WireGuard Multi-Hop mit zwei eigenen Servern: Was es wirklich bringt

Multi-Hop gehört zu den am wirksamsten vermarkteten Funktionen kommerzieller VPNs: zwei Server statt einem, damit kein Ende das vollständige Bild hat. Die Argumentation ist stimmig, und man sollte sie richtig verstehen, bevor man den Aufbau auf eigener Infrastruktur nachbaut, denn gerade das, was ihn wertvoll macht, überlebt das Selbst-Hosten nicht.

Was die Technik leistet

Ihr Client verbindet sich mit Server A. Server A erreicht das Internet nicht in Ihrem Namen, sondern leitet Ihren weiterhin verschlüsselten Verkehr an Server B weiter. Server B ist derjenige, der mit dem Ziel spricht.

Der behauptete Nutzen folgt daraus, wer was weiß. Server A sieht Ihre echte Adresse, weiß aber nur, dass Sie mit B sprechen. Server B sieht das Ziel, empfängt den Verkehr aber von A und nicht von Ihnen. Keiner hat beide Hälften.

So funktioniert es tatsächlich, und deshalb gibt es die Funktion.

Warum Selbst-Hosting das Argument bricht

Hier kommt der Teil, den die Begeisterung meist überspringt.

Die beschriebene Trennung ist nur dann sinnvoll, wenn A und B unabhängig voneinander betrieben werden. Kommerzielle Anbieter stützen sich darauf: verschiedene Server, mitunter verschiedene Unternehmen, verschiedene Rechtsräume, kein einzelner Betreiber, der beide Protokolle hat.

Wenn Sie beide VPS-Instanzen selbst mieten, auf Ihrem eigenen Konto, bezahlt mit Ihrer eigenen Karte, dann sind Sie der gemeinsame Punkt. Wer Ihren Hoster zwingen oder kompromittieren kann, sieht beide Enden der Kette, denn beide Enden gehören Ihnen und sind über dieselbe Abrechnungsidentität verknüpft. Genau die Eigenschaft, die Multi-Hop im kommerziellen Kontext bezahlenswert macht, lässt sich allein nicht reproduzieren.

Darüber Klarheit zu haben, wiegt schwerer als die Konfiguration, denn davon hängt ab, ob sich die Konfiguration überhaupt lohnt.

Ein Tower-Server in einem blau beleuchteten Raum, seine perforierte Frontblende und die Laufwerksschächte sind sichtbar.

Was es Ihnen trotzdem bringt

Zwei Vorteile überleben das Selbst-Hosten, und beide sind betrieblicher Natur statt Anonymitätsversprechen.

Verteilung über Rechtsräume. Liegt Hop A in einem Land und Hop B in einem anderen, bringt eine behördliche Anfrage an einen Hoster nur die eine Hälfte der Route. Das ist eine reale Eigenschaft und das stärkste Argument dafür, eigene Server zu verketten. Es ist keine Anonymität, es ist Reibung.

Ausfallsicherheit. Wenn ein Anbieter einen Portbereich sperrt, Sie drosselt oder eine Störung hat, gibt Ihnen eine Kette einen Ort, wohin Sie umleiten können. Aufbauten mit einem einzigen Hop fallen vollständig aus, sobald ihr einziger Anbieter ausfällt.

Wenn Sie keines dieser beiden Themen betrifft, ist ein gut konfigurierter einzelner Hop die bessere technische Entscheidung, und das ist die ehrliche Empfehlung für die meisten, die das hier lesen.

Wie das Routing tatsächlich funktioniert

WireGuard kennt kein Konzept von Hops. Verketten ist vollständig eine Routing-Aufgabe, und das wg-quick-Handbuch beschreibt die Bausteine.

wg-quick leitet alle Routen aus der Liste der allowed IPs der Peers ab und fügt sie automatisch der System-Routingtabelle hinzu. Ist eine dieser Routen eine Standardroute, also 0.0.0.0/0 oder ::/0, verwendet es ip-rule, um das Ersetzen des Standard-Gateways zu handhaben.

Dieses Verhalten ist bei einem Tunnel bequem und genau das, was Sie bei zweien kontrollieren müssen. Daraus folgen drei Punkte.

Die mittlere Maschine muss weiterleiten, nicht terminieren. Hop A braucht aktiviertes IP-Forwarding und eine Route in Richtung Hop B. Er ist ein Relais, kein Ziel.

Der zweite Endpoint muss außerhalb des ersten Tunnels erreichbar bleiben. Fängt der Tunnel von Hop A 0.0.0.0/0 ein, können die Pakete, die den Endpoint von Hop B erreichen sollen, in genau dem Tunnel landen, der sie eigentlich transportieren soll. Das ist die klassische Routing-Schleife, und deshalb dokumentiert das Handbuch die Option Table: off deaktiviert das Anlegen von Routen vollständig, und auto, der Standardwert, fügt die Routen hinzu und aktiviert die Sonderbehandlung von Standardrouten. Die manuelle Kontrolle zu übernehmen bedeutet meist Table = off plus explizite Routen.

Die Hooks erledigen den Rest. PostUp und PreDown sind Skriptfragmente, die von bash vor beziehungsweise nach dem Aufsetzen oder Abbauen der Schnittstelle ausgeführt werden, üblicherweise für Firewall-Regeln, und %i wird durch den Namen der Schnittstelle ersetzt. Dorthin gehören Forwarding-Regeln und jegliches Policy-Routing.

Der Preis, klar benannt

Jedes Paket durchquert nun zwei Maschinen und wird zweimal verschlüsselt und entschlüsselt. Die Latenz steigt, und bei einer Kette über zwei Kontinente steigt sie spürbar.

Sie haben außerdem Ihre Betriebsfläche verdoppelt. Zwei Server zum Patchen, zwei Schlüsselsätze zum Rotieren, zwei Stellen, an denen eine Fehlkonfiguration Ihren Verkehr still verwerfen oder, schlimmer, ihn außerhalb des Tunnels lecken lassen kann. Unser Leitfaden zum Verhindern von DNS-Lecks mit WireGuard gilt hier gleich doppelt.

Die ehrliche Zusammenfassung

Multi-Hop funktioniert, und die kommerzielle Fassung des Arguments ist schlüssig: zwei unabhängig betriebene Server, von denen keiner beide Hälften hat.

Hosten Sie beide selbst, werden Sie zum Bindeglied zwischen ihnen, was die Anonymitätseigenschaft aufhebt und zwei reale Vorteile übrig lässt: Verteilung über Rechtsräume und Ausfallsicherheit. Für manche sind sie die Latenz wert, für andere nicht.

Wenn Sie es bauen, liegt die Arbeit im Routing und nicht in WireGuard selbst: Forwarding auf dem mittleren Hop, den zweiten Endpoint außerhalb des ersten Tunnels halten und die Routingtabelle manuell kontrollieren, statt zwei Tunnel gleichzeitig die Standardroute beanspruchen zu lassen.

Das hier beschriebene Verhalten von wg-quick, einschließlich der Ableitung der Routen aus den allowed IPs der Peers, der Verwendung von ip-rule bei vorhandener Standardroute, der Option Table mit ihren Werten off und auto sowie der Hooks PostUp und PreDown, stammt aus der Handbuchseite wg-quick(8), geprüft zum Zeitpunkt des Schreibens. Die Überlegungen dazu, was sich durch Selbst-Hosting ändert, sind Analyse und keine Dokumentation, und Sie sollten sie gegen Ihr eigenes Bedrohungsmodell abwägen. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; es kann eine Affiliate-Provision anfallen, ohne Zusatzkosten für Sie.

★ Nürnberger DSGVO-Rechenzentrum · ✓ Dedizierte IPv4 inklusive · 200+ Mbps garantiert

Hoste dein VPN auf deinem eigenen VPS → ContaboVoller Root-Zugriff · öffentliche IPv4 · wähle deine Region→

Häufig gestellte Fragen

Was ist VPN-Multi-Hop?

Ihr Datenverkehr läuft über zwei Server statt über einen. Der erste nimmt Ihre verschlüsselte Verbindung entgegen und leitet sie an den zweiten weiter, der dann das Internet erreicht. Die Zielseite sieht die Adresse des zweiten Servers, und jeder Hop soll nur einen Teil des Bildes kennen.

Bringt Multi-Hop etwas, wenn ich beide Server selbst hoste?

Nicht so, wie kommerzielle Anbieter es beschreiben. Ihr Argument lautet, der Eingangsserver wisse, wer Sie sind, aber nicht, wohin Sie gehen, während der Ausgangsserver das Ziel kenne, aber nicht den Ursprung, und dass beide getrennt betrieben werden. Wenn Sie beide VPS-Instanzen selbst mieten und kontrollieren, sind Sie der gemeinsame Punkt, der sie verbindet, und damit fehlt genau die Trennung, die der Technik ihren Wert gibt.

Ist selbst gehostetes Multi-Hop also sinnlos?

Nein, aber der Nutzen liegt woanders. Zwei Hops in zwei Rechtsräumen bedeuten, dass eine einzelne behördliche Anfrage an einen Hoster nicht den gesamten Pfad offenlegt. Sie bedeuten auch, dass ein Ausfall oder eine Sperre bei einem Anbieter Ihre Route nicht kappt. Das ist real, und es ist ein betrieblicher Vorteil, kein Anonymitätsvorteil.

Wie routet WireGuard den Verkehr über zwei Hops?

Über AllowedIPs und Routing. Das wg-quick-Handbuch erklärt, dass es die Routen aus den allowed IPs der Peers ableitet und sie der System-Routingtabelle hinzufügt, und dass es ip-rule verwendet, um das Ersetzen des Standard-Gateways zu handhaben, wenn eine dieser Routen eine Standardroute wie 0.0.0.0/0 ist. Verketten heißt, dass die mittlere Maschine weiterleiten statt terminieren muss und dass die Route zum Endpoint des zweiten Hops nicht vom ersten Tunnel verschluckt werden darf.

Was kostet Multi-Hop in der Praxis?

Vor allem Latenz, denn jedes Paket durchläuft zwei Hops und wird zweimal verschlüsselt und entschlüsselt. Sie verdoppeln außerdem die Zahl der Maschinen, die ausfallen können, und jede braucht Patches, Überwachung und Schlüsselrotation. Ob sich das lohnt, hängt ganz davon ab, welchen der beiden realen Vorteile Sie anstreben.