Raspberry Pi: WLAN Access Point mit NordVPN (VPN Router) einrichten

Du möchtest ein WLAN-Netzwerk aufbauen, dass alle Verbindungen zum Internet über eine VPN-Verbindung tunnelt? Es gilt vielerlei Gründe, warum ein Access Point mit eingebauter sicher VPN-Verbindung sinnvoll ist. Ein Freund von mir lebt aktuell in China, wo die Great Firewall Verbindungen zu westlichen Diensten wie Google, YouTube, Facebook, Twitter oder Wikipedia blockt. Eine VPN-Verbindung ist zur Nutzung dieser Dienste unumgänglich. Um nicht jedes Gerät im Haushalt einzeln mit dem VPN-Tunnel verbinden zu müssen, bietet es sich an einen Access Point (WLAN Netzwerk) bereitzustellen, der alle Verbindungen verschlüsselt über den VPN-Anbieter versendet.

In diesem Artikel erkläre ich dir wie du mit einem Raspberry Pi einen Access Point mit eingebauter VPN-Verbindung (auch VPN Router genannt) aufbaust. Wir verwenden dabei den bekannten VPN-Anbieter NordVPN nutzen, der Stand November 2020 auch in China funktioniert. Der Raspberry Pi spannt dabei ein 2,4 Ghz oder 5,0 Ghz WLAN-Netzwerk auf. Zudem stellen wir mittels eines Killswitches und einem Auto-Reconnect sicher, dass keine Daten ohne VPN-Verbindung über das Netzwerk versendet werden und eine abgebrochene Verbindung automatisch wiederhergestellt wird.

Voraussetzungen

Du kannst dein WLAN-Netzwerk mit eingebautem VPN prinzipiell mit jedem Raspberry Pi betreiben, der ein WLAN-Modul hat, dass es erlaubt einen Access Point aufzuspannen. Seit dem Raspberry Pi 3 Model B ist ein solches WLAN-Modul direkt in dem Einplatinencomputer verbaut. Ältere Modelle können mit einem WLAN-Stick erweitert werden.

Sinnvoll ist jedoch einen Raspberry Pi 4 Model B oder neuer mit einem WLAN-Stick per USB zu verwenden. Der Raspberry Pi 4 Model B ist der erste Raspberry Pi mit einem echten Gigabit-Ethernet-Anschluss. Ältere Raspberry Pis mit einem shared 100 Mbit/s brutto Ethernet-Anschluss können ein Flaschenhals für die Geschwindigkeit deines Access Point darstellen. Einen Flaschenhals hat der Raspberry Pi 4 Model B aber dennoch: das eingebaute WLAN Modul. Dieses schaffte in meinem Test max. 35 Mbit/s netto im Download als Access Point bereitzustellen. Falls du einen Internetanschluss mit mehr Bandbreite hast, wird dich das WLAN Modul ausbremsen. Das kannst durch einen leistungsstärkeren USB WLAN-Stick jedoch lösen.

Zudem verwenden wir in diesem Tutorial NordVPN als VPN-Anbieter und dessen VPN-Client. Du brauchst entsprechend ein aktives Abo bei diesem VPN-Anbieter.

Ich empfehle dir folgend Komponenten zu verwenden, um einen optimalen VPN-Router für dein Zuhause aufzubauen:

• Raspberry Pi 4 Model B (mit Stromversorgung und microSD Karte UHS-1 oder schneller; ca. 55 EUR)
• (optional) USB WLAN-Stick
• NordVPN Account (ca. 4 EUR im Monat)

Installation

Auf deinem Raspberry Pi sollte sich ein frisch installiertes Raspberry Pi OS befinden (früher Raspbian). Beachte bitte, dass du zum Zeitpunkt als dieser Artikel entsteht die „normale“ 32-Bit Version benötigst wird, da einige der im Folgenden installierten Software-Komponenten die neue 64-Bit Version des Betriebssystems noch nicht unterstützen.

Schritt 1: Raspberry Pi mit dem Internet verbinden

Du solltest deinen Raspberry Pi mit einer stabilen Internetverbindung versorgen. Am besten eignet sich dazu deinen Einplatinencomputer über ein LAN-Kabel direkt mit deinem Router verbinden. So kann der Raspberry Pi bis zu 1 Gbit/s brutto Daten von dem Internet empfangen und an dieses senden.

Schritt 2: WLAN Module aktivieren

Raspberry Pi OS (Raspian) blockiert standardmäßig die Verwendung des eingebauten WLAN-Moduls und externer WLAN-Sticks. Dies hat rechtliche Gründe. Je nach Land in dem du deinen Raspberry Pi betreibst, sind verschiedene WLAN Frequenzen, Bänder, etc. zulässig.

Um deinem Raspberry Pi zu sagen, in welchem Land du den Einplatinencomputer betreibst, rufe sudo raspi-config auf. Anschließend navigierst du zu 5 Localisation Options > L4 WLAN Country und wählst dort dein Land aus. Weitere Einstellungen musst du in dem Tool nicht zwingend ändern.

Schritt 3: Betriebssystem auf den aktuellen Stand bringen

Es ist wichtig, dass du dein Raspberry Pi OS für deinen Access Point auf dem aktuellsten Stand hast. Bei der Aktualisierung kann auch der Kernel des Betriebssystems um neue Treiber für das WLAN Modul erweitert werden. Um diese zu verwenden, musst du deinen Raspberry Pi nach dem Update neu starten.

sudo apt-get update && sudo apt-get upgrade -y && sudo apt dist-upgrade -y
sudo reboot

Schritt 4 (optional): WLAN-Stick installieren

Verwendest du einen externen WLAN-Stick, muss dieser auf deinem Raspberry Pi funktionieren. Die Treiber für den WLAN-Stick müssen abhängig von dem Modell, dass du nutzt, in Raspberry Pi OS installiert werden. Hier hängt es essenziell davon ab, welchen WLAN-Stick du verwendest.

Mittels folgendem Befehl kannst du dir anzeigen lassen welche Netzwerkgeräte dein Raspberry Pi kennt. eth0 ist das Ethernet (LAN) an deinem Raspberry Pi. Als wlan0 wird in der Regel das eingebaute WLAN-Modul des Raspberry Pi bezeichnet. Wenn du zusätzlich den empfohlenen WLAN-Stick verwendest, ist wlan1 der Name für dieses Gerät.

ip link show

Schritt 5: RaspAP zur Verwaltung des Access Point installieren

Wir möchten einen Access Point (WLAN-Netzwerk) auf dem Raspberry Pi aufspannen. Dies können wir über die Software hostpad bewerkstelligen. Jedoch müssten wir hostpad komplett in der Konsole konfigurieren und bei Änderungen an dem WLAN-Netzwerk jedes Mal wieder in die Konsole gehen.

Um es uns leichter zu machen, installieren wir RaspAP. Diese Software bietet uns ein Webinterface, mit dem wir hostpad und weiter Software komfortabel im Browser konfigurieren können. RaspAP kommt auch mit einem Adblocker auf DNS-Ebene und einer OpenVPN Integration. Da wir beide Module für unseren Anwendungsfall nicht benötigen, lassen wir den Adblocker mittels --adblock 0 und OpenVPN mittels --openvpn 0 nicht installieren.

Nach der Installation würde das RaspAP Webinterface auf Port 80 erreichbar sein. Damit wir später keine Komplikationen mit dem NordVPN Killswitch bekommen, stellen wir den Port auf 10000 um. Damit der neue Port verwendet wird, müssen wir den durch RaspAP installieren Webserver lighttpd neu starten.

Zum Abschluss der Installation musst du den Raspberry Pi nochmals komplett neu starten. Dies ist notwendig, damit alle Komponenten von RaspAP einwandfrei laufen und ein Access Point aufgespannt werden kann.

curl -sL https://install.raspap.com | bash -s -- -y --adblock 0 --openvpn 0

sudo sed -i 's/server.port                 = 80/server.port = 10000/g' /etc/lighttpd/lighttpd.conf
sudo service lighttpd restart

sudo reboot

Schritt 6: Access Point (WLAN-Netzwerk) konfigurieren

Nach dem Neustart spannt dein Raspberry Pi bereits ein WLAN-Netzwerk auf, mit dem du dich verbinden solltest. Mit folgenden Zugangsdaten kann eine Verbindung hergestellt werden können:

Name des WLAN-Netzweks (SSID): raspi-webgui
Passswort: ChangeMe

In dem WLAN haben wir nicht nur Zugriff auf das Internet über den Raspberry Pi. Wir können auch das Webinterface von RaspAP in unserem Browser aufrufen und uns in diesem mit den Standard-Zugangsdaten anmelden.

URL zum Webinterface: http://10.3.141.1:10000/
Username: admin
Password: secret

In dem Webinterface solltest du folgende Einstellungen vornehmen, damit dein WLAN Access Point für die folgenden Schritte eingerichtet ist:

1. Hotspot > Basic: Das Feld Interface gibt an, über welches Netzwerkgerät dein WLAN-Hotspot aufgespannt ist. Standardmäßig ist hier wlan0 (integriertes Raspberry Pi WLAN Modul) definiert. Nutzt du einen externen WLAN-Stick, solltest du hier auf wlan1 umstellen. Das Feld SSID gibt den Namen des WLAN Netzwerks an, dass du nach Belieben verändern kannst. Mit Wireless Mode und Channel kannst du definieren auf welcher Frequenz und Kanal dein WLAN Access Point funkt. Hier musst du ausprobieren mit welcher Einstellung du den großen Datendurchsatz erreichst. Dies hängt davon ab, auf welchen Frequenzen und Kanälen deine Nachbarn funken. Auf speedtest.net kannst du die Geschwindigkeit deines Internets testen.
2. Hotspot > Security: Das Feld PSK beinhaltet dein WLAN-Passwort. Du solltest hier ein sicheres Password mit mind. 8 Zeichen verwenden.
3. Hotspot > Advanced: In Maximum number of clients kannst du angeben wie viele Geräte sich max. mit dem Access Point zur selben Zeit verbinden können. Ich empfehle hier eine sinnvolle Anzahl wie 32 Geräte anzugeben, um nicht Gefahr zu laufen den Raspberry Pi zu überlasten. Zudem musst du in dem Feld Country Code nochmals das Land angeben, in dem du deinen Raspberry Pi betreibst, damit nur zulässige Funkfrequenzen und Bänder verwendet werden.
4. Hotspot: Falls du unter diesem Punkt Einstellungen verändert hast, vergesse nicht nach dem Speichern auf den Button Restart hotspot zu klicken, damit die Einstellungen umgesetzt werden. Dein Access Point wird daraufhin ca. eine Minute lang nicht verfügbar sein.
5. DHCP Server: Wenn du google.com in deinem Browser eingibst, sucht ein sogenannter DNS-Server die IP-Adresse der Domain (ähnlich wie in einem Telefonbuch die Name-Telefonnummer Verknüpfung). Je nach Land und Internetprovider wird automatisch ein DNS-Server von deinem Internetprovider voreingestellt. Dieser kann jedoch aus rechtlichen Gründen bestimmte Domains „blocken“. Deswegen solltest du in den Feldern DNS Server 1 und DNS Server 2 (Alternative, falls 1 nicht erreichbar ist) zwei DNS-Server definieren, die keine Inhalte blockieren. Eine Vielzahl kostenloser und öffentlicher DNS-Server findest du unter public-dns.info. Ich verwende 1.1.1.1 und 8.8.8.8 von Cloudflare und Google.
6. Authentication: Zudem solltest du die Zugangsdaten zum Aufruf des RaspAP Webinterfaces in diesem Abschnitt ändern.

Schritt 7: NordVPN Client installieren

Nachdem unser Access Point steht, sollten wir den NordVPN Client für eine sichere VPN-Verbindung installieren. Das Paket nordvpn-release_1.0.0_all.deb fügt dem Paketmanager apt auf deinem Raspberry Pi OS die Quelle hinzu, unter welcher der NordVPN Client heruntergeladen werden kann. Mittels apt install installieren wir anschließend den NordVPN Client.

wget -c https://repo.nordvpn.com/deb/nordvpn/debian/pool/main/nordvpn-release_1.0.0_all.deb
sudo dpkg -i nordvpn-release_1.0.0_all.deb
sudo apt update
sudo apt install nordvpn -y

Schritt 7: NordVPN Zugangsdaten, Whitelist, Autoconnect und Obfuscate konfigurieren

Um eine sichere VPN-Verbindung mit NordVPN für unseren Zweck aufbauen zu können, sollen wir diese korrekt konfigurieren. Dabei spielen technische Parameter genauso wie die Region, in der du lebst, eine wesendliche Rolle.

1. 1. Zugangsdaten: Mittels nordvpn login wirst du nach deiner E-Mail-Adresse und deinem Passwort bei NordVPN gefragt. Nach der Eingabe sind die Zugangsdaten auf deinem Raspberry Pi hinterlegt.
   2. Whitelist: Um uns künftig weiterhin per SSH zu dem Raspberry Pi verbinden zu können (falls aktiv) und das RaspAP Webinterface aufrufen zu können, müssen mittels nordvpn whitelist add port 22 & nordvpn whitelist add port 10000 Port 22 und 10000 als Ausnahme definiert werden, die nicht über die VPN-Verbindung geleitet werden.
   3. Obfuscate (optional): Falls du in einem Land lebst, in dem VPN-Verbindungen (durch die Regierung) blockiert werden, kannst du Obfuscate Server von NordVPN verwenden. Diese versuchen, einfach gesprochen, zu verschleiern, dass sie verschlüselte VPN-Verbindungen aufbauen. Erfahre mehr dazu in der NordVPN FAQ. Du kannst mittels nordvpn set obfuscate enabled nur Server mit dieser Funktion verwenden.
   4. Autoconnect: Wenn die Verbindung zu dem VPN-Server abreist, soll der NordVPN Client automatisch eine neue Verbindung versuchen aufzubauen. Mittels nordvpn set autoconnect enabled Switzerland aktivierst du das Feature. Switzerland gibt dabei an, dass der NordVPN Client sich mit einem VPN-Server in der Schweiz verbinden soll. Alle Länder in denen NordVPN Server betreibt kannst du dir mittels nordvpn countries anzeigen lassen.

Schritt 7: VPN-Verbindung mit NordVPN aufbauen

Nachdem sowohl unser Access Point als auch der NordVPN Client konfiguriert ist, steht nichts mehr im Wege eine sichere VPN-Verbindung aufzubauen. Gib beim Verbindungsaufbau am besten dasselbe Land an, dass du auch bei der autoconnect Option definiert hast, sodass sich mit einem NordVPN Server aus diesem Land verbunden wird.

nordvpn connect Switzerland

Nachdem du in noch immer mit dem WLAN-Netzwerk deines Raspberry Pi verbunden bist, solltest du beim Aufruf von z.B. showmyip.com direkt sehen, dass nicht mehr deine echte IP-Adresse, sondern die des NordVPN VPN-Servers nach außen sichtbar ist. Du solltest somit erfolgreich eine sichere VPN-Verbindung aufgebaut haben.

Schritt 8: Killswitch bei abgebrochener VPN-Verbindung

Dein Access Point stellt nun bereits eine sichere VPN-Verbindung zur Verfügung und wenn diese ausfällt versucht der Raspberry Pi sofort wieder eine neue VPN-Verbindung herzustellen. Was passiert aber in der Zeit, wo die VPN-Verbindung ausgefallen ist? Aktuell surfst du in dieser Zeit einfach ohne verschlüsselte VPN-Verbindung über deine Internetverbindung weiter. Je nachdem in welchem Land du bist, können die Folge davon verschieden sein. In manchen Ländern kannst du nur bestimmte Websites nicht mehr aufrufen. Anderorts musst du damit rechnen, dass du strafrechtlichen Repressalien für den Versuch eine bestimmte Website aufzurufen ausgesetzt wird. Beides gilt es zu verhindern.

Ein sogenannter Killswitch kappt automatisch die Verbindungen, sobald deine VPN-Verbindung ausfällen, und stellt sie wieder her, wenn die VPN-Verbindung wieder verfügbar ist. Der NordVPN Client hat bereits einen Killswitch eingebaut, welchen wir nur aktivieren müssen. Aktiviere dieses nur, wenn im vorherigen Schritt erfolgreich eine VPN-Verbindung hergestellt werden konnte. Ansonsten kann es sein, dass du dich aus deinem eigenen Netzwerk auf dem Raspberry Pi aussperrst.

nordvpn set killswitch enabled

Schritt 9: VPN-Verbindung nach Neustart prüfen

Nachdem der Access Point mit einer sicheren VPN-Verbindung, automatischem Aufbau einer abgerissenen Verbindung mit Killswitch und Auswahl der Region des VPN-Servers funktioniert, sind wir fast am Ende dieses Tutorials angekommen.

Einzig solltest du nun mittels folgenden Kommandos deinen Raspberry Pi nochmals neu starten. Nach dem Neustart verbindest du dich wieder mit dem WLAN Acces Point deines Raspberry Pis. Du solltest z.B. auf showmyip.com prüfen, ob die VPN-Verbindung auch nach dem Neustart noch wie erwartet funktioniert. Keine Sorge, wenn in den ersten 1-2 Minuten nach dem Neustart deines Raspberry Pi du dich zwar mit dessen WLAN-Netzwerk verbinden kannst, aber ein Zugriff auf das Internet hast. Das ist ein gutes Zeichen! Nach dem Neustart braucht der Raspberry Pi womöglich kurz eine neue verschlüsselte VPN-Verbindung aufzubauen und der Killswitch verhindert, dass du ohne sichere VPN-Verbindung im Internet surfen kannst.

VPN Router mit dem Raspberry Pi und NordVPN selbstgebaut

Du hast in dem vorgangegangen Tutorial auf deinem Raspberry Pi selbst einen WLAN Access Point aufgespannt, eine sichere VPN-Verbindung mit NordVPN aufgebaut und mittels eines Killswitches sichergestellt, dass du dich nicht unbewusst ohne VPN-Verbindung im Internet aufhältst. Dank des eingebaut Schutzes direkt in das WLAN Netzwerk kannst du mit jedem Gerät – egal ob Smartphone, Smartwatch, Computer, Tablet oder WLAN Lampe – über eine VPN-Verbindung verschlüsselt im Internet sein. Und das, ohne auf jedem Gerät extra einen VPN-Client einrichten zu müssen.

Deine Motivation für dieses Projekt mag ganz unterschiedlich sein. Vielleicht lebst du in einem autoritären Staat, in dem du zwangsläufig eine VPN-Verbindung benötigst, um das Internet ohne Zensur nutzen zu können. Vielleicht magst du deinen Gästen zu Hause aber auch nur ein WLAN-Netzwerk bereitstellen, bei dem du sicher sein möchtest nicht in die Störerhaftung (Deutsches Recht) für z.B. Urheberrechtsverletzungen zu geraten. Was auch immer dein Beweggrund ist, hoffe ich, dass du nun sicherer und einfacher im Internet unterwegs sein kannst!