Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

Securepoint WireGuard Site-to-Site-VPN einrichten

Kurz gesagt: Ein WireGuard-Site-to-Site-VPN zwischen zwei Securepoint-UTMs richtest du über VPN > WireGuard mit dem Assistenten ein. Du brauchst auf jeder Seite ein X25519-Schlüsselpaar und den öffentlichen Schlüssel der Gegenstelle, ein Transfernetz für die Tunneladressen und die lokalen Netze beider Standorte. Die automatisch erzeugten Firewall-Regeln ersetzt du danach durch eigene, restriktive Regeln.

Stand: 03.11.2026

Was brauchst du vor dem Start?

Diese Anleitung folgt dem Securepoint-Wiki für die UTM-Version 12.5.1. Securepoint kennzeichnet diesen Artikel als nicht mehr aktuell und verweist auf eine neuere Fassung. In neueren Versionen können sich einzelne Bezeichnungen deshalb leicht unterscheiden, der Ablauf bleibt gleich.

  • Auf beiden UTMs einen Schlüssel vom Typ X25519.
  • Den öffentlichen X25519-Schlüssel der jeweiligen Gegenstelle.
  • Die öffentliche IP oder den FQDN mindestens einer Seite als Endpunkt.
  • Ein freies Transfernetz für die Tunneladressen, im Wiki-Beispiel 10.0.1.0/24.
  • Die lokalen Netze beider Standorte, im Beispiel 10.1.0.0/16 für Standort A und 10.2.0.0/16 für Standort B. Die Netze dürfen sich nicht überschneiden.

Schlüssel legst du unter Authentifizierung > Schlüssel mit Schlüssel hinzufügen an: eindeutigen Namen vergeben, Typ X25519 wählen. Den öffentlichen Teil kannst du im PEM-Format exportieren und auf der anderen UTM per Datei oder Zwischenablage importieren.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Wie richtest du Standort A ein?

Öffne VPN > WireGuard und starte den Assistenten mit WireGuard Verbindung hinzufügen.

Schritt 1: Schnittstelle

  1. Die Schnittstelle (zum Beispiel wg0) vergibt die UTM automatisch.
  2. Vergib einen Namen, etwa wg_server.
  3. Trage die IPv4-Adresse im Transfernetz ein, im Beispiel 10.0.1.1/24. IPv6 ist optional.
  4. Der Listening Port steht standardmäßig auf 51820.
  5. Wähle beim Privaten Schlüssel den X25519-Schlüssel dieser UTM. Angeboten werden nur Schlüssel mit privatem Teil. Du kannst hier auch einen neuen erzeugen.

Schritt 2: Peer

  1. Lass AD-Benutzer als Peers auf „Nein“. Diese Option ist für Roadwarrior gedacht.
  2. Vergib einen Namen für die Gegenstelle, etwa peer-b.
  3. Trage bei Erlaubte IPs die Netze der Gegenstelle ein, im Beispiel 10.2.0.0/16.
  4. Trage beim Endpunkt die öffentliche IP oder den FQDN der Gegenstelle ein. Lass das Feld leer, wenn nur die Gegenstelle die Verbindung aufbauen soll.
  5. Endpunkt Port: 51820, sofern die Gegenstelle nichts anderes nutzt.
  6. Wähle den Öffentlichen Schlüssel der Gegenstelle. Hier erscheinen nur Schlüssel ohne privaten Teil. Ein Schlüssel ist pro Schnittstelle nur einmal wählbar.
  7. Setze einen Pre-Shared Key. Er ist optional, aber empfohlen, und muss auf beiden Seiten identisch sein.
  8. Aktiviere Keepalive. Das Wiki empfiehlt ein Intervall von 25 Sekunden.

Schritt 3: Erweiterte Einstellungen

  1. Routen zu den Peer-Netzen erstellen: aktivieren, das empfiehlt Securepoint.
  2. Zone erstellen: zum Beispiel wireguard-wg0.
  3. Netzwerkobjekte für den Peer erstellen lassen, etwa net-wg-peer-b.
  4. Regeln zwischen Peer und internal-networks erstellen lassen, wenn du die Verbindung schnell testen willst.
  5. Mit Fertig abschließen.

Wie richtest du Standort B ein?

Auf der zweiten UTM läuft der Assistent genauso ab. Diese Werte unterscheiden sich:

  • Tunneladresse aus dem Transfernetz: 10.0.1.2/24.
  • Privater Schlüssel: der X25519-Schlüssel dieser UTM, dessen öffentlichen Teil du an Standort A eingetragen hast.
  • Peer: Name peer-a, Erlaubte IPs 10.1.0.0/16, Endpunkt die öffentliche Adresse von Standort A, Port 51820, öffentlicher Schlüssel von Standort A.
  • Derselbe Pre-Shared Key wie an Standort A.
  • Netzwerkobjekt: net-wg-peer-a.

Ob der Tunnel steht, siehst du im Admininterface im WireGuard-Widget, das alle Verbindungen in der Übersicht zeigt.

Worauf solltest du nach dem Einrichten achten?

  • Regeln anpassen: Securepoint betont, dass die automatisch erzeugten Regeln nur die Inbetriebnahme erleichtern. Ersetze sie durch eigene Regeln, die nur die Dienste freigeben, die zwischen den Standorten wirklich gebraucht werden.
  • Port freigeben: Der Listening Port muss auf der Seite, die erreichbar sein soll, aus dem Internet ankommen. Steht ein Router vor der UTM, braucht es dort eine Weiterleitung.
  • Dateifreigaben: Gibt es Probleme mit SMB oder FTP, nennt Securepoint im Zusammenhang mit einer FRITZ!Box als Gegenstelle die Option „NetBIOS über diese Verbindung zulassen“ auf der FRITZ!Box.
  • Schlüssel sichern: Dokumentiere, welcher Schlüssel zu welcher Verbindung gehört.

So unterstützen wir dich

Wir planen Standortvernetzungen mit Securepoint-UTMs, richten WireGuard-Tunnel ein und schreiben die Regeln so, dass nur das Nötige durchgeht. In Osnabrück und Umgebung auch vor Ort. Mehr dazu auf unserer Seite zu Firewalls in Osnabrück.

Häufige Fragen

Welchen Port nutzt WireGuard auf der Securepoint UTM?

Standardmäßig 51820. Du kannst den Listening Port und den Endpunkt Port aber manuell ändern.

Brauche ich einen Pre-Shared Key?

Er ist optional, Securepoint empfiehlt ihn aber. Er muss auf beiden Seiten identisch sein.

Kann ich eine FRITZ!Box als Gegenstelle nutzen?

Ja. Das Securepoint-Wiki beschreibt den Weg über ein Schlüsselpaar im .raw-Format und eine Konfigurationsvorlage, die du in der FRITZ!Box unter Internet, Freigaben, VPN importierst.

Müssen beide Seiten eine feste IP haben?

Nein. Lässt du den Endpunkt auf einer Seite leer, baut nur die Gegenstelle die Verbindung auf. Diese Seite muss dann erreichbar sein.

Quellen