Eigenes VPN bauen: mit Emergent und einem kostenlosen Cloud-Server

Zuerst gehst du einfach auf Emergent, erstellst dir einen Account und loggst dich ein.

1. Öffne emergent.sh im Browser.
2. Klick auf „Sign up“ und melde dich mit Google, GitHub oder deiner E-Mail-Adresse an.
3. Du landest im Startbildschirm mit einem großen Eingabefeld. Dort gibst du gleich den Master Prompt ein.

Jetzt gibst du den Master Prompt ein. Kopiere ihn, füge ihn in das Eingabefeld von Emergent ein und schick ihn ab.

Als Nächstes fängt der Agent an, dir Fragen zu stellen: welchen Standort du möchtest, welche Geräte du verbinden willst und wie die App aussehen soll. Antworte ganz normal in eigenen Worten. Weißt du etwas noch nicht, zum Beispiel die Adresse deines Servers, schreib „kommt später“.

Wenn der Agent alle Fragen gestellt hat, schickst du den Bauauftrag. Emergent baut dann deine Oberfläche. Das dauert eine Weile, bei mir waren es rund zwei Stunden, in denen Emergent selbstständig gearbeitet hat. Jetzt hast du schon deinen eigenen VPN-Prototyp.

1. Kopiere den Bauauftrag unten in denselben Emergent-Chat und schick ihn ab.
2. Wenn Emergent fertig ist, schick die Kontrolle hinterher. Der Agent prüft dann seine eigene Arbeit, vor allem die Schlüssel und den QR-Code.
3. Sagt Emergent bei einem Punkt „nein“ oder „nicht sauber“, lass es den Punkt korrigieren, bevor du weitermachst.

Zu guter Letzt musst du nur noch einen Cloud-Server aufsetzen. Klingt kompliziert, ist aber kinderleicht. Wir nehmen Oracle Cloud, weil das Gratis-Kontingent dort dauerhaft gilt.

1. Konto anlegen auf signup.oraclecloud.com. Schalte vorher jedes andere VPN aus, sonst lehnt Oracle die Anmeldung oft ab.
2. Heimatregion wählen (Home Region). Das ist das Land, in dem dein Server steht und als das du später im Internet erscheinst. Die Wahl ist endgültig, und kostenlos ist nur diese eine Region. Unsicher? Frag vorher mit Prompt 01 unten nach.
3. Server anlegen: Klick oben links auf das Menü (drei Striche), dann Compute, Instances, Create instance.
   • Bei Image auf „Change image“ klicken und Canonical Ubuntu 22.04 wählen.
   • Bei Shape auf „Change shape“, dann „Ampere“ und VM.Standard.A1.Flex mit 1 OCPU (Kern) und 6 GB Speicher.
   • Bei Add SSH keys „Generate a key pair for me“ wählen und auf Save private key klicken. Diese Schlüsseldatei bekommst du nur ein einziges Mal. Leg sie gut ab.
   • Unten auf Create klicken. Nach ein bis zwei Minuten steht der Status auf „Running“. Notiere dir die Public IP address.
4. Port freigeben: Klick in deiner Instanz auf das verlinkte Subnet, dann auf die Security List (oft „Default Security List“), dann Add Ingress Rules. Trage ein: Source CIDR 0.0.0.0/0, IP Protocol UDP, Destination Port Range 51820. Speichern.

Verbinden: Klick in der Oracle-Konsole oben rechts auf das Symbol >_ (Cloud Shell). Unten öffnet sich ein Fenster, in das du Befehle eingibst. Lade über das Zahnrad- bzw. Menü-Symbol dieses Fensters mit „Upload“ deine Schlüsseldatei aus Schritt 4 hoch. Dann tippst du, mit deiner Server-IP statt 1.2.3.4 und dem echten Dateinamen:

chmod 600 ssh-key-*.key
ssh -i ssh-key-*.key ubuntu@1.2.3.4

Bei der Frage „Are you sure you want to continue connecting“ tippst du yes und Enter. Jetzt bist du auf deinem Server.

Block 1, WireGuard installieren. Kopieren, mit Rechtsklick und „Einfügen“ ins Fenster setzen, Enter:

sudo apt update && sudo apt install -y wireguard qrencode
sudo -i

Block 2, Server einrichten. Der Block erzeugt die Schlüssel, schreibt die Serverdatei und startet den Tunnel. Am Ende siehst du eine Ausgabe, die mit interface: wg0 beginnt.

cd /etc/wireguard
umask 077
wg genkey | tee server_privat | wg pubkey > server_oeffentlich
wg genkey | tee geraet1_privat | wg pubkey > geraet1_oeffentlich
NIC=$(ip route show default | awk '{print $5}' | head -n1)
cat > wg0.conf <<EOF
[Interface]
Address = 10.66.1.1/24
ListenPort = 51820
PrivateKey = $(cat server_privat)
MTU = 1380
PostUp = iptables -I INPUT 1 -p udp --dport 51820 -j ACCEPT; iptables -I FORWARD 1 -i wg0 -j ACCEPT; iptables -I FORWARD 1 -o wg0 -j ACCEPT; iptables -t nat -A POSTROUTING -o $NIC -j MASQUERADE
PostDown = iptables -D INPUT -p udp --dport 51820 -j ACCEPT; iptables -D FORWARD -i wg0 -j ACCEPT; iptables -D FORWARD -o wg0 -j ACCEPT; iptables -t nat -D POSTROUTING -o $NIC -j MASQUERADE

[Peer]
PublicKey = $(cat geraet1_oeffentlich)
AllowedIPs = 10.66.1.2/32
EOF
echo 'net.ipv4.ip_forward=1' > /etc/sysctl.d/99-wireguard.conf
sysctl --system
systemctl enable --now wg-quick@wg0
wg show

Block 3, Datei für dein erstes Gerät. Er zeigt dir einen QR-Code und darunter denselben Inhalt als Text:

cat > geraet1.conf <<EOF
[Interface]
PrivateKey = $(cat geraet1_privat)
Address = 10.66.1.2/32
DNS = 1.1.1.1
MTU = 1380

[Peer]
PublicKey = $(cat server_oeffentlich)
Endpoint = $(curl -4 -s ifconfig.me):51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25
EOF
qrencode -t ansiutf8 < geraet1.conf
cat geraet1.conf

Zwei Einstellungen in Block 2 machen den Unterschied: Die Regeln stehen mit -I ... 1 ganz oben in der Liste, weil die Ubuntu-Server von Oracle am Ende der Liste einen Eintrag haben, der allen weitergeleiteten Verkehr blockiert. Und MTU = 1380 steht in beiden Dateien, weil viele deutsche Anschlüsse (DS-Lite, etwa Vodafone Kabel) größere Pakete stillschweigend verwerfen.

Jetzt verbindest du deine Emergent-App mit dem Server.

1. Hol dir den öffentlichen Schlüssel deines Servers. Auf dem Server eingeben:

   cat /etc/wireguard/server_oeffentlich

2. Trag in deiner App die Server-IP, den Port 51820 und diesen öffentlichen Schlüssel ein. Der öffentliche Schlüssel darf überall stehen. Die Dateien mit „privat“ im Namen zeigst du niemandem und kopierst sie in keinen Chat.
3. Leg in der App ein neues Gerät an, zum Beispiel „Handy“. Die App gibt dir eine Gerätedatei (QR-Code oder .conf) und einen Peer-Block.
4. Der Peer-Block gehört auf den Server. Öffne die Serverdatei:

   sudo nano /etc/wireguard/wg0.conf

5. Geh mit der Pfeiltaste ganz nach unten, mach eine leere Zeile und füge den Peer-Block mit Rechtsklick ein. Speichern mit Strg+O und Enter, schließen mit Strg+X.
6. Tunnel neu starten. In der Ausgabe muss das neue Gerät als peer auftauchen:

   sudo systemctl restart wg-quick@wg0
   sudo wg show

Erst wenn Gerätedatei und Peer-Block beide an ihrem Platz sind, kommt eine Verbindung zustande.

Das hier ist die UI: Du wählst einfach ein Land aus, klickst auf Connect, und der Traffic läuft über deinen eigenen Server.

1. Installiere die WireGuard-App auf dem Gerät.
2. Wähl in deiner Emergent-App das Land und klick auf Connect. Du bekommst die Konfiguration als QR-Code und als Datei.
3. Handy: In der WireGuard-App auf „+“ tippen, „Von QR-Code erstellen“ und den Code scannen. Einen Namen vergeben, fertig.
4. Windows oder Mac: In der WireGuard-App „Tunnel aus Datei importieren“ wählen und die .conf-Datei öffnen.
5. Den Schalter beim Tunnel auf Aktiv stellen.

Damit kannst du Streaming-Inhalte aus anderen Ländern sehen und hast vor allem eine sichere Verbindung, auch im Hotel- oder Café-WLAN.

Ruf bei aktivem Tunnel ipleak.net auf und schau auf drei Stellen:

• Ganz oben, deine Adresse: Dort muss die IP deines Servers stehen und das Land deiner Heimatregion. Steht dort deine deutsche Adresse, ist der Tunnel nicht aktiv.
• In der Mitte, DNS Addresses: Der Name deines Internetanbieters darf hier nicht auftauchen. Tut er es, fehlt in der Gerätedatei die Zeile DNS = 1.1.1.1.
• Der IPv6-Test: „not reachable“ ist hier gewollt. Erscheint stattdessen eine Adresse, die mit 2a00 oder 2003 beginnt, fehlt bei AllowedIPs der Zusatz ::/0.