AmneziaWG und WireGuard: der Unterschied und welche Variante Sie laden sollten

AmneziaWG vs. WireGuard — was wählen? Tatsächlich ist es dasselbe VPN-Protokoll, und der einzige Unterschied ist: AmneziaWG tarnt den Datenverkehr, deshalb erkennen ihn die Filter der Anbieter nicht. NvoVPN läuft standardmäßig auf AmneziaWG und stellt im Konto die Konfigurationsdatei in beiden Formaten aus. Unten steht, wie Sie in vier Schritten wählen und herunterladen, eine Tabelle der Unterschiede und Antworten zu Kompatibilität, Geschwindigkeit und Routern. Sind Sie in Russland — lesen Sie unbedingt den Abschnitt „Sie sind in Russland?“.

1. 1

   Verstehen Sie den Unterschied in einem Satz

   AmneziaWG ist dasselbe WireGuard, nur sind seine Pakete nach außen getarnt. Verschlüsselung, Schlüssel und Geschwindigkeit sind gleich, aber die Technik der Anbieter (DPI — Tiefenanalyse des Datenverkehrs) erkennt darin kein VPN und blockiert es nicht.

2. 2

   Holen Sie sich die Datei in Ihrem Konto

   Öffnen Sie Ihr Konto → „Verbindung“ → „Manuell“. Wählen Sie einen Server, benennen Sie das Gerät und klicken Sie auf „Erstellen“. Es erscheint die Datei .conf für AmneziaWG, daneben eine Variante für gewöhnliches WireGuard, ein QR-Code und Text. Eine Datei — ein Gerät.

3. 3

   Wählen Sie die passende Variante für Ihr Gerät

   Smartphone und Computer — die NvoVPN-App, sie läuft bereits auf AmneziaWG. Ein Router oder Client mit AmneziaWG-Unterstützung — die AmneziaWG-Datei. Ein Router oder Client, der nur WireGuard kann — die WireGuard-Variante, sie funktioniert dort, wo VPN nicht blockiert wird. In Russland und überall, wo VPN blockiert wird — nur AmneziaWG.

4. 4

   Prüfen Sie, ob das VPN funktioniert

   Verbinden Sie sich und öffnen Sie die Seite „Wie ist meine IP“. Dort sollte die Adresse des NvoVPN-Servers stehen, nicht die Ihres Providers. Hat sich die Adresse nicht geändert, steht keine Verbindung: Ersetzen Sie in einem Netzwerk mit Blockaden die WireGuard-Variante durch die AmneziaWG-Datei.

Kurz gesagt: die Tabelle der Unterschiede

Was WireGuard ist und warum es sichtbar ist

WireGuard entstand als Antwort auf die schwerfälligen OpenVPN und IPsec: etwa viertausend Zeilen Code gegenüber Hunderttausenden, moderne Kryptografie ohne Chiffren-Auswahl, seit Version 5.6 (2020) fest im Linux-Kernel. Es läuft nur über UDP, eine Verbindung steht nach einem einzigen Handshake, und der Wechsel zwischen WLAN und mobilen Daten verläuft unbemerkt. Deshalb sind die meisten VPN-Dienste darauf umgestiegen.

Einfachheit hat ihren Preis. Die Autoren schreiben ausdrücklich, dass sich WireGuard nicht um Tarnung kümmert — die „sollte auf einer Schicht darüber passieren“. Jedes Handshake-Paket hat eine feste Größe (148 Byte die Anfrage, 92 Byte die Antwort) und feste erste Bytes. DPI-Technik erkennt diese Abfolge sofort — und lässt sie in vielen Netzwerken einfach nicht durch.

Was AmneziaWG hinzufügt

AmneziaWG ist ein offener Fork von WireGuard des Amnezia-Teams. Der kryptografische Kern blieb unangetastet: Schlüssel, Chiffren und der Noise-Handshake sind dieselben. Verändert hat sich, wie die Pakete von außen aussehen. In der Konfiguration sind das ein paar Parameter:

• Jc, Jmin, Jmax — vor dem Handshake sendet der Client Jc „Müll“-Pakete zufälliger Länge zwischen Jmin und Jmax. Das charakteristische Muster „148 → 92“ verschwindet.
• S1–S4 — die Dienstpakete (Anfrage, Antwort, Cookie, Daten) erhalten ein zufälliges Präfix: Ihre Größe entspricht nicht mehr dem Referenzwert.
• H1–H4 — die Standard-Nachrichtentypnummern von WireGuard werden durch eigene ersetzt, und der Filter findet keine bekannten Header.
• In neueren Protokollversionen kamen Täuschungspakete hinzu, die andere Protokolle imitieren, sowie Schutz vor statistischer Analyse. Die NvoVPN-App nutzt die aktuelle Version und trägt die Parameter selbst ein.

Ergebnis: Für DPI sieht der Datenstrom wie namenloser UDP-Verkehr ohne Signaturen aus. Wo gewöhnliches WireGuard überhaupt keine Verbindung aufbaut, kommt AmneziaWG durch. Ist der Filter aggressiver und kappt jeden unbekannten UDP-Verkehr, wechselt die NvoVPN-App in den Stealth-Modus VLESS/Reality.

Kompatibilität, Geschwindigkeit und Akku

Ein AmneziaWG-Client mit Tarnungsparametern auf null ist vollständig kompatibel mit einem gewöhnlichen WireGuard-Server — und umgekehrt. Sobald die Parameter aber aktiv sind, verstehen die beiden Seiten die Pakete des anderen nicht mehr: Ein AmneziaWG-Client verbindet sich nicht mit einem gewöhnlichen WireGuard-Server, und ein WireGuard-Client nicht mit einem AmneziaWG-Server. Deshalb gibt es zu jeder Konfiguration im Konto zwei Varianten. Mischen können Sie sie nicht, aber beide auf unterschiedlichen Geräten nutzen schon.

Müll-Pakete werden nur beim Verbindungsaufbau gesendet, und die Füllung fügt den Paketen einige Dutzend Bytes hinzu. Laut unabhängigen Messungen liegt der Unterschied zum „sauberen“ WireGuard bei wenigen Prozent; der theoretische Höchstaufwand durch die Füllung liegt bei etwa einem Zehntel. Auf Smartphone oder Laptop lässt sich das nicht bemerken; der Akkuverbrauch entspricht dem von WireGuard.

Was Sie in NvoVPN wählen sollten

• Smartphone, Computer — die NvoVPN-App: AmneziaWG mit automatischem Wechsel in den Stealth-Modus, nichts auszuwählen.
• Router Keenetic, OpenWrt, GL.iNet — die AmneziaWG-Datei aus Ihrem Konto, wie in den Anleitungen „VPN auf dem Router“ und „VPN auf Keenetic“.
• ASUS, MikroTik, TP-Link und andere Clients nur mit WireGuard — die WireGuard-Variante derselben Konfiguration. Funktioniert dort, wo das Protokoll nicht blockiert wird: ASUS, MikroTik, TP-Link.
• Linux — amneziawg-tools, wie in der Linux-Anleitung; gewöhnliches wireguard-tools nur in Netzwerken ohne Filterung.

Häufige Fragen

Ist AmneziaWG weniger sicher, weil etwas hinzugefügt wurde? Nein. Die Ergänzungen betreffen nur, wie die Pakete aussehen; Verschlüsselung und Schlüsselaustausch sind das ursprüngliche WireGuard.

Kann man AmneziaWG erkennen und blockieren? Eine vollständige Garantie gibt kein Protokoll: Filter lernen dazu, Entwickler antworten mit neuen Versionen. In der Praxis kommt AmneziaWG dort durch, wo WireGuard blockiert ist; für den härtesten Fall gibt es den Stealth-Modus.

Warum gibt es in der App keine Auswahl „WireGuard oder AmneziaWG“? Weil AmneziaWG in nichts schlechter ist und in gefilterten Netzwerken die einzige funktionierende Option. Die Auswahl brauchen nur Router und externe Clients, und die gibt es im Konto.

Wo bekomme ich einen AmneziaWG-Client? Für Smartphone und Computer — die NvoVPN-App, AmneziaWG steckt bereits darin. Eigenständige Clients für Windows, macOS, Android, iOS und Linux veröffentlicht das Amnezia-Team auf GitHub — für sie passt die AmneziaWG-Datei aus Ihrem Konto.

Lässt sich AmneziaWG auf einem Router einrichten? Ja — auf Keenetic (KeeneticOS 4.3.4 und neuer), OpenWrt mit den amneziawg-Paketen und GL.iNet. Ausführlich in der Router-Anleitung.

Passend dazu: Warum das VPN aufhört zu funktionieren, und wie der Stealth-Modus funktioniert · VPN auf dem Router einrichten · VPN unter Linux einrichten