Dieser Artikel enthält Affiliate-Links. Den hier verwendeten RackNerd-VPS habe ich selbst gebucht und die WireGuard-Konfiguration sowie die Verbindung praktisch getestet.

Eigener WireGuard-VPN auf einem RackNerd KVM VPS: Praxistest mit macOS

Ich habe einen kleinen VPS im Ausland gemietet und daraus einen persönlichen WireGuard-VPN gebaut. Getestet wurden RackNerd 1 GB KVM VPS, Ubuntu 24.04, SSH-Schlüsselauthentifizierung, das Abschalten von Root-/Passwort-SSH, UFW, WireGuard und ein macOS-Client. Abschließend habe ich den Wechsel der öffentlichen IPv4 sowie den WireGuard-Handshake verifiziert.

Verwendeter VPS

Am 14. September 2026 habe ich einen „1 GB KVM VPS Special“ gebucht, der mit 21,99 USD pro Jahr angezeigt wurde. Wechselkurs, Kartenentgelte, Verfügbarkeit und Standorte können sich ändern.

Warum ein eigener VPN?

Kommerzielle VPN-Apps sind bequemer, wenn häufig zwischen vielen Ländern gewechselt werden soll. Ein selbst betriebener VPN bietet dagegen einen eigenen Server und einen kontrollierten Ausgang, bringt aber Verantwortung für Updates, Firewall, Schlüssel und Backups mit sich. Genau diesen technischen Aufbau wollte ich praktisch verstehen.

1. VPS starten und Control Panel prüfen

Nach der Bestellung kamen VPS-IP, Root-Daten und der Zugang zu NerdVM/SolusVM. Im Panel waren Ubuntu 24.04 64 Bit, 20 GB Disk, 1 GB RAM und der Online-Status sichtbar.

2. Von macOS per SSH verbinden und Ubuntu aktualisieren

ssh root@YOUR_VPS_IP

whoami
hostname
cat /etc/os-release
ip addr
free -h
df -h

apt update
apt upgrade -y

Beim Upgrade habe ich English (US) beibehalten. Bei der OpenSSH-Abfrage zu einer lokal geänderten sshd_config blieb zunächst die lokale Version erhalten; anschließend wurde SSH bewusst gehärtet.

reboot
# danach erneut verbinden
uname -r
systemctl --failed
apt list --upgradable

3. Admin-Benutzer und SSH-Schlüssel einrichten

adduser vpnadmin
usermod -aG sudo vpnadmin
id vpnadmin

Auf dem Mac:

ssh-keygen -t ed25519 -a 100 \
  -f ~/.ssh/racknerd_wireguard \
  -C "racknerd-wireguard"

scp ~/.ssh/racknerd_wireguard.pub \
  root@YOUR_VPS_IP:/tmp/racknerd_wireguard.pub

Auf dem VPS:

install -d -m 700 -o vpnadmin -g vpnadmin /home/vpnadmin/.ssh
cat /tmp/racknerd_wireguard.pub > /home/vpnadmin/.ssh/authorized_keys
chown vpnadmin:vpnadmin /home/vpnadmin/.ssh/authorized_keys
chmod 600 /home/vpnadmin/.ssh/authorized_keys
rm /tmp/racknerd_wireguard.pub

ssh -i ~/.ssh/racknerd_wireguard vpnadmin@YOUR_VPS_IP
whoami
sudo whoami

4. Root-Login und Passwort-SSH deaktivieren

sudo nano /etc/ssh/sshd_config.d/00-racknerd-hardening.conf

PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes

sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -E \
'permitrootlogin|passwordauthentication|pubkeyauthentication|kbdinteractiveauthentication'

Wirksam waren danach: Root-SSH aus, Public-Key-Auth an, Passwort- und Keyboard-Interactive-Auth aus. Vor dem Schließen der bestehenden Sitzung sollte immer eine zweite Schlüssel-Sitzung getestet werden.

5. UFW aktivieren

sudo ufw allow 22/tcp
sudo ufw allow 51820/udp
sudo ufw enable
sudo ufw status verbose

6. WireGuard installieren und IPv4-Forwarding einschalten

sudo apt install -y wireguard
sudo nano /etc/sysctl.d/99-wireguard-forward.conf

net.ipv4.ip_forward=1

sudo sysctl --system
sysctl net.ipv4.ip_forward
sudo ufw route allow in on wg0 out on eth0

7. Server-Schlüssel und wg0 erstellen

sudo install -d -m 700 /etc/wireguard
sudo sh -c 'umask 077; wg genkey > /etc/wireguard/server_private.key'
sudo sh -c 'wg pubkey < /etc/wireguard/server_private.key > /etc/wireguard/server_public.key'

sudo bash -c 'umask 077
{
  echo "[Interface]"
  echo "Address = 10.66.66.1/24"
  echo "ListenPort = 51820"
  printf "PrivateKey = "
  cat /etc/wireguard/server_private.key
  echo "PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE"
  echo "PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE"
} > /etc/wireguard/wg0.conf'
sudo chmod 600 /etc/wireguard/wg0.conf
sudo systemctl enable --now wg-quick@wg0

8. macOS-Client erzeugen

mkdir -p ~/.wireguard
chmod 700 ~/.wireguard
umask 077
wg genkey | tee ~/.wireguard/mac_private.key | \
  wg pubkey > ~/.wireguard/mac_public.key

Peer auf dem Server:

[Peer]
PublicKey = MAC_PUBLIC_KEY
AllowedIPs = 10.66.66.2/32

sudo wg-quick strip wg0 | sudo wg syncconf wg0 /dev/stdin

Client-Konfiguration:

[Interface]
PrivateKey = MAC_PRIVATE_KEY
Address = 10.66.66.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = SERVER_PUBLIC_KEY
Endpoint = YOUR_VPS_IP:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

9. Verbindung praktisch testen

sudo wg-quick up ~/.wireguard/racknerd-us.conf
ping -c 4 10.66.66.1
curl -4 ifconfig.me

Der Tunnel antwortete auf 4/4 Pings ohne Paketverlust. Zum New-York-VPS lag die durchschnittliche Latenz bei ungefähr 300 ms. Ohne WireGuard wurde die normale japanische IPv4 angezeigt, mit aktivem Tunnel die IPv4 des RackNerd-VPS. Auf dem Server zeigte sudo wg show einen aktuellen Handshake und übertragenen Traffic.

10. IPv6 muss separat behandelt werden

Während des Tests war zusätzlich ein japanischer WireGuard-VPN in der macOS-App aktiv. Deshalb muss noch getrennt geprüft werden, ob IPv6 direkt oder über diesen zweiten Tunnel lief. Hier ist daher ein verifizierter IPv4-Tunnel über den Auslands-VPS dokumentiert, nicht ein vollständig leak-freier VPN. Für einen strikten Full-Tunnel müssen IPv6 und DNS zusätzlich geprüft bzw. gesteuert werden.

Vor- und Nachteile aus dem Test

Für wen passt das?

• Wer Linux, SSH und WireGuard praktisch lernen möchte
• Wer einen festen Auslands-IPv4-Ausgang möchte
• Wer seine Serversicherheit selbst verwalten kann oder lernen will
• Wer mit einem kleinen VPS experimentieren möchte

Nutzungsbedingungen beachten

RackNerd-VPS sind standardmäßig unmanaged. Betriebssystem, Firewall, Anwendungen, Daten und Backups liegen beim Nutzer. Illegale Aktivitäten, Spam, Brute-Force und ausgehende DDoS-Angriffe sind verboten.

• RackNerd Terms of Service
• RackNerd Affiliate Terms of Service

Fazit

« Zurück zu den Anleitungen