[LÖSUNG] Mullvad VPN + firewalld auf Leap 16.0 – Kill Switch & Firewall funktionieren zusammen

Hallo zusammen!

Nach längerem Herumprobieren habe ich endlich eine stabile Lösung gefunden, um Mullvad VPN zusammen mit firewalld auf openSUSE Leap 16.0 zum Laufen zu bringen – inklusive funktionierendem Kill Switch!

🔴 DAS PROBLEM:

Auf Leap 16.0 (Kernel 6.12.x, reines nftables) gab es bei mir ständige Konflikte zwischen Mullvads Kill Switch und firewalld:

- Beim Systemstart konnte ich mich nicht verbinden

- Mullvad-GUI zeigte Fehlermeldungen ("Firewallregeln konnten nicht angewendet werden")

- Kill Switch funktionierte nicht oder blockierte das gesamte Internet

- Ich musste nach jedem Boot "nft flush ruleset" ausführen, um überhaupt ins Internet zu kommen

🟢 DIE LÖSUNG:

Statt firewalld zu deaktivieren oder Mullvad ohne Kill Switch zu nutzen, habe ich eine dedizierte firewalld-Zone für das Mullvad-Interface erstellt. Ein NetworkManager-Dispatcher-Skript sorgt automatisch dafür, dass das WireGuard-Interface beim Verbinden in diese Zone verschoben wird.

✅ SCHRITT-FÜR-SCHRITT-ANLEITUNG:

📦 QUELLE DER MULLVAD-RPM:

Die funktionierende Version habe ich direkt von Mullvad bezogen:

https://mullvad.net/download/app/rpm/latest

Das openSUSE-Community-Paket aus den OBS-Repositories hatte bei mir

Probleme mit systemd/nftables unter Leap 16.0. Die offizielle RPM von

Mullvad ist aktuell, korrekt gepackt und funktioniert stabil.

1️⃣ Dedizierte firewalld-Zone erstellen (einmalig):

sudo firewall-cmd --permanent --new-zone=mullvad
sudo firewall-cmd --permanent --zone=mullvad --set-target=ACCEPT
sudo firewall-cmd --reload

2️⃣ NetworkManager-Dispatcher-Skript erstellen:

sudo tee /etc/NetworkManager/dispatcher.d/10-mullvad.sh > /dev/null <<'EOF'
#!/bin/bash
IFACE="$1"
ACTION="$2"


# Mullvad nutzt Interfaces wie wg-mullvad oder *-wg-*
if [[ "$IFACE" == *wg* && "$ACTION" == "up" ]]; then
firewall-cmd --zone=mullvad --add-interface="$IFACE"
logger -t mullvad-dispatcher "Added $IFACE to mullvad zone"
elif [[ "$IFACE" == *wg* && "$ACTION" == "down" ]]; then
firewall-cmd --zone=mullvad --remove-interface="$IFACE"
logger -t mullvad-dispatcher "Removed $IFACE from mullvad zone"
fi
EOF


sudo chmod 755 /etc/NetworkManager/dispatcher.d/10-mullvad.sh
sudo chown root:root /etc/NetworkManager/dispatcher.d/10-mullvad.sh

3️⃣ NetworkManager neu laden:

sudo systemctl reload NetworkManager

4️⃣ Mullvad verbinden – fertig!

mullvad connect

🎯 WAS PASSIERT HIER?

- Das Skript wird automatisch ausgeführt, sobald NetworkManager ein WireGuard-Interface erstellt

- Das Mullvad-Interface wird in die "mullvad"-Zone verschoben (TARGET=ACCEPT = kein Filtering)

- firewalld blockiert nicht mehr Mullvads eigene nftables-Regeln

- Der Kill Switch kann jetzt funktionieren, ohne mit firewalld zu kollidieren

- Beim Trennen wird das Interface automatisch wieder entfernt

✅ ERGEBNIS:

- ✅ firewalld bleibt aktiv (Schutz für andere Interfaces)

- ✅ Mullvad Kill Switch funktioniert

- ✅ Keine manuellen Eingriffe nach dem Boot nötig

- ✅ Automatisches Verbinden funktioniert

- ✅ System bleibt sicher und stabil

🔍 TESTEN:

# Prüfen ob das Interface in der richtigen Zone ist
sudo firewall-cmd --zone=mullvad --list-interfaces
# Sollte z.B. "wg-mullvad" ausgeben, wenn VPN verbunden ist

💡 HINTERGRUND:

Das Problem war, dass firewalld und Mullvad beide versuchen, nftables zu verwalten. Durch die dedizierte Zone entziehe ich das Mullvad-Interface firewallds Filter-Logik, ohne firewalld komplett zu deaktivieren.

Hoffe, das hilft anderen Leap-16-Nutzern! Bei Fragen gerne melden.

Viele Grüße,

nilsholgerson