WireGuard zwischen Ubuntu 24.04 und QNAP NAS: VPN-Tunnel einrichten

Ubuntu 24.04 und ein QNAP NAS als WireGuard-Client mit getrennten Schlüsseln, begrenzten Routen und Tunnelprüfung verbinden.

Szenario und Voraussetzungen

Ubuntu 24.04 ist über UDP 51820 erreichbar; das QNAP NAS verbindet sich als QVPN-Service-Client. Prüfen Sie die WireGuard-Unterstützung des NAS, DNS, Router und Firewalls. 10.77.20.1 und 10.77.20.2 sind Beispiele; wählen Sie ein Netz ohne Überschneidung mit bestehenden LANs und VPNs. Diese Konfiguration verbindet zwei Peers, nicht das ganze NAS-LAN.

Installation und Ubuntu-Schlüssel

Installieren Sie WireGuard und erzeugen Sie das Schlüsselpaar im geschützten Verzeichnis /etc/wireguard. Der Befehl gibt nur den öffentlichen Schlüssel für das QNAP-Profil aus; server.key bleibt geheim. Sichern Sie SSH-Zugang und Wiederherstellungskonsole vor Firewall-Änderungen.

sudo apt update
sudo apt install wireguard
sudo install -d -m 700 /etc/wireguard
sudo sh -c 'umask 077; wg genkey | tee /etc/wireguard/server.key | wg pubkey > /etc/wireguard/server.pub'
sudo cat /etc/wireguard/server.pub

Server-Schnittstelle konfigurieren

Erstellen Sie /etc/wireguard/wg0.conf anhand des Beispiels. Ersetzen Sie die Base64-Platzhalter durch Ubuntus privaten und QNAPs öffentlichen Schlüssel ohne spitze Klammern. AllowedIPs 10.77.20.2/32 auf dem Server begrenzt den Peer auf seine Tunneladresse. Schützen Sie die Datei. Für Netze hinter dem NAS sind zusätzliche Routen, Firewall-Regeln und IP-Weiterleitung nötig.

[Interface]
Address = 10.77.20.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATE_KEY_BASE64

[Peer]
PublicKey = QNAP_PUBLIC_KEY_BASE64
AllowedIPs = 10.77.20.2/32

QNAP-Client einrichten

Öffnen Sie QVPN Service > VPN Client > VPN Connection Profiles > Add > WireGuard. Erzeugen Sie das QNAP-Schlüsselpaar und tragen Sie seinen öffentlichen Schlüssel auf dem Server ein. Konfigurieren Sie Tunnel-IP 10.77.20.2, Ubuntu-Schlüssel, Endpoint server.example.com:51820 und Allowed IPs 10.77.20.1/32. Menünamen können abweichen. 0.0.0.0/0 würde sämtlichen NAS-Verkehr durch das VPN leiten.

Port und Verbindung prüfen

Prüfen Sie SSH, erlauben Sie UDP 51820 in UFW und externer Firewall und richten Sie gegebenenfalls Portweiterleitung ein. Starten Sie wg-quick@wg0 und verbinden Sie QNAP. wg show zeigt Handshake und Datenzähler. Ein ausbleibender Ping bei blockiertem ICMP beweist keinen Tunnelfehler. Vergleichen Sie Schlüssel, Endpoint, Adressen und AllowedIPs.

sudo chmod 600 /etc/wireguard/wg0.conf
sudo ufw allow 51820/udp
sudo systemctl enable --now wg-quick@wg0
sudo wg show
ping -c 3 10.77.20.2

NAT und Sicherheit

Wenn QNAP hinter NAT steht und Verbindungen im Leerlauf abbrechen, setzen Sie PersistentKeepalive = 25 am QNAP-Peer, falls QVPN diese Einstellung bietet. Nur auf dem Server hält es das NAT des Clients nicht offen. Schützen Sie private Schlüssel, aktualisieren Sie die Systeme und beschränken Sie NAS-Dienste. Verschlüsselung im Tunnel ersetzt keine geprüften Backups.

Quellen

QNAP QVPN: https://www.qnap.com/en/how-to/tutorial/article/how-to-set-up-and-use-qvpn-service-and-qvpn-device-client ; WireGuard: https://www.wireguard.com/quickstart/ .