Wie hoste ich einen VPN, der in zensierten Ländern funktioniert?

Warum werden einfache VPNs in zensierten Netzen blockiert?

Ein einfaches VPN ist leicht zu erkennen, sodass eine Zensurbehörde es am Muster statt an der Adresse blockieren kann. Die eigene Dokumentation von WireGuard sagt, dass es keinen Schwerpunkt auf Verschleierung legt und dass Verschleierung in einer Schicht darüber liegen sollte.

Die Dokumentation von Amnezia argumentiert von der anderen Seite. Sie sagt, dass die festen Paket-Header und die vorhersehbaren Paketgrößen von WireGuard eine leicht erkennbare Signatur erzeugen. Systeme zur Deep-Packet-Inspection, so heißt es weiter, können solche Pakete erkennen und die Verbindung kappen.

Eine Zensurbehörde braucht nicht die Adresse Ihres Servers, um ein VPN zu blockieren; die Form des Datenverkehrs reicht aus. Die Lösung besteht darin, diese Form zu ändern oder den Tunnel in Datenverkehr zu verstecken, den das Netz zulässt. Keines von beidem funktioniert sicher, und eine Methode, die heute funktioniert, kann morgen blockiert sein.

Welche Verschleierungs-Tools dokumentieren die offiziellen Projekte?

Mehrere offene Projekte dokumentieren eine Möglichkeit, einen Tunnel zu tarnen. Jedes läuft auf den Linux-Servern für das gesamte System, die wir vermieten. Die folgenden Einträge stammen aus dem jeweiligen Repository oder der Dokumentation des Projekts.

Wie funktioniert ein verschleiertes WireGuard-Setup?

AmneziaWG behält die Kryptografie von WireGuard bei und ändert, wie die Pakete aussehen. Seine Dokumentation sagt, dass es dasselbe Single-Pass-ChaCha20-Poly1305 wie WireGuard verwendet und dass der kryptografische Kern unverändert bleibt, was Leistung und Sicherheit erhält.

Die Tarnung kommt von den Parametern. Das Repository beschreibt Junk-Pakete vor jedem Handshake, mit einer Größe zwischen einem Minimum und einem Maximum, plus Padding und geänderten Header-Typ-Feldern. Es empfiehlt, die Junk- und Signatur-Parameter auf der Client-Seite zu setzen.

Der Installer von Amnezia erreicht Ihren Server per SSH als root oder als sudo-Benutzer und installiert auf einem Linux-Server, den Sie besitzen oder mieten. Es empfiehlt, den Port aus dem hohen Bereich zu verlegen, weil einige ISPs UDP auf hohen Ports blockieren. Ein verschleierter Fork tauscht einen erkennbaren Fingerabdruck gegen einen, der sich einfügt; er macht den Tunnel nicht unsichtbar.

Wie versteckt Xray mit REALITY einen Server?

REALITY lässt Ihren Proxy wie eine echte HTTPS-Website antworten. Das Repository des Projekts sagt, dass es den serverseitigen TLS-Fingerabdruck entfernt und das Zertifikat einer echten externen Website ausleiht, die als Ziel festgelegt wird.

Das Setup benötigt eine Ziel-Website, die TLS 1.3 und HTTP/2 unterstützt und nicht für Weiterleitungen verwendet wird. Sie erzeugen außerdem eine kurze ID und ein X25519-Schlüsselpaar mit dem eigenen Tool von Xray. Das Repository merkt an, dass Sie damit eine Website eines Drittanbieters ausleihen können, ohne eine Domain zu kaufen oder einen eigenen TLS-Server zu betreiben.

Xray-core ist unter der Mozilla-Lizenz verfügbar und wird über ein offizielles Skript, ein Docker-Image oder aus dem Go-Quellcode installiert. Es unterstützt VLESS, VMess, Trojan, Shadowsocks, XTLS Vision und REALITY. Wählen Sie ein Ziel, das Sie imitieren dürfen, und lesen Sie die Warnungen des Projekts, bevor Sie es bereitstellen.

Kann ich Tor-Bridges statt eines VPN betreiben?

Ja. Das Tor Project dokumentiert Bridges als alternative Einstiegspunkte, die helfen, Tor zu erreichen, wenn direkte Verbindungen blockiert sind. Eine Bridge auf Ihrem Server ermöglicht anderen, sich mit Tor zu verbinden; sie ist nicht dasselbe wie ein persönliches VPN.

• obfs4-Bridge. Die Anleitung des Tor Project benötigt nur eine 24/7-Verbindung und die Möglichkeit, TCP-Ports freizugeben, mit NAT aus dem Weg. Sie lässt den Tor-Datenverkehr zufällig aussehen und widersteht dem Scannen nach Bridges.
• WebTunnel-Bridge. Sie imitiert HTTPS-Webbrowsing. Die Anleitung verlangt eine Domain, die Sie kontrollieren, ein gültiges TLS-Zertifikat, einen Webserver wie NGINX oder Apache als Reverse Proxy, eine statische IPv4-Adresse und mindestens 1 GB RAM, 4 GB empfohlen.

Die länderbezogene Anleitung des Tor Project, heute gelesen, nennt WebTunnel, Snowflake, meek und obfs4 für verschiedene Orte und schränkt durchgehend mit Worten wie „kann“ und „im Allgemeinen“ ein. Die Einrichtung eines Relays oder einer Bridge auf einem gemieteten Server steht unter was Sie zum Betrieb eines Tor-Relays brauchen.

Ist es für Nutzer legal, diese Tools dort zu verwenden, wo sie sind?

Das hängt vom Land jedes Nutzers ab, und einige bestrafen die Nutzung von VPN oder Umgehungstechniken. Diese Berichte sind mit Quellen belegt und datiert, und dies ist keine Rechtsberatung.

• Iran. Der Bericht von Freedom House aus dem Jahr 2024 sagt, dass der Oberste Rat für Cyberspace im Februar 2024 die Nutzung „nicht autorisierter“ VPNs verboten hat, nachdem zuvor deren Verkauf und Verbreitung unter Strafe gestellt worden waren.
• China. Derselbe Bericht aus dem Jahr 2024 sagt, dass Anbieter ohne Genehmigung keine VPNs einrichten dürfen, und verzeichnet im August 2023 eine Geldstrafe von 200 Yuan für einen Programmierer, der ein „nicht autorisiertes“ VPN nutzte.
• Russland. Ein am 31. Juli 2025 unterzeichnetes Gesetz, in Kraft seit 1. September 2025, bestraft die gezielte Suche nach „extremistischem“ Material, berichtet mit 3.000 bis 5.000 Rubel, und bestraft separat die Werbung für VPNs. Medienberichte sagen, dass die VPN-Nutzung selbst nicht verboten wurde.

Ein Umgehungs-Tool außerhalb eines zensierten Landes zu hosten ist eine andere Handlung, als es innerhalb eines solchen zu nutzen. Wir hosten Server; wir können nicht zur Rechtslage im Land eines Nutzers beraten, und kein Tool funktioniert dort garantiert.

Wo sollte der Server stehen, und was kostet er?

Stellen Sie den Server außerhalb des zensierten Netzwerks auf, in ein Land, dessen Recht Sie geprüft haben. Reykjavik (Island), Zürich (Schweiz), Bukarest (Rumänien) und Amsterdam (Niederlande): jeder Liegeplatz in jedem Anlaufhafen, zu einem Preis. Die Einschätzung des Betreibers zu den vier Ländern steht unter das beste Land für das Hosten eines VPN-Servers.

Ravenquay prüfte 18 kryptobezahlte Hosts ohne ID mit einem vergleichbaren Dedicated-Plan am 30 October 2026: 11 verkaufte einen ungemessenen Server. Kein KYC: kein Ausweis, kein Selfie, keine Dokumente, keine Karte und keine Telefonnummer, niemals. Service is not available to residents or companies of Cuba, Iran, North Korea, Syria, Russia, Belarus, China, Yemen or Western Sahara, nor in the occupied regions of Ukraine.