AnchorPoint VPN

Was es macht

Eine SSID, überall auf der Welt — du landest in deinem eigenen Heim-LAN.

Zwei Netzwerke, ein Tunnel

Halte Zuhause (den Austrittspunkt) und Reise (wo der MikroTik ist) getrennt — alles andere folgt daraus.

Reisegeräte liegen im 192.168.20.0/24, tunneln über UDP 443 zum WireGuard-Server zu Hause (10.0.80.1) und treten über die Heim-Internetleitung aus.

	Heimnetzwerk	Reisenetzwerk
Wo	Zuhause / Büro	Hotel, Café, Flughafen, Kundenstandort
Hardware	FRITZ!Box oder Linux + WireGuard-Server	MikroTik hAP ax2 — WireGuard-Client
Rolle	Austrittspunkt — Traffic erreicht hier das Internet	Eintrittspunkt — sammelt deine Geräte
WireGuard	Lauscht auf UDP 443	Wählt nach Hause über UDP 443
Subnetz	10.0.80.0/24 (Tunnel), Server 10.0.80.1	192.168.20.0/24, Gateway 192.168.20.1

Voraussetzung: ein WireGuard-Server zu Hause

AnchorPoint nutzt einen WireGuard-Server — es erstellt keinen. Baue zuerst das Heim-Ende auf.

Das Heimnetzwerk ist der Austrittspunkt. Du brauchst einen laufenden WireGuard-Server zu Hause, bevor der Reise-Router etwas hat, wohin er sich einwählen kann. Der einfachste Weg ist eine FRITZ!Box (FRITZ!OS 7.50+ hat WireGuard eingebaut); jeder Linux-Rechner geht ebenso.

AFRITZ!Box als WireGuard-Server

1. Öffne http://fritz.box → Internet → Freigaben → VPN (WireGuard) → Verbindung hinzufügen.
2. Wähle die Option „für eine bestimmte Anwendung / benutzerdefiniert" (nicht die geführte MyFRITZ!-App-Variante), damit du eine rohe Konfiguration exportieren kannst.
3. Benenne sie anchorpoint-travel-router. Die Box erzeugt ein Schlüsselpaar und eine Client-Konfiguration — lade sie herunter / kopiere sie.
4. Stelle den nach außen sichtbaren Listener auf UDP 443, damit clientseitige Firewalls ihn wie HTTPS behandeln. Sitzt die FRITZ!Box hinter einem anderen Modem, richte dort eine Portfreigabe UDP 443 → FRITZ!Box ein.
5. Richte DDNS ein, damit der Reise-Router immer nach Hause findet: Internet → MyFRITZ!-Konto gibt einen kostenlosen xxxx.myfritz.net-Namen, oder nutze Internet → Freigaben → DynDNS für deinen eigenen Anbieter.

Prüfe es, bevor du losfährst. Importiere die Client-Konfiguration über Mobilfunk in die WireGuard-Handy-App und verbinde dich, dann öffne ifconfig.me. Es muss deine Heim-IP zeigen — das beweist, dass Zuhause der Austrittspunkt ist.

[Interface]
PrivateKey = <CLIENT_PRIVATE_KEY>
Address    = 10.0.80.3/24
DNS        = 10.0.80.1

[Peer]
PublicKey           = <SERVER_PUBLIC_KEY>
Endpoint            = home.example.myfritz.net:443
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

BLinux-WireGuard-Server (Alternative)

Lieber ein Raspberry Pi / Mini-PC / VPS? Betreibe WireGuard auf ListenPort = 443, maskiere den Tunnel ins Internet, gib UDP 443 auf dem vorgelagerten Router frei und richte DDNS ein. Das vollständige Server-Snippet liegt im Repo unter config/wireguard-client.conf.example.

Reise-Router: MikroTik hAP ax2

Konfiguration in WinBox → New Terminal. Der Reihe nach einfügen; jeden <PLATZHALTER> ersetzen.

/system/ntp/client/set enabled=yes
/system/ntp/client/servers/add address=pool.ntp.org
/system/clock/set time-zone-name=Europe/Berlin

/interface/wireguard/wg-import config-string="
[Interface]
PrivateKey = <CLIENT_PRIVATE_KEY>
Address    = 10.0.80.3/24
DNS        = 10.0.80.1

[Peer]
PublicKey           = <SERVER_PUBLIC_KEY>
Endpoint            = home.example.myfritz.net:443
AllowedIPs          = 0.0.0.0/0,::/0
PersistentKeepalive = 25
"

Der Import erzeugt das Interface wg1. AllowedIPs = 0.0.0.0/0 ist ein Full-Tunnel — genau das macht Zuhause zum Austrittspunkt. Endpoint … :443 wählt über den HTTPS-Port aus, damit Venue-Firewalls es zulassen.

# eigene VPN-Bridge auf ether2
/interface bridge port remove [find interface=ether2]
/interface bridge add name=bridge-vpn
/interface bridge port add bridge=bridge-vpn interface=ether2
/ip address add address=192.168.20.1/24 interface=bridge-vpn

# Policy-Route: gesamtes Reise-LAN tritt über den Tunnel aus
/routing table add name=to-vpn fib
/ip route add dst-address=0.0.0.0/0 gateway=wg1 routing-table=to-vpn
/routing rule add src-address=192.168.20.0/24 action=lookup-only-in-table table=to-vpn
/ip firewall nat add action=masquerade chain=srcnat out-interface=wg1

# DHCP für deine Geräte, DNS auf Zuhause gerichtet (kein DNS-Leak)
/ip pool add name=vpn-pool ranges=192.168.20.10-192.168.20.100
/ip dhcp-server add address-pool=vpn-pool interface=bridge-vpn name=dhcp-vpn
/ip dhcp-server network add address=192.168.20.0/24 dns-server=10.0.80.1 gateway=192.168.20.1

/interface wireguard set wg1 mtu=1412
/ip firewall mangle add action=change-mss chain=forward new-mss=1280 out-interface=wg1 protocol=tcp tcp-flags=syn tcp-mss=1281-65535
/ip firewall mangle add action=change-mss chain=forward new-mss=1280 in-interface=wg1  protocol=tcp tcp-flags=syn tcp-mss=1281-65535

/interface/wifi/add name=wifi-vpn-5ghz master-interface=wifi1 \
    configuration.ssid="AnchorPoint Home Network" \
    security.passphrase="<HOME_NETWORK_PASSWORD>" \
    security.authentication-types=wpa2-psk,wpa3-psk disabled=no
/interface/bridge/port add bridge=bridge-vpn interface=wifi-vpn-5ghz

Das 5 GHz-Radio (wifi1) strahlt dein Heimnetzwerk aus. Das 2,4 GHz-Radio (wifi2) ist als Uplink-Radio für Venue-WLAN / Hotspot reserviert (siehe unten). Beide Radios nur dann für die Heim-SSID nutzen, wenn dein Uplink der kabelgebundene ether1-Port ist.

Uplink-Failover: LAN → WLAN → Hotspot

Der Router behält den höchstpriorisierten Uplink mit funktionierendem Internet — und heilt sich selbst.

Priorität: Kabel-LAN (ether1) → Venue-WLAN (wifi2) → Handy-Hotspot (wifi2). Kabel gewinnt immer, wenn eingesteckt.

/interface/bridge/port/remove [find interface=wifi2]
/interface/list/member/add interface=wifi2 list=WAN
/interface/wifi/unset wifi2 configuration.mode
/interface/wifi/unset wifi2 configuration.ssid
/interface/wifi/unset wifi2 security.authentication-types
/interface/wifi/unset wifi2 security.passphrase
/interface/wifi/set wifi2 security.ft=no
/interface/wifi/set wifi2 security.ft-over-ds=no

/interface wifi security add name=wifi-sec-venue \
    authentication-types=wpa2-psk,wpa3-psk passphrase="<VENUE_WIFI_PASSWORD>"
/interface wifi configuration add name=wifi-cfg-venue mode=station \
    ssid="<VENUE_WIFI_SSID>" security=wifi-sec-venue disabled=no datapath.bridge=none

/interface wifi security add name=wifi-sec-hotspot \
    authentication-types=wpa2-psk,wpa3-psk passphrase="<PHONE_HOTSPOT_PASSWORD>"
/interface wifi configuration add name=wifi-cfg-hotspot mode=station \
    ssid="<PHONE_HOTSPOT_SSID>" security=wifi-sec-hotspot disabled=no datapath.bridge=none

/interface/wifi set wifi2 configuration=wifi-cfg-venue
/ip/dhcp-client/add interface=wifi2 disabled=no default-route-distance=10 comment="WiFi-WAN-Uplink"
/ip/dhcp-client/set [find interface=ether1] check-gateway=ping

Die Failover-Skripte (Switch-To-Venue, Switch-To-Hotspot), das WAN-Watchdog-Netwatch und der 15-Minuten-Probe-Venue-Scheduler liegen im Repo unter config/mikrotik-uplink-failover.rsc. Hotelwechsel: /interface wifi configuration set wifi-cfg-venue ssid="<NEUE_SSID>" dann /system/script/run Switch-To-Venue.

Verwendete Ports — Heim vs. Reise

Zuhause öffnet genau einen eingehenden Port; Reise braucht genau einen ausgehenden Port.

Heimnetzwerk (WireGuard-Server — Austrittspunkt)

Port	Proto	Richtung	Zweck
443	UDP	Eingehend (Internet → Server)	WireGuard-Listener — auf den Server portweiterleiten. Der einzige eingehende Port. Sieht wie HTTPS aus, daher lassen Client-Firewalls ihn zu.
53	UDP/TCP	Intern	DNS-Resolver (10.0.80.1), den Tunnel-Clients nutzen. Bleibt im LAN.
123	UDP	Ausgehend	NTP-Zeitsynchronisation.
—	DDNS	Ausgehend	Hostname (z. B. myfritz.net), der die wechselnde Heim-IP verfolgt.

Reisenetzwerk (MikroTik hAP ax2 — Client)

Port	Proto	Richtung	Zweck
443	UDP	Ausgehend (Router → Zuhause)	Der einzige Port, den der Tunnel braucht. Wählt home.example.myfritz.net:443. UDP/443 übersteht restriktive Venue-/Firmen-Firewalls.
67 / 68	UDP	Beide	DHCP — Client auf den Uplinks (ether1, wifi2); Server auf bridge-vpn, der 192.168.20.x vergibt.
53	UDP/TCP	Intern → Tunnel	DNS deiner Geräte, weitergeleitet an den Heim-Resolver. Leakt nicht ins Venue.
123	UDP	Ausgehend	NTP — korrekte Zeit ist Pflicht, sonst scheitert der WireGuard-Handshake.

In einem Satz: Zuhause öffnet nur UDP/443 eingehend; Reise braucht nur UDP/443 ausgehend. Sowohl 10.0.80.0/24 (Tunnel) als auch 192.168.20.0/24 (Reise-LAN) bleiben privat und sind vom Venue aus nie erreichbar.