UGREEN NAS: WireGuard-VPN mit wg-easy einrichten

Von unterwegs auf die UGREEN NAS zugreifen, ohne ihre Oberfläche ins Internet zu stellen: Genau dafür ist ein VPN da. WireGuard baut einen verschlüsselten Tunnel ins Heimnetz, und das Handy oder Notebook verhält sich danach, als stünde es zu Hause. wg-easy bringt WireGuard samt Weboberfläche als Docker-Container mit, hier in Version 15.5.0. Diese Anleitung richtet wg-easy auf der NAS ein, legt den ersten Zugang mit QR-Code an und prüft die Verbindung über das Mobilfunknetz.

Voraussetzungen

• Eine UGREEN NAS mit der App Docker und fester IP-Adresse, siehe Teil 63 und Teil 9
• SSH-Zugang, siehe Teil 52
• Zugang zur Oberfläche Ihres Routers für eine Portfreigabe, siehe Teil 51
• Ein Anschluss mit eigener öffentlicher IPv4-Adresse und am besten ein DDNS-Name, siehe Teil 45
• Die App WireGuard auf dem Handy oder Notebook
• Etwa 45 Minuten

Schritt 1: Den Ordner anlegen

sudo mkdir -p /volume2/docker/wg-easy/data
cd /volume2/docker/wg-easy
sudo chmod 700 data

In data liegen später die privaten Schlüssel des Servers und aller Zugänge. Neue Ordner unter docker erben in UGOS Rechte, die auch der Gruppe admin Zugriff geben, wie Teil 65 zeigt. Mit chmod 700 darf nur noch root hinein, und der Container läuft als root. Liegt Ihr Docker-Ordner auf einem anderen Volume, passen Sie /volume2 an. Mehr zu den Rechten in Teil 65.

Verifizieren: sudo ls -ld data zeigt drwx------ und root.

Schritt 2: Die Compose-Datei schreiben und starten

sudo nano compose.yaml

services:
  wg-easy:
    image: ghcr.io/wg-easy/wg-easy:15.5.0
    container_name: wg-easy
    environment:
      - INSECURE=true
      - DISABLE_IPV6=true
      - TZ=Europe/Berlin
    ports:
      - "51820:51820/udp"
      - "192.168.1.10:51821:51821/tcp"
    volumes:
      - ./data:/etc/wireguard
      - /lib/modules:/lib/modules:ro
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
    restart: unless-stopped

• 51820/udp: der Port für den Tunnel. Er ist an alle Adressen der NAS gebunden, weil die Verbindungen von außen über den Router kommen.
• 51821/tcp: die Oberfläche. Ersetzen Sie 192.168.1.10 durch die Adresse Ihrer NAS. So ist sie nur im Heimnetz und durch den Tunnel erreichbar, und diesen Port geben Sie im Router nie frei.
• INSECURE=true: erlaubt die Oberfläche über HTTP. wg-easy erwartet sonst HTTPS, etwa über einen Reverse Proxy wie in Teil 47. Im Heimnetz reicht HTTP für den Anfang.
• DISABLE_IPV6=true: Der Tunnel arbeitet nur mit IPv4. Das hält die Einrichtung einfach und passt zu einer Portfreigabe nur für IPv4.
• cap_add und sysctls: Der Container darf die Netzwerkschnittstelle wg0 anlegen und Pakete ins Heimnetz weiterleiten.

sudo docker compose up -d
sudo docker ps --format '{{.Names}}  {{.Status}}  {{.Ports}}' | grep wg-easy

Verifizieren: Nach etwa einer Minute steht der Container auf healthy, davor auf health: starting. Bei den Ports steht unter anderem 0.0.0.0:51820->51820/udp und Ihre NAS-Adresse mit 51821.

Schritt 3: Die Ersteinrichtung durchlaufen

Öffnen Sie http://192.168.1.10:51821. wg-easy startet einen Assistenten auf Deutsch. Nach der Begrüßung legen Sie Benutzername und Passwort für die Oberfläche an. Bis dahin kann jeder im Heimnetz, der die Seite öffnet, dieses Konto anlegen. Erledigen Sie den Schritt also sofort. Danach fragt der Assistent, ob Sie eine bestehende Einrichtung übernehmen möchten:

Für eine neue Installation klicken Sie auf Nein. Es folgen Host und Port:

• Host: der Name oder die Adresse, unter der die NAS aus dem Internet erreichbar ist. Am besten ist Ihr DDNS-Name aus Teil 45, etwa vpn.example.de, denn eine öffentliche IP-Adresse kann sich ändern. Mit Vorschlagen schlägt wg-easy eine Adresse vor.
• Port: 51820, passend zur Compose-Datei und zur Portfreigabe.

Beide Werte landen in jedem Zugang, den Sie anlegen. Nach Weiter meldet der Assistent Einrichtung erfolgreich, und Sie melden sich mit dem neuen Konto an.

Verifizieren: Nach der Anmeldung steht die Seite Clients mit dem Hinweis Es gibt noch keine Clients.

Schritt 4: Den Port im Router freigeben

Damit Verbindungen von außen die NAS erreichen, braucht der Router eine Portfreigabe für UDP 51820 auf die Adresse der NAS. Wie das an der FRITZ!Box geht, zeigt Teil 51 genau mit diesem Beispiel. Geben Sie nur diesen einen Port frei, nicht 51821 und nicht die Oberfläche von UGOS.

Verifizieren: In der FRITZ!Box steht unter Internet, Freigaben, Portfreigaben bei der NAS eine Freigabe für UDP 51820 auf die NAS.

Schritt 5: Den ersten Zugang anlegen

Jedes Gerät bekommt einen eigenen Client mit eigenem Schlüssel. So können Sie ein verlorenes Handy sperren, ohne alle anderen Geräte neu einzurichten. Klicken Sie auf Neuer Client:

Geben Sie einen Namen wie Handy ein. Das Ablaufdatum ist optional, damit vergeben Sie etwa einen Zugang, der zu einem festen Tag endet. Nach Client erstellen steht der Zugang in der Liste:

wg-easy vergibt die Adressen im Tunnel selbst, der erste Client bekommt 10.8.0.2. Die Liste zeigt zusätzlich eine IPv6-Adresse an. Mit DISABLE_IPV6 wird sie laut Dokumentation nicht genutzt: In der Konfiguration des Geräts stand bei uns nur die IPv4-Adresse, und der Server hatte im Tunnel keine IPv6-Adresse.

Verifizieren: Der Client steht in der Liste, und der Schalter neben ihm ist eingeschaltet, also rot hinterlegt mit dem Punkt rechts.

Schritt 6: Das Handy verbinden und von außen testen

Klicken Sie beim Client auf das Symbol für den QR-Code. Öffnen Sie auf dem Handy die App WireGuard, tippen Sie auf das Plus und dann auf Aus QR-Code erstellen. Scannen Sie den Code vom Bildschirm und geben Sie dem Tunnel einen Namen. Der QR-Code enthält den privaten Schlüssel des Zugangs. Fotografieren Sie ihn nicht und schicken Sie ihn nicht per Messenger. Für ein Notebook laden Sie stattdessen die Konfigurationsdatei herunter und importieren sie in die App WireGuard. Datei und Link behandeln Sie genauso vertraulich wie den QR-Code.

Zum Testen schalten Sie das WLAN am Handy aus, damit es wirklich über das Mobilfunknetz von außen kommt. Schalten Sie dann den Tunnel in der App ein. In wg-easy erscheint nach wenigen Sekunden ein Punkt am Symbol des Clients:

Öffnen Sie jetzt im Browser des Handys die Oberfläche von UGOS mit der Adresse aus dem Heimnetz, etwa http://192.168.1.10:9999. Bei uns lud über den Tunnel die mobile Seite von UGOS:

UGOS empfiehlt im Handy-Browser einen PC-Browser oder die App UGREEN NAS. Wichtig ist hier nur, dass die Seite überhaupt lädt, denn diese Adresse gibt es nur im Heimnetz. Auf der NAS sehen Sie die Verbindung so:

sudo docker exec wg-easy wg show | grep -E "endpoint|handshake|transfer"

  endpoint: 203.0.113.45:12522
  latest handshake: 6 seconds ago
  transfer: 49.68 KiB received, 69.53 KiB sent

Hinter endpoint steht die Adresse des Handys im Mobilfunknetz. Rief das Handy anschließend eine Seite auf, die die eigene Adresse anzeigt, erschien dort die öffentliche Adresse des Heimanschlusses. Der ganze Verkehr lief also durch den Tunnel und über Ihren Anschluss nach draußen. Eine IPv6-Adresse zeigte die Seite nicht an, weil IPv6 im Tunnel abgeschaltet ist.

Verifizieren: Mit mobilen Daten und eingeschaltetem Tunnel lädt die Adresse aus dem Heimnetz, und wg show zeigt einen Handshake vor wenigen Sekunden.

Schritt 7: Einstellungen und Zugänge verwalten

Die gemeinsamen Einstellungen für alle Zugänge finden Sie über das Menü oben rechts in der Admin-Konsole unter Konfiguration:

• Host und Port: die Werte aus der Ersteinrichtung. Ändern Sie den Host, etwa vom Platzhalter auf Ihren DDNS-Namen, übernehmen bestehende Clients ihn: wg-easy erzeugt die Konfiguration bei jedem Abruf neu. Auf dem Handy müssen Sie den Tunnel aber neu einlesen, denn die App hat die alte Konfiguration gespeichert.
• Erlaubte IP-Adressen: 0.0.0.0/0 und ::/0 bedeuten, dass der gesamte Verkehr des Geräts durch den Tunnel geht. Weiter unten auf der Seite stehen DNS mit 1.1.1.1 als Vorgabe sowie MTU und Keepalive. Betreiben Sie einen eigenen DNS-Server wie Pi-hole aus Teil 71, tragen Sie dessen Adresse bei DNS ein und achten Sie darauf, dass er Anfragen aus dem Tunnel annimmt. Den Port ändern Sie hier nur zusammen mit dem Reiter Interface, der Compose-Datei und der Portfreigabe.

Prüfen Sie nach jeder Änderung von Host oder Port über Konfiguration anzeigen auf der Seite des Clients oder in der heruntergeladenen Datei, ob in der Zeile Endpoint der neue Wert steht.

Einen einzelnen Zugang öffnen Sie über das Stiftsymbol in der Liste:

Sofort sperren Sie einen Zugang, etwa bei einem verlorenen Handy, mit dem Schalter in der Liste. Auf dieser Seite speichern Sie Änderungen anschließend. Mit Löschen entfernen Sie den Zugang endgültig.

Verifizieren: Konfiguration anzeigen oder die heruntergeladene Datei eines Clients enthält bei Endpoint Ihren Host mit Port 51820.

Typische Fehler

• Kein Handshake: wg show zeigt keine Zeile latest handshake. Meist fehlt die Portfreigabe, sie gilt für TCP statt UDP, oder der Anschluss hat keine eigene öffentliche IPv4-Adresse, etwa bei DS-Lite. Siehe Teil 51.
• Test im eigenen WLAN: Zu Hause geht die Verbindung nicht den Weg von außen. Testen Sie mit ausgeschaltetem WLAN.
• Falscher Host im Client: Steht bei Endpoint noch ein Platzhalter oder eine alte Adresse, korrigieren Sie den Host wie in Schritt 7 und lesen Sie den Zugang auf dem Gerät neu ein.
• Verbunden, aber nichts lädt: Prüfen Sie, ob Sie die Adresse aus dem Heimnetz richtig eingeben und ob die NAS dort erreichbar ist. Läuft auf der NAS eine Firewall, muss sie Verbindungen aus dem Tunnel zulassen.
• Die öffentliche Adresse hat sich geändert: Ohne DDNS-Namen im Host bricht der Zugang nach einer neuen Einwahl ab. Nutzen Sie DDNS aus Teil 45.

Häufige Fragen

Warum nicht einfach die Oberfläche von UGOS freigeben?

Dann stünde die Anmeldeseite der NAS jedem im Internet offen, und jede Schwachstelle in UGOS wäre direkt angreifbar. Mit WireGuard ist nur ein einziger UDP-Port offen. Der Server antwortet laut WireGuard nur auf Pakete mit gültigem Schlüssel, alles andere ignoriert er.

Kann die FRITZ!Box das nicht selbst?

Ja, die FRITZ!Box nimmt unter Internet, Freigaben, Reiter VPN (WireGuard) selbst WireGuard-Verbindungen an. Dann brauchen Sie weder wg-easy noch eine Portfreigabe. wg-easy auf der NAS lohnt sich, wenn Sie einen anderen Router haben oder die Zugänge mit Ablaufdatum und Übersicht über die Datenmenge auf der NAS verwalten möchten.

Wie sichere ich wg-easy?

Alles liegt im Ordner data: Schlüssel, Clients und Einstellungen. Stoppen Sie den Container und packen Sie den Ordner mit der Compose-Datei ein, ähnlich wie beim Nginx Proxy Manager in Teil 47. Behandeln Sie die Sicherung wie ein Passwort, denn mit ihr kann sich jeder mit Ihrem VPN verbinden oder sich als Ihr Server ausgeben. Nach dem Zurückspielen setzen Sie wieder sudo chmod 700 data, weil UGOS neu angelegten Ordnern seine geerbten Rechte gibt.

Muss der ganze Verkehr durch den Tunnel?

Nein. Mit 0.0.0.0/0 läuft alles über Ihren Anschluss zu Hause, auch das Surfen. Tragen Sie bei Erlaubte IP-Adressen nur Ihr Heimnetz ein, etwa 192.168.1.0/24, geht nur der Verkehr ins Heimnetz durch den Tunnel und der Rest direkt ins Internet. Die Einstellung unter Konfiguration gilt für alle Clients, jeder Client kann auf seiner Seite eigene Werte bekommen. Danach lesen Sie den Tunnel auf den Geräten neu ein. Hat ein Netz unterwegs denselben Adressbereich wie Ihr Heimnetz, etwa ein Hotel mit 192.168.1.0/24, kommen sich beide in die Quere.

Wie aktualisiere ich wg-easy?

Sichern Sie zuerst den Ordner data. Lesen Sie die Versionshinweise auf GitHub, ändern Sie die Versionsnummer in der Compose-Datei und starten Sie neu:

cd /volume2/docker/wg-easy
sudo docker compose pull
sudo docker compose up -d

Fazit

Mit wg-easy ist ein VPN auf der UGREEN NAS in etwa 45 Minuten eingerichtet: Container starten, Konto anlegen, Host eintragen, Port im Router freigeben und den Zugang per QR-Code aufs Handy holen. Danach erreichen Sie die NAS und alle Dienste im Heimnetz von unterwegs, ohne dass ihre Oberflächen im Internet stehen. Testen Sie immer mit ausgeschaltetem WLAN und prüfen Sie nach jeder Änderung den Endpoint im Zugang.

Weiterführende Anleitungen und Quellen

• Teil 45: DDNS für die eigene Domain
• Teil 47: Nginx Proxy Manager
• Teil 51: Portfreigabe an der FRITZ!Box
• Teil 65: Ordner und Rechte für Container
• wg-easy auf GitHub
• WireGuard