Ein VPN auf dem Router verlagert den Tunnel von einzelnen Geräten auf den Internetzugangspunkt: Dahinter steht dann das ganze Zuhause — Telefone, Laptops, Fernseher, Streaming-Boxen und smarte Geräte. Wir erklären, wann sich das lohnt, welcher Router passt und wie man ein persönliches VPN auf OpenWrt einrichtet.
Der Artikel richtet sich an alle, die bereit sind, sich einmal ins Webinterface des Routers einzuloggen und alles einzurichten. Wenn Sie ein VPN nur für den Fernseher brauchen, finden Sie am Ende einen einfacheren Weg über die Apps für Apple TV und Android TV.
Warum ein VPN auf dem Router
Eine App auf dem Telefon schützt ein Telefon. Ein Router mit VPN schützt alles, was mit dem Heimnetzwerk verbunden ist, und zwar unbemerkt für die Geräte selbst: Sie sehen ein normales Wi-Fi, während Verschlüsselung und Routing auf dem Router stattfinden.
- Fernseher, Konsole, Media-Player und smarte Geräte ohne VPN-Client erhalten dieselbe IP-Adresse wie das Telefon.
- Laptops und Telefone verbrauchen keinen zusätzlichen Akku, und niemand muss prüfen, ob der Tunnel aktiv ist.
- Gäste und neue Geräte sind sofort nach der Verbindung mit dem Wi-Fi geschützt.
- Die Einstellungen liegen an einem Ort statt in einem Dutzend Apps.
Es gibt auch einen Preis: Die Geschwindigkeit wird durch den Prozessor des Routers begrenzt, und jedes Problem mit dem Tunnel betrifft sofort das ganze Zuhause. Deshalb ist es wichtig, die Hardware richtig zu wählen und sich zu überlegen, was bei einem Verbindungsabbruch passieren soll.
Welcher Router passt
MeduzaVPN liefert ein fertiges Paket für OpenWrt — eine offene Firmware, die auf Hunderten von Routermodellen läuft. Das Paket ist für drei Plattformen gebaut, auf denen wir es testen, für die übrigen Plattformen gibt es statische Daemon-Builds.
| Plattform | Format | Typische Geräte | Erwartete Geschwindigkeit |
|---|---|---|---|
| x86/64 | Fertiges Paket | Mini-PCs, virtuelle Maschinen, Industrie-Router auf Intel/AMD | Mehrere hundert Mbit/s und mehr |
| MediaTek Filogic | Fertiges Paket | Aktuelle Wi-Fi-6-Router auf MT7981/MT7986 | Mehrere hundert Mbit/s |
| MT7621 | Fertiges Paket | Verbreitete Router aus den Jahren 2018–2023 | Einige zehn Mbit/s |
| arm64, armv7, mips | Statischer Daemon-Build | Andere OpenWrt-Plattformen, manuelle Installation | Abhängig vom Prozessor |
Arbeitsspeicher und Speicherplatz
Die entscheidende Voraussetzung ist der Speicherplatz. Das Paket benötigt mit Abhängigkeiten 40–46 MB. Ein Router mit 16 MB Flash-Speicher eignet sich nicht: Nach der Firmware-Installation bleiben dort nur noch wenige Megabyte übrig. Suchen Sie nach Modellen mit 128 MB oder mehr, oder richten Sie extroot auf einem USB-Speicher ein, falls der Router einen Anschluss hat. Beim Arbeitsspeicher sind mindestens 256 MB empfehlenswert, sonst konkurrieren Daemon und Webinterface bei vielen Verbindungen um Ressourcen.
Prüfen Sie vor dem Kauf die Hardware-Tabelle von OpenWrt: Wichtig sind nicht nur Prozessor und Speichergröße, sondern auch, dass das Modell von einer aktuellen Firmware-Version unterstützt wird. Veraltete Versionen haben mitunter nicht die nötigen Abhängigkeiten.
Installation des Pakets auf OpenWrt
Es wird vorausgesetzt, dass OpenWrt bereits installiert ist und der Router ins Internet verbunden ist. Die Installation des Pakets dauert wenige Minuten.
- Öffnen Sie die Seite VPN für den Router und laden Sie das Paket für Ihre Plattform herunter.
- Stellen Sie sicher, dass mindestens 50 MB freier Speicher vorhanden sind: Der Bereich „System → Software“ in LuCI zeigt den verbleibenden Platz an.
- Laden Sie das Paket über denselben LuCI-Bereich hoch oder per SSH mit dem opkg-Installationsbefehl.
- Warten Sie, bis die Abhängigkeiten installiert sind; beim ersten Start erstellt der Daemon seine Konfiguration.
- Öffnen Sie die neue MeduzaVPN-Seite im LuCI-Menü und melden Sie sich per QR-Code an.
- Wählen Sie einen Standort und ein Protokoll, aktivieren Sie die Verbindung und prüfen Sie die IP-Adresse von einem beliebigen Gerät im Netzwerk.
Statische Builds für andere Plattformen
Wenn Ihr Router auf arm64, armv7 oder mips läuft, verwenden Sie den statischen Daemon-Build. Er ist unabhängig von den Firmware-Bibliotheken und läuft als normaler Dienst. Eine LuCI-Seite gibt es in diesem Fall nicht: Anmeldung und Standortwahl erfolgen über SSH-Befehle, und die Parameter werden in einer Konfigurationsdatei gespeichert. Dieser Weg ist für alle gedacht, die sicher mit der Konsole umgehen.
Anmeldung per QR-Code und die LuCI-Seite
Der Router hat keine bequeme Tastatur, und ein Kontopasswort möchte man dort auch nicht speichern. Deshalb funktioniert die Anmeldung wie beim Fernseher: Die MeduzaVPN-Seite in LuCI zeigt einen QR-Code, Sie scannen ihn mit dem Telefon in der App oder öffnen den Link im Browser und bestätigen die Anmeldung. Der Router erhält einen eigenen Zugangsschlüssel, den Sie im Konto jederzeit widerrufen können.
Auf der Seite selbst finden Sie:
- Verbindungsstatus, aktuellen Standort und die externe IP-Adresse;
- Auswahl aus 60+ Standorten und Umschalten des Protokolls — MeduzaVPN ULTRA, WireGuard, VLESS und andere;
- Aktivierung des Kill Switch;
- Auswahl, welche Geräte oder Subnetze durch den Tunnel laufen;
- ein Protokoll der letzten Verbindungsereignisse.
Der Router ist ein weiteres Gerät im Konto. Er beansprucht kein eigenes Abo und belegt keinen „Slot“ — es gibt keine Begrenzung der Geräteanzahl. Wenn Sie das VPN mit der Familie teilen, lesen Sie, wie der gemeinsame Zugriff funktioniert.
Kill Switch und Traffic-Aufteilung
Kill Switch
Bricht der Tunnel ab, kann der Router den Datenverkehr entweder direkt durchlassen oder bis zur Wiederherstellung blockieren. Der zweite Modus ist der Kill Switch. Auf dem Router gilt er für alle Geräte, deshalb sollten Sie das vorher entscheiden: Wenn Geräte laufen, für die eine durchgehende Internetverbindung wichtig ist (Videoüberwachung, Smart Home), ist es vielleicht besser, sie am Tunnel vorbeizuleiten und die Sperre nur für die übrigen Geräte zu aktivieren.
Aufteilung nach Geräten
In OpenWrt lässt sich der Datenverkehr leicht nach Clients aufteilen. Eine praktische Variante sind zwei Wi-Fi-Netze: eines läuft über das VPN, das andere direkt. Fernseher und Streaming-Box verbinden Sie mit dem ersten, Arbeitsgeräte mit Firmen-VPN mit dem zweiten. Das ist dasselbe Prinzip wie Split Tunneling in Apps, nur dass die Grenze das Netzwerk ist und nicht eine Liste von Programmen.
DNS
Prüfen Sie, dass auch die DNS-Anfragen durch den Tunnel laufen. Fragt der Router weiterhin den DNS-Server des Providers ab, sehen Websites die IP-Adresse des VPN, der Provider dagegen die Liste der aufgerufenen Domains. Das MeduzaVPN-Paket leitet DNS standardmäßig durch den Tunnel, aber bei manuellen Änderungen an dnsmasq sollten Sie das noch einmal prüfen.
Einschränkungen und was zu beachten ist
- Geschwindigkeit. Die Verschlüsselung übernimmt der Prozessor des Routers. Auf MT7621 liegt die praktische Grenze bei einigen zehn Mbit/s, auf Filogic und x86 bei mehreren hundert. Für 4K-Video reicht das, für einen Gigabit-Anschluss nicht.
- Ein Standort für alle. Der Router ist mit einem Server verbunden. Braucht ein Gerät Amsterdam und ein anderes Tokio, muss entweder umgeschaltet werden, oder die App bleibt auf dem jeweiligen Gerät selbst aktiv.
- Geo-Dienste. Alle Geräte erhalten die IP-Adresse des gewählten Standorts, und manche Dienste zeigen dann einen ausländischen Katalog, eine andere Währung und Sprache. Nutzen Sie dafür die Traffic-Aufteilung.
- Protokollwechsel je nach Netzwerk. Der Provider kann anfangen, ein Protokoll zu stören; auf dem Router fällt das sofort im ganzen Haus auf. Halten Sie die LuCI-Seite griffbereit, um umzuschalten — etwa von WireGuard auf MeduzaVPN ULTRA.
- Updates. Das Paket wird wie die übrigen OpenWrt-Komponenten über opkg aktualisiert. Prüfen Sie alle paar Monate auf neue Versionen.
- Single Point of Failure. Ein Fehler in der Router-Konfiguration lässt alle ohne Internet zurück. Sichern Sie die Konfiguration, bevor Sie Änderungen vornehmen.
Alternativen zum Router
Ein Router ist nicht immer nötig. Wenn es nur um den Fernseher oder die Streaming-Box geht, ist es einfacher, die App direkt auf dem Gerät zu installieren.
| Kriterium | VPN auf dem Router | Apps auf den Geräten |
|---|---|---|
| Abdeckung | Alle Geräte im Netzwerk, auch ohne Client | iPhone, Android, macOS, Windows, Linux, Apple TV, Android TV, Fire TV |
| Geschwindigkeit | Begrenzt durch den Router-Prozessor | Begrenzt durch Anschluss und Server |
| Standorte | Einer für alle | Individuell für jedes Gerät |
| Einrichtung | Erfordert OpenWrt und Webinterface | Installation aus dem Store, Anmeldung per Code oder Konto |
| Außerhalb des Zuhauses | Nicht wirksam | Funktioniert in jedem Netzwerk |
Für Fernseher bietet MeduzaVPN Apps für Apple TV, Android TV und Fire TV: Anmeldung per Code vom Telefon, Standortwahl mit der Fernbedienung, derselbe persönliche Server. Viele kombinieren beide Ansätze: den Router für Geräte ohne Client, die Apps für Telefone und Laptops, die das Haus verlassen.
Fazit
Ein VPN auf dem Router mit OpenWrt ist eine Möglichkeit, das ganze Zuhause mit einer einzigen Verbindung abzusichern und Geräte zu schützen, die keinen eigenen Client haben. Die wichtigsten Voraussetzungen: 40–46 MB Speicherplatz, eine unterstützte Plattform und ein klares Verständnis, wie sich das Netzwerk bei einem Tunnelabbruch verhält.
Das persönliche VPN von MeduzaVPN nutzt auf dem Router denselben eigenen Server mit eigener IP-Adresse wie die Apps, und das Konto ist für alle Geräte dasselbe. Für die Abos gelten 7 Tage ohne Zahlung und eine Rückerstattung innerhalb von 15 Tagen. Tarif wählen.
Häufige Fragen
Warum ein VPN auf dem Router einrichten, wenn es Apps für alle Geräte gibt?
Der Router verschlüsselt den Datenverkehr aller Geräte im Haushalt mit einer einzigen Verbindung, auch für Geräte ohne eigenen VPN-Client: Fernseher ohne Apps, Spielkonsolen, smarte Lautsprecher und Gastgeräte. Außerdem wird auf Telefonen und Laptops kein Akku verbraucht, und man muss nicht ständig prüfen, ob der Tunnel aktiv ist.
Auf welchen Routern läuft das MeduzaVPN-Paket für OpenWrt?
Fertige Pakete gibt es für OpenWrt auf x86/64, MediaTek Filogic und MT7621. Für andere Plattformen mit arm64, armv7 und mips gibt es statische Daemon-Builds, die manuell installiert werden. Gemeinsame Voraussetzung sind 40–46 MB freier Speicherplatz und eine aktuelle OpenWrt-Version.
Reicht ein Router mit 16 MB Flash-Speicher?
Nein. Das Paket benötigt mit allen Abhängigkeiten rund 40–46 MB Speicherplatz, und auf Geräten mit 16 MB Flash-Speicher bleiben nach der Firmware-Installation nur noch wenige Megabyte übrig. Solche Router eignen sich nur für minimale Konfigurationen. Für ein persönliches VPN lohnt sich ein Modell mit 128 MB oder mehr, oder ein USB-Speicher für extroot.
Wie meldet man sich am Router an, wenn es dort weder Browser noch Tastatur gibt?
Im Webinterface LuCI erscheint eine MeduzaVPN-Seite mit einem QR-Code. Sie scannen ihn mit dem Telefon in der installierten App oder öffnen den Link im Browser und bestätigen die Anmeldung. Der Router erhält einen eigenen Zugangsschlüssel, den Sie im Konto jederzeit widerrufen können — ohne ein Passwort auf dem Gerät selbst einzugeben.
Was passiert mit dem Internet zu Hause, wenn das VPN auf dem Router abbricht?
Das entscheidet der Kill Switch. Bei aktivierter Notfallsperre lässt der Router keinen Datenverkehr am Tunnel vorbei, und die Geräte bleiben bis zur Wiederherstellung der Verbindung ohne Internet. Bei deaktivierter Sperre läuft der Datenverkehr direkt über den Provider. Die Wahl hängt davon ab, was wichtiger ist: durchgehender Schutz oder durchgehender Zugang.
Wird die Geschwindigkeit des Heiminternets langsamer?
Ja, die Verschlüsselung übernimmt der Prozessor des Routers, und der ist schwächer als der eines Telefons. Auf MT7621 liegt die praktische Grenze meist bei einigen zehn Mbit/s, auf Filogic und x86 bei mehreren hundert. Für Streaming reicht das, für große Downloads über ein Gigabit-Netz nicht.
Kann man das VPN nur für den Fernseher aktivieren und nicht für alle Geräte?
Ja. In OpenWrt lässt sich der Datenverkehr nach Geräten oder Subnetzen aufteilen: ein Teil der Clients läuft durch den Tunnel, ein Teil direkt. Eine einfache Lösung ist ein separates Wi-Fi-Netz oder VLAN für die Geräte, die ein VPN benötigen. Das entspricht Split Tunneling, nur auf Ebene des gesamten Heimnetzwerks.
Gibt es eine Alternative, wenn der Router nicht passt?
Für Fernseher und Streaming-Boxen gibt es eigene MeduzaVPN-Apps für Apple TV, Android TV und Fire TV mit Anmeldung per Code vom Telefon. Für alle anderen Geräte gibt es Apps für iPhone, Android, macOS, Windows und Linux. Ein Konto funktioniert auf allen Geräten ohne Begrenzung der Geräteanzahl.