VPNSmith
Kostenloses Tool - WireGuard-Port

WireGuard Port Checker

Online-Portscanner können WireGuard nicht testen: Es antwortet Fremden nicht, also zeigt jeder Scan "open|filtered". Dieses Tool beantwortet die eigentlichen Fragen: Kann dein Router überhaupt weiterleiten, welche Firewall-Zeile öffnet den Port, und welcher Befehl beweist, dass ein Client durchkommt.

Hinter CGNAT? Ein VPS mit eigener öffentlicher IPv4 braucht keine Portweiterleitung: zum Contabo-Angebot

Läuft in deinem Browser. Deine öffentliche IP wird nur beim Klick auf den Button bei der kostenlosen ipify-API abgefragt; nichts wird an uns gesendet oder gespeichert.

Standard 51820. Nur UDP: WireGuard hat keinen TCP-Modus.

Wo läuft der Server?

Suche nach "WAN-IP", "IPv4-Adresse" oder "Internet-IP" auf der Internet-Statusseite deines Routers.

Deine öffentliche IP aus Sicht des Internets

Die lokale Adresse des Rechners mit WireGuard, idealerweise per DHCP fest zugewiesen.

Ein DNS-Name oder eine IP für die Endpoint-Zeile. Leer = die erkannte IP oder ein Platzhalter.

Server-Firewall

Kann eine Portweiterleitung diesen Server erreichen?

Gib die WAN-Adresse deines Routers ein und erkenne deine öffentliche IP: Der Vergleich zeigt, ob eine Weiterleitung überhaupt funktionieren kann. Bis dahin gehen die Regeln unten davon aus.

Portweiterleitung im Router

ProtokollExterner PortInterne IPInterner Port
UDP51820192.168.1.1051820
Port in der Server-Firewall öffnen
sudo ufw allow 51820/udp comment 'WireGuard'
sudo ufw status numbered
Passende ListenPort- und Endpoint-Zeilen
# Server: /etc/wireguard/wg0.conf
[Interface]
ListenPort = 51820

# Every client: [Peer] section pointing at the server
[Peer]
Endpoint = <server public IP or DNS name>:51820
Der einzige Test, der einen offenen Port beweist
# 1. Is WireGuard listening on the port you think?
sudo wg show wg0 listen-port
sudo ss -ulnp | grep ':51820 '
# 2. Watch the port while a client connects from OUTSIDE (phone on mobile data, Wi-Fi off)
sudo tcpdump -ni any udp port 51820
#    Packets arrive  -> router and firewall are fine; check keys and AllowedIPs.
#    Nothing arrives -> blocked before the server: port forward, ISP box, CGNAT or cloud firewall.
# 3. Final proof
sudo wg show wg0 latest-handshakes

Warum kein Online-Porttest? WireGuard schweigt absichtlich: Es antwortet nicht auf Pakete, die kein gültiger Handshake eines bekannten Schlüssels sind. Ein UDP-Scanner meldet daher "open|filtered" für offene wie für blockierte Ports. Nur tcpdump auf dem Server oder ein Handshake von außen zeigt den Unterschied.

Lieber ganz ohne Router-Regeln?

Auf einem VPS mit öffentlicher IPv4 ist der geöffnete Port genau der, den das Internet sieht: eine Firewall-Zeile, kein Router. Der Einstiegs-VPS von Contabo hat eine öffentliche IPv4 und vollen Root-Zugriff.

Affiliate-Link: Wir erhalten eventuell eine Provision, ohne Mehrkosten für dich. Das Tool bleibt so oder so kostenlos.

Contabo-VPS ansehen

Was die WAN-Adresse deines Routers verrät

Öffne die Statusseite deines Routers (z. B. Fritzbox: Übersicht, Internet) und lies die IPv4-Adresse der Internetseite (WAN). Diese eine Zahl entscheidet, ob eine Portweiterleitung funktionieren kann.

WAN-AdresseBedeutungPortweiterleitung
100.64.0.0 bis 100.127.255.255Carrier-Grade-NAT (RFC 6598): der Anbieter teilt eine öffentliche IP zwischen KundenAuf deiner Seite unmöglich
10.x, 172.16-31.x, 192.168.xPrivat (RFC 1918): ein weiterer Router oder das Provider-Gerät steht davorAuf beiden Geräten nötig
169.254.x.xLink-Local: das WAN hat keine echte AdresseZuerst die Verbindung reparieren
Öffentlich, gleich der erkannten IPDein Router hält die öffentliche AdresseFunktioniert
Öffentlich, anders als die erkannte IPWeiteres NAT, oder du testest über ein VPN oder einen ProxyVor dem Weiterleiten prüfen
Vollständige Anleitung: WireGuard-Ports, ListenPort ändern, UDP 443 und Weiterleitung →Hinter CGNAT: alle Auswege im Vergleich (IPv6, öffentliche IP vom Anbieter, VPS-Relay) →

Häufige Fragen

Wie prüfe ich, ob mein WireGuard-Port offen ist?
Nicht mit einem Online-Portscanner. WireGuard verwirft ohne Antwort jedes Paket, das kein gültiger Handshake eines bekannten Peers ist, daher zeigt ein UDP-Scan "open|filtered", egal ob der Tunnel lauscht. Der zuverlässige Test hat drei Schritte: prüfen, dass der Server lauscht (wg show wg0 listen-port, ss -ulnp), auf dem Server tcpdump -ni any udp port 51820 starten, dann einen Client von außerhalb verbinden (Handy über Mobilfunk, WLAN aus). Pakete in tcpdump beweisen, dass der Port erreichbar ist; ein aktueller Handshake in wg show beweist, dass der Tunnel läuft.
Welchen Port nutzt WireGuard?
Standardmäßig UDP 51820, festgelegt durch ListenPort im Abschnitt [Interface] der wg0.conf. WireGuard nutzt nie TCP. Du kannst jeden freien UDP-Port von 1 bis 65535 wählen, solange Server-Firewall, Router-Weiterleitung und die Endpoint-Zeile jedes Clients dieselbe Nummer nutzen.
Wie erkenne ich, ob ich hinter CGNAT bin?
Vergleiche die WAN-Adresse im Router mit deiner öffentlichen IP aus Sicht des Internets. Beginnt die WAN-Adresse mit 100.64 bis 100.127, nutzt dein Anbieter Carrier-Grade-NAT. Ist sie öffentlich, aber anders als deine öffentliche IP, liegt eine weitere NAT-Schicht davor. In beiden Fällen erreicht eine Weiterleitung im Router nie Verkehr aus dem Internet. Das Tool oben macht den Vergleich für dich. Bei DS-Lite-Anschlüssen hast du oft nur IPv6 öffentlich.
Kann ich hinter CGNAT einen WireGuard-Server betreiben?
Nicht als direkt erreichbaren Server. Die üblichen Auswege: beim Anbieter eine öffentliche IPv4 anfragen (manche tun das kostenlos oder gegen Aufpreis), IPv6 nutzen, wenn der Anbieter ein geroutetes Präfix liefert und deine Clients ebenfalls IPv6 haben, oder einen kleinen VPS mit öffentlicher IPv4 davorschalten, zu dem sich dein Zuhause ausgehend verbindet. Der VPS-Weg funktioniert in jedem Netz, weil beide Seiten nur ausgehende Verbindungen aufbauen.
Braucht ein VPS eine Portweiterleitung für WireGuard?
Nein. Ein VPS trägt seine öffentliche IPv4 meist direkt auf der Netzwerkschnittstelle, es gibt also keinen Router dazwischen. Es reicht, den UDP-Port in der Server-Firewall freizugeben und, falls der Anbieter eine hat, in seiner Cloud-Firewall.