Linux

Die Plattform, auf der dir der Stack gehört

Kernel-internes WireGuard macht Linux bei gleicher Hardware zur schnellsten Tunnel-Plattform[1], und nftables macht den Kill-Switch überprüfbar auf eine Weise, die kein anderes Betriebssystem erlaubt – 51% der Anbieter auf dieser Seite stellen Open-Source-Clients bereit, aber unter Linux ruht selbst ein geschlossener Client auf einem Stack, den du prüfen kannst[6].

Der DNS-Stack ist der Leak, wie immer

Der Auflöser-Dschungel ist der wiederkehrende VPN-Fehler unter Linux: resolv.conf, verwaltet von drei unterschiedlichen Subsystemen, ein Client, der eines davon aktualisiert, und ein Leak, den du erst im Leak-Test bemerkst, nicht in der Client-Oberfläche[6]. Die Betreiber, die systemd-resolved explizit behandeln (und dies in ihrer Dokumentation auch angeben), sind diejenigen, deren Linux-Unterstützung wirklich funktioniert – dasselbe Dokumentationssignal, das überall sonst die Spreu vom Weizen trennt[5].

Der nftables-Kill-Switch, kurz erklärt

Das Muster, das du kennen solltest – auch wenn du einen Client nutzt: Ein Basis-Regelwerk, das jeglichen Ausgangsverkehr blockiert, außer über das Tunnel-Interface, Loopback und DHCP, plus eine Regel, die Verkehr vom VPN-Prozess erlaubt. Durchgesetzt von netfilter, lesbar von dir, testbar beim Boot – und überlebt App-Abstürze, weil die Regeln unterhalb aller Userland-Prozesse leben. Lokale Angriffsklassen (TunnelCrack[3], TunnelVision[4]) scheitern hier systembedingt – die Reaktionen der Betreiber[5] beschreiben dieselbe Architektur in ihren Clients. Es ist die seltene Plattform, auf der der empfohlene Kill-Switch und die DIY-Lösung ein und dasselbe Artefakt sind[1][7].

Das wg-quick-Muster, das du kennen solltest

Auch mit installiertem Anbieter-Client bleibt der Klartext-Konfigurationspfad unter Linux relevant: wg-quick liest die .conf-Dateien des Anbieters direkt, PostUp/PostDown-Hooks steuern Firewall- und Resolver-Änderungen, und das gesamte Setup liegt in /etc/wireguard, wo du es einsehen kannst. Der puristische Stack – wg-quick plus eigene nftables-Regeln – ist die überprüfbarste VPN-Konfiguration im Consumer-Bereich und funktioniert mit jedem Anbieter, der Konfigurationsdateien bereitstellt (alle sechzehn hier tun es)[1][6]. Die Clients existieren aus Bequemlichkeit, nicht aus technischer Notwendigkeit.

Wann Linux trotzdem die falsche Wahl ist

Zum Freischalten von Katalogen ist ein einzelner Linux-Rechner dasselbe Problem mit nicht vertrauenswürdigen IPs wie der Selfhost-Hub – Streaming-Plattformen klassifizieren Rechenzentren-IPs, und Linux-Clients erhalten keine Sonderbehandlung[4]. Für Zensurumgehung gilt weiterhin: Obfuskation ist entscheidend (siehe China-Hub). Und für schlichte Bequemlichkeit gewinnen Desktop-Apps: Alles hier erfordert das Bearbeiten von Konfigurationen und das Lesen von Logs – genau dieser Trade-off. Linuxs Vorteil ist Kontrolle: schnellster Tunnel, überprüfbare Durchsetzung und der Open-Source-Stack von Anfang bis Ende[1][7] – die Plattform, auf der „vertraue dem Client“ und „prüfe den Client“ endlich ein und dasselbe sind.