Alles, was Sie brauchen, um das Backend bereitzustellen, Clients auszurollen und — mit Pro — die automatisierte Provisionierung einzurichten.
Eine Valenius-Installation hat zwei oder drei bewegliche Teile:
| Komponente | Was sie tut | Edition |
|---|---|---|
| Backend | Admin-Panel, Client-Registry, Konfigurationsverteilung, Update-Server. Läuft als Docker-Compose-Stack. | Community |
| Clients | Windows-, Linux- oder macOS-Hintergrunddienst + App im Infobereich/Menüleiste, oder die Android-/iOS-App. Desktop-Clients werden einmal mit Administratorrechten installiert; von allen ohne genutzt. | Community |
| Server-Sidecar | Läuft neben Ihrer WireGuard®-Schnittstelle und lässt das Backend Peers automatisch anlegen und entfernen. | Pro |
In der Community-Edition laden Sie bestehende WireGuard®-.conf-Dateien im Admin-Panel hoch und verteilen sie an Geräte. Pro entfernt diesen manuellen Schritt vollständig.
Fertige Installer für Windows, macOS und Linux finden Sie unter cloud.valenius.com/downloads, die mobile App kommt aus Google Play. Der Quellcode von allem — Backend und Clients — liegt auf GitHub, Sie können also jede Komponente auch selbst bauen.
Das Backend läuft überall dort, wo Docker läuft. Klonen Sie das Repository von GitHub und führen Sie install.sh aus — es baut das Image, erzeugt sichere zufällige Passwörter und startet den Stack für Sie:
$ git clone https://github.com/valeniusvpn/valenius.git $ cd valenius $ chmod +x install.sh $ ./install.sh
Sobald das Backend läuft, gibt es Ihnen die Anmelde-URL und die Zugangsdaten aus. Melden Sie sich dort an, schließen Sie die Ersteinrichtung ab und konfigurieren Sie OIDC und/oder TOTP für die Anmeldung. Client-Installer werden vom Backend selbst ausgeliefert, sodass verbundene Clients sich automatisch aktualisieren — in der Regel innerhalb einer Stunde oder sofort, wenn Sie bei einem Gerät auf Update erzwingen drücken.
Laden Sie den aktuellen Installer unter cloud.valenius.com/downloads herunter.
Der Installer richtet zwei Teile ein: einen Windows-Dienst, der mit Systemrechten läuft und Tunnel verwaltet, und eine App im Infobereich, die in der Sitzung des Nutzers läuft. Unterstützt unter Windows x64 und ARM64.
Einmal als Administrator installieren — interaktiv oder still über Ihre Softwareverteilung. Beim ersten Start erzeugt der Client eine persistente Geräteidentität und registriert sich bei Ihrem Backend; ein neues Gerät erscheint im Admin-Panel und wartet auf die Aktivierung.
| Pfad | Zweck |
|---|---|
C:\ProgramData\Valenius\registration.json | Geräteidentität. Ihr Löschen erzeugt eine neue Identität, die von einem Admin erneut aktiviert werden muss. |
C:\ProgramData\Valenius\users\<user>\ | WireGuard®-Konfigurationen pro Nutzer, nur vom Systemkonto lesbar. |
Der Linux-Client bildet das Windows-Verhalten mit nativen Mitteln nach: ein von systemd verwalteter Root-Daemon und eine GTK-App im Infobereich in der Nutzersitzung. Er ist als .deb paketiert und nutzt nur Systempakete.
Kopieren Sie den aktuellen .deb-Link von cloud.valenius.com/downloads und setzen Sie unten die Version ein:
$ curl -LO https://cloud.valenius.com/api/download/valenius_<version>_all.deb # apt pulls in the dependencies and starts the service: $ sudo apt install ./valenius_<version>_all.deb # then point it at your backend: $ sudoedit /etc/valenius/appsettings.json # logs: $ journalctl -u valenius -f
Laufzeitabhängigkeiten sind wireguard-tools, GTK3/PyGObject und die AppIndicator-Tray-Bindings — alle aus den Repositories Ihrer Distribution installiert.
Der macOS-Client bildet das Design von Windows und Linux nach: Ein Hintergrunddienst hält den Tunnel und die Administratorrechte, eine Menüleisten-App ist das, was Ihre Nutzer tatsächlich sehen und anklicken. Läuft sowohl auf Apple-Silicon- als auch auf Intel-Macs.
Kopieren Sie den aktuellen .pkg-Link von cloud.valenius.com/downloads und setzen Sie unten die Version ein. Installieren Sie ihn als Administrator über die Kommandozeile:
$ curl -LO https://cloud.valenius.com/api/download/Valenius-<version>.pkg $ sudo installer -pkg Valenius-<version>.pkg -target /
Beim ersten Start registriert sich der Client bei Ihrem Backend und erscheint im Admin-Panel, wo er auf Aktivierung wartet — derselbe Ablauf wie bei Windows und Linux. Nach der Installation hält er sich selbst über Ihr Backend aktuell; von Hand machen Sie das nur bei der Erstinstallation.
Die Android-App erhalten Sie über Google Play. Die iOS-App ist noch nicht im App Store — wir verlinken sie hier, sobald sie verfügbar ist.
Android und iOS teilen sich eine App-Codebasis und einen Registrierungsablauf. Statt einer Installation mit Administratorrechten wird ein neues Gerät durch Scannen eines QR-Codes an einen Kunden gebunden — erzeugt im Admin-Panel oder auf eine QR-Konfigurationskarte gedruckt, die einem Nutzer übergeben wird.
Einmal gekoppelt, verhält sich die App wie die Desktop-Clients: verschlüsselte Profilspeicherung, Live-Verbindungsstatus und — sofern die Pro-Sitzungs-MFA aktiviert ist — TOTP- oder Push-to-Approve-Abfragen, bevor der Tunnel sich verbindet. Beide Plattformen halten jeweils ein aktives VPN-Profil — eine Betriebssystem-Beschränkung, keine von Valenius.
Der Pro-Server-Sidecar ist ein kleiner Dienst, der auf demselben Host wie Ihre WireGuard®-Schnittstelle läuft und Ihrem Backend eine Management-API bereitstellt — abgesichert durch beidseitiges TLS mit Zertifikaten, die von der internen CA Ihres Backends ausgestellt werden.
Die Einrichtung ist ein einmaliger Drei-Schritte-Vorgang:
# 1. Prepare the WireGuard® interface config $ sudo mkdir -p /opt/wg-sidecar/wireguard # (fill in PrivateKey, ListenPort, Address) # 2. Enable IP forwarding (survives reboots) $ echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-wireguard.conf $ sudo sysctl --system # 3. Generate an enrollment token in the admin panel, # set it as an environment variable, and start: $ docker compose up --build -d
Beim ersten Start meldet sich der Sidecar mit dem Einmal-Token bei Ihrem Backend an und erhält sein Zertifikat automatisch. Der Token wird bei der Nutzung verbraucht; um sich erneut anzumelden (etwa nach einer CA-Rotation), erzeugen Sie einen neuen Token im Admin-Panel.
Eine Sidecar-Instanz verwaltet eine WireGuard®-Schnittstelle — ein Kunden-VPN. Mehrere Kunden auf demselben Host laufen als separate Instanzen auf unterschiedlichen Ports und Schnittstellen, vollständig voneinander isoliert. Peers werden beim Start abgeglichen, sodass ein Server-Neustart nie die Konfiguration verliert.
Sobald der Sidecar läuft, nutzen Sie die Verbindungstools des Admin-Panels, um die Einrichtung zu bestätigen, bevor Sie sie an einen Kunden übergeben: „Ports prüfen“ verifiziert jeden eingehenden Port mit einem echten WireGuard®-Handshake, und „Test ausführen“ lässt den Server seine eigene IP-Weiterleitung, NAT und Firewall-Regeln untersuchen. Im selben Panel aktivieren Sie auch den Fallback-Port — der Server antwortet dann sowohl auf seinem primären Port als auch auf UDP 443, und Clients versuchen dort automatisch, wenn der primäre Port blockiert ist.
Sitzungs-MFA wird pro Gruppe im Admin-Panel konfiguriert: einen frischen TOTP-Code bei jeder Verbindung verlangen, oder einmal pro konfigurierbarem Zeitfenster. Die Durchsetzung erfolgt serverseitig im Sidecar — der WireGuard®-Peer selbst bleibt blockiert, bis der Nutzer die Verbindung autorisiert, sodass ein Client, der die Abfrage überspringt, sie nicht umgehen kann.
Nutzer registrieren sich einmalig durch Scannen eines QR-Codes im Windows-Infobereich, Linux-Infobereich oder der mobilen App und autorisieren dann jede gesperrte Verbindung mit einem 6-stelligen Code — oder, mit Push-to-Approve, durch Bestätigen einer passenden Zahl auf einem zweiten Gerät mit Face ID oder Fingerabdruck.
Ist der Sidecar veraltet oder nicht erreichbar, bleiben gesperrte Peers blockiert, statt durchgelassen zu werden — MFA schlägt geschlossen fehl, nicht offen.
Die Raspberry-Pi-Appliance wird vorkonfiguriert ausgeliefert: ins Netzwerk einstecken, und sie verbindet sich mit dem Backend und dient als VPN-Einstiegspunkt des Standorts.
Updates sind vollständig verwaltet. Der Update-Agent auf dem Gerät fragt das Backend nach einer Zielversion ab, verifiziert die Image-Prüfsumme, startet die neue Version neben der laufenden, prüft sie per Health-Check und schaltet erst dann die Produktion um — beobachtet sie danach und führt bei Fehlverhalten automatisch ein Rollback durch.
Bei größeren Flotten wird eine neue Version in Ringen ausgerollt — zuerst an einen kleinen Teil der Appliances, dann an den Rest —, damit ein fehlerhafter Build erkannt wird, bevor er alle erreicht.
Suchen Sie tiefere technische Details? Die vollständige technische Dokumentation finden Sie unter documentation.valenius.com und den Quellcode auf GitHub.
