Welche kryptografischen Primitiven nutzt WireGuard für die Schlüssel?

WireGuard verwendet Curve25519 für den ECDH-Schlüsselaustausch, ChaCha20 zur symmetrischen Verschlüsselung, Poly1305 zur Authentifizierung und BLAKE2s als Hashfunktion. Alle Schlüssel sind 32-Byte-Base64-kodierte Zeichenketten.

Warum wird ein PresharedKey (PSK) in WireGuard-Konfigurationen empfohlen?

Ein PSK fügt dem Curve25519-Schlüsselaustausch eine 256-Bit symmetrische Schicht hinzu. Dies garantiert post-quantenresistente Sicherheit, selbst wenn Quantencomputer asymmetrische Kryptografie brechen sollten.

Können mehrere WireGuard-Clients dasselbe Schlüsselpaar verwenden?

Nein. WireGuard verknüpft interne Tunnel-IPs fest mit dem jeweiligen PublicKey (Cryptokey Routing). Die Mehrfachverwendung führt zu Routing-Konflikten und Verbindungsabbrüchen.

Wie unterscheidet sich AllowedIPs zwischen Server- und Client-Konfiguration?

Im Server-[Peer]-Block legt AllowedIPs die spezifische Client-Tunnel-IP (/32 bzw. /128) fest. Im Client-[Peer]-Block definiert AllowedIPs die durch das VPN gerouteten Netze (0.0.0.0/0 für Voll-Tunnel, Subnetze für Split-Tunnel).

Wie wende ich die generierte Peer-Konfiguration unter Linux mit wg-quick sicher an?

Fügen Sie den Peer-Block in /etc/wireguard/wg0.conf ein oder nutzen Sie 'wg set wg0 peer allowed-ips /32' für eine unterbrechungsfreie Live-Aktualisierung im laufenden Betrieb.

WireGuard & Curve25519 Cryptographic Suite

WireGuard Schlüsselpaar- & Peer-Konfigurationsgenerator Entwickler-Handbuch

Erstellen Sie WireGuard Curve25519-Schlüsselpaare, Preshared Keys (PSK) und Client-/Server-Peer-Konfigurationsblöcke sicher direkt im Browser.

100% Client-Side Privacy

Curve25519 ↔ wg0.conf & wg-client.conf

Presets:

Interface Parameters & Cryptographic Handshake Options

UDP 51820•2 Peers

Öffentlicher Server-Endpunkt:Host:Port

Tunnel-Subnetz:IPv4 / IPv6

DNS-Server:

Port / MTU:

PersistentKeepalive:NAT keep

Pre-Shared Key (PSK) aktivieren(Post-quantum protection)Gesamten Datenverkehr routen (0.0.0.0/0)

Configured Peers:

Work Laptop(10.8.0.2/32)

iPhone Roaming(10.8.0.3/32)

Peer-Definitionen & Schlüsseleingabe2 Peers

# =========================================================
# WireGuard Interface & Peer Specification
# Edit values or paste any wg0.conf / private keys directly
# =========================================================

[Interface]
Endpoint = vpn.example.com:51820
Address = 10.8.0.1/24, fd86:ea04:1115::1/64
ListenPort = 51820
DNS = 1.1.1.1, 8.8.8.8
MTU = 1420
PrivateKey = mHxcACu4zImB0UuFszaEIVOb9pRnljdZScGs9p/dvHU=

# Peer 1: Work Laptop
[Peer]
Name = Work Laptop
Address = 10.8.0.2/32, fd86:ea04:1115::2/128
AllowedIPs = 0.0.0.0/0, ::/0
PrivateKey = qIOQti92akyvcSrNxKmDGmOTOqZpyCNpIiRCU1AqIFI=
PublicKey = V80h58T7VE6cbLW86qrFoiRxlDZQIMZhdc2grNQewyI=
PresharedKey = WYf+0IeaWwZX2zdozh+ujBc32PJ2NCPhB7vG1OmlluE=
PersistentKeepalive = 25

# Peer 2: iPhone Roaming
[Peer]
Name = iPhone Roaming
Address = 10.8.0.3/32, fd86:ea04:1115::3/128
AllowedIPs = 0.0.0.0/0, ::/0
PrivateKey = aIfQY3qEwSkAR1NW25xYQxeI1cOLjG/MhMKAnGguz3c=
PublicKey = sW/6WQQ/j0Zbusb4X6j29MNKlWDhLwgd9ZoAQ8eqEnc=
PresharedKey = 93TmEi2egkD+YddRP9ChGsU5C5U6c57vuQWpRg62rvE=
PersistentKeepalive = 25

33 lines1076 chars1076 B

Curve25519 Base64Sync Active

Peer:

# =========================================================
# WireGuard Client Configuration for: Work Laptop
# Save to /etc/wireguard/wg0-client.conf or import into app
# =========================================================

[Interface]
PrivateKey = qIOQti92akyvcSrNxKmDGmOTOqZpyCNpIiRCU1AqIFI=
Address = 10.8.0.2/32, fd86:ea04:1115::2/128
DNS = 1.1.1.1, 8.8.8.8
MTU = 1420

[Peer]
PublicKey = WkT9aMOtAuXEg5bG2/PvXSNJ90Fcf4UejCPG7Fmfs2U=
PresharedKey = WYf+0IeaWwZX2zdozh+ujBc32PJ2NCPhB7vG1OmlluE=
Endpoint = vpn.example.com:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

18 lines592 chars592 B

wg-client.confWireGuard v1

Aktive Peers

2 Client Peers

10.8.0.1/24, fd86:ea04:1115::1/64

Curve25519-Schlüssel

3 RFC 7748 Keypairs

256-bit ECDH Clamped

WireGuard-Tunnel

PSK Hardened (256-bit)

Port 51820 • MTU 1420

Curve25519-Schlüsselgenerierung

Reine RFC 7748 X25519 Elliptic Curve Diffie-Hellman Skalarmultiplikation, lokal berechnet ohne Serverübertragung.

Zero-Knowledge Ausführung im Browser

Alle privaten Schlüssel, Preshared Keys und Endpoint-Konfigurationen verbleiben ausschließlich im Speicher Ihres Browsers.

Plattformübergreifend WireGuard-fähig

Sofortiger Export für Linux wg-quick, macOS, Windows, Android/iOS QR-Scanning und Docker Compose Deployments.

WireGuard Schlüsselpaar- & Peer-Konfigurationsgenerator Entwickler-Handbuch

Curve25519-Schlüsselgenerierung

Zero-Knowledge Ausführung im Browser

Plattformübergreifend WireGuard-fähig

WireGuard Schlüsselpaar- & Peer-Konfigurationsgenerator Entwickler-Handbuch — Referenz-Leitfaden

Wichtige Parameter & Steuerelemente

Profi-Tipps & Best Practices

Vollständige clientseitige kryptografische Isolation

Quantenresistenter Schutz durch PSK

Cryptokey Routing und strikte AllowedIPs-Trennung

MTU-Optimierung für Mobilfunk- und PPPoE-Netze

Häufige Fallstricke & Fehlerbehebung

Handshake kommt nicht zustande (0 Bytes empfangen)

Handshake erfolgreich, aber kein Datenverkehr oder Internetzugriff möglich

Verbindung bricht hinter Heimroutern oder Mobilfunk-NAT nach Inaktivität ab

Häufig gestellte Fragen (FAQ)

Verwandte Werkzeuge & Dienstprogramme