AmneziaWG Server-Bereitstellungsleitfaden

Immer mehr Menschen nutzen ihr eigenes VPN, anstatt auf kostenpflichtige, fertige Dienste zurückzugreifen: Es ist günstiger, bietet mehr Datenschutz und ermöglicht die volle Kontrolle über den Server. Eine der effektivsten Optionen für Regionen mit starker Netzwerkblockierung ist AmneziaWG, ein vom Amnezia-Projekt auf Basis von WireGuard entwickeltes Protokoll.

Klassisches WireGuard ist schnell und zuverlässig, hat aber eine feste Paketstruktur und einen vorhersehbaren Handshake, die von DPI-Systemen (Deep Packet Inspection) zuverlässig erkannt und blockiert werden können. AmneziaWG löst dieses Problem: Es fügt der normalen WireGuard-Verbindung Junk-Pakete hinzu, randomisiert die Header und ändert die Größe der Handshake-Felder – so verschwindet die charakteristische Signatur von WireGuard und der Datenverkehr unterscheidet sich nicht mehr von normalem UDP-Verkehr.

Betreiben Sie bereits einen klassischen Tunnel und fragen sich, ob sich ein Wechsel lohnt? Vergleichen Sie dies mit einer einfachen OpenVPN/PPTP-Konfiguration in „VPN-Server-Einrichtung unter Linux: PPTP oder OpenVPN?“ oder mit dem Standard-WireGuard (ohne Verschleierung) in „ So richten Sie WireGuard VPN auf Ihrem Server ein“.

Diese Anleitung beschreibt die manuelle Einrichtung eines AmneziaWG-Servers ohne Docker oder Webpanel – mit minimalem Ressourcenverbrauch auf dem VPS, vollständig konfiguriert über die Kommandozeile. Diese ressourcenschonende Option eignet sich ideal für günstige VPS, da weder GUI noch Datenbank oder Reverse-Proxy benötigt werden. Der untenstehende Beispielserver verwendet eine Platzhalter-IP-Adresse – ersetzen Sie diese durch die Adresse Ihres eigenen VPS.

Sie benötigen: einen VPS mit Ubuntu 22.04/24.04 oder Debian 11/12, Root-Zugriff und die IP-Adresse Ihres VPS. Ein Domainname ist nicht erforderlich – AmneziaWG verwendet keine Zertifikate, daher muss nichts erneuert werden und DPI kann keinen TLS-Handshake erkennen.

Sie haben noch keinen Server? Hier erfahren Sie, wie Sie einen Server bestellen.

Verbindung zum Server herstellen

Windows (PuTTY)

Öffnen Sie PuTTY, geben Sie Ihre VPS-IP-Adresse in das Feld „Host Name“ ein, stellen Sie den Port auf 22 ein und melden Sie sich als Root mit dem Passwort an, das Ihnen Ihr VPS-Anbieter per E-Mail zugesendet hat.

Server-IP-Adresse: Ihre IP-Adresse

Anmelden als: root

Passwort: Ihr Passwort

1. Öffnen Sie PuTTY und geben Sie die IP-Adresse Ihres VPS in das Feld „Host Name“ ein.  

2. Stellen Sie den Port auf 22 ein. 

3. Melden Sie sich als Root an. 

4. Verwenden Sie das Passwort, das Ihnen Ihr VPS-Anbieter per E-Mail zugesendet hat.

Das Ergebnis sollte wie folgt aussehen:

Eine detaillierte Anleitung zum Verbinden über PuTTY/SSH finden Sie unter „Verbindung zu einem Linux-Server über SSH herstellen“.

Linux / macOS (Terminal)

ssh root@YOUR_SERVER_IP

Alle nachfolgenden Befehle werden auf dem Server in derselben SSH-Sitzung ausgeführt – dies umfasst die Abschnitte 2 bis 5 sowie die serverseitigen Prüfungen in Abschnitt 9. Die Abschnitte 6–8 (Installation und Konfiguration des VPN-Clients) erfolgen hingegen auf Ihrem eigenen Windows-/macOS-/Linux-Gerät, da das VPN auf diesem Gerät ausgeführt werden muss; in jedem dieser Abschnitte wird explizit angegeben, welche Zeilen gegebenenfalls noch den Server betreffen.

Vorbereiten des Servers

Aktualisieren Sie das System

Vor der Installation jeglicher Pakete sollten Sie die Paketliste aktualisieren und die installierten Pakete auf den neuesten Stand bringen:

apt update -y && apt upgrade -y

Falls dadurch der Kernel aktualisiert wird, starten Sie den Computer neu, bevor Sie das AmneziaWG-Kernelmodul in Abschnitt 3 erstellen. Andernfalls kann DKMS die falschen Kernel-Header verwenden, und das Modul lässt sich nicht laden. (Weitere Informationen zu apt und der Funktionsweise von Linux-Paketmanagern finden Sie unter Linux-Paketmanager .) Prüfen Sie Folgendes:

cat /var/run/reboot-required

IP-Weiterleitung aktivieren

Diese Einstellung ermöglicht es dem Server, die Pakete der Clients ins Internet weiterzuleiten – ohne sie wird zwar der Tunnel aufgebaut, aber es fließt kein Datenverkehr hindurch.

echo "net.ipv4.ip_forward = 1" > /etc/sysctl.d/00-amnezia.conf
sysctl --system

Der erste Befehl erstellt eine separate Konfigurationsdatei; der zweite wendet sie an, ohne den Server neu zu starten.

Konfigurieren Sie die Firewall (UFW)

Weitere Informationen zu UFW-Regeln finden Sie unter „Konfigurieren der Firewall unter Linux“.

Öffnen Sie die beiden benötigten Ports: 22/tcp für SSH (wenn Sie diese Regel ignorieren, riskieren Sie, den Zugriff auf den Server zu verlieren) und 42666/udp, der Port, auf dem AmneziaWG lauscht.

apt install ufw -y
ufw allow 22/tcp
ufw allow 42666/udp
ufw --force enable
ufw status

Beide Regeln sollten in der ufw-Statusausgabe als ALLOW angezeigt werden.

Installation von AmneziaWG

Debian unterstützt PPAs im Ubuntu-Stil nicht direkt, daher muss das Repository manuell hinzugefügt werden, anstatt es mit `add-apt-repository` zu installieren. Unter Ubuntu funktioniert dies genauso.

Fügen Sie das Repository manuell hinzu.

echo "deb [arch=amd64] https://ppa.launchpadcontent.net/amnezia/ppa/ubuntu jammy main" > /etc/apt/sources.list.d/amnezia.list

apt install -y gnupg2
gpg --keyserver keyserver.ubuntu.com --recv-keys 57290828
gpg --export 57290828 | tee /usr/share/keyrings/amnezia.gpg > /dev/null
echo "deb [arch=amd64 signed-by=/usr/share/keyrings/amnezia.gpg] https://ppa.launchpadcontent.net/amnezia/ppa/ubuntu jammy main" > /etc/apt/sources.list.d/amnezia.list

apt update
apt install -y amneziawg

Überprüfen Sie, ob das Modul geladen wurde.

modprobe amneziawg
lsmod | grep amnezia

Generierung der Server- und Clientkonfiguration

Hilfsprogramme installieren

Installieren Sie die Abhängigkeit qrcode, erstellen Sie anschließend ein separates Arbeitsverzeichnis und laden Sie das Community-Konfigurationsgenerator-Skript hinein:

apt install -y python3-qrcode
mkdir -p ~/awg && cd ~/awg
wget -O awgcfg.py \
  https://gist.githubusercontent.com/remittor/8c3d9ff293b2ba4b13c367cc1a69f9eb/raw/awgcfg.py

Falls python3-qrcode in den Paketquellen Ihrer Distribution nicht verfügbar ist, verwenden Sie stattdessen `pip3 install qrcode --break-system-packages` (diese Option ist unter Debian 12+/Ubuntu 24.04 erforderlich, da diese nicht verwaltete Pip-Installationen standardmäßig blockieren). Führen Sie nicht beide Installationen gleichzeitig aus – wählen Sie eine.

Serverkonfiguration generieren

Erstellen Sie die Datei /etc/amnezia/amneziawg/awg0.conf. Sie können das interne Subnetz und den UDP-Port des Tunnels auf den Standardwerten belassen oder eigene Werte festlegen:

python3 awgcfg.py --make /etc/amnezia/amneziawg/awg0.conf \
  -i 10.10.8.1/24 -p 42666

Mit dem Parameter -i werden die interne Netzwerkadresse und die Maske des Tunnels festgelegt; mit dem Parameter -p wird der UDP-Port des Servers festgelegt (derselbe Port, der in Schritt 2.3 geöffnet wurde).

Erstellen Sie die Client-Konfigurationsvorlage

python3 awgcfg.py --create

Dadurch wird eine Vorlage im selben Ordner gespeichert, aus dem die einzelnen Client-Konfigurationen erstellt werden – sie enthält bereits den öffentlichen Schlüssel des Servers, seine IP-Adresse und die Verschleierungsparameter (Jc, Jmin, Jmax, S1, S2, H1–H4), die AmneziaWG von einfachem WireGuard unterscheiden.

Kunden hinzufügen

Erstellen Sie einen Eintrag pro Gerät – der Name kann beliebig sein, z. B. der Gerätename:

python3 awgcfg.py -a "laptop"
python3 awgcfg.py -a "phone"

Kundendateien und QR-Codes generieren

python3 awgcfg.py -c -q

Der Ordner ~/awg enthält nun Dateien wie laptop.conf und phone.conf sowie passende PNG-QR-Codes, die Sie direkt in eine mobile App einscannen können.

Der Ordner ~/awg enthält nun Dateien wie laptop.conf und phone.conf sowie passende PNG-QR-Codes, die Sie direkt in eine mobile App einscannen können.

Starten des Dienstes und Aktivieren des automatischen Starts

Öffnen Sie die awg0-Schnittstelle und aktivieren Sie, dass sie beim Neustart automatisch startet:

systemctl enable --now awg-quick@awg0
systemctl restart [email protected]
systemctl status [email protected]

Der Status sollte „aktiv (beendet)“ anzeigen, wenn das Gerät beim Start aktiviert ist. Falls die Konsole beim Anzeigen der Protokolle nicht mehr reagiert, drücken Sie Q zum Beenden.

Überprüfen Sie die Liste der aktiven Peers und den Datenverkehr pro Peer mit folgendem Befehl:

awg show

Verbindung über Windows herstellen

Alle Schritte in diesem Abschnitt finden auf Ihrem Windows-PC statt, nicht über SSH – der VPN-Client muss auf dem Gerät installiert sein, das den Tunnel nutzen soll. Der einzige Schritt, der den Server berührt, ist der SCP-Download in Abschnitt 6.2. Selbst dieser Befehl wird auf Ihrem PC eingegeben und lädt eine Datei herunter, die der Server bereits in Abschnitt 4 generiert hat.

Installieren des Clients

AmneziaWG verfügt über eine eigene Windows-Anwendung – deren Benutzeroberfläche dem Standard-WireGuard-Client entspricht, die jedoch die Verschleierungsparameter versteht. Laden Sie das Installationsprogramm aus dem offiziellen Repository des Projekts herunter:

https://github.com/amnezia-vpn/amneziawg-windows-client/releases

Der obige Link führt zur Releaseseite des aktualisierten Windows-Clients. Laden Sie dort die neueste .msi- oder .exe-Datei herunter. Diese Seite muss im Browser geöffnet werden, es handelt sich nicht um einen Befehl, den Sie in ein Terminal einfügen müssen.

Führen Sie das Installationsprogramm aus und folgen Sie den Anweisungen des Einrichtungsassistenten; die Standardeinstellungen müssen nicht geändert werden.

Importieren Sie die Konfiguration

Kopieren Sie die Clientkonfigurationsdatei vom Server auf Ihren Computer – am einfachsten geht das mit scp, das Sie in PowerShell auf Ihrem Computer und nicht auf dem Server ausführen:

scp root@YOUR_SERVER_IP:~/awg/laptop.conf .

Klicken Sie in der AmneziaWG-App auf „Tunnel aus Datei importieren“, wählen Sie laptop.conf aus und aktivieren Sie den Schalter neben dem neuen Tunnel.

Verbindung über macOS herstellen

Es gibt zwei unterstützte Optionen:

• AmneziaWG (Mac App Store): Ein schlanker Client, der unter macOS 12 und höher läuft. Suchen Sie im App Store nach „AmneziaWG“, installieren Sie ihn und wählen Sie anschließend „Tunnel aus Datei importieren“ und Ihre .conf-Datei aus – der Ablauf ist derselbe wie beim Windows-Client.
• AmneziaVPN (Vollversion, macOS 14+): Laden Sie die .pkg-Datei von github.com/amnezia-vpn/amnezia-client/releases/latest herunter, wenn Sie lieber die voll ausgestattete Amnezia-App anstelle des schlanken AmneziaWG-Clients verwenden möchten.

Kopieren Sie gegebenenfalls zuerst die Clientkonfiguration, genau wie in Schritt 6.2:

scp root@YOUR_SERVER_IP:~/awg/laptop.conf .

Verbindung unter Linux herstellen

apt install -y amneziawg
cp laptop.conf /etc/amnezia/amneziawg/awg0.conf
awg-quick up awg0

Führen Sie diesen Code aus, um die Verbindung zu trennen.

awg-quick down awg0 

Um den Tunnel beim Anmelden automatisch zu aktivieren, aktivieren Sie ihn als Dienst:

systemctl enable --now awg-quick@awg0

Überprüfung der Verbindung

Sobald der Tunnel aus Abschnitt 6, 7 oder 8 aktiv ist, wechseln Sie zurück zu Ihrem eigenen Gerät (nicht zur SSH-Sitzung) und öffnen Sie einen beliebigen IP-Adressen-Checker in einem Browser. Die angezeigte Adresse sollte mit der IP-Adresse Ihres VPS übereinstimmen. Alternativ können Sie dies innerhalb der SSH-Sitzung überprüfen, indem Sie auf dem Server den Befehl `awg show` ausführen und sicherstellen, dass der Client-Peer einen kürzlich erfolgten Handshake und Datenverkehr anzeigt.

Referenz:

Lediglich S1/S2 und H1–H4 müssen an beiden Enden des Tunnels identisch sein; bei Jc, Jmin und Jmax geht es ausschließlich darum, wie jede Seite ihren eigenen ausgehenden Datenverkehr auffüllt, sodass die Werte für Client und Server durchaus unterschiedlich sein können, wie im obigen Beispiel.

Fazit

Wenn Sie dieser Anleitung folgen, läuft auf Ihrem VPS ein eigener AmneziaWG-Server: ein WireGuard-kompatibles Protokoll mit Datenverkehrsverschleierung, die für DPI-Systeme deutlich schwieriger von normalem UDP-Verkehr zu unterscheiden ist als reines WireGuard. Der Dienst läuft als systemd-Unit awg-quick@awg0 und übersteht einen Serverneustart ohne Ihr Zutun.

Die so erstellten .conf-Dateien und QR-Codes in ~/awg funktionieren nicht nur mit dem Windows-Client, sondern können auch in die AmneziaWG- oder Amnezia-Apps für Android, iOS, macOS und Linux sowie in Keenetic- und OpenWrt-Router importiert werden.

Neue Clients können jederzeit hinzugefügt werden, indem die Schritte 4.4–4.5 (python3 awgcfg.py -a "name", dann awgcfg.py -c -q) wiederholt und die Schnittstelle mit systemctl restart [email protected] neu gestartet wird.

Ein paar Gewohnheiten, die es wert sind, beibehalten zu werden, sobald der Server läuft:

• Halten Sie das System auf dem neuesten Stand. Führen Sie regelmäßig `apt update -y && apt upgrade -y` aus und starten Sie das System nach Kernel-Aktualisierungen neu, damit DKMS das Modul `amneziawg` für den neuen Kernel neu kompiliert.
• Sichern Sie ~/awg. Es enthält die privaten Schlüssel aller Clients und das eigene Schlüsselpaar des Servers in awg0.conf; der Verlust dieser Datei bedeutet, dass die Konfigurationen für jedes Gerät neu generiert werden müssen.
• Entfernen Sie umgehend die Verbindung zu nicht mehr verfügbaren Geräten. Entfernen Sie den entsprechenden [Peer]-Block aus /etc/amnezia/amneziawg/awg0.conf und führen Sie systemctl restart aus. [E-Mail geschützt] .

Falls die Verbindung nicht zustande kommt, überprüfen Sie Folgendes:

• den Dienststatus (systemctl status [E-Mail geschützt] )
• die Firewall-Regeln (ufw-Status – Port 42666/UDP muss geöffnet sein)
• den DKMS-/Modulstatus, falls die Schnittstelle gar nicht erst startet (dkms status, lsmod | grep amnezia)
• die Liste der aktiven Peers auf dem Server (awg show)
• dass die Clientkonfiguration auf die richtige externe Server-IP-Adresse verweist

Sie möchten AmneziaWG mit anderen Optionen vergleichen, bevor Sie sich entscheiden? Lesen Sie dazu die Anleitungen zur VPN-Server-Einrichtung unter Linux: PPTP oder OpenVPN? und zur Einrichtung von WireGuard VPN auf Ihrem Server . Benötigen Sie lediglich einen einfachen Proxy anstelle eines vollständigen VPN-Tunnels, ist die 3proxy-Konfiguration unter CentOS/ArchLinux eine ressourcenschonendere Alternative. Informationen zur allgemeinen Serverhärtung nach der VPN-Aktivierung finden Sie unter Linux-Benutzer: Verwaltung und Berechtigungen.