Retrowork / Open SourceVPN-Architektur
Ein Server. Zwei Tunneltechnologien. Eine gemeinsame Architektur für alte und moderne Systeme.
Projekt auf GitHub ansehen01 / SYSTEMIDEE
RetroTunnel ist ein VPN-System, das ich von Grund auf selbst entwickle.
Kein fertiges Produkt, kein Baukastensystem –
sondern eine durchdachte Architektur, die genau das tut, was ich brauche.
Ein einziger Server. Zwei Tunneltechnologien.
L2TP/IPsec für ältere Windows-Clients – bis hinunter zu Windows XP.
AmneziaWireGuard für moderne Geräte – Windows 10, 11, Linux, Mobilgeräte.
Beide Tunnel laufen über denselben Server,
mit derselben Benutzerverwaltung, denselben Regeln, demselben Schutz.
Egal ob das Gerät 20 Jahre alt ist oder brandneu –
es bekommt den gleichen Dienst.
RetroTunnel entsteht unter dem Dach von Retrowork.
Weil auch beim VPN gilt, was für meine Laptops gilt:
Alte Technik verdient denselben Respekt wie neue.
02 / AUSGANGSPUNKT
Die meisten VPN-Lösungen da draußen haben ein Problem:
Sie funktionieren nur für aktuelle Betriebssysteme.
WireGuard? Läuft nicht auf Windows XP.
OpenVPN? Umständlich, langsam, überladen.
Kommerzielle Anbieter? Kein Interesse an alter Hardware.
Ich wollte eine Lösung, die niemanden zurücklässt.
Ein System, das sich an die Geräte anpasst – nicht umgekehrt.
Und gleichzeitig so sicher ist, dass ich mich selbst darauf verlasse.
Kein Kompromiss bei der Sicherheit.
Kein Kompromiss bei der Kompatibilität.
Das war der Anfang von RetroTunnel.
03 / ARCHITEKTUR
RetroTunnel ist kein zusammengeklebtes Script –
es ist ein vollständig dokumentiertes Systemkonzept.
Jede Entscheidung ist begründet, jede Regel hat einen Zweck.
Alle Konfigurationen leben in einer zentralen MariaDB-Datenbank.
Keine Flat-Files, kein manuelles Synchronisieren, keine versteckten Zustände.
Die Datenbank ist die einzige Wahrheit – alles andere leitet sich davon ab.
Die Firewall blockiert standardmäßig alles.
Kein Traffic passiert den Server ohne explizite Autorisierung.
Selbst beim Booten, bevor alle Dienste laufen, ist der Server dicht.
Jede DNS-Anfrage wird über AdGuard und Unbound geleitet.
DNS-Zwang per Firewall-Regel – kein Client kann am Filter vorbei.
Werbung, Tracking, Malware-Domains werden still gefiltert.
FreeRADIUS übernimmt die Zugangskontrolle für L2TP/IPsec.
WireGuard-Peers werden über das interne Panel verwaltet.
Zwei Tunneltechnologien, eine einheitliche Benutzerverwaltung.
Ein eigenes internes Panel zur Verwaltung aller Verbindungen.
Rollenbasiert – Owner, Admin, User – jede Aktion wird protokolliert.
Kein phpMyAdmin, keine manuelle Datenbankarbeit im Alltag.
04 / PROJEKTSTATUS
RetroTunnel wird Modul für Modul entwickelt.
Jedes Modul durchläuft ein Review mit Invarianten, Tests und Drittprüfungen.
Erst wenn ein Modul sauber ist, kommt das nächste.
Das Konzept ist kein fertiges Produkt – es wächst.
Aber jedes Modul, das fertig ist, steht auf einem soliden Fundament.
05 / TRANSPARENZ
Das gesamte Konzept von RetroTunnel ist öffentlich.
Nicht nur der Code – sondern die Architektur, die Entscheidungen,
die Begründungen, die Tests.
Wer verstehen will, warum etwas so gebaut ist und nicht anders –
der findet die Antwort im Repository.
Keine Blackbox. Keine versteckten Annahmen.
RetroTunnel lebt auf GitHub.
Jeder kann mitlesen, mitdenken, hinterfragen.
06 / FAQ
Um eine maximale Kompatibilität ohne Sicherheitskompromisse zu gewährleisten. L2TP/IPsec wird für Legacy-Systeme wie Windows XP eingesetzt, während moderne Geräte über das performantere AmneziaWireGuard angebunden werden. Beide Tunnel laufen zentral über denselben Server und dasselbe Authentifizierungsmodell.
Alle Konfigurationen, Regeln und Benutzerdaten werden zentral in einer MariaDB-Datenbank verwaltet. Anstatt Konfigurationsdateien per Hand anzupassen, fungiert die Datenbank als einzige Quelle der Wahrheit, woraus sich Dienste wie FreeRADIUS dynamisch bedienen.
Der gesamte DNS-Traffic wird durch strenge Fail-Closed-Firewall-Regeln zwingend über einen internen AdGuard und Unbound DNS-Stack geleitet. Dadurch können Clients den Filter nicht umgehen, und Werbung, Tracking sowie Malware-Domains werden direkt auf Serverseite blockiert.