VPN Gateway Server: WireGuard-VPN mit IPv64.net

Ein VPN Gateway ist ein WireGuard-Server in deinem Cloud Router, den IPv64.net komplett über die Webseite verwaltet. Hier liest du, wo die Server stehen, wie du WireGuard-Zugänge (Peers) anlegst, wie du Clients verbindest und was das Install-Skript wg-install.sh macht.

Was ist ein VPN Gateway?

Das VPN Gateway ist ein virtueller Router in der Umgebung von IPv64.net. Er läuft in einem Cloud Router und hat einen eigenen WireGuard-Port auf einem VPN-Server. Client- und Site-to-Site-Konfigurationen legst du in wenigen Sekunden an; IPv64.net überträgt sie automatisch auf den Server.

• Peer heißt jeder WireGuard-Zugang: ein Smartphone, ein Laptop, ein Linux-Server oder ein Router wie FRITZ!Box, OPNsense oder UniFi.
• Ein Cloud Router kann mehrere Gateways enthalten, ein Gateway mehrere Peers. Wie viele, hängt von deiner Kontoklasse ab (Pricing).
• Das Gateway spricht IPv4 und IPv6 und verbindet auch Anschlüsse mit CGNAT oder DS-Lite sauber mit dem Internet.

Wie du Cloud Router und Gateway anlegst und Ports freigibst, steht unter Cloud Router.

VPN Gateway Server und Standorte

Der gesamte Verkehr der VPN Gateways läuft über die Server von IPv64.net. Alle stehen in deutschen Rechenzentren. Die aktuelle Liste mit Standort, Anbieter, Status, Adressen und Traffic findest du unter ipv64.net/vpn-server.

Die Krone kennzeichnet Premium-Server. Im kostenlosen Konto weist IPv64.net den Server automatisch zu; ab Home / Supporter wählst du beim Anlegen unter Choose a favorite Server selbst, Business und Company auch Hardware-Server. Der Status eines Servers ist Online, Offline, Maintenance mode oder Testserver.

WireGuard-Zugang (Peer) anlegen

1. Peer erzeugen
   Auf Cloud Router beim Gateway Gateway Options → Quick new WG Peer wählen.
2. Einstellungen prüfen
   In der Peer-Liste (Show WG Peers) unter Peer options → Edit Peer die Felder anpassen (Tabelle unten) und mit Save settings speichern.
3. Konfiguration holen
   Peer options → Show WG Config öffnet die fertige Client-Konfiguration.

Schlüssel: Keypair Section

• Generate new Keypair erzeugt ein neues Schlüsselpaar, Generate new PSK einen neuen Preshared Key. Danach brauchen deine Geräte die neue Konfiguration.
• Save manual Keypair übernimmt eigene Schlüssel. Du kannst auch nur den Public Key eintragen und das Feld Private Key leer lassen. Dann bleibt der private Schlüssel ausschließlich auf deinem Gerät, und du trägst ihn dort selbst in die Konfiguration ein.

Die WireGuard-Konfiguration

Die Ansicht Show WG Config zeigt die Client-Datei wg0.conf. Sie ist so aufgebaut (Werte sind Platzhalter):

[Interface]
Address = 10.7.0.2/32,fd64::2/128
PrivateKey = DEIN_PRIVATE_KEY
DNS = 192.0.2.53

[Peer]
PublicKey = PUBLIC_KEY_DES_GATEWAYS
PresharedKey = DEIN_PRESHARED_KEY
AllowedIPs = 10.7.0.0/24
Endpoint = SERVERNAME:PORT
PersistentKeepalive = 25

• Address, DNS und PersistentKeepalive kommen aus den Peer-Einstellungen; DNS, PresharedKey und PersistentKeepalive stehen nur drin, wenn sie gesetzt sind.
• AllowedIPs sind die Einträge der Liste Client Site unter Edit Peer – die Netze, die dein Gerät in den Tunnel schickt.
• Endpoint ist der VPN-Server mit dem Port deines Gateways, wie in der Spalte Server angezeigt.

So bringst du die Datei auf dein Gerät:

• QR-Code für die WireGuard-App auf dem Smartphone.
• Copy to Clipboard oder Download as file (wg0.conf).
• Direct-Download URL der Form https://ipv64.net?wgconfig=DEIN_PEER_TOKEN – funktioniert ohne Anmeldung, z. B. mit curl.
• Fast One-Step Installer für Linux, siehe unten.

Clients einrichten

Windows und macOS

Installiere die offizielle WireGuard-App, lade die Datei wg0.conf herunter und importiere sie in der App als Tunnel aus einer Datei. Danach den Tunnel aktivieren.

Android und iOS

Installiere die WireGuard-App, tippe auf + und scanne den QR-Code aus Show WG Config. Den Tunnel einschalten – fertig.

Linux

Am einfachsten mit dem Install-Skript. Von Hand geht es so:

sudo apt install wireguard
sudo curl -fsSL "https://ipv64.net?wgconfig=DEIN_PEER_TOKEN" -o /etc/wireguard/wg0.conf
sudo chmod 600 /etc/wireguard/wg0.conf
sudo wg-quick up wg0
sudo systemctl enable wg-quick@wg0

Router und Firewalls

FRITZ!Box, OPNsense, UniFi und andere Router mit WireGuard verbinden sich genauso: Datei importieren oder die Werte aus der Konfiguration übernehmen. Soll der Router ein ganzes Netz ins VPN bringen, markiere den Peer als Site-to-Site und richte die Routen ein (siehe Routing).

Install-Skript wg-install.sh

Der Fast One-Step Installer richtet genau die Konfiguration eines Peers auf einem x86-Linux-System ein. Den fertigen Befehl mit deinem Token kopierst du aus Show WG Config. Er hat diese Form und muss als root laufen:

bash <(curl -fsSL https://ipv64.net/wg-install.sh) DEIN_PEER_TOKEN

Willst du das Skript vorher lesen, lade es erst herunter:

curl -fsSL https://ipv64.net/wg-install.sh -o wg-install.sh
less wg-install.sh
sudo bash wg-install.sh DEIN_PEER_TOKEN

Das Skript macht der Reihe nach:

1. prüft, ob es als root läuft und ob ein Token übergeben wurde;
2. erkennt den Paketmanager: apt-get (Debian/Ubuntu), yum (CentOS/RHEL) oder dnf (Fedora/RHEL) – andere Systeme bricht es ab;
3. installiert das Paket wireguard, falls wg und wg-quick fehlen (bei yum vorher epel-release);
4. lädt die Konfiguration von https://ipv64.net?wgconfig=DEIN_PEER_TOKEN nach /etc/wireguard/wg0.conf und setzt die Rechte auf 600;
5. zeigt die heruntergeladene Konfiguration an;
6. warnt, wenn AllowedIPs 0.0.0.0/0 oder ::/0 enthält – dann läuft der gesamte Verkehr durch den Tunnel;
7. nennt die Befehle zum Starten. Den Tunnel startet es nicht selbst.

Danach startest du WireGuard und schaltest den Autostart ein:

wg-quick up wg0
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

Einsatzzwecke

Wie ein normaler VPN-Anbieter

Ein Client verbindet sich mit dem Gateway und geht darüber ins Internet. Dazu stehen in Client Site die Netze 0.0.0.0/0 und ::/0. Im kostenlosen Konto ist der Internetzugang über den Gateway eingeschränkt.

Homelab hinter DS-Lite und CGNAT erreichen

Dein Server oder Router baut den Tunnel von innen auf, IPv64.net leitet Anfragen per Portmapping weiter. Der Verkehr ist dabei zusätzlich verschlüsselt. Anleitung: Portfreigabe mit dem Portmapper.

Site-to-Site-VPN

Mehrere Homelabs oder Standorte verbinden sich mit demselben Cloud Router. Mit der Routing-Tabelle (und auf Wunsch OSPF) erreichen alle Netze einander. Details unter Routing, Site-to-Site, Firewall und OSPF.

WireGuard Config Generator

Betreibst du einen eigenen WireGuard-Server, hilft der WireGuard Config Generator. Er erzeugt für ein Setup mit einem Server und mehreren Clients die Server-Datei wg0.conf und Client-Dateien (wg1.conf, wg2.conf …) mit QR-Codes. Mit dem Cloud Router von IPv64.net hat er nichts zu tun.

Auf deinem Linux-Server setzt du die Server-Datei dann so ein:

sudo apt install wireguard
sudo nano /etc/wireguard/wg0.conf
sudo wg-quick up wg0
sudo systemctl enable wg-quick@wg0

Die Clients scannen den QR-Code ihrer Konfiguration mit dem Smartphone. Die Schlüssel erzeugt ipv64.net beim Aufruf der Seite; laut Seite wird nichts gespeichert. Für produktive Server kannst du eigene Schlüssel lokal mit wg genkey erzeugen und eintragen.

Sicherheit und Protokollierung

• Behandle Konfigurationsdateien, Download-URL und Token wie Passwörter. Bei Verdacht neue Schlüssel erzeugen oder den Peer löschen.
• Einzelne Peers schaltest du mit Disable peer ab, ohne sie zu löschen.
• Show Connections zeigt die letzten 30 Verbindungen eines Peers mit IP-Adresse, Port und Zeitpunkt.
• IPv64.net führt keine „No-Log-Policy“: Verbindungsrelevante Daten werden nach gesetzlichen Vorgaben unveränderbar gespeichert. Illegale Dienste sind verboten.

Fehler gefunden oder etwas fehlt? Schreibt uns im v64.tech-Forum. · Stand: 2026-10-26