Pangolin ist eine quelloffene, identitätsbasierte Remote-Access-Plattform auf WireGuard-Basis. Sie vereint einen getunnelten Reverse Proxy und ein Zero-Trust-VPN in einem selbst gehosteten Stack. Als Hub dient ein öffentlicher VPS . Installiere Newt in einem beliebigen privaten Netzwerk, etwa in einem Homelab hinter NAT, auf einem Büroserver oder in einer Cloud-VPC. Pangolin tunnelt authentifizierte Zugriffe auf Webanwendungen und private Ressourcen wie Datenbanken und SSH-Server, ohne einen einzigen eingehenden Port im privaten Netzwerk zu öffnen.
Was Pangolin leistet
Für die meisten Remote-Access-Konfigurationen musst du mindestens drei separate Tools kombinieren: einen Reverse Proxy wie Traefik, Caddy oder Nginx, einen Tunnelanbieter wie Cloudflare Tunnel oder ngrok und eine Identitäts- und Authentifizierungsschicht wie Authelia, Authentik oder Keycloak. Pangolin ersetzt diesen gesamten Stack durch eine gemeinsam bereitstellbare Einheit.
Die Plattform deckt zwei unterschiedliche Zugriffsarten ab:
- Getunnelter Reverse Proxy: Stelle Webanwendungen aus privaten Netzwerken über HTTPS im öffentlichen Internet bereit. Automatische Let’s-Encrypt-Zertifikate und Zero-Trust-Zugriffsregeln sind integriert. Du brauchst keine Regeln für eingehenden Datenverkehr in der Firewall . Das entspricht der Funktion von Cloudflare Tunnel, läuft aber auf deiner eigenen Infrastruktur.
- Zugriff auf private Ressourcen (ZTNA): Verbinde dich über authentifizierte WireGuard-Tunnel direkt mit Datenbanken, SSH-Servern, RDP-Hosts und ganzen Netzwerkbereichen. Das ähnelt dem Gerätemodell von Tailscale, doch Pangolin verwaltet die Steuerungsebene auf deinem eigenen VPS.
Beide Zugriffsarten verwaltest du über eine zentrale Dashboard-Oberfläche. Identitätsschicht, Zugriffsregeln und Audit-Logs bleiben gleich, unabhängig davon, ob ein Teammitglied eine Webanwendung über HTTPS öffnet oder per SSH auf einen Produktionsserver zugreift.
So funktioniert Pangolin: Architektur im Überblick
Pangolin läuft als vier Container auf deinem VPS-Hub, die Docker Compose koordiniert:
| Komponente | Ausführungsort | Aufgabe | Vergleich |
|---|---|---|---|
| Pangolin | Dein öffentlicher VPS | Steuerungsebene: Dashboard, Authentifizierung und Routing-Konfiguration | Der Hub |
| Gerbil | Dein öffentlicher VPS (neben Pangolin) | WireGuard-Schnittstellenverwaltung: erstellt und verwaltet den Tunnel | Die Tunnel-Engine |
| Traefik | Dein öffentlicher VPS (neben Pangolin) | Reverse Proxy: verarbeitet HTTPS und SSL-Zertifikate und leitet Datenverkehr an die richtige Website weiter | Die Verkehrsleitzentrale |
| Newt | Jedes private Netzwerk (Client) | Schlanker WireGuard-Site-Connector: stellt ausgehend eine Verbindung zu Gerbil her, ohne eingehende Ports zu benötigen | Der Außenknoten |
Eine Webanfrage durchläuft die Komponenten wie folgt: Ein Browser sendet HTTPS-Datenverkehr an Port 443 deines Pangolin-VPS. Der SNI-Proxy von Gerbil liest den Hostnamen und leitet die Anfrage an Traefik weiter. Dort liegt das gültige Let’s-Encrypt-Zertifikat, und Traefik übernimmt die SSL-Terminierung. Anschließend prüft Traefik die Routing-Konfiguration von Pangolin, ermittelt die Site beziehungsweise das private Netzwerk der Ressource und leitet die Anfrage durch den WireGuard-Tunnel an den Newt-Client in diesem Netzwerk weiter. Newt übergibt sie an den Backend-Dienst, etwa eine Gitea-Instanz, ein Prometheus-Dashboard oder einen Nextcloud-Server. Der Dienst benötigt weder eine öffentliche IP-Adresse noch einen offenen Port.
Der Zugriff auf private Ressourcen wie SSH, Datenbanken und RDP folgt demselben Pfad durch den WireGuard-Tunnel. Statt des Browsers übernimmt jedoch der native Pangolin-Client das Routing. So erhältst du eine echte Verbindung auf Netzwerkebene und keinen HTTP-Proxy.
Pangolin vs. Cloudflare Tunnel: die wichtigsten Unterschiede
Cloudflare Tunnel ist der naheliegende Vergleich, denn beide Tools stellen private Dienste im Internet bereit, ohne Ports zu öffnen. Der architektonische Unterschied ist grundlegend: Cloudflare Tunnel leitet deinen Datenverkehr durch das globale Edge-Netzwerk von Cloudflare. Dort terminiert Cloudflare TLS und kann deinen Anwendungsdatenverkehr vor der Weiterleitung im Klartext verarbeiten. Bei Pangolin bleibt dieser Vorgang vollständig auf deiner eigenen Infrastruktur.
| Kriterium | Pangolin (selbst gehostet) | Cloudflare Tunnel (verwaltet) |
|---|---|---|
| Hosting | Selbst auf deinem VPS gehostet; die Infrastruktur gehört dir | Von Cloudflare verwaltet; der Datenverkehr läuft durch das Edge-Netzwerk von Cloudflare |
| TLS-Terminierung | Deine Traefik-Instanz verarbeitet TLS; auf Servern von Drittanbietern sieht Pangolin keinen Klartext | Cloudflare terminiert TLS; der Datenverkehr wird im Edge-Netzwerk von Cloudflare entschlüsselt |
| Upload-Limits | Keine, abgesehen von der Bandbreite deines VPS | 100 MB pro Anfrage im kostenlosen Plan |
| Kosten | VPS-Kosten (ab etwa 8,75 €/Monat für Contabo Cloud VPS Plus 4) | Kostenloser Plan verfügbar; kostenpflichtige Pläne für erweiterte Funktionen |
| Kontrolle | Vollständig; du konfigurierst Routing, Zugriffsregeln und Ratenbegrenzungen | Auf die im Cloudflare-Dashboard angebotenen Optionen beschränkt |
| Videostreaming | Keine Einschränkungen durch die Nutzungsbedingungen | Im kostenlosen Plan durch die Nutzungsbedingungen von Cloudflare eingeschränkt |
Für Teams mit DSGVO-relevanten Anwendungen, Software aus dem Gesundheitswesen oder internen Diensten, deren Daten kein Drittanbieternetzwerk durchlaufen dürfen, ist das Self-Hosting-Modell von Pangolin eine Compliance-Anforderung und keine reine Präferenz.
Pangolin vs. Tailscale: welches Tool wofür passt
Pangolin und Tailscale decken teilweise dieselben, aber klar voneinander getrennte Anwendungsfälle ab. Bei Tailscale steht das Mesh-VPN im Mittelpunkt: Das Tool erstellt mit WireGuard verschlüsselte Punkt-zu-Punkt-Verbindungen zwischen Geräten, ohne dass ein Knoten eine öffentliche IP-Adresse benötigt. Seine Stärke liegt beim direkten Zugriff zwischen Geräten, zum Beispiel vom Laptop auf einen Heimserver oder für den Zugriff eines entfernten Teammitglieds auf interne Tools. Der kostenlose Plan von Tailscale bietet großzügige Grenzen und erfordert keine eigene Infrastruktur.
Bei Pangolin steht der Reverse Proxy im Mittelpunkt: Die Plattform benötigt einen VPS mit öffentlicher IP-Adresse als Hub und dient vor allem dazu, Webanwendungen mit identitätsbasierten Zugriffsregeln über HTTPS bereitzustellen. Gegenüber Tailscale hat Pangolin einen klaren Vorteil bei öffentlich erreichbaren Ressourcen für den Browser. Du erhältst eine reguläre HTTPS-URL, ein Let’s-Encrypt-Zertifikat und Zugriffsregeln für einzelne Ressourcen, ohne dass jeder Benutzer einen VPN Client installieren muss.
Seit Mitte 2026 erweitert Pangolin außerdem die Funktionen seiner nativen Clients für Android, Windows und die Kommandozeile. Damit nähert sich die Plattform beim VPN-Zugriff auf Geräte weiter an Tailscale an. Für ein reines Mesh-VPN ohne Anbieterabhängigkeit ist Headscale, die quelloffene und selbst gehostete Tailscale-Steuerungsebene, der passendere Vergleich. In der Praxis eignet sich Pangolin für authentifizierten HTTPS-Zugriff auf Webanwendungen. Tailscale oder Headscale passen besser, wenn du Mesh-Zugriff zwischen Geräten ohne Hub mit öffentlicher IP-Adresse brauchst.
Was du für Pangolin brauchst
Gemessen an typischer Serverinfrastruktur hat Pangolin geringe Anforderungen:
- Einen VPS mit öffentlicher IP-Adresse, da Pangolin für die Hub-Rolle nicht ausschließlich hinter NAT laufen kann
- Docker und Docker Compose auf dem VPS
- Eine Domain oder Subdomain unter deiner Kontrolle für HTTPS; Traefik verwaltet Let’s Encrypt automatisch
- Die offenen Ports 80 und 443 auf dem VPS für die HTTP-Challenge zur Zertifikatsausstellung und den HTTPS-Datenverkehr
- Den offenen Port 51820/UDP für den WireGuard-Tunnelverkehr der Newt-Clients
Das offizielle Installationsskript verwaltet die gesamte Container-Orchestrierung. Es konfiguriert und startet Pangolin, Gerbil und Traefik mit einem einzigen interaktiven Befehl. Newt installierst du in jedem privaten Netzwerk als einzelne Binärdatei oder als Docker-Container. Dafür sind drei Umgebungsvariablen nötig: der Pangolin-Endpunkt, eine Site-ID und ein geheimes Token.
Warum Pangolin auf einem Contabo VPS laufen kann
Die Architektur von Pangolin erfordert einen VPS mit öffentlicher IP-Adresse als Hub. Dessen Hauptaufgaben sind der Betrieb von vier Containern für Pangolin, Gerbil, Traefik und die API der Steuerungsebene sowie die Verwaltung von WireGuard-Sitzungen und des HTTPS-Routings. Für diese Arbeitslast reicht ein VPS mit moderater Ausstattung aus.
Contabo Cloud VPS Plus 4 bietet 4 Kerne, 8 GB RAM und 150 GB NVMe für 8,75 € pro Monat. Damit deckt er die Hub-Rolle für die meisten Installationen vom Homelab bis zum kleinen Unternehmen gut ab. Der NVMe-Speicher dient Traefik zur Ablage des Zertifikatsstatus und der aktiven Tunnelkonfiguration. Durch das Verhältnis von RAM zu Preis bietet Plus 4 außerdem genug Reserven, um Pangolin zusammen mit anderen selbst gehosteten Diensten auf demselben VPS zu betreiben. Du musst keinen separaten Server allein für den Tunnel-Hub vorhalten.
Für größere Installationen mit mehreren Dutzend gleichzeitigen Tunnel-Sitzungen bietet Cloud VPS Plus 6 mit 12 GB RAM für 13,50 € pro Monat zusätzliche Reserven. VPS-Standorte in der EU erfüllen außerdem Anforderungen an den Datenspeicherort für Teams, die vertraulichen Datenverkehr durch Pangolin leiten.
FAQ: Pangolin
Wofür wird Pangolin verwendet?
Mit Pangolin stellst du private Dienste wie Homelab-Dashboards, interne Webanwendungen, Datenbanken und SSH-Server sicher im Internet oder für ein Team bereit, ohne eingehende Firewall-Ports im privaten Netzwerk zu öffnen. Die Plattform ersetzt die Kombination aus Cloudflare Tunnel für Webzugriffe und Tailscale für Gerätezugriffe durch einen selbst gehosteten Stack. Der gesamte Datenverkehr bleibt auf der Infrastruktur, die du kontrollierst.
Ersetzt Pangolin Cloudflare Tunnel?
Für Teams, die vollständige Datensouveränität benötigen und deren Datenverkehr das Edge-Netzwerk von Cloudflare nicht durchlaufen darf, ist Pangolin ein direkter Ersatz. Die Plattform bildet die Kernfunktion von Cloudflare Tunnel auf selbst gehosteter Infrastruktur ab: private Webdienste per HTTPS bereitstellen, ohne Ports zu öffnen. Dafür verwaltest du den VPS-Hub selbst. Wenn du keine Anforderungen an den Datenspeicherort hast und keine Infrastruktur verwalten möchtest, ist der kostenlose Plan von Cloudflare Tunnel einfacher zu betreiben.
Ersetzt Pangolin Tailscale?
Teilweise. Für browserbasierten Zugriff auf Webanwendungen mit identitätsbasierten Regeln für einzelne Ressourcen ist Pangolin besser geeignet. Für reinen Mesh-Zugriff zwischen Geräten, etwa vom Laptop direkt auf einen Heimserver ohne Hub mit öffentlicher IP-Adresse, ist die Architektur von Tailscale einfacher und benötigt keinen VPS. Während die nativen Pangolin-Clients für Android, Windows und die Kommandozeile weiterentwickelt werden, wird der Abstand kleiner. Mitte 2026 eignen sich Tailscale oder Headscale weiterhin besser für reine Mesh-VPN-Workloads.
Welchen VPS benötigt Pangolin?
Geeignet ist jeder Linux-VPS mit öffentlicher IP-Adresse, Docker und offenen Ports 443 sowie 51820/UDP. Für einen Hub in einem typischen Homelab oder einem kleinen Team reichen 2 bis 4 GB RAM und 2 vCPUs aus. Contabo Cloud VPS Plus 4 mit 4 Kernen, 8 GB RAM und einem Preis von 8,75 € pro Monat bietet genug Reserven, um Pangolin zusammen mit anderen Diensten zu hosten. Größere Installationen mit vielen gleichzeitigen Tunnel-Sitzungen profitieren von Plus 6 mit 12 GB RAM für 13,50 € pro Monat.
Ist Pangolin kostenlos?
Die Community Edition ist kostenlos und unter AGPL-3.0 quelloffen. Sie umfasst die vollständige selbst gehostete Bereitstellung ohne feste Benutzer- oder Site-Limits. Die Grenzen ergeben sich aus der Kapazität deines VPS. Eine Enterprise Edition bietet eine kommerzielle Lizenz für Organisationen mit mehr als 100.000 $ Jahresumsatz. Für Teams, die den Funktionsumfang ohne eigene Infrastruktur nutzen möchten, gibt es außerdem eine verwaltete Pangolin Cloud mit einem kostenlosen Plan für bis zu 5 Benutzer und 5 Sites.
Hinweis: Die in diesem Artikel genannten Produktspezifikationen, Funktionen und Preise können sich ändern und je nach Region, Abrechnungszeitraum und laufender Aktion abweichen. Prüfe die offizielle Website des jeweiligen Anbieters oder der jeweiligen Marke, um aktuelle Angaben, Preise und lokale Wechselkurse zu erhalten.
