Alles, was Sie brauchen, um das Backend bereitzustellen, Clients auszurollen und — mit Pro — die automatisierte Provisionierung einzurichten.
Eine Valenius-Installation hat zwei oder drei bewegliche Teile:
| Komponente | Was sie tut | Edition |
|---|---|---|
| Backend | Admin-Panel, Client-Registry, Konfigurationsverteilung, Update-Server. Läuft als Docker-Compose-Stack. | Community |
| Clients | Windows-, Linux- oder macOS-Hintergrunddienst + App im Infobereich/Menüleiste, oder die Android-/iOS-App. Desktop-Clients werden einmal mit Administratorrechten installiert; von allen ohne genutzt. | Community |
| Server-Sidecar | Läuft neben Ihrer WireGuard®-Schnittstelle und lässt das Backend Peers automatisch anlegen und entfernen. | Pro |
In der Community-Edition laden Sie bestehende WireGuard®-.conf-Dateien im Admin-Panel hoch und verteilen sie an Geräte. Pro entfernt diesen manuellen Schritt vollständig.
Fertige Installer für Windows, macOS und Linux finden Sie unter cloud.valenius.com/downloads, die mobile App kommt aus Google Play. Der Quellcode von allem — Backend und Clients — liegt auf GitHub, Sie können also jede Komponente auch selbst bauen.
Das Backend läuft überall dort, wo Docker läuft. Klonen Sie das Repository von GitHub und führen Sie install.sh aus — es baut das Image, erzeugt sichere zufällige Passwörter und startet den Stack für Sie:
$ git clone https://github.com/valeniusvpn/valenius.git $ cd valenius $ chmod +x install.sh $ ./install.sh
Sobald das Backend läuft, gibt es Ihnen die Anmelde-URL und die Zugangsdaten aus. Melden Sie sich dort an, schließen Sie die Ersteinrichtung ab und konfigurieren Sie OIDC und/oder TOTP für die Anmeldung. Client-Installer werden vom Backend selbst ausgeliefert, sodass verbundene Clients sich automatisch aktualisieren — in der Regel innerhalb einer Stunde oder sofort, wenn Sie bei einem Gerät auf Update erzwingen drücken.
Laden Sie den aktuellen Installer unter cloud.valenius.com/downloads herunter.
Der Installer richtet zwei Teile ein: einen Windows-Dienst, der mit Systemrechten läuft und Tunnel verwaltet, und eine App im Infobereich, die in der Sitzung des Nutzers läuft. Unterstützt unter Windows x64 und ARM64.
Einmal als Administrator installieren — interaktiv oder still über Ihre Softwareverteilung. Beim ersten Start erzeugt der Client eine persistente Geräteidentität und registriert sich bei Ihrem Backend; ein neues Gerät erscheint im Admin-Panel und wartet auf die Aktivierung.
| Pfad | Zweck |
|---|---|
C:\ProgramData\Valenius\registration.json | Geräteidentität. Ihr Löschen erzeugt eine neue Identität, die von einem Admin erneut aktiviert werden muss. |
C:\ProgramData\Valenius\users\<user>\ | WireGuard®-Konfigurationen pro Nutzer, nur vom Systemkonto lesbar. |
Der Linux-Client bildet das Windows-Verhalten mit nativen Mitteln nach: ein von systemd verwalteter Root-Daemon und eine GTK-App im Infobereich in der Nutzersitzung. Er ist als .deb paketiert und nutzt nur Systempakete.
Kopieren Sie den aktuellen .deb-Link von cloud.valenius.com/downloads und setzen Sie unten die Version ein:
$ curl -LO https://cloud.valenius.com/api/download/valenius_<version>_all.deb # apt pulls in the dependencies and starts the service: $ sudo apt install ./valenius_<version>_all.deb # then point it at your backend: $ sudoedit /etc/valenius/appsettings.json # logs: $ journalctl -u valenius -f
Laufzeitabhängigkeiten sind wireguard-tools, GTK3/PyGObject und die AppIndicator-Tray-Bindings — alle aus den Repositories Ihrer Distribution installiert.
Der macOS-Client bildet das Design von Windows und Linux nach: Ein Hintergrunddienst hält den Tunnel und die Administratorrechte, eine Menüleisten-App ist das, was Ihre Nutzer tatsächlich sehen und anklicken. Läuft sowohl auf Apple-Silicon- als auch auf Intel-Macs.
Kopieren Sie den aktuellen .pkg-Link von cloud.valenius.com/downloads und setzen Sie unten die Version ein. Installieren Sie ihn als Administrator über die Kommandozeile:
$ curl -LO https://cloud.valenius.com/api/download/Valenius-<version>.pkg $ sudo installer -pkg Valenius-<version>.pkg -target /
Beim ersten Start registriert sich der Client bei Ihrem Backend und erscheint im Admin-Panel, wo er auf Aktivierung wartet — derselbe Ablauf wie bei Windows und Linux. Nach der Installation hält er sich selbst über Ihr Backend aktuell; von Hand machen Sie das nur bei der Erstinstallation.
Die Android-App erhalten Sie über Google Play. Die iOS-App ist noch nicht im App Store — wir verlinken sie hier, sobald sie verfügbar ist.
Android und iOS teilen sich eine App-Codebasis und einen Registrierungsablauf. Statt einer Installation mit Administratorrechten wird ein neues Gerät durch Scannen eines QR-Codes an einen Kunden gebunden — erzeugt im Admin-Panel oder auf eine QR-Konfigurationskarte gedruckt, die einem Nutzer übergeben wird.
Einmal gekoppelt, verhält sich die App wie die Desktop-Clients: verschlüsselte Profilspeicherung, Live-Verbindungsstatus und — sofern die Pro-Sitzungs-MFA aktiviert ist — TOTP- oder Push-to-Approve-Abfragen, bevor der Tunnel sich verbindet. Beide Plattformen halten jeweils ein aktives VPN-Profil — eine Betriebssystem-Beschränkung, keine von Valenius.
Der Pro-Server-Sidecar ist ein kleiner Dienst, der auf demselben Host wie Ihre WireGuard®-Schnittstelle läuft und Ihrem Backend eine Management-API bereitstellt — abgesichert durch beidseitiges TLS mit Zertifikaten, die von der internen CA Ihres Backends ausgestellt werden.
Die Einrichtung ist ein einmaliger Drei-Schritte-Vorgang:
# 1. Prepare the WireGuard® interface config $ sudo mkdir -p /opt/wg-sidecar/wireguard # (fill in PrivateKey, ListenPort, Address) # 2. Enable IP forwarding (survives reboots) $ echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/99-wireguard.conf $ sudo sysctl --system # 3. Generate an enrollment token in the admin panel, # set it as an environment variable, and start: $ docker compose up --build -d
Beim ersten Start meldet sich der Sidecar mit dem Einmal-Token bei Ihrem Backend an und erhält sein Zertifikat automatisch. Der Token wird bei der Nutzung verbraucht; um sich erneut anzumelden (etwa nach einer CA-Rotation), erzeugen Sie einen neuen Token im Admin-Panel.
Eine Sidecar-Instanz verwaltet eine WireGuard®-Schnittstelle — ein Kunden-VPN. Mehrere Kunden auf demselben Host laufen als separate Instanzen auf unterschiedlichen Ports und Schnittstellen, vollständig voneinander isoliert. Peers werden beim Start abgeglichen, sodass ein Server-Neustart nie die Konfiguration verliert.
Sobald der Sidecar läuft, nutzen Sie die Verbindungstools des Admin-Panels, um die Einrichtung zu bestätigen, bevor Sie sie an einen Kunden übergeben: „Ports prüfen“ verifiziert jeden eingehenden Port mit einem echten WireGuard®-Handshake, und „Test ausführen“ lässt den Server seine eigene IP-Weiterleitung, NAT und Firewall-Regeln untersuchen. Im selben Panel aktivieren Sie auch den Fallback-Port — der Server antwortet dann sowohl auf seinem primären Port als auch auf UDP 443, und Clients versuchen dort automatisch, wenn der primäre Port blockiert ist.
Sitzungs-MFA wird pro Gruppe im Admin-Panel konfiguriert: einen frischen TOTP-Code bei jeder Verbindung verlangen, oder einmal pro konfigurierbarem Zeitfenster. Die Durchsetzung erfolgt serverseitig im Sidecar — der WireGuard®-Peer selbst bleibt blockiert, bis der Nutzer die Verbindung autorisiert, sodass ein Client, der die Abfrage überspringt, sie nicht umgehen kann.
Nutzer registrieren sich einmalig durch Scannen eines QR-Codes im Windows-Infobereich, Linux-Infobereich oder der mobilen App und autorisieren dann jede gesperrte Verbindung mit einem 6-stelligen Code — oder, mit Push-to-Approve, durch Bestätigen einer passenden Zahl auf einem zweiten Gerät mit Face ID oder Fingerabdruck.
Ist der Sidecar veraltet oder nicht erreichbar, bleiben gesperrte Peers blockiert, statt durchgelassen zu werden — MFA schlägt geschlossen fehl, nicht offen.
Die Raspberry-Pi-Appliance wird vorkonfiguriert ausgeliefert: ins Netzwerk einstecken, und sie verbindet sich mit dem Backend und dient als VPN-Einstiegspunkt des Standorts.
Updates sind vollständig verwaltet. Der Update-Agent auf dem Gerät fragt das Backend nach einer Zielversion ab, verifiziert die Image-Prüfsumme, startet die neue Version neben der laufenden, prüft sie per Health-Check und schaltet erst dann die Produktion um — beobachtet sie danach und führt bei Fehlverhalten automatisch ein Rollback durch.
Bei größeren Flotten wird eine neue Version in Ringen ausgerollt — zuerst an einen kleinen Teil der Appliances, dann an den Rest —, damit ein fehlerhafter Build erkannt wird, bevor er alle erreicht.
Valenius stellt einen Prometheus-kompatiblen Metrik-Endpunkt bereit, damit ein externes Monitoring-System das Backend genauso überwachen kann wie alles andere. Verfügbar in beiden Editionen — die Detailsicht pro Gateway benötigt zusätzlich das Pro-Sidecar, denn dort entstehen diese Daten.
Beginnen Sie im Admin-Panel: Öffnen Sie Monitoring in der linken Navigation und erstellen Sie ein Monitoring-Token. Es trägt genau einen Scope — Metriken lesen — und lässt sich optional auf die IP oder den CIDR-Bereich Ihres Monitoring-Servers beschränken sowie mit einem Ablaufdatum versehen. Der vollständige Wert wird genau einmal angezeigt, bei der Erstellung; ein Widerruf wirkt sofort.
# Prometheus text exposition format — poll once a minute $ curl -H "Authorization: Bearer vlnm_..." \ https://your-backend/api/v1/metrics # a small JSON summary, same token, for a plain health check $ curl -H "Authorization: Bearer vlnm_..." \ https://your-backend/api/v1/monitoring/status
Für Zabbix importieren Sie integrations/zabbix/template_valenius_http.yaml aus dem Repository unter Data collection → Templates → Import, legen einen Host für Ihr Backend an (kein Interface erforderlich) und verknüpfen das Template Valenius by HTTP. Setzen Sie dann zwei Host-Makros — {$VALENIUS.URL} und {$VALENIUS.TOKEN}, Letzteres als Secret text — und prüfen Sie eine Minute später Latest data. Jeder Schwellwert im Template ist ein Makro, das Anpassen also ein Feld am Host und kein Fork.
Jedes andere Prometheus-kompatible Werkzeug arbeitet mit demselben Endpunkt: Prometheus selbst, Grafana Alloy, Checkmk, VictoriaMetrics, Netdata. Mehr Details — der vollständige Metrikkatalog, die Makro-Tabelle und Troubleshooting — finden Sie auf der Seite Monitoring & Zabbix und in der Einrichtungsanleitung.
Suchen Sie tiefere technische Details? Die vollständige technische Dokumentation finden Sie unter documentation.valenius.com und den Quellcode auf GitHub.
