Bankdienste über eine russische IP-Adresse funktionieren müssen, während ausländische Streaming-Plattformen über einen VPN-Server in einem anderen Land laufen.

Was für den Aufbau benötigt wird

Ausrüstung

• Raspberry Pi 4 Model B mit 2 GB RAM oder neuer — Raspberry Pi 5 bietet einen spürbaren Geschwindigkeitszuwachs bei der Verschlüsselung dank des leistungsstärkeren Broadcom BCM2712 Prozessors;
• Eine microSD-Karte mit mindestens 16 GB, Geschwindigkeitsklasse A2 (zum Beispiel SanDisk Extreme Pro) oder, was vorzuziehen ist, das Booten von einem USB-SSD-Laufwerk für Langlebigkeit;
• Ein Ethernet-to-USB-Adapter oder eine zweite Netzwerkschnittstelle, wenn eine kabelgebundene Verbindung für mehrere Geräte über einen Switch benötigt wird;
• Ein 5V/3A-Netzteil mit USB-C-Anschluss — unzureichende Stromversorgung führt zu Drosselung der CPU und Verbindungsabbrüchen;
• Ein Gehäuse mit passiver oder aktiver Kühlung: Bei ständiger Verschlüsselung des Datenverkehrs wird der Chip stärker erhitzt als bei normaler Nutzung des Raspberry Pi.

Software

Die optimale Wahl des Betriebssystems ist Raspberry Pi OS Lite (64-Bit) ohne grafische Oberfläche: Es verbraucht weniger Ressourcen und reduziert die CPU-Belastung, die ohnehin für die Verschlüsselung benötigt wird. Für die Einrichtung des VPN wird eines von zwei Protokollen benötigt:

• WireGuard — ein modernes Protokoll mit minimalen Overheadkosten, die Geschwindigkeit auf Raspberry Pi 4 erreicht 250–400 Mbit/s;
• OpenVPN — ein älteres, aber flexibles Protokoll, dessen Geschwindigkeit auf derselben Hardware selten 80–120 Mbit/s übersteigt, aufgrund der höheren Rechenlast.

Wenn der VPN-Anbieter, den Sie nutzen, beide Protokolle unterstützt, sollten Sie für den Router fast immer WireGuard wählen — der Geschwindigkeitsunterschied ist bereits beim Streaming von 4K-Videos auf mehreren Geräten gleichzeitig spürbar.

Vorbereitung des Raspberry Pi

Installation des Betriebssystems

Laden Sie den Raspberry Pi Imager von der offiziellen Website der Raspberry Pi Foundation herunter, wählen Sie das Image von Raspberry Pi OS Lite (64-Bit) aus und schreiben Sie es auf die Speicherkarte oder SSD. Aktivieren Sie in den Einstellungen des Imagers (Zahnrad-Symbol) sofort SSH, legen Sie einen Benutzernamen und ein Passwort fest sowie die Wi-Fi-Einstellungen, wenn Sie im ersten Schritt eine drahtlose Verbindung herstellen möchten.

Erste Verbindung und Systemaktualisierung

Nach dem Booten verbinden Sie sich über SSH:

ssh pi@raspberrypi.local

Aktualisieren Sie das System und starten Sie das Gerät neu:

sudo apt update && sudo apt full-upgrade -ysudo reboot

Einrichtung einer statischen IP-Adresse

Der Router benötigt eine vorhersehbare Adresse im lokalen Netzwerk. Öffnen Sie die Konfigurationsdatei dhcpcd:

sudo nano /etc/dhcpcd.conf

Und fügen Sie am Ende hinzu:

interface eth0static ip_address=192.168.1.2/24static routers=192.168.1.1static domain_name_servers=1.1.1.1 8.8.8.8

Einrichtung von WireGuard auf Raspberry Pi

Installation des Pakets

sudo apt install wireguard wireguard-tools -y

Schlüsselgenerierung

wg genkey | tee privatekey | wg pubkey > publickey

Der private Schlüssel bleibt auf dem Gerät, der öffentliche wird an den VPN-Anbieter übermittelt oder bei der Einrichtung eines eigenen Servers verwendet.

Konfigurationsdatei des Clients

Erstellen Sie eine Datei /etc/wireguard/wg0.conf mit folgendem Inhalt, wobei Sie die Werte durch die von Ihrem VPN-Anbieter erhaltenen Daten ersetzen:

[Interface]PrivateKey = ваш_приватный_ключAddress = 10.0.0.2/32DNS = 1.1.1.1[Peer]PublicKey = публичный_ключ_сервераEndpoint = адрес_сервера:51820AllowedIPs = 0.0.0.0/0, ::/0PersistentKeepalive = 25

Start und Autostart

sudo systemctl enable wg-quick@wg0sudo systemctl start wg-quick@wg0

Überprüfen Sie, ob der Tunnel aktiv ist, mit dem Befehl sudo wg show — dort wird der Verbindungsstatus, das übertragene Datenvolumen und die Zeit des letzten Handshakes angezeigt.

Raspberry Pi in einen Access Point verwandeln

Installation von hostapd und dnsmasq

sudo apt install hostapd dnsmasq -ysudo systemctl unmask hostapd

Konfiguration von hostapd

In der Datei /etc/hostapd/hostapd.conf legen Sie die Netzwerkeinstellungen fest:

interface=wlan0driver=nl80211ssid=VPN-Home-Routerhw_mode=gchannel=7wmm_enabled=0macaddr_acl=0auth_algs=1ignore_broadcast_ssid=0wpa=2wpa_passphrase=надёжный_пароль_16_символовwpa_key_mgmt=WPA-PSKwpa_pairwise=TKIPrsn_pairwise=CCMP

Konfiguration von dnsmasq zur Vergabe von Adressen

In /etc/dnsmasq.conf fügen Sie hinzu:

interface=wlan0dhcp-range=192.168.4.2,192.168.4.100,255.255.255.0,24hdhcp-option=3,192.168.4.1dhcp-option=6,1.1.1.1

Konfiguration der Routing über iptables

Damit der gesamte Datenverkehr aus dem WLAN über den WireGuard-Tunnel geleitet wird, aktivieren Sie die Paketweiterleitung und konfigurieren Sie NAT:

echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.confsudo sysctl -psudo iptables -t nat -A POSTROUTING -o wg0 -j MASQUERADEsudo iptables -A FORWARD -i wlan0 -o wg0 -j ACCEPTsudo iptables -A FORWARD -i wg0 -o wlan0 -m state --state RELATED,ESTABLISHED -j ACCEPTsudo netfilter-persistent save

Nach dieser Einstellung wird jedes Gerät, das sich mit dem Netzwerk „VPN-Home-Router“ verbindet, automatisch den gesamten Datenverkehr über den verschlüsselten Tunnel senden — ohne Installation von Client-Anwendungen.

Umgehung von Blockaden: Wenn ein VPN nicht ausreicht

In Regionen mit aktiver Filterung des Datenverkehrs durch das DPI-Protokoll (Deep Packet Inspection) kann der Anbieter sogar WireGuard-Verbindungen anhand charakteristischer Paketmarkierungen erkennen und blockieren. In solchen Fällen hilft die Obfuskation des Datenverkehrs:

• WireGuard + Obfuskationshülle — zum Beispiel maskiert das Tool wireguard-go mit dem Obfuskations-Plugin den Tunnel als normalen HTTPS-Datenverkehr;
• Shadowsocks in Kombination mit VPN — der Datenverkehr läuft zunächst über einen Shadowsocks-Proxy, was die Nutzung des VPN-Protokolls selbst verbirgt;
• Ändern des Endpoint-Ports auf 443 — manchmal reicht es aus, den VPN-Server von Port 51820 auf 443 zu verschieben, damit der Datenverkehr visuell nicht von normalem HTTPS abweicht.

Wenn der VPN-Dienst, den Sie nutzen, fertige Konfigurationen mit Obfuskation anbietet (oft sind dies separate Server mit der Kennzeichnung „obfuscated“ oder „stealth“ in der Standortliste), ist es einfacher, diese zu verwenden, anstatt die Hülle manuell auf dem Raspberry Pi zu konfigurieren.

Überprüfung der Funktion und Diagnose

Überprüfung auf DNS- und echte IP-Lecks

Nachdem Sie ein Gerät mit dem Netzwerk des Routers verbunden haben, öffnen Sie einen Browser und gehen Sie zu einem IP-Adress- und DNS-Leck-Testdienst. Die angezeigte Adresse sollte dem VPN-Server gehören und nicht Ihrem Internetanbieter.

Geschwindigkeitsmessung

Vergleichen Sie die Geschwindigkeit vor und nach der Aktivierung des VPN-Tunnels mit iperf3 im lokalen Netzwerk sowie mit einem normalen Geschwindigkeitstest im Browser. Ein Rückgang um 15–30 % von der Basisgeschwindigkeit des Internets ist ein normaler Wert für WireGuard auf dem Raspberry Pi 4; ein Rückgang von mehr als 50 % weist auf eine Überlastung der CPU oder Probleme auf der Seite des VPN-Servers hin.

Temperaturüberwachung

vcgencmd measure_temp

Bei kontinuierlicher Verschlüsselung kann die Temperatur des Raspberry Pi 4 ohne aktive Kühlung über 70 °C steigen, was zu Throttling führt. Wenn die Werte konstant über diesem Wert liegen, sollte ein Lüfter im Gehäuse hinzugefügt werden.

Autostart und Ausfallsicherheit

Verbindungstest-Skript

Damit der Tunnel nach einem Ausfall des Anbieters automatisch wiederhergestellt wird, fügen Sie im crontab alle 5 Minuten eine Überprüfung hinzu:

*/5 * * * * ping -c1 10.0.0.1 > /dev/null || systemctl restart wg-quick@wg0

Kill Switch für den Fall eines VPN-Abbruchs

Damit Geräte bei einem Tunnelabbruch nicht in das offene Internet „fallen“, fügen Sie eine Regel hinzu, die den ausgehenden Datenverkehr über das Hauptinterface blockiert, wenn keine aktive WireGuard-Verbindung besteht:

sudo iptables -A FORWARD -i wlan0 -o eth0 -j DROP

Diese Regel erlaubt es dem Datenverkehr aus dem WLAN, nur über das Interface wg0 zu gehen und nicht direkt ins Internet — wenn der Tunnel ausfällt, verlieren die Geräte einfach die Verbindung, anstatt auf eine ungesicherte Verbindung umzuschalten.

Typische Fehler beim Zusammenstellen eines VPN-Routers

• Schwaches Netzteil — das Sparen am Originaladapter führt häufig zu instabiler Wi-Fi-Modularbeit genau in Momenten hoher Verschlüsselungslast;
• Verwendung einer billigen microSD-Karte
• Ignorieren von MTU
• Ein Wi-Fi-Kanal für zwei Frequenzbänder

Wenn Raspberry Pi nicht die beste Wahl ist

Für Wohnungen mit Internetgeschwindigkeiten über 500 Mbit/s und einer großen Anzahl gleichzeitig aktiver Geräte kann der Raspberry Pi 4 zum Engpass werden: Der Prozessor schafft es einfach nicht, den Datenverkehr bei dieser Geschwindigkeit zu verschlüsseln. In diesem Fall ist es sinnvoller, einen Router auf Basis eines x86 Mini-PCs oder fertige Lösungen mit hardwarebeschleunigter Verschlüsselung in Betracht zu ziehen. Aber für ein Heimnetzwerk mit typischen Geschwindigkeiten von 100–300 Mbit/s und einem Dutzend angeschlossener Geräte bewältigt der Raspberry Pi 4 oder 5 dies ohne sichtbare Einschränkungen und bleibt eine der kostengünstigsten Möglichkeiten, den gesamten Datenverkehr der Wohnung auf einmal zu schützen, ohne VPN auf jedem einzelnen Gerät einzurichten.