Günstige Hardware für VPN-Server: Was 2026 wählen?

Günstige Hardware für VPN-Server: Was 2026 zu wählen ist

Wenn Sie dies lesen, haben Sie wahrscheinlich bereits kostenlose VPNs ausprobiert, die Ihre Geschwindigkeit schrecklich reduzieren, oder kostenpflichtige Dienste, die unzuverlässig sind. Ihre eigene Infrastruktur ist eine andere Ebene der Kontrolle. Aber welche günstige Hardware für VPN-Server ist wirklich kaufenswert und was ist Geldverschwendung? Lassen Sie uns das konkret betrachten: Einplatinencomputer, Mini-PCs, Router, echte Leistungsdaten und — was für Russland wichtig ist — welches Protokoll nicht innerhalb eines Monats von Roskomnadsor blockiert wird.

Warum es sich lohnt, Ihren eigenen VPN-Server einzurichten und welche Hardware dafür benötigt wird

Ein kostenpflichtiger VPN-Dienst ist der Server eines anderen, das Protokoll eines anderen und die IP-Adresse eines anderen. Sie kontrollieren nicht, wie der Datenverkehr als legitimes HTTPS maskiert wird, und Sie können das Protokoll nicht als Reaktion auf neue Blockaden ändern. Ihr eigener Server gibt Ihnen völlige Freiheit in der Konfiguration.

Das ist besonders wichtig in Russland, wo DPI (Deep Packet Inspection) von Anbietern die Signaturen beliebter Protokolle erkennen und blockieren kann. Wenn Roskomnadsor eine Anweisung erteilt — schließt der Anbieter den Datenverkehr über die TSPU-Ausrüstung. Wenn Sie Ihr eigenes Protokoll mit der richtigen Maskierung haben, ändern Sie einfach die Konfiguration, ohne auf ein Update des Dienstes zu warten.

Ihr eigener Server gegen kostenpflichtigen VPN: Wo liegt der wirkliche Unterschied

Ein kostenpflichtiger VPN bietet Ihnen einen Knopf und eine fertige Anwendung. Ihr eigener Server erfordert 2-4 Stunden anfängliche Einrichtung und Verständnis des Geschehens. Aber die IP-Adresse gehört nur Ihnen — keine "Diese Adresse ist blockiert, weil 500 Personen sie bei einem Dienst verwendet haben".

Ein weiterer Punkt: Russische VPN-Dienste verlassen unter Druck von Roskomnadsor gelegentlich den Markt oder beginnen, den Datenverkehr zu filtern. Ein ausländischer Dienst, der nicht unter russische Jurisdiktion fällt, kann ebenfalls blockiert werden. Ihr eigener Server auf einem ausländischen VPS ist die optimale Lösung.

Minimale Hardwareanforderungen für WireGuard und VLESS/XRay

WireGuard ist minimalistisch: Es läuft auf 256 MB RAM und einem CPU-Kern. Tatsächlich läuft WireGuard auf Orange Pi Zero mit 512 MB RAM problemlos, erwarten Sie jedoch keine 1 Gbit/s.

VLESS/XRay mit Reality benötigt etwas mehr: mindestens 512 MB RAM, idealerweise 1 GB. XRay ist in Go geschrieben, ohne JIT-Kompilierung, aber es ist nicht besonders schwer. Auf einem Raspberry Pi 4 mit 2 GB RAM läuft es hervorragend, die CPU-Auslastung bei aktivem Datenverkehr beträgt 20-40%.

Shadowsocks-2022 hat eine CPU-Auslastung ähnlich wie WireGuard, fügt jedoch Overhead für die Verschlüsselung hinzu. Auf einem schwachen ARM Cortex-A53 (Orange Pi Zero, alter Pi) ist das spürbar.

Wo physisch den Server unterbringen: zu Hause, auf VPS oder bei einem Hosting-Anbieter

Zu Hause: Sie benötigen eine statische IP (oder DDNS) und offene Ports. Viele russische Anbieter befinden sich hinter CGNAT — eingehende Verbindungen sind ohne zusätzliche Konfiguration physisch unmöglich. Überprüfen Sie im Voraus: Wenn Ihre externe IP mit 100.64.x.x oder 10.x.x.x beginnt — haben Sie CGNAT.

VPS im Ausland (Hetzner, DigitalOcean, Vultr) — die optimale Wahl. Ab 3-5 Dollar pro Monat für einen Basisserver in Deutschland oder Finnland. Statische IP ist enthalten. Keine Probleme mit CGNAT und eingehenden Verbindungen.

Heimhardware + ausländischer VPS — eine Kombination für Paranoiker und Perfektionisten: die gesamte Verwaltung liegt bei Ihnen, der ausgehende Datenverkehr erfolgt über eine ausländische IP.

Top günstige Hardwareoptionen für VPN-Server

Lassen Sie uns über konkrete Geräte mit aktuellen Preisen sprechen. Die Preise sind zu Beginn des Jahres 2025 aktuell, orientieren Sie sich an Ozon/Wildberries/AliExpress — es gibt Variationen, aber die Größenordnung ist ungefähr so.

Einplatinencomputer: Raspberry Pi 4/5, Orange Pi, Banana Pi — Preise und Leistung

Raspberry Pi 4 (2 GB) — etwa 4000-5500. Der Cortex-A72-Prozessor mit 1,8 GHz liefert ~400-600 Mbit/s mit WireGuard unter realen Bedingungen. Gigabit-Ethernet ist verfügbar. Die Community-Unterstützung ist riesig — jede Frage erhält innerhalb von 5 Minuten eine Antwort durch Googeln.

Raspberry Pi 5 (4 GB) — ~7000-9000. Cortex-A76, deutlich schneller, benötigt jedoch eine separate aktive Kühlung für den 24/7-Betrieb. Einige alte Images von Pi 4 funktionieren möglicherweise nicht darauf — überprüfen Sie die Kompatibilität des OS-Images vor dem Herunterladen.

Orange Pi 3 LTS — 2500-3500. Allwinner H6, Cortex-A53. Die Leistung ist etwa halb so hoch wie die von Pi 4: WireGuard ~150-250 Mbit/s. Ausreichend für ein oder zwei Benutzer. Kaufen Sie nur die offizielle Version — auf AliExpress gibt es Klone mit verschiedenen Flash-Speicher-Chips, die das OS zum Absturz bringen.

Banana Pi M5 — ~3500-4500. Amlogic S905X3, derselbe Cortex-A55-Klasse. Eine anständige Alternative zu Orange Pi, aber die Dokumentation ist schlechter.

Mini-PCs: N100, Celeron J4125 — das beste Preis-Leistungs-Verhältnis

Intel N100 — das ist eine andere Ebene. x86-Architektur, AES-NI out of the box, was Hardwarebeschleunigung für OpenVPN und andere Protokolle mit AES-Verschlüsselung bietet. Mini-PCs N100 kosten 8000-12000 auf Ozon (Marken wie BMAX, MinisForum, Trigkey).

WireGuard auf N100 bietet 900+ Mbit/s — fast Gigabit. XRay mit VLESS+Reality — 400-600 Mbit/s selbst mit schwerem TLS. Das ist bereits ein Serverniveau für ein kleines Büro, nicht nur ein persönlicher VPN.

Celeron J4125 — etwas älter, ~6000-9000 für einen fertigen Mini-PC. Die Leistung ist etwas niedriger als die von N100, aber AES-NI ist ebenfalls vorhanden. Eine gute Wahl, wenn Sie ihn im Angebot finden.

Alter Laptop oder PC als VPN-Server: Wann es gerechtfertigt ist

Wenn Sie einen alten Laptop mit Core i3/i5 und 4 GB RAM haben, der ungenutzt herumliegt — das ist kostenlose Hardware für einen VPN-Server. Der eingebaute Akku dient als USV während eines Stromausfalls. Nachteile: Verbrauch von 15-45 W im Vergleich zu 3-5 W für Raspberry Pi, plus Lüftergeräusch.

Für den Dauerbetrieb ist das nicht wirtschaftlich — die Differenz bei den Stromkosten über ein Jahr beträgt 1500-4000. Aber für Tests oder einen temporären Server ist das hervorragend.

Router mit OpenWRT: GL.iNet, TP-Link — die kompakteste Option

GL.iNet Beryl AX (MT3000) — 6000-8000. MediaTek MT7981B, 256 MB RAM, WireGuard direkt aus der Box im Web-Interface. Verbrauch ~5 W. Aber es gibt eine Einschränkung: Es hat einen 2.5G-Port, die anderen sind 1G. Für die meisten ist das kein Problem.

Wichtige Einschränkung aller günstigen Router: Wenn Sie Fast-Ethernet-Ports (100 Mbit/s) haben, ist dies die physische Geschwindigkeitsgrenze, keine Software kann helfen. Überprüfen Sie die Spezifikationen der Ports vor dem Kauf.

TP-Link Archer C7 und ähnliche Geräte mit OpenWRT funktionieren, aber der Prozessor ist schwach – WireGuard erreicht maximal 50-80 Mbit/s. Für einen Benutzer ist das akzeptabel, für eine Familie nicht.

Vergleichstabelle: Preis / Verbrauch / Geschwindigkeit WireGuard

Welches Protokoll sollten Sie für Ihren Server zur Umgehung der Roskomnadzor-Sperre wählen

Dies ist der wichtigste Abschnitt, wenn Sie in Russland leben. Sie können die perfekte günstige Hardware für einen VPN-Server kaufen, aber wenn das Protokoll in zwei Wochen blockiert wird, war alles umsonst.

WireGuard: schnell, aber leicht über UDP blockierbar

WireGuard ist ein technisch überlegenes Protokoll. Minimalistischer Code (ca. 4000 Zeilen), schnelle Kryptografie Curve25519/ChaCha20, niedrige Latenz. In einer Welt ohne DPI — die ideale Wahl.

In Russland — ein Problem. WireGuard funktioniert über UDP und hat charakteristische Signaturen in den ersten Handshake-Paketen. Die DPI-Hardware der Anbieter erkennt und blockiert es. Darüber hinaus wenden einige Anbieter eine UDP-Drosselung an: Sie blockieren nicht ausdrücklich, sondern reduzieren den UDP-Verkehr auf 5-10 Mbit/s. Sie werden denken, dass alles funktioniert, nur langsam.

VLESS + XRay + Reality: die beste Wahl zur Umgehung von DPI in Russland

VLESS mit Reality-Transport ist derzeit die widerstandsfähigste Option gegen DPI. Reality tarnt die Verbindung als echtes TLS-Handshake mit einer echten Domain (z. B. microsoft.com oder apple.com). DPI sieht legitimes HTTPS auf Port 443 — nichts zu blockieren.

XRay ist ein Fork von V2Ray mit zusätzlichen Funktionen, einschließlich Reality. Es wird mit einem Befehl über das offizielle Skript installiert. Auf einem Mini-PC mit N100 funktioniert es hervorragend. Auf einem Orange Pi Zero mit Cortex-A53 — langsam, da es keine Hardwarebeschleunigung für AES gibt, und XRay die CPU bei 100 Mbit/s auf 70-80% belastet.

Shadowsocks-2022: ein Kompromiss zwischen Geschwindigkeit und Obfuskation

Shadowsocks-2022 ist eine aktualisierte Version des alten Protokolls mit verbesserter Kryptografie (AEAD-2022). Die Obfuskation ist schlechter als bei Reality, aber besser als bei normalem WireGuard. Der Verkehr sieht aus wie Zufallsdaten, was die Analyse der Signatur bereits erschwert.

Der Hauptvorteil für schwache Hardware: die CPU-Belastung ist geringer als bei XRay. Auf dem Orange Pi 3 LTS kann der Unterschied in der CPU-Belastung zwischen Shadowsocks-2022 und XRay 30-40% erreichen. Wenn Sie eine ARM Cortex-A53-Platine haben, ist Shadowsocks-2022 die praktischere Wahl.

Amnezia VPN: eine fertige Lösung auf Basis gewöhnlicher Hardware

Amnezia ist ein russisches Open-Source-Projekt, das WireGuard verwendet und Junk-Pakete vor dem eigentlichen Handshake hinzufügt. DPI kann die WireGuard-Signatur nicht erkennen, da es eine nicht standardmäßige Paketfolge sieht.

AmneziaWG funktioniert praktisch auf jeder Hardware, auf der normales WireGuard funktioniert — die Overheadkosten sind minimal. Client-Anwendungen sind für Android, iOS, Windows, macOS verfügbar. Eine gute Lösung, wenn Sie bereits WireGuard eingerichtet haben und schnell einen Schutz gegen DPI hinzufügen möchten, ohne alles neu zu installieren.

OpenVPN und IKEv2: wann es immer noch sinnvoll ist, sie zu verwenden

OpenVPN über TCP auf Port 443 ist ein altes, aber funktionierendes Schema. Der Verkehr sieht für die meisten Anbieter ohne tiefgehende Analyse wie HTTPS aus. Die Geschwindigkeit ist 30-50% niedriger als bei WireGuard, die CPU-Belastung höher. Aber es funktioniert fast überall und wird von allen Clients unterstützt.

IKEv2 — für Unternehmensszenarien und iOS (eingebaute Unterstützung). Im Kontext der Umgehung von Roskomnadzor-Sperren — eine schwache Wahl: es ist relativ leicht zu blockieren. Verwenden Sie es nur, wenn Sie Kompatibilität mit einer bestimmten Unternehmenslösung benötigen.

Schritt-für-Schritt-Anleitung zur Einrichtung eines VPN-Servers auf günstiger Hardware

Installation des Betriebssystems: Debian/Ubuntu gegen Alpine Linux zur Ressourcenschonung

Auf dem Raspberry Pi 4 verwenden Sie Raspberry Pi OS Lite (64-Bit) — dies ist ein optimiertes Debian für diese Plattform. Laden Sie es von der offiziellen Website raspberrypi.com herunter, die Version ohne Desktop (Lite). Schreiben Sie es mit dem Raspberry Pi Imager — dieser konfiguriert auch SSH und den Hostnamen vor dem ersten Start.

Für Mini-PCs auf x86 — Debian 12 Bookworm Minimal oder Ubuntu Server 24.04 LTS. Alpine Linux spart RAM, aber die Repositories sind weniger umfangreich, und einige Pakete müssen manuell kompiliert werden. Für Anfänger ist das zusätzliche Mühe.

Installation von WireGuard in 10 Minuten: Befehle und Konfiguration

Auf Debian/Ubuntu:

apt update && apt install -y wireguard
wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
chmod 600 /etc/wireguard/server_private.key

Konfiguration /etc/wireguard/wg0.conf:

[Interface]# Server private key
PrivateKey = <contents of server_private.key>
# Server address in VPN network
Address = 10.0.0.1/24
# Port — better non-standard, but if provider blocks UDP — it's a problem
ListenPort = 51820
# Enable traffic forwarding
PostUp = iptables -A FORWARD -i wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

[Peer]
# Client public key
PublicKey = <client_public.key>
AllowedIPs = 10.0.0.2/32

Aktivieren und starten Sie:

echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
sysctl -p
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

Wenn Ihr Anbieter UDP-Verkehr auf nicht standardmäßigen Ports blockiert — ändern Sie ListenPort auf 53 (DNS) oder verwenden Sie wstunnel, um WireGuard in WebSocket zu verpacken.

Installation von XRay/VLESS mit Reality auf einem Mini-PC oder Einplatinencomputer

Offizielles Installationsskript für XRay (Version 1.8.x und höher):

bash -c "$(curl -L https://github.com/XTLS/Xray-install/raw/main/install-release.sh)" @ install

Nach der Installation befindet sich die Konfiguration in /usr/local/etc/xray/config.json. Für Reality müssen Sie ein Schlüsselpaar generieren:

xray x25519

In der Konfiguration geben Sie an "dest": "www.microsoft.com:443" — XRay wird nicht erkannte Verbindungen an Microsoft umleiten und eine überzeugende Tarnung schaffen.

Client-Verbindungen: Android, iPhone, Windows, Router

WireGuard Android/iOS: offizielle WireGuard-App aus dem Play Store/App Store. Generieren Sie einen QR-Code der Konfiguration mit qrencode -t ansiutf8 < client.conf, scannen Sie ihn mit Ihrem Telefon.

VLESS/XRay auf Android: v2rayNG App (Google Play). Kopieren Sie den Link, wie vless://uuid@ip:443?..., fügen Sie ihn in die App ein.

VLESS/XRay auf iOS: Streisand oder Shadowrocket App (kostenpflichtig, $2.99). Importieren Sie denselben Link.

Windows: für WireGuard — offizieller Client von wireguard.com, importieren Sie die .conf-Datei. Für XRay — Nekoray oder Hiddify.

Überwachung und Sicherheit: fail2ban, automatische Updates

Mindestmaß an Sicherheit:

apt install -y fail2ban unattended-upgrades
systemctl enable fail2ban
dpkg-reconfigure -plow unattended-upgrades

Fail2ban blockiert automatisch Brute-Force-Angriffe auf SSH. Unattended-upgrades installiert Sicherheits-Patches ohne Ihr Zutun. Ändern Sie den SSH-Port von 22 auf etwas Ungewöhnliches und deaktivieren Sie die Passwortauthentifizierung — nur Schlüssel.

Was nicht funktioniert und typische Fehler bei der Auswahl der Hardware

Warum die heimische IP für VPN in Russland nicht geeignet ist

Selbst wenn Sie das CGNAT-Problem gelöst und eine statische IP von Ihrem Anbieter erhalten haben — die heimische IP-Adresse ist aus einem anderen Grund problematisch. Russische Anbieter haben das Recht und die technische Möglichkeit, bestimmte IP-Adressen ihrer Nutzer auf Anfrage zu blockieren. Außerdem befindet sich Ihre IP im Bereich des russischen Anbieters — einige ausländische Dienste filtern sie zusätzlich.

Das richtige Schema: Heimhardware + VPS im Ausland als Ausgangsknoten. Zu Hause gibt es einen Raspberry Pi oder Mini-PC, der über ein Tunnel zu Ihrem Server in Deutschland verbunden ist, der gesamte Verkehr läuft über die deutsche IP. So weiß niemand Ihre heimliche Adresse.

Router ohne Hardware-NAT: Engpass bei der Geschwindigkeit

Viele Budget-Router mit OpenWRT haben keine Hardware-Beschleunigung für NAT. Bei VPN-Verkehr laufen alle Weiterleitungen über die CPU, die bei MIPS-Routern aus den Jahren 2016-2018 offen schwach ist. Die tatsächliche Geschwindigkeit kann 20-40 Mbit/s bei theoretischen 300 Mbit/s für den Router betragen.

GL.iNet auf MediaTek MT7621/MT7981 ist besser — Software Flow Offloading funktioniert dort und bietet einen spürbaren Zuwachs. Aber Hardware, die älter als 2020 ist und einen MIPS-Prozessor für den VPN-Server hat — das ist Müll, verschwenden Sie keine Zeit.

Einplatinencomputer mit 100 Mbit/s Ethernet — versteckte Einschränkung

Orange Pi Zero, Banana Pi M2 Zero, einige frühe Raspberry Pi — sie haben physisch 100 Mbit/s Ethernet oder nur WiFi. WireGuard kann 300 Mbit/s über die CPU bereitstellen, aber das Netzwerk wird der Engpass bei 100 Mbit/s sein. Überprüfen Sie die Spezifikationen vor dem Kauf.

Raspberry Pi 4 und 5 — Gigabit-Ethernet. Orange Pi 3 LTS — ebenfalls Gigabit. Das ist das Minimum für eine normale Nutzung.

Wärme und Stabilität: Probleme mit dem 24/7-Betrieb günstiger Hardware

Raspberry Pi 4 ohne Kühlung unter Dauerlast senkt die Frequenz von 1800 MHz auf 600 MHz. Das ist ein echtes Problem für einen VPN-Server 24/7. Kaufen Sie ein Gehäuse mit passivem Kühlkörper — das löst das Problem vollständig ohne einen einzigen Lüfter.

Günstige chinesische Mini-PCs, wie "no-name N100", haben manchmal ein instabiles WiFi-Modul und ein mittelmäßiges Netzteil. Verbinden Sie sich über Ethernet, WiFi ist für den Server überhaupt nicht erforderlich. Besorgen Sie sich ein Netzteil mit Reserven — ein günstiges 12V/1A unter Last kann Spannungseinbrüche haben.

Eine eigene Geschichte — günstige Hosting-Anbieter an exotischen Orten (1 Dollar pro Monat für VPS in Moldawien oder Kasachstan): Stromausfälle, instabile Verbindungen, manchmal einfach mehrere Stunden offline. Hetzner, Contabo, DigitalOcean — zahlen Sie 2 Dollar mehr, aber schlafen Sie ruhig.

Eine Alternative zu Ihrem eigenen Server: Wann man einen fertigen VPN wählen sollte

Wenn Selbsthosting unangemessen ist

Ihr eigener VPN-Server auf günstiger Hardware für VPN ist ein Projekt. Kein App, kein Abonnement, sondern ein Projekt mit anfänglicher Einrichtung, regelmäßiger Wartung und Problemlösungen wie "der Server ist um 3 Uhr morgens abgestürzt und alle zu Hause haben kein Internet".

Lassen Sie uns die realen TCO berechnen: Raspberry Pi 4 (~5000 Rubel einmalig) + Gehäuse mit Kühlung (~500 Rubel) + microSD-Karte (~600 Rubel) = ~6100 Rubel einmalig. Strom: ~4 W × 24 Std. × 30 Tage × 6 Rubel/kWh = ~17 Rubel pro Monat. VPS im Ausland (Hetzner CX11, 2 GB RAM, Deutschland) = ~$3.5/Monat ≈ 320 Rubel. Insgesamt: ~6100 Rubel Einstieg + ~340 Rubel/Monat. Nach 6 Monaten sind das ~8100 Rubel. Plus Ihre Zeit für Einrichtung und Wartung.

Ein fertiger VPN-Service mit normalem Support für das Umgehen von Blockaden kostet 100-500 Rubel pro Monat. Nach 6 Monaten sind das 600-3000 Rubel, null Zeit für die Einrichtung. Für nicht-technische Benutzer ist die Wahl offensichtlich.

NvoVPN und andere Dienste als fertige Alternative ohne Hardware

Wenn Sie sich nicht mit Konfigurationen und Updates beschäftigen möchten, ist ein fertiger Service eine vernünftige Wahl. NvoVPN unterstützt beispielsweise bereits moderne Protokolle zum Umgehen von DPI und erfordert keinen Kauf von Hardware — laden Sie einfach die App herunter und verbinden Sie sich.

Ihr eigener Server macht Sinn, wenn: Sie technisches Wissen haben und jeden Aspekt kontrollieren möchten, bereit sind, Zeit zu investieren, oder spezifische Anforderungen haben (z. B. eine bestimmte Ausgangs-IP für die Arbeit mit bestimmten Diensten). In anderen Fällen — bewerten Sie nüchtern, ob es das wert ist.

Brauche ich eine statische IP für meinen eigenen VPN-Server?