Wenn der Tunnel nicht zustande kommt

Ein Handshake, der nie zustande kommt, hat fast immer eine von fünf Ursachen.

WireGuard ist von Haus aus schweigsam: Wenn es fehlschlägt, sagt es nicht warum, es schließt schlicht nie einen Handshake ab. Die Ursachen sind wenige, und dies ist die Reihenfolge, in der es sich lohnt, sie zu prüfen.

1. Dein Anschluss ist von außen nicht erreichbar

Die häufigste Ursache von allen, und sie liegt nicht in deiner Konfiguration. Viele Anbieter setzen ihre Kunden hinter eine geteilte IPv4-Adresse, auch CGNAT genannt: Dein Router hat dann keine eigene Adresse im Internet, und nichts kann eine Verbindung zu ihm aufbauen. Auf beiden Seiten kann alles richtig sein, und der Tunnel kommt dennoch nie zustande.

Die Abhilfe liegt beim Anbieter — bitte um eine öffentliche IPv4-Adresse, eine dynamische genügt, oft günstig oder kostenlos. IPv6 umgeht das Problem vollständig, wo es angeboten wird.

2. Der Endpunkt ist falsch, oder der Port wurde nie weitergeleitet

Endpoint muss eine Adresse sein, die dein Gerät von seinem Standort aus erreichen kann. Zwei häufige Fälle: Der Server steht hinter einem Heimrouter, dessen UDP-Port nie weitergeleitet wurde, oder die Adresse ist dynamisch und hat sich seither geändert.

3. UDP ist im Netzwerk gesperrt, in dem du bist

WireGuard läuft über UDP, nicht über TCP. Manche Hotel-, Flughafen-, Campus- oder Firmennetze lassen nur die Ports 80 und 443 über TCP zu. Schneller Test: Versuch dieselbe Verbindung über Mobilfunk. Funktioniert sie dort und scheitert in diesem WLAN, dann filtert das Netzwerk, und an deiner Konfiguration ist nichts falsch.

4. Die Schlüssel passen nicht zueinander

Jede Seite muss den öffentlichen Schlüssel der anderen besitzen. Einer von Hand gebauten Konfiguration fehlt oft der öffentliche Schlüssel des Servers, oder dein eigener wurde nie auf dem Server hinterlegt. Das Symptom gleicht dem eines falschen Endpunkts: Schweigen.

5. Die Uhr geht stark falsch, oder AllowedIPs ist zu eng

WireGuard weist Handshakes zurück, deren Zeitstempel unglaubwürdig erscheinen — ist das Datum deines Geräts deutlich falsch, stell es wieder auf automatisch. Und wenn der Tunnel steht, das Ziel aber nicht hineingeroutet wird, geschieht scheinbar nichts: siehe DNS, Routing und Split Tunneling.

Immer noch blockiert

Schick uns, was die App anzeigt, was sich geändert hat und in welchem Netzwerk du bist — und bitte schwärze deinen privaten Schlüssel zuerst.