Manuelle VPN-Konfiguration 2026: die besten Optionen (beste VPN manuelle Einstellungen)

Wenn Sie bereits nachbeste VPN manuelle Einstellungen gesucht haben und Dutzende von Artikeln mit Ratschlägen wie „Wählen Sie ein zuverlässiges Protokoll“ gefunden haben – ich verstehe...

Wenn die automatischen VPN-Einstellungen nicht funktionieren und eine manuelle Konfiguration erforderlich ist

Anzeichen für die Blockierung von VPN durch den DPI-Anbieter

Die Symptome sind gut bekannt, wenn man damit konfrontiert war. Die App zeigt „Verbunden“ an, der Ping zum Server ist vorhanden, aber der Browser hängt beim Laden. Oder die Seiten öffnen sich 2–3 Minuten, dann wird die Verbindung zurückgesetzt. Ein weiteres charakteristisches Zeichen – VPN funktioniert in den ersten 10–30 Sekunden stabil, fällt dann aber aus. Letzteres bedeutet fast immer eine heuristische DPI-Erkennung: Der Anbieter lässt den Sitzungsbeginn durch, erkennt dann das Protokoll-Signatur und schneidet den Kanal ab.

UDP-Verkehr von WireGuard wird besonders leicht blockiert – einige Mobilfunkanbieter schneiden nicht standardmäßige UDP-Ports vollständig ab. Unter solchen Bedingungen wird WireGuard mit keinen MTU-Einstellungen funktionieren. Es wird entweder ein TCP-Protokoll benötigt oder ein Anbieterwechsel.

Warum Roskomnadzor VPN-Verbindungen verlangsamt und trennt

Seit 2021 setzt der RKN aktiv TSPU ein – technische Mittel zur Bekämpfung von Bedrohungen. Es handelt sich nicht nur um die Blockierung von IPs, sondern um die Analyse des Verkehrs anhand von Signaturen. Reines WireGuard hat einen einzigartigen UDP-Handshake, den TSPU problemlos erkennt. OpenVPN auf Standardports ebenfalls. Daher funktioniert „einfach den Client installiert“ seit etwa 2022 für viele Anbieter nicht mehr.

Hier ist es wichtig, einen Punkt zu verstehen: TSPU reagiert auf die Signatur und nicht nur auf die IP. Daher kann ein Serverwechsel ohne Protokollwechsel überhaupt nicht helfen.

Was manuelle Einstellungen wirklich bringen und was ein Mythos ist

Ehrlich gesagt: Manuelle Einstellungen helfen in bestimmten Fällen. Ein MTU-Wechsel beseitigt die Fragmentierung von Paketen – die Verbindung hört auf, aufgrund falscher Größe abzubrechen. Ein Protokoll- und Portwechsel umgeht die DPI-Erkennung. Die Aktivierung von Obfuskation tarnt den Verkehr als normalen HTTPS.

Aber es gibt Dinge, die durch Einstellungen nicht behoben werden können. Wenn die IP-Adresse Ihres VPN-Servers auf die schwarze Liste des RKN geraten ist oder der Anbieter sie separat blockiert hat – wird kein MTU helfen. Ein Serverwechsel ist erforderlich. Und noch etwas: Eine MTU-Änderung „beschleunigt das Internet“ nicht, das ist ein häufiges Missverständnis. MTU beseitigt nur die Fragmentierung, die die Verbindung unterbricht.

Die besten Protokolle und Einstellungen zum Umgehen von Blockaden

WireGuard: MTU, Ports und warum es leicht von DPI erkannt wird

WireGuard ist ein schnelles und elegantes Protokoll. Aber sein UDP-Handshake hat eine klare Signatur: Das erste Paket hat immer 148 Byte, die Antwort 92 Byte. DPI-Systeme wissen das und nutzen es aus.

Wenn WireGuard bei Ihrem Anbieter dennoch funktioniert, beträgt das richtige MTU 1420. Bei mobilem Internet oder häufigen Unterbrechungen versuchen Sie 1280 oder 1360. Setzen Sie PersistentKeepalive auf 25 – das ist kritisch hinter NAT. DNS sollten Sie besser explizit festlegen: 1.1.1.1 oder 8.8.8.8, sonst können Anfragen am Tunnel vorbeigehen. AllowedIPs müssen unbedingt sowohl 0.0.0.0/0 als auch ::/0 enthalten – ohne das zweite fließt der IPv6-Verkehr am VPN vorbei.

OpenVPN: TCP/UDP, Port 443, tls-crypt gegen DPI

OpenVPN über TCP 443 mit der Direktivetls-crypt ist eine der langlebigsten Optionen. Port 443 ist HTTPS, den kann der Anbieter nicht blockieren, ohne das gesamte Internet für seine Abonnenten zu zerstören. Und tls-crypt verschlüsselt das Handshake selbst, sodass DPI die Signatur von OpenVPN nicht lesen kann.

UDP ist schneller, aber leichter zu blockieren. Wenn der Anbieter UDP schneidet – wechseln Sie zu TCP 443. Ja, es wird etwas langsamer, aber es wird funktionieren. Für die Konfiguration:proto tcp,port 443,tls-crypt ta.key. Als Cipher empfehle ich AES-256-GCM – schneller als AES-256-CBC, Hardwarebeschleunigung gibt es sogar auf Handys.

VLESS/XRay und Shadowsocks: Tarnung als normaler HTTPS-Verkehr

Das sind die besten Optionen gegen strenges DPI. VLESS mit Reality imitiert eine TLS-Verbindung zu einer echten Website – zum Beispiel microsoft.com. DPI sieht legitimes HTTPS und lässt es durch. Shadowsocks-2022 verschlüsselt den Verkehr so, dass er statistisch nicht von zufälligen Daten zu unterscheiden ist – es gibt nichts zu erkennen.

Die Komplexität ist höher als bei WireGuard. Ein XRay-Client (v2rayNG auf Android, Shadowrocket auf iOS) und eine richtig generierte Konfiguration mit UUID, publicKey und shortId sind erforderlich. Aber die Stabilität unter aktiver DPI-Bedingungen ist unvergleichlich besser. Einige Dienste, einschließlich NvoVPN, unterstützen VLESS/Reality – das sollte überprüft werden, wenn die Standardprotokolle nicht funktionieren.

AmneziaWG und Obfuskation gegen tiefgehende Paketinspektion

AmneziaWG ist WireGuard mit der Hinzufügung von Junk-Paketen zu Beginn der Sitzung. Das Ziel ist einfach: die Signatur des Handshakes zu brechen, die DPI liest. Die Parameter Jc, Jmin, Jmax, S1, S2, H1–H4 werden in der Konfiguration festgelegt und randomisieren die ersten Pakete.

Funktioniert gut gegen TSPU. Der Amnezia-Client ist für Android, iOS, Windows, macOS verfügbar – und kann Standard-WireGuard-Konfigurationen mit hinzugefügten Obfuskationsparametern importieren. Wenn reines WireGuard nicht funktioniert, ist AmneziaWG das Erste, was man ohne radikalen Protokollwechsel ausprobieren sollte.

IKEv2: wann es geeignet ist und wann nutzlos

IKEv2 ist ein stabiles Protokoll, das gut mit Netzwerkwechseln (von Wi-Fi zu mobil und zurück) zurechtkommt. Es ist in iOS und Android ohne zusätzliche Apps integriert. Aber gegen DPI ist es praktisch wehrlos: Die Signatur auf UDP 500/4500 ist gut bekannt, und Anbieter blockieren es mühelos.

Verwenden Sie IKEv2 dort, wo VPN nicht blockiert werden: Unternehmensnetzwerke, Geschäftsreisen in Länder ohne strenge Zensur. In Russland bringt es bei aktivem DPI wenig.

Schritt-für-Schritt manuelle Einrichtung auf verschiedenen Geräten

Android: WireGuard und Amnezia — Konfiguration importieren und Parameter anpassen

Die WireGuard-App aus dem Google Play oder F-Droid. Tunnel manuell hinzufügen oder QR-Code der Konfiguration scannen. Wichtige Felder:Endpoint — IP:Port des Servers;Allowed IPs — schreiben Sie 0.0.0.0/0, ::/0 (allen Verkehr über VPN);DNS — 1.1.1.1;MTU — 1420, bei Problemen auf 1280 ändern;Persistente Keepalive — 25.

Für AmneziaWG — eine separate Anwendung Amnezia VPN. Die Konfiguration importieren Sie über eine Datei oder den Link amnezia://. Die Obfuskationsparameter (Jc, Jmin, Jmax) sind bereits im Konfigurationsfile vom Anbieter eingetragen — sie müssen nicht manuell geändert werden, wenn der Dienst die Konfigurationen selbst generiert.

iPhone/iOS: Profile in Anwendungen und Einschränkungen des systemweiten VPN

iOS erlaubt es nicht, MTU systemweit zu ändern — das ist eine strikte Einschränkung von Apple. Der integrierte VPN-Client unterstützt IKEv2, L2TP und Cisco IPSec. Für WireGuard benötigen Sie eine App aus dem App Store. Für VLESS — Shadowrocket (kostenpflichtig, $2.99) oder Streisand.

Ein weiterer Punkt: iOS killt VPNs im Hintergrund aggressiv zur Akkusparung. Das ist kein Konfigurationsfehler — das ist die Systempolitik. Teilweise Lösung: In den VPN-Einstellungen „Nach Bedarf verbinden“ deaktivieren und die App aktiv halten. Oder VPN auf dem Router einrichten — dann geht das iPhone einfach darüber, und es gibt keine Probleme im Hintergrund.

Windows: Clients und Einrichtung über WireGuard/OpenVPN GUI

Den offiziellen WireGuard-Client für Windows laden Sie von wireguard.com herunter. Sie erstellen einen neuen Tunnel, fügen die Konfiguration im Textformat ein. Die Felder sind die gleichen: Interface (PrivateKey, Address, DNS, MTU) und Peer (PublicKey, Endpoint, AllowedIPs, PersistentKeepalive).

OpenVPN GUI — der Standard-Client mit offenem Quellcode. Die .ovpn-Datei legen Sie in C:\Program Files\OpenVPN\config\, starten Sie mit Administratorrechten. Wenn TCP 443 benötigt wird — das sollte im .ovpn-File von Ihrem Anbieter eingetragen sein.

macOS: Konfiguration und Umgehung systemweiter Einschränkungen

WireGuard ist im Mac App Store verfügbar. Funktioniert ähnlich wie Windows — Konfiguration über Datei oder QR importieren. In macOS Ventura und neuer unterstützt die integrierte VPN-Funktion IKEv2 über die Systemeinstellungen, aber das hilft nicht bei der Umgehung von DPI.

Für VLESS auf macOS — der Client Hiddify oder Nekoray. Beide können mit XRay-Konfigurationen arbeiten und unterstützen Reality.

Router (Keenetic, OpenWrt): VPN für das gesamte Netzwerk

Die Einrichtung von VPN auf dem Router ist die beste Lösung für Smart TVs, Konsolen und alle Geräte ohne eigenen Client. Der gesamte Datenverkehr im Netzwerk läuft automatisch über den Tunnel.

Keenetic unterstützt WireGuard nativ seit der Firmware 3.3. Gehen Sie zu „Andere Verbindungen“ → WireGuard → fügen Sie die Konfiguration hinzu. MTU empfehle ich 1280 für Router — mit Puffer für die Kapselung. Auf OpenWrt installieren Sie das Paketluci-proto-wireguard, konfigurieren Sie über die Weboberfläche oder direkt in /etc/config/network.

Smart TV und Apple TV: Einrichtung über den Router oder einen separaten Client

Auf Smart TVs (Samsung, LG) gibt es keinen nativen VPN-Client. Die einzige vernünftige Option ist, VPN auf dem Router einzurichten. Apple TV mit tvOS 17+ unterstützt Konfigurationsprofile, aber das ist eher IKEv2 — für eine ernsthafte Umgehung von DPI ist das nicht ausreichend. Besser ebenfalls über den Router.

Feineinstellung von Geschwindigkeit und Stabilität

MTU-Anpassung über Ping zur Beseitigung von Fragmentierung

Hier ist eine Methode, die nur wenige richtig erklären. Unter Windows öffnen Sie die Eingabeaufforderung und führen Sie aus:

ping -f -l 1400 8.8.8.8

Das Flag-fverhindert Fragmentierung,-llegt die Paketgröße fest. Wenn Sie „Paket muss fragmentiert werden“ erhalten — verringern Sie die Größe. Sie haben die maximale Größe gefunden, bei der der Ping ohne Fragmentierung durchgeht — fügen Sie 28 hinzu (das sind IP + UDP-Header). Die resultierende Zahl ist Ihr optimaler MTU.

Unter Linux und macOS sieht der Befehl anders aus:ping -D -s 1400 8.8.8.8. Die Logik ist die gleiche.

Ich möchte nochmals betonen: Das beschleunigt die Verbindung nicht. MTU beseitigt einfach die Fragmentierung, aufgrund derer Pakete verloren gehen und die Verbindung abbricht.

Portwahl: 443, 53, 80 und warum das wichtig ist

Port 443 — Gold. Das ist HTTPS, und der Anbieter kann ihn physisch nicht blockieren, ohne dass das gesamte Internet für die Abonnenten nicht mehr funktioniert. Die meisten Blockaden werden genau über ihn umgangen.

Port 53 (DNS) wird ebenfalls häufig ohne Inspektion durchgelassen — die Anbieter benötigen, dass DNS-Anfragen funktionieren. Port 80 (HTTP) ist schlechter: Der Datenverkehr ist unverschlüsselt und leichter zu inspizieren. UDP-Ports werden insgesamt leichter blockiert als TCP 443 — behalten Sie das bei der Auswahl im Hinterkopf.

PersistentKeepalive gegen Abbrüche hinter NAT

Hinter NAT (insbesondere hinter CGNAT von Mobilfunkanbietern) wird die WireGuard-Sitzung geschlossen, wenn eine Zeit lang kein Datenverkehr fließt. PersistentKeepalive 25 sendet alle 25 Sekunden ein leeres Paket — der NAT-Eintrag verfällt nicht, die Verbindung bleibt bestehen. Ohne diesen Parameter wird VPN hinter CGNAT ständig neu verbunden.

Split Tunneling: Nur die benötigten Websites in VPN leiten

Wenn Sie VPN nur für YouTube, Instagram, Twitter/X und Telegram benötigen — gibt es keinen Grund, den gesamten Datenverkehr darüber zu leiten. Split Tunneling ermöglicht es, nur bestimmte IPs oder Domains in den Tunnel zu leiten, während Banken und lokale Dienste direkt geleitet werden.

In WireGuard geschieht dies über AllowedIPs — anstelle von 0.0.0.0/0 geben Sie spezifische Subnetze an. Aber eine Liste von IPs für YouTube manuell zu erstellen — das ist eine Herausforderung. Es ist einfacher, Apps mit Unterstützung für Domain-Routing (Amnezia, Hiddify) zu verwenden, bei denen Sie eine Liste von Domains für den Tunnel festlegen können.

Messen Sie die tatsächliche Geschwindigkeit mit Speedtest oder Fast.com vor und nach der Konfiguration. Keine erfundenen „drei Mal schneller“ – schauen Sie auf Ihre Zahlen in Ihrem Netzwerk.

Diagnose: Was tun, wenn VPN trotzdem nicht funktioniert

VPN verbindet sich, aber die Seiten öffnen sich nicht

„Verbunden, aber funktioniert nicht“ – die häufigste Beschwerde. Fast immer liegt es an einem von drei Gründen: falsches MTU (Pakete werden fragmentiert und gehen verloren), DPI schneidet den Verkehr nach Protokollsignatur oder im AllowedIPs ist nicht der gesamte Adressbereich eingetragen.

Checkliste der Reihenfolge: Erstens – überprüfen Sie AllowedIPs, dort sollten sowohl 0.0.0.0/0 als auch ::/0 stehen. Zweitens – versuchen Sie MTU 1280. Drittens – wenn nichts hilft, wechseln Sie das Protokoll auf VLESS oder OpenVPN TCP 443. Diese Reihenfolge funktioniert in 90 % der Fälle.

DNS- und WebRTC-Lecks – wie man sie überprüft

Ein DNS-Leck bedeutet, dass Anfragen nach Domainnamen über den Anbieter und nicht über den Tunnel gehen. Ihr Anbieter sieht, welche Seiten Sie besuchen. Überprüfen können Sie das auf dnsleaktest.com – wenn dort die Adressen Ihres Anbieters angezeigt werden und nicht die des VPN-Servers, gibt es ein Leck.

WebRTC-Lecks sind für Browser relevant: Die Erweiterung WebRTC Control oder uBlock Origin (Einstellung in seinen Optionen) blockieren dies. Überprüfung – browserleaks.com. Wenn dort die echte IP sichtbar ist – aktivieren Sie die WebRTC-Blockierung im Browser.

IPv6-Lecks, die den Tunnel umgehen

Das ist ein Problem, über das die meisten Artikel schweigen. Wenn Ihr Anbieter eine IPv6-Adresse vergibt und im AllowedIPs nicht ::/0 eingetragen ist, geht der gesamte IPv6-Verkehr direkt am VPN vorbei. Seiten, die IPv6 unterstützen, sehen Ihre echte Adresse.

Die Lösung ist einfach: Fügen Sie ::/0 zu AllowedIPs hinzu. Oder, wenn der VPN-Server kein IPv6-Tunneling unterstützt, deaktivieren Sie IPv6 vollständig am Netzwerkadapter. Unter Windows geschieht dies in den Eigenschaften des Adapters → Häkchen bei „IP Version 6“ entfernen.