OpenConnect: Einrichtung und Verbindung im Jahr 2026

Wenn Sie die Konfiguration eines ocserv-Servers in der Hand halten oder Ihnen Zugangsdaten für das Unternehmens-AnyConnect gegeben wurden, und der Client beim Start einen Fehler ausgibt – dann sind Sie hier genau richtig. OpenConnect: Einrichtung und Verbindung – ein Thema, das die meisten Artikel nur bis zum ersten Screenshot behandeln und dann fallen lassen. Hier werde ich den gesamten Weg durchgehen: von der Auswahl des Clients bis zur Diagnose von Routingkonflikten und Verhalten bei aktivem DPI.

Was ist OpenConnect und wann wird es benötigt

OpenConnect ist ein offener VPN-Client, der ursprünglich als freie Alternative zu Cisco AnyConnect entwickelt wurde. Er kann sich mit Servern verbinden, die auf ocserv (Open anyconnect-compatible Server) basieren, und mit Unternehmensgateways von Cisco. Client und Server sind unterschiedliche Dinge, und Anfänger verwechseln oft: openconnect ist das, was auf Ihrem Gerät installiert ist, ocserv ist das, was auf dem Server läuft.

OpenConnect als Client für ocserv- und Cisco AnyConnect-Server

Das Protokoll im Hintergrund heißt DTLS/TLS. Die Verbindung wird über TLS auf Port 443 hergestellt – dem gleichen, über den jede HTTPS-Website läuft. Wenn DTLS nicht verfügbar ist, fällt der Client auf reines TLS/TCP zurück. Das ist das Hauptargument des Protokolls.

Auf Unternehmensservern von Cisco AnyConnect ist oft host-check aktiviert – eine obligatorische Überprüfung der Version und des Typs des Clients. Der externe OpenConnect wird diese Überprüfung nicht bestehen. Wenn Sie sich mit dem Unternehmensgateway Ihres Unternehmens verbinden, erkundigen Sie sich beim Systemadministrator, ob externe Clients erlaubt sind. Bei persönlichen ocserv-Servern ist diese Einschränkung normalerweise deaktiviert.

Was unterscheidet OpenConnect von WireGuard, OpenVPN und IKEv2

WireGuard arbeitet über UDP und zeigt eine hervorragende Geschwindigkeit – aber seine Signatur ist für jedes DPI gut lesbar. WireGuard zu blockieren ist einfacher, als eine bestimmte Website zu blockieren. OpenVPN im UDP-Modus wird ähnlich erkannt; im TCP-Modus ist die Tarnung besser, aber die Geschwindigkeit sinkt. IKEv2/IPSec ist eine gute Wahl für mobile Netzwerke, aber die Ports 500/4500 werden im Handumdrehen blockiert.

OpenConnect gewinnt insbesondere in der Tarnung: Der Verkehr über Port 443 mit TLS-Handshake ist bei oberflächlicher Inspektion nicht von normalem HTTPS zu unterscheiden. Es verliert jedoch an Geschwindigkeit – TCP-Overhead und die TLS-Schicht machen sich bemerkbar, insbesondere auf schwacher Hardware. Auf mobilen Geräten entlädt sich der Akku etwas schneller als mit WireGuard.

Warum ist ein auf TLS basierendes Protokoll schwieriger über DPI zu blockieren

Deep Packet Inspection – das ist, wenn der Anbieter nicht nur auf IP und Port schaut, sondern den Inhalt der Pakete analysiert. WireGuard ist sofort am spezifischen Handshake-Format zu erkennen. TLS-Verkehr auf Port 443 kann nicht vollständig blockiert werden – sonst fallen alle Banken, Geschäfte und E-Mails aus. Daher versucht DPI, den AnyConnect-Handshake anhand indirekter Merkmale zu erkennen.

Ehrlich gesagt: Fortgeschrittene Systeme können das. Besonders wenn der Anbieter Geräte von TSPU (Technische Mittel zur Bekämpfung von Bedrohungen) verwendet – das sind die, die YouTube zerschneiden. Wenn die normale Blockade auf Port 443 bei Ihnen nicht funktioniert, sind obfuskierten Protokolle erforderlich: Shadowsocks, VLESS/XRay, Amnezia VPN.

Was vor der Einrichtung vorzubereiten ist

Bevor Sie einen Client öffnen, sammeln Sie alle Daten. Ohne diese wird die Einrichtung zu einem Ratespiel.

Serverdaten: Adresse, Port, Benutzername und Passwort oder Zertifikat

Das Mindestset: Hostname oder IP-Adresse des Servers, Port (meistens 443, seltener 8443 oder nicht standardmäßig), Benutzername und Passwort. Wenn der Server für die Zertifikatauthentifizierung konfiguriert ist – eine Datei im .p12-Format (PKCS#12) und das Passwort dazu. Einige Server erfordern eine Zwei-Faktor-Authentifizierung: Der TOTP-Code wird alle 30 Sekunden generiert, und der Standardclient kann ihn in einem separaten Feld anfordern – stellen Sie sicher, dass Sie eine App wie Aegis oder Google Authenticator mit dem benötigten Konto haben.

Überprüfung der Serverkompatibilität (ocserv, AnyConnect)

Versuchen Sie, die Adresse des Servers im Browser zu öffnen:https://vpn.example.com. Wenn Sie die Anmeldeseite von AnyConnect oder ocserv sehen – ist alles in Ordnung. Wenn ein SSL-Fehler mit einem unbekannten CA auftritt – möglicherweise verwendet der Server ein selbstsigniertes Zertifikat, und Sie benötigen dessen Fingerabdruck für den Parameter--servercert.

Auswahl des Clients für Ihre Plattform

Offizieller Konsolenclientopenconnect – für Linux und macOS. Windows: OpenConnect-GUI (openconnect-gui.github.io) oder Cisco Secure Client (wenn Unternehmensserver). Android: die App „OpenConnect“ von Entwickler Cebe im Google Play. iOS: Cisco Secure Client oder kompatible Clients aus dem App Store. Installieren Sie keine Clients aus unbekannten Quellen – das Risiko, eine manipulierte Version mit Datenverkehrsabfang zu erhalten, ist real.

Schritt-für-Schritt-Anleitung zur Einrichtung von OpenConnect auf verschiedenen Geräten

OpenConnect: Einrichtung und Verbindung in der Praxis sieht je nach Plattform unterschiedlich aus. Im Folgenden – konkrete Schritte ohne Umschweife.

Windows: OpenConnect-GUI und Befehl über das Terminal

Laden Sie den Installer von OpenConnect-GUI aus dem offiziellen GitHub-Repository herunter (Version 1.5.3 zum Zeitpunkt des Schreibens). Starten Sie die Installation und öffnen Sie dann das Programm. Klicken Sie auf „Neues Profil“, geben Sie den Profilnamen und die Serveradresse im Feld Gateway ein. Wählen Sie im Feld Protokoll „AnyConnect“. Geben Sie den Benutzernamen im Feld Benutzername ein.

Wenn der Server ein selbstsigniertes Zertifikat verwendet, wird die erste Verbindung eine Warnung mit dem Fingerabdruck ausgeben – vergleichen Sie ihn mit dem, den Ihnen der Serveradministrator gegeben hat, und klicken Sie auf „Akzeptieren“, wenn er übereinstimmt. Über das Terminal sieht es so aus:

openconnect --protocol=anyconnect --user=yourusername vpn.example.com:443

Flag--servercert fügen Sie hinzu, wenn CA vom System nicht erkannt wird:

openconnect --protocol=anyconnect --servercert sha256:FINGERABDRUCK --user=yourusername vpn.example.com

Android: Anwendung OpenConnect und Import des Zertifikats

Installieren Sie die OpenConnect-Anwendung aus dem Google Play Store. Öffnen Sie sie, klicken Sie auf „+“ für ein neues Profil. Geben Sie im Feld Hostname die Adresse des Servers ein. Benutzername und Passwort in die entsprechenden Felder. Wenn ein Zertifikat benötigt wird: Gehen Sie zu Einstellungen → Zertifikate, klicken Sie auf „Importieren“, wählen Sie die .p12-Datei vom Gerät aus, geben Sie das Passwort des Zertifikats ein. Nach dem Import kehren Sie zum Profil zurück und verknüpfen das Zertifikat im Feld Zertifikat.

Wichtig: Halten Sie die .p12-Datei nicht dauerhaft im Ordner „Downloads“. Verschieben Sie sie nach dem Import in einen verschlüsselten Speicher oder löschen Sie sie vom Gerät.

iPhone und iPad: Verbindung über einen kompatiblen Client

Auf iOS funktioniert der Cisco Secure Client (ehemals AnyConnect). Installieren Sie ihn aus dem App Store. Öffnen Sie die Anwendung, klicken Sie auf „Verbindungen“ → „VPN-Verbindung hinzufügen“. Geben Sie die Adresse des Servers, Benutzername und Passwort ein. Wenn das .p12-Zertifikat durch ein Passwort geschützt ist, wird iOS es beim Import separat über das Menü „Dateien“ oder AirDrop anfordern. Der Vorgang unterscheidet sich etwas von Android: Zuerst öffnen Sie die .p12-Datei über „Teilen“ → „Cisco Secure Client“, die Anwendung wird Ihnen vorschlagen, sie zu importieren.

Linux und macOS: Konfiguration über die Befehlszeile

Auf Ubuntu/Debian:sudo apt install openconnect network-manager-openconnect. Auf macOS über Homebrew:brew install openconnect. Grundlegender Befehl zur Verbindung:

sudo openconnect --protocol=anyconnect --user=yourusername vpn.example.com

Für die Zertifikatsauthentifizierung fügen Sie hinzu--certificate=client.p12 --sslkey=client.p12. Das Flag--background bringt den Prozess in den Hintergrund. DNS wird nach der Verbindung über vpnc-script konfiguriert — stellen Sie sicher, dass das Paketvpnc installiert ist, sonst werden die Routen nicht hinzugefügt und das Internet wird unterbrochen.

Router mit OpenWrt: Paket openconnect

Auf OpenWrt 23.05 und höher:opkg install openconnect vpnc-scripts. Erstellen Sie eine Schnittstelle in Netzwerk → Schnittstellen → Neue Schnittstelle hinzufügen, Protokoll — OpenConnect. Geben Sie die Adresse des Servers, die Anmeldedaten an. Ein schwacher Router mit CPU ohne hardwareseitiges AES-NI wird TLS-Verschlüsselung auf der CPU durchführen — das ist deutlich langsamer als WireGuard auf derselben Hardware. Auf Routern wie GL.iNet MT3000 oder Xiaomi AX3000T mit normaler CPU ist das Ergebnis akzeptabel. Auf dem alten TP-Link TL-WR841N mit 32 MB RAM versuchen Sie es gar nicht erst.

Der Vorteil eines Router-VPNs ist offensichtlich: Der gesamte Verkehr im Netzwerk, einschließlich Smart TV, Apple TV, Spielkonsolen, läuft über den Tunnel, ohne dass ein Client auf jedem Gerät erforderlich ist.

Umgehung von Blockierungen und DPI bei der Verwendung von OpenConnect

Arbeiten über Port 443 und Tarnung als HTTPS

OpenConnect verwendet standardmäßig Port 443 — denselben wie HTTPS. Bei einer oberflächlichen Paketinspektion sieht der Anbieter eine TLS-Verbindung und kann sie nicht von einem normalen Besuch auf der Bankwebsite unterscheiden. Genau deshalb wird es häufiger dort eingesetzt, wo WireGuard und OpenVPN bereits blockiert werden.

Aber der Anbieter kann die IP-Adresse des Servers selbst blockieren — dann hilft Port 443 nicht. Das ist eine eigene Geschichte: Wenn der Ping zum Server überhaupt nicht durchkommt, hat das Protokoll nichts damit zu tun, es ist ein Wechsel des Servers oder die Nutzung von CDN-Fronting erforderlich. Ein weiterer nicht offensichtlicher Fall: Mobilfunkanbieter schneiden den Verkehr nach der SNI-Erweiterung direkt innerhalb des TLS-Handshakes — sogar auf Port 443. Das nennt man SNI-Filterung, und dagegen sind Lösungen mit verschlüsseltem SNI (ECH) oder anderen Protokollen erforderlich.

Entsperren von YouTube, Instagram, Facebook, Twitter/X

YouTube wird im Jahr 2026 durch TSPU bei den meisten russischen Anbietern langsamer. OpenConnect über Port 443 umgeht diese Verlangsamung effektiv — der Verkehr sieht aus wie normales HTTPS und fällt nicht unter spezifische Regeln für das YouTube CDN. Instagram (von Roskomnadsor blockiert), Facebook und Twitter/X — ähnlich, die Hauptblockade basiert auf IP-Listen und teilweise auf DNS, und der VPN-Tunnel umgeht beide Methoden.

Zugriff auf TikTok, Telegram und WhatsApp bei Einschränkungen des Anbieters

TikTok ist offiziell nicht blockiert, aber einige Anbieter schneiden seinen Verkehr nach eigenem Ermessen oder auf Anfrage. Über den OpenConnect-Tunnel funktioniert TikTok normal. Telegram — eine eigene Geschichte: In Russland wurde es offiziell entsperrt, aber einige Anbieter halten sich immer noch an alte Regeln oder blockieren spezifische Ports. Der VPN-Tunnel beseitigt dieses Problem vollständig. WhatsApp funktioniert ohne Blockierungen, aber Sprach- und Videoanrufe können unter Latenz leiden — TLS/TCP-Overhead ist hier spürbar.

Was tun bei Verlangsamungen von Websites und aktivem DPI von Roskomnadsor

Wenn openconnect sich verbindet, aber die Geschwindigkeit nicht zufriedenstellt — überprüfen Sie, ob ein Split-Tunnel aktiv ist. Einige Server leiten nur einen Teil des Verkehrs über das VPN, und die russischen YouTube-CDN-Server fallen unter die lokale Route, wo TSPU funktioniert. Bitten Sie den Serveradministrator, den Full-Tunnel zu aktivieren oder konfigurieren Sie die erzwungene Route über das VPN selbst.

Wenn fortgeschrittenes DPI den AnyConnect-Handschlag erkennt und genau diesen blockiert — hilft OpenConnect nicht mehr. In diesem Fall sind arbeitsfähige Optionen: Amnezia VPN mit obfuskiertem WireGuard, VLESS/XRay mit XTLS-Reality oder Shadowsocks-2022. NvoVPN unterstützt beispielsweise mehrere Protokolle gleichzeitig — nützlich, wenn man sich nicht mit einem eigenen Server herumschlagen möchte und einen schnellen Protokollwechsel bei einer Blockade benötigt.

Häufige Verbindungsfehler und deren Lösung

Fehler Certificate verify failed und Probleme mit dem Zertifikat

Der häufigste Fehler sieht aus wieSSL connection failure oderZertifikat Überprüfung fehlgeschlagen. Es gibt mehrere Gründe. Erster: Das Ablaufdatum des Serverzertifikats ist abgelaufen — überprüfen Sie das Datum überopenssl s_client -connect vpn.example.com:443 und schauen Sie sich das Feld „Not After“ an. Zweiter: Das Zertifikat ist von einer CA signiert, die nicht im System-Speicher vorhanden ist — fügen Sie das Flag hinzu--cafile=/path/to/ca.crt. Dritter: Selbstsigniertes Zertifikat — fragen Sie den Administrator nach dem SHA256-Fingerabdruck und übermitteln Sie ihn über--servercert sha256:FINGERABDRUCK.

Verwenden Sie niemals das Flag--no-cert-check in der Produktion — dies deaktiviert die Zertifikatsüberprüfung vollständig und öffnet den Weg für MITM-Angriffe.

Verbindung zeitüberschreitung und Tunnelabbruch

Wenn die Verbindung bei „Establishing HTTPS tunnel“ hängen bleibt — schneidet der Anbieter wahrscheinlich Pakete zum Server. Überprüfen Sie:curl -v https://vpn.example.com. Wenn es eine Zeitüberschreitung gibt — liegt es nicht am Client. Versuchen Sie einen nicht standardmäßigen Port (8443, 10443) — manchmal hilft es, wenn die Blockierung nach Signatur und nicht nach IP erfolgt. Wenn nach IP geschnitten wird — nur ein Wechsel der Serveradresse oder CDN.

Abbrüche nach wenigen Minuten Betrieb — überprüfen Sie die Keepalive-Einstellungen des Servers. Das Flag--reconnect-timeout=30 zwingt den Client, die Verbindung aggressiver wiederherzustellen.

Kein Internetzugang nach der Verbindung (Routen und DNS)

Verbunden, Tunnel ist hochgefahren, aber kein Internet — ein häufiges Problem unter Linux. Der Grund liegt normalerweise im vpnc-script: Wenn das Skript nicht ausgeführt wurde, wurden keine Routen hinzugefügt. Überprüfen Sie:ip route show — es sollte eine Route über das tun-Interface geben. Überprüfen Sie auch DNS:cat /etc/resolv.conf — dort sollte der DNS-Server von VPN sein, nicht lokal 192.168.x.x.

DNS-Leck — ein separates Thema: Wenn DNS-Anfragen am Tunnel vorbei gehen, sieht der Anbieter, welche Websites Sie besuchen, selbst wenn der Verkehr verschlüsselt ist. Verwenden Sie unter Linuxresolvconf odersystemd-resolved für den richtigen Wechsel des DNS beim Hochfahren des Tunnels.

Langsame Geschwindigkeit und hoher Ping

OpenConnect läuft über TCP, und TCP über TCP — das ist doppelte Flusskontrolle, und das ist definitionsgemäß langsam. Wenn DTLS (UDP) verfügbar ist, wechselt der Client automatisch zu ihm — in den Protokollen sehen Sie „DTLS handshake failed“ oder „Connected as ... using DTLS“. Stellen Sie sicher, dass der UDP-Port 443 nicht vom Anbieter blockiert wird.

Hoher Ping (200+ ms dort, wo es ohne VPN 30 ms sind) — ein Zeichen für einen überlasteten Server oder große geografische Entfernung. Geschwindigkeitstests müssen selbst auf einem bestimmten Server und bei einem bestimmten Anbieter durchgeführt werden — alle „Durchschnittszahlen“ in Artikeln sind erfunden und hängen von zu vielen Variablen ab.