VPN: WireGuard vs Unifi Teleport vs Tailscale – Einrichtung und Vergleich

Ich möchte extern den Vorteil eines AdGuard DNS-Servers nutzen und auch auf mein Homelab zugreifen können. Heißt: ich brauche ein VPN in mein Homelab. Heute schauen wir uns mit WireGuard, Tailscale und Unifi Teleport drei unterschiedliche kostenfreie Möglichkeiten an, wie man sie einrichtet und benutzt und vergleichen sie am Ende.

Als Testsetup nutze ich mein Heimnetz, das folgende Eigenschaften hat:

UniFi UDM SE als Router
Vodafone Kabel mit fester IP als Haupt-Internetverbindung
Starlink Failover wegen der schlechten Zuverlässigkeit von Vodafone Kabel – allerdings ohne öffentliche IP aufgrund von CGNAT

Folgende Dinge sehen wir uns heute an:

Kurz-Intro zu den Varianten
Einrichtung und Benutzung
Sicherheit und Verwaltbarkeit
VPN Geschwindigkeit
Alternativen
Fazit

Los geht’s.

Was sind WireGuard, Tailscale, UniFi Teleport?

WireGuard hat sich in den letzten Jahren zum Platzhirsch unter den modernen VPN-Protokollen entwickelt. Dabei ist wichtig zu verstehen: WireGuard ist primär ein Protokoll – es definiert also, wie Verbindungen hergestellt und Daten verschlüsselt übertragen werden, nicht jedoch, wie ein VPN verwaltet wird. Genau hier unterscheiden sich die drei Lösungen in diesem Artikel: WireGuard, Tailscale und UniFi Teleport nutzen zwar alle das gleiche technische Fundament, gehen aber in Administration und Bedienung völlig unterschiedliche Wege.

WireGuard und Teleport werden typischerweise direkt auf dem Router eingerichtet. Teleport ist dabei fest ins UniFi-Ökosystem integriert und läuft mit minimalem Konfigurationsaufwand: Ein Klick, fertig – dafür aber ohne große Anpassungsmöglichkeiten. Tailscale hingegen bringt eine eigene Management-Ebene mit. Es benötigt zwar einen zusätzlichen Client im lokalen Netz, bietet dafür aber eine komfortable, Cloud-gestützte Oberfläche zur Verwaltung aller Geräte und Zugriffsrechte – und das sogar in Enterprise-Größe skalierbar.

Kurz gesagt: Drei Ansätze, ein Protokoll. Alle nutzen WireGuard für sichere VPN-Verbindungen, unterscheiden sich jedoch stark im Komfort, in der Flexibilität und im Grad der Integration ins bestehende Netzwerk.

Einrichtung und Benutzung VPN Server und Clients

WireGuard

Die Einrichtung eines WireGuard-Servers auf einem UniFi-Router ist erfreulich unkompliziert. In der UniFi Network Application (ab Version 9.5.21) geht es so:

Unifi Network Application -> Settings -> VPN -> VPN Server -> Create New -> WireGuard.

Hier wählt man die WAN-Verbindung (oder eine DynDNS-Domain) und legt anschließend Clients an. Für Mobilgeräte zeigt die Oberfläche einen QR-Code zur schnellen Einrichtung in der WireGuard-App. Für macOS, Windows und Linux können fertige Konfigurationsdateien heruntergeladen und per Import in die jeweilige Client Applikation geladen werden.

Jeder Client erhält eine eigene IP in einem separaten VPN-Subnetz. Optional kann man einen eigenen DNS-Server hinterlegen, damit lokale Hostnamen funktionieren – z. B. über einen AdGuard Home im internen VPN Netz.

Ein Nachteil: CGNAT. WireGuard benötigt standardmäßig UDP Port 51820 und funktioniert nur, wenn eine öffentliche IPv4-Adresse am Anschluss verfügbar ist. Bei Providern mit Carrier-NAT entfällt diese Voraussetzung – und im Gegensatz zu HTTP-Diensten lässt sich WireGuard derzeit auch nicht über einen Cloudflare Tunnel betreiben.

Die spätere Nutzung ist sehr simpel: App/Programm öffnen → Verbindung aktivieren → fertig. Gleichzeitig ist der fehlende Passwort-Prompt aber auch ein kleiner Sicherheitsnachteil (mehr dazu weiter unten in der Sektion Sicherheit).

Die Standard-Config, die UniFi für WireGuard erzeugt, lässt den Server als Exit Node fungieren. Das heißt, der gesamte Datenverkehr des Clients läuft über die VPN-Verbindung. Man kann das zwar anpassen, indem man in der Config die AllowedIPs ändert, aber das ist leider recht unkomfortabel gelöst und nichts, was man mal eben unterwegs umstellt. Dafür muss man dann mehrere parallele Configs anlegen und verwalten.

UniFi WireGuard konfigurieren — WireGuard Server in UniFi erstellen

UniFi Teleport

Teleport ist die One-Click-Lösung aus dem UniFi-Ökosystem und ausschließlich innerhalb dessen verfügbar. Aktiviert es in

Unifi Network Application -> Settings -> VPN -> Teleport.

indem ihr einfach das Häkchen bei Teleport setzt.

Um einen Client hinzuzufügen lädt man für Mobile aus den App Stores oder für Desktop/Laptop Syteme von dieser Seite die WiFiman app herunter. In der WiFiman App im Reiter Teleport gibt man nun den Invitation Link ein, den man in der UniFi Network Seite generieren kann und die App verbindet sich. Fertig.

Das lokale Subnetz ist nun per IP verfügbar. Leider ist es Stand November 2025 so, dass man keinerlei andere Settings für Teleport hat. Insbesondere kann man keinen eigenen DNS Server hinterlegen, so dass die Verbindung weder lokal eingerichtete Namen auflösen kann, noch kann man wenn man extern unterwegs ist, den heimischen AdGuard Server als DNS verwenden. Das ist schade.

Ebenso wird bei Teleport der gesamte Internet-Traffic durch das Heimnetz geleitet – eine Option für nur Heimnetz-Zugriff ohne Exit Node bietet das System nicht.

UniFi Teleport WiFiman App — UniFi Teleport VPN

Tailscale

UniFi unterstützt Tailscale bislang nicht nativ. Mein erster Gedanke war, Tailscale auf Proxmox zu installieren, was auch prinzipiell mit ein paar manuellen Tweaks funktioniert. Mein Problem war allerdings, dass Tailscale den LXC in meinem UniFi-Netz nicht direkt erreichen kann. Tailscale fällt in solchen Fällen automatisch auf Relay-Server zurück (sog. DERP), damit die Verbindung trotzdem funktioniert – allerdings mit deutlich höherer Latenz und rund einem Zehntel der normalen Geschwindigkeit. Leider war dieser Fallback in meinem UniFi-Netz immer aktiv. Ein Problem, dass ich auch nach mehreren Stunden nicht in den Griff bekam. (Tipps gerne in die Kommentare.)

Die Lösung ist, Tailscale trotz fehlender offizieller Unterstützung direkt auf der UniFi UDM zu installieren. Praktischerweise gibt es ein laufend gewartetes Community-Projekt, das genau das erlaubt. Dann geht es ganz einfach.

Loggt euch in eure UniFi Konsole ein und ladet zur Sicherheit die aktuellen Backups runter:

UniFi -> Network -> Settings -> System -> Backups -> Download
und UniFi -> Network -> Control Pane -> Backups -> Download

Dann müsst ihr euch über einen SSH Client auf die UniFi Konsole einloggen. Wie ihr SSH für UniFi Geräte einrichtet habe ich im Beitrag „Endlich UniFi SSH Zugriff auf alle Gerätetypen übersichtlich erklärt“ aufgeschrieben.

Einmal auf der Konsole einfach nur das Installationsskript des Community Projekts ausführen:

curl -sSLq https://raw.github.com/SierraSoftworks/tailscale-udm/main/install.sh | sh
# danach:
tailscale up

Durch den Befehl wird euch in der Konsole eine URL angezeigt. Diese URL einmal im Browser aufrufen. Sie führt euch auf die Tailscale Seite, wo ihr euch mit einem der großen Identity Provider (Apple, Google, Github, etc.) einloggen müsst, sofern ihr keinen eigenen konfiguriert habt. Bestätigt dort die Verbindung eures UniFi-Routers mit eurem Tailscale-Netz.

Dann wollen wir noch den Zugriff auf das Heimnetz als sog. Subnet-Route erlauben und den Router als optionale Exit Node fungieren lassen. Hierfür in der SSH Console (mit eurem Subnetz):

tailscale down
tailscale up \
  --advertise-routes=192.168.178.0/24 \
  --accept-routes \
  --advertise-exit-node=true

Achtung: Durch den Befehl hat die UDM kurzzeitig keine korrekte Standard Route. Dadurch hat man für einen Moment keinen Zugriff auf die UniFi-Oberfläche und das Internet. Nach der Bestätigung der neuen Routen in der Tailscale-Admin-Konsole ist beides sofort wieder da. Geht daher mit eurem Handy auf https://login.tailscale.com/admin/machines und bestätigt dort die Subnet-Route sowie den Exit-Node. Danach läuft euer lokales Netz wieder wie gewohnt.

Hinweis: Die Geschwindigkeit von Tailscale hängt stark davon ab, ob „DIRECT-Verbindungen“ möglich sind. Läuft der Traffic über den Relay-Server (DERP), ist der Durchsatz deutlich geringer. Mit Tailscale direkt auf der UDM klappt Direct Routing auch im Mobilfunk zuverlässig – und das VPN ist genauso schnell wie WireGuard und Teleport.

Tailscale: Clients hinzufügen

Um einen Client wie ein Handy oder Mac/PC hinzuzufügen kann man in den Stores bzw. im Tailscale Download Bereich den jeweiligen Client runterladen, und sich in denselben Account eures Identity Providers einloggen. Sobald ihr euch so von einem neuen Client eingeloggt hat, seht ihr in der Tailscale Admin Oberfläche eine neue Anfrage zur Freischaltung dieses Geräts. Ihr müsst es entsprechend manuell in der Admin Oberfläche freigeben, damit es funktioniert.

→ Das unterscheidet Tailscale stark von WireGuard & Teleport: neue Geräte müssen freigegeben werden. Das erhöht die Sicherheit deutlich. (TODO siehe unten).

Tailscale: DNS & AdGuard Home

In der Tailscale-Admin-Konsole: DNS -> Global nameservers -> Add nameserver und dort die lokale AdGuard IP eintragen. Anschließend dann noch den Flag Override DNS servers aktivieren.

Tailscale: Exit-Node Handling im Alltag

Sehr angenehm finde ich bei Tailscale, dass man als Client einfach anklicken kann, ob man das VPN als Exit Node verwenden möchte oder nicht. Damit kann man unterwegs schnell entscheiden:

„Ich will nur Zugriff aufs Homelab und AdGuard nutzen“ (Betrieb ohne Exit Node) vs.
„Ich möchte mein komplettes Internet durch das VPN schicken“ (Betrieb mit Exit Node).

Bei WireGuard ist das deutlich umständlicher, da es in der Config festgelegt wird und man das nicht mal eben mit einem Klick umstellen kann.

Tailscale Installation auf der UniFi UDM SE

UniFi UDM Konsole - Tailscale verbinden — Tailscale Installation auf der UniFi UDM SE

Sicherheit und Verwaltbarkeit

Alle drei Systeme nutzen WireGuard als Protokoll. Die Verschlüsselung ist also durchgehend modern und auf einem vergleichbaren Niveau. Die Unterschiede liegen eher darin, wie Geräte hinzugefügt, verwaltet und wieder entfernt werden – und wie viel Transparenz man dabei hat.