SOP – WireGuard unter Windows 11 einrichten und verwenden

Dokumenten-ID: GNAI-006-SEC-SOP-02
Status: Anleitung bereinigt; Windows-Praxistest noch offen
Referenzen: Gateway, Profilverwaltung für Administratoren

Änderungsverlauf

Datum	Version	Autor	Änderung
2026-09-09	1.0	spektr	Erste Clientanleitung für Windows 11 erstellt.
2026-09-15	2.0	spektr	Installation, Profilimport, Split-Tunneling, Geheimnisschutz, Fehlersuche und noch offene Praxisabnahme überarbeitet.

1. Was du benötigst

WireGuard verbindet deinen Rechner mit den für dich freigegebenen Geräten im Heimnetz. Es ersetzt weder Windows-Anmeldungen noch SSH-Schlüssel oder Passwörter für Serverdienste. Normale Internetverbindungen bleiben bei diesem Projekt außerhalb des VPN-Tunnels; das heißt Split-Tunneling.

Du benötigst Windows 11, Administratorrechte für die Installation, Internetzugang und eine eigene .conf-Datei vom Administrator. Der Administrator nennt dir deine Rolle und ein erreichbares Testziel. Du meldest dich zum Beziehen des Profils nicht an der wg-easy-Verwaltungsoberfläche an.

Jedes Gerät erhält ein eigenes Profil. Die Datei enthält den PrivateKey und gegebenenfalls einen PresharedKey. Beide sind geheim; behandle die vollständige Datei wie ein Passwort. Lege sie nicht in öffentlichen oder gemeinsam genutzten Ordnern ab.

2. Offiziellen Client installieren

WireGuard-Installationsseite öffnen und den Windows Installer herunterladen.
Installer ausführen und die Windows-Rückfrage zu Administratorrechten bestätigen.
WireGuard öffnen. Der Installer installiert auch den benötigten WireGuardNT-Treiber. Hyper-V oder ein angebliches optionales „Windows Internal WireGuard“-Feature sind nicht erforderlich. Offizieller Windows-Client

3. Eigenes Profil importieren

Vom Administrator erhaltene Profil-Datei lokal in deinem persönlichen Benutzerordner speichern. Als kurzen Namen beispielsweise gnai-laptop.conf verwenden; Dateiendung .conf beibehalten.
WireGuard öffnen und Tunnel hinzufügen → Tunnel aus Datei importieren wählen; englisch Add Tunnel → Import tunnel(s) from file.
Deine .conf auswählen. Der Tunnel erscheint in der Liste.
Den Eintrag auswählen. Name und freigegebene Zielnetze mit den Angaben des Administrators abgleichen. Schlüssel nicht in Screenshots oder Supportnachrichten zeigen.

Falls beim Import ein Fehler erscheint, den genauen Fehlertext und die Clientversion an den Administrator geben; keine vollständige Profil-Datei in einen offenen Chat kopieren. Eine neue Datei vom Administrator kann eine ältere importierte Verbindung ersetzen; dafür den alten Tunnel zuerst deaktivieren und nach Absprache entfernen.

4. Verbinden und trennen

Für die erste Prüfung ein anderes Netz verwenden, etwa einen Smartphone-Hotspot. Ein Test im eigenen Heimnetz beweist keinen funktionierenden Fernzugriff.
Tunnel in WireGuard auswählen und Aktivieren / Activate anklicken.
Ein freigegebenes Ziel aufrufen. Die Verbindung erzeugt dann Verkehr; anschließend sollten ein aktueller Handshake und steigende Transferwerte angezeigt werden.
Zum Trennen Deaktivieren / Deactivate anklicken.

„Aktiv“ bedeutet zunächst, dass der lokale Tunnel eingeschaltet ist. Erst erfolgreicher Verkehr zu einem erlaubten Ziel bzw. ein Handshake beweist die VPN-Verbindung. WireGuard benötigt keinen besonderen Schildindikator im Windows-Netzwerksymbol.

5. Verbindung prüfen

Rolle	geeigneter Test	erwartetes Verhalten
Familie	`https://10.0.0.2:8006` und ein vom Administrator genannter Heimnetz-PC	freigegebene Dienste erreichbar
Server Admin	`https://10.0.0.2:8006` oder ein bekannter LXC-Dienst	Server erreichbar; gewöhnliche Heimnetz-PCs nicht freigegeben
LLM Admin	vom Administrator genannter Dienst auf `10.0.0.90`	KI-Server erreichbar; Proxmox/NPM/wg-easy nicht freigegeben

Ein Zertifikatshinweis bei einer Server-IP ist getrennt vom VPN zu behandeln: den Fingerprint bzw. vorgesehenen Hostnamen beim Administrator verifizieren, nicht wahllos Ausnahmen bestätigen. Ein fehlender Ping kann an einer Host-Firewall liegen; ein ausgeschalteter Server ist kein VPN-Testziel.

Optional in PowerShell, am Beispiel eines vom Administrator freigegebenen SSH-Ziels:

Test-NetConnection -ComputerName 10.0.0.90 -Port 22
Get-NetIPAddress -AddressFamily IPv4 |
    Where-Object { $_.IPAddress -like '10.8.0.*' }

Für den Split-Tunnel-Test die öffentliche IPv4-Adresse vor und nach dem Aktivieren im gleichen fremden Netz vergleichen:

curl.exe -4 https://ifconfig.co/ip

Sie soll weiterhin die Außenadresse des verwendeten Netzes anzeigen. Eine private 10.0.0.x-Adresse wird von einem öffentlichen IP-Abfragedienst ohnehin nicht angezeigt. Ein Wechsel auf die öffentliche Heimnetz-Adresse wäre ein Hinweis auf unerwartetes Full-Tunnel-Routing. Während des Vergleichs nicht zwischen WLAN und Mobilfunk wechseln.

Die technische Rollenisolierung wird vom Administrator zusätzlich mit absichtlich verändertem Client-Routing geprüft. Ein bei dir fehlender Routeneintrag allein beweist keine serverseitige Sperre.

6. Alltag und Netzwerkwechsel

Ein aktivierter Tunnel läuft als Windows-Tunneldienst; das Schließen des GUI-Fensters ist nicht dasselbe wie Deaktivieren. Nach einem Neustart und nach Netzwechsel den tatsächlichen Tunnelzustand prüfen. Ein automatischer Start wird nur nach Absprache eingerichtet und separat getestet; diese SOP setzt keinen erfundenen GUI-Autostartschalter voraus.

Bei einem Netzwerkwechsel kurz warten und Verkehr zu einem erlaubten Ziel erzeugen. Bleibt die Verbindung aus, einmal deaktivieren und aktivieren. Gleichzeitige weitere VPN-Clients können Routen oder DNS verändern; dem Administrator deren Namen nennen.

7. Fehlersuche und Sicherheit

Symptom	nächster Schritt
kein Handshake	Internetzugang prüfen, Tunnel neu aktivieren; Administrator prüft Endpoint-DNS und UDP-Portweiterleitung
Handshake vorhanden, Dienst nicht erreichbar	richtige Rolle, Ziel-IP, Port und Serverzustand mit Administrator prüfen
Internet funktioniert, interne Namen nicht	DNS-Verhalten melden; ohne ausdrückliche DNS-Freigabe System-DNS verwenden
Import-/Treiberfehler	offiziellen Installer reparieren bzw. neu installieren; Fehlertext melden, kein Hyper-V-Feature aktivieren
Aktivierung verweigert	Windows-Berechtigungen prüfen lassen; Firewall nicht pauschal deaktivieren
fremdes WLAN nutzt ebenfalls `10.0.0.0/24`	mögliche Adressüberschneidung melden und etwa per Hotspot gegenprüfen; Routen nicht auf Verdacht ändern

Nach erfolgreichem Import ungeschützte Downloadkopien löschen. Unterstützte interne Profilspeicherung ersetzt keine Rechteprüfung für eigene Backups. Bei Geräteverlust oder Profiloffenlegung sofort den Administrator informieren; nur serverseitiger Widerruf sperrt den Zugang zuverlässig. Windows-Dienstmodell

8. Abnahme

Administrator und Nutzer dokumentieren Profilname, Gerät, Rolle, Datum, fremdes Testnetz, Handshake, erreichbaren Dienst und Split-Tunnel-Ergebnis. PrivateKey und PresharedKey bleiben aus dem Nachweis ausgeschlossen. Für Windows liegt bislang kein praktischer Abnahmenachweis vor.

7.5 KiB Raw Blame History Unescape Escape