MeduzaVPN-Konfigurationen für Drittanbieter-Clients: v2rayN, Karing, OpenVPN Connect, .mobileconfig-Profil für iPhone

Wo Sie die Konfiguration finden

Alle Konfigurationen liegen im Kundenkonto, auf der Karte Ihres VPN. Dort gibt es eine Liste der Protokolle, einen QR-Code-Button und einen Button zum Herunterladen der Datei. Wichtig: Das sind keine unterschiedlichen Tarife oder unterschiedlichen VPNs — ein und derselbe persönliche Server liefert alle Protokolle gleichzeitig, sodass Sie WireGuard auf dem Telefon, den vless://-Link in v2rayN auf dem Arbeitslaptop und ein IKEv2-Profil auf dem iPad gleichzeitig nutzen können, ohne bei uns irgendetwas umzuschalten.

Port und Adresse stehen bereits in der Datei oder im Link, sie müssen nicht manuell eingetragen werden. Fragt der Client stattdessen einzeln nach „Server“, „Port“ und „Passwort“, wurde ein Protokoll gewählt, das er nicht vollständig importieren kann — nehmen Sie einfacher ein anderes Protokoll aus der Liste.

Was zu welchem Client passt

Karing und Surge stehen in dieser Tabelle gemäß der Dokumentation der jeweiligen Clients: Sie akzeptieren dieselben Formate, wir haben sie aber nicht selbst geprüft und garantieren nicht, dass jede Detaileinstellung passt. Funktioniert es nicht, wenden Sie sich an den Support; unter Windows ist v2rayN der geprüfte Weg.

Das Meduza-Protokoll und MeduzaVPN ULTRA sind unsere eigenen Entwicklungen, Drittanbieter-Clients verstehen sie nicht: Dafür brauchen Sie unsere Apps oder das Paket für Linux und OpenWrt. Dafür halten genau sie sich am besten dort, wo das Netz den Datenverkehr besonders stark filtert.

v2rayN: Core, Link und lokaler Port

Zwei Felder in v2rayN sorgen für die meisten Fragen, und beide haben eine eindeutige Antwort.

Core-Typ. Wählen Sie Xray. Unsere vless://-Links nutzen REALITY, und diese Technologie ist im Xray-Core implementiert; mit dem v2fly-Core baut sich die Verbindung gar nicht erst auf. Für vmess:// eignet sich jeder der beiden Kerne, aber beide zu behalten macht keinen Sinn — Xray versteht beides.

Lokaler SOCKS-Port. Lassen Sie den Standardwert unverändert: v2rayN lauscht lokal auf Port 10808 für SOCKS und 10809 für HTTP und trägt den Systemproxy selbst ein. Diese Nummer brauchen Sie nur, wenn der Proxy manuell im Browser oder in einem separaten Programm eingetragen wird — dann nehmen Sie den Wert aus den v2rayN-Einstellungen, keinen beliebigen. Den Port ändern Sie nur bei einem Konflikt mit einem anderen Programm.

Der Ablauf: Link im Kundenkonto kopieren, in v2rayN „Import aus Zwischenablage“ wählen, dann den Systemproxy aktivieren. Baut sich die Verbindung nicht auf, prüfen Sie zuerst, dass der Core auf Xray steht und die Systemzeit des Computers genau ist: Eine Abweichung von mehr als ein paar Minuten stört den TLS-Handshake.

Karing und sing-box

Karing akzeptiert unseren Link unverändert: Kopieren Sie vless:// (oder ss:// für Shadowsocks) und fügen Sie das Profil aus der Zwischenablage hinzu. Eine eigene „Datei für Karing“ gibt es nicht — es ist dasselbe Protokoll und derselbe Link wie für v2rayN, sodass sich derselbe Link gleichzeitig auf dem Telefon und dem Computer einrichten lässt. Den Client selbst haben wir nicht getestet: Das Format akzeptiert er, den geprüften Weg unter Windows liefert aber v2rayN.

Für reines sing-box gilt ehrlich: Eine fertige JSON-Konfiguration stellen wir nicht bereit. Wird genau dieser Kern gebraucht, nehmen Sie Karing — es basiert auf sing-box und baut die Konfiguration selbst aus dem Link. Wer genau JSON braucht, muss die Felder des Links manuell in die Konfiguration übertragen; wir veröffentlichen keine solche Vorlage, um nichts als geprüft auszugeben, was wir nicht bei jedem sing-box-Update getestet haben.

Shadowsocks, Outline und Surge

Outline und Shadowsocks liefern im Kundenkonto einen Schlüssel der Form ss://. Die offizielle Outline-App akzeptiert ihn direkt aus der Zwischenablage, jeder Shadowsocks-Client ebenfalls. Surge auf macOS und iOS versteht Shadowsocks und WireGuard, nehmen Sie dafür also den ss://-Schlüssel oder die WireGuard-Datei .conf und fügen Sie sie als neuen Proxy oder als Tunnel hinzu.

Wichtig: Shadowsocks und SOCKS5 sind Proxys, kein vollwertiges VPN. Über sie läuft nur der Datenverkehr der Programme, die einen Proxy unterstützen, nicht der gesamte Datenverkehr des Systems. Soll das gesamte Gerät geschützt werden, wählen Sie WireGuard, OpenVPN, IKEv2 oder unsere Apps.

OpenVPN Connect und Import-Fehler

Für OpenVPN Connect brauchen Sie eine einzige .ovpn-Datei — Zertifikate und Schlüssel sind bereits darin enthalten, separate Dateien oder ein Passwort sind nicht nötig. Import: „OVPN Profile“ → Datei auswählen → verbinden.

Zwei Import-Fehler werden ständig verwechselt, behoben werden sie aber unterschiedlich:

• „Incorrect response from server“ — die Adresse des Kundenkontos wurde in das Feld „Import from URL“ eingetragen. Dieses Feld ist für einen OpenVPN-Access-Server gedacht und erwartet dessen Antwort, erhält aber eine gewöhnliche Webseite. Die Datei ist daran nicht schuld: Laden Sie die .ovpn-Datei auf das Gerät herunter und importieren Sie sie über „Import Profile → FILE“.
• „[inline]: cannot open for read“ — das betrifft die Datei selbst: Der Client sieht einen Verweis auf einen eingebetteten Zertifikatsblock, der Block selbst fehlt aber in der Datei. Die Ursache wurde auf unserer Seite behoben; laden Sie die Datei neu herunter, löschen Sie das alte Profil und importieren Sie die neue Datei unverändert.

Eine korrekte Datei enthält die Blöcke <ca>, <cert>, <key> und lässt sich in einem Texteditor öffnen, ohne dass eine Zeile mittendrin abbricht.

Im Kundenkonto gibt es zwei OpenVPN-Dateien, beide aus demselben Zertifikat erstellt. Die normale client.ovpn eignet sich sowohl für OpenVPN Connect als auch für den Computer: Sie enthält beide Transportwege — zuerst UDP, dann TCP als Ausweichoption —, sodass der Client in einem Netz ohne UDP selbst auf TCP umschaltet. Die zweite, reine TCP-Datei ist für Router gedacht — dazu weiter unten mehr.

IKEv2: das .mobileconfig-Profil für iPhone und Mac

Apple kann IKEv2 selbst verbinden, ohne Drittanbieter-Programme, die Parameter sollten aber nicht manuell eingegeben werden: Dafür gibt es das Konfigurationsprofil .mobileconfig. Es enthält bereits die Adresse Ihres VPN, das Client-Zertifikat und alle Verschlüsselungsparameter, ein Fehler im Feld „Remote-ID“ ist damit ausgeschlossen.

Wählen Sie auf der VPN-Karte das Protokoll IKEv2/IPsec — neben dem gewöhnlichen Download-Button erscheint ein Profil-Button für iPhone, iPad und Mac. Weiter:

• iPhone und iPad: Öffnen Sie das Kundenkonto in Safari, laden Sie das Profil herunter, dann „Einstellungen“ → „Profil geladen“ → „Installieren“. Später ist das Profil unter „Einstellungen“ → „Allgemein“ → „VPN und Geräteverwaltung“ sichtbar.
• Mac: Die heruntergeladene Datei öffnet sich unter „Systemeinstellungen“ → „Allgemein“ → „Geräteverwaltung“, dort wird das Profil auch bestätigt und entfernt.

Neben dem Profil bleibt die Datei credentials.json — sie ist für Clients gedacht, die .mobileconfig nicht verstehen: das eingebaute IKEv2 unter Windows, strongSwan unter Android und Linux. Profil und Datei beschreiben dasselbe VPN, nur in unterschiedlichen Formaten.

Eine Einschränkung sollten Sie vorab kennen: IKEv2 überträgt bei uns keinen IPv6-Verkehr, sowohl in der App als auch im Kundenkonto ist das entsprechend gekennzeichnet. Brauchen Sie IPv6, nehmen Sie WireGuard, Meduza oder OpenVPN.

Router und OpenVPN per TCP

Standard-Router-Firmwares — darunter TP-Link Archer — akzeptieren entweder eine .ovpn-Datei oder manuelle WireGuard-Parameter. Lässt der Provider kein UDP durch, bauen sich WireGuard und unsere eigenen Protokolle auf einem solchen Router gar nicht erst auf: Sie laufen über UDP. Für diesen Fall lauscht unser OpenVPN auch auf TCP.

Im Kundenkonto liegen auf der VPN-Karte mit dem Protokoll OpenVPN zwei Dateien, beide aus demselben Zertifikat:

• client.ovpn — der gewöhnliche Download-Button. Die Datei enthält zwei remote-Zeilen: zuerst UDP, dann TCP. OpenVPN probiert sie in der Reihenfolge der Datei durch, sodass ein Profil beide Transportwege trägt und in einem Netz ohne UDP selbst auf TCP wechselt. Das ist die Datei für OpenVPN Connect auf Telefon und Computer.
• client_tcp.ovpn — der Button „OpenVPN-Profil per TCP für den Router“. Nur TCP, eine einzige remote-Zeile. Sie ist nötig, weil ein spürbarer Teil der Router-OpenVPN-Clients nur die erste remote-Zeile liest und beim normalen Profil stillschweigend bei UDP-only bleibt — also genau in dem Zustand, aus dem Sie eigentlich herauswollten.

TCP lauscht auf Port 1194 — derselben Nummer wie UDP. Genau auf Port 443 lauscht unser OpenVPN nicht, und das zu versprechen wäre unehrlich: 443/tcp ist von VLESS Reality belegt, das genau diesen Port braucht. Lässt Ihr Netz nur Port 443 durch, hilft OpenVPN nicht — nehmen Sie VLESS Reality oder unsere Protokolle auf einem Gerät mit App.

Beide Dateien werden bei jeder VPN-Aktualisierung neu geschrieben, bei einer schon länger bestehenden Leistung erscheinen sie daher nach der nächsten Aktualisierung. Ist im Kundenkonto nur ein Download-Button sichtbar, klicken Sie auf der Karte auf „Neu installieren“ und laden Sie die Dateien erneut herunter.

Was sonst noch in einem Netz ohne UDP sinnvoll ist:

• OpenWrt mit dem MeduzaVPN-Paket — ein vollwertiger Weg für den Router in einem Netz mit starker Filterung: Dort stehen unsere eigenen Protokolle zur Verfügung. Details im Artikel VPN für den Router.
• Apps statt Router — die schnellste Variante: Der Router bleibt ohne VPN, und Telefone, Computer und Streaming-Boxen verbinden sich per App, wo das Protokoll automatisch gewählt wird.

Fazit

Ein Drittanbieter-Client ist kein „Umweg“, um MeduzaVPN zu nutzen, sondern einer der vorgesehenen Wege: Derselbe persönliche VPN-Server liefert sowohl den Link für v2rayN oder Karing als auch die Datei für OpenVPN Connect und das .mobileconfig-Profil für das iPhone. Es reicht, im Kundenkonto das Format zu nehmen, das Ihr Client erwartet, und keine Werte für Felder zu erfinden, die bereits für Sie ausgefüllt sind.

Für die MeduzaVPN-Abos gelten 7 Tage ohne Zahlung und eine Rückerstattung innerhalb von 15 Tagen, und die Geräteanzahl im Konto ist nicht begrenzt — Sie können in Ruhe sowohl die App als auch die manuelle Einrichtung testen. Tarif wählen.

Häufige Fragen