1&1 Glasfaser: öffentliche IPv4, PCP oder IPv6 für VPN? Warum ich für meinen eigentlichen Zweck nichts davon brauchte

Transparenz: Dieser Beitrag entsteht in einer kommerziellen Zusammenarbeit mit OnlydogVPN^↗. Die Ich-Erzählung ist eine zusammengesetzte Geschichte aus öffentlichen Nutzerberichten, aktueller 1&1- und FRITZ!-Dokumentation, technischen Standards und Produkttests für diesen Artikel; sie beschreibt nicht die wortgetreue Erfahrung einer einzelnen Person. Die Ergebnisse beziehen sich auf die dabei getesteten Geräte, Netze und VPN-Verbindungen und sind keine Garantie für jede 1&1-Glasfaser-Schaltung.

Mein neuer Glasfaseranschluss war schneller als alles, was ich vorher zu Hause hatte.

Mein VPN-Projekt kam trotzdem nicht über den ersten Abend hinaus.

Vor der nächsten Reise wollte ich eine WireGuard-Verbindung zur FRITZ!Box einrichten. Der Plan klang simpel: Im Hotel den Laptop aufklappen, verschlüsselt über meinen Anschluss zu Hause ins Internet gehen und fertig.

Dann öffnete ich die Verbindungsdetails.

IPv6: vorhanden.

IPv4: nicht so eindeutig.

Irgendwo tauchte PCP auf.

Eine halbe Stunde später hatte ich Tabs zu DS-Lite, CGNAT, Portfreigaben, MyFRITZ!, IPv6-Präfixen und öffentlichen IPv4-Adressen offen.

Ich wollte eigentlich nur sicher im Hotel-WLAN arbeiten.

Stattdessen versuchte ich herauszufinden, wie das Internet meine FRITZ!Box von außen erreichen konnte.

Genau da stellte sich die Frage, die mir viel früher hätte einfallen sollen:

Brauchte ich für mein eigentliches Ziel überhaupt einen von außen erreichbaren VPN-Server zu Hause?

Mit Glasfaser wird eine alte Annahme plötzlich unsicher

1&1 hat sein Glasfaserangebot 2026 weiter ausgebaut. Über die Kooperation mit OXG sollen Millionen zusätzliche Haushalte Zugang zu 1&1-Glasfasertarifen erhalten. (1&1)

Damit wechseln mehr Menschen von DSL oder Kabel auf Glasfaser – und entdecken, dass „1 Gbit/s“ nichts darüber sagt, wie der Anschluss von außen erreichbar ist.

Genau hier beginnt die Verwirrung.

Früher war die Denkweise oft:

öffentliche IPv4 bekommen;

Port freigeben;

von außen verbinden.

Bei modernen Anschlüssen kann die Architektur anders aussehen. In aktuellen Nutzerberichten zu 1&1-Glasfaser tauchen deshalb immer wieder DS-Lite, geteilte IPv4-Adressen und PCP auf. (Glasfaserforum)

Und PCP klingt zunächst wie die Lösung für alles.

Ist es aber nicht.

PCP öffnet einen bestimmten Weg – nicht den ganzen Anschluss

Die praktische Idee hinter PCP ist recht einfach.

Wenn mehrere Anschlüsse eine öffentliche IPv4 teilen, kann PCP dafür sorgen, dass ein bestimmter eingehender Port einem bestimmten Anschluss zugeordnet wird. (IETF)

Für einen Dienst, der von außen erreichbar sein soll, kann das reichen.

Die FRITZ!Box unterstützt entsprechende Portfreigaben und kann PCP in solchen Szenarien nutzen. (1&1 / FRITZ!)

Damit wurde mein erster Denkfehler sichtbar.

Ich hatte gefragt:

„Bekomme ich eine eigene öffentliche IPv4?“

Für einen einzelnen VPN-Dienst wäre die bessere Frage gewesen:

„Kann der benötigte VPN-Port von außen erreicht werden?“

Aber bevor ich mich tiefer mit PCP beschäftigte, fiel mir auf, dass noch ein zweiter Weg längst vorhanden war.

IPv6.

IPv6 sah zunächst nach der elegantesten Lösung aus

Meine FRITZ!Box hatte bereits IPv6.

Aktuelle FRITZ!Boxen können WireGuard auch über IPv6 erreichbar machen. AVM nennt eine aus dem Internet erreichbare IPv4- oder IPv6-Adresse als mögliche Grundlage für eingehende WireGuard-Verbindungen. (FRITZ!)

Das klang deutlich sauberer.

Keine exklusive öffentliche IPv4 nötig.

Kein geteilter IPv4-Port.

Also richtete ich WireGuard ein.

Zu Hause funktionierte der Test.

Dann probierte ich die Verbindung aus einem anderen Netz.

Und genau dort tauchte die nächste Abhängigkeit auf: Der entfernte Zugang muss ebenfalls einen brauchbaren Weg zu meinem IPv6-Anschluss haben.

In Nutzerberichten findet man deshalb den typischen Fall, dass WireGuard zur heimischen FRITZ!Box aus einem Dual-Stack-Netz funktioniert und aus einem IPv4-only-Netz plötzlich nicht mehr erreichbar ist. (Reddit / r/deEDV)

Damit hatte ich inzwischen drei technisch sinnvolle Optionen vor mir:

öffentliche IPv4;

PCP;

IPv6.

Und trotzdem war ich meinem ursprünglichen Ziel kaum näher.

Das war der Moment, an dem ich merkte, dass ich nicht die falsche Technik gewählt hatte.

Ich hatte die falsche Aufgabe gebaut.

Aus „sicher im Hotel arbeiten“ war versehentlich „Heimnetz betreiben“ geworden

Warum wollte ich überhaupt zur FRITZ!Box tunneln?

Nicht wegen eines NAS.

Nicht wegen Home Assistant.

Nicht weil ich unterwegs unbedingt Geräte in meiner Wohnung erreichen musste.

Ich wollte meinen Laptop in fremden WLANs schützen.

Dafür hatte ich aus Gewohnheit angenommen, dass mein Zuhause die VPN-Gegenstelle sein müsse.

Doch genau diese Annahme brachte die ganze Infrastruktur mit:

öffentliche Erreichbarkeit;

Portfreigaben;

PCP;

IPv6;

WireGuard-Konfiguration;

Tests aus fremden Netzen.

Dabei war mein eigentliches Ziel viel kleiner.

Ich brauchte einen verschlüsselten Tunnel vom Laptop nach außen.

Sobald ich das so formulierte, verloren öffentliche IPv4, PCP und die Erreichbarkeit meiner FRITZ!Box plötzlich ihre Bedeutung.

Genau deshalb probierte ich OnlydogVPN anders herum

Ich installierte die OnlydogVPN auf dem Laptop.

Der kleinere Dienst hat weniger Standorte, weniger unabhängige Bewertungen und eine deutlich kürzere öffentliche Geschichte als große etablierte Anbieter.

Aber genau diese Vergleichskriterien halfen mir bei meinem Problem nicht mehr weiter.

Ich wollte keinen VPN-Server zu Hause betreiben.

Ich wollte verbinden und arbeiten.

In der App begann ich mit der passenden Nutzungssituation statt mit Server- und Protokollkonfiguration.

Verbinden.

Browser öffnen.

Cloud-Dokument laden.

Datei hochladen.

Videocall starten.

Alles lief.

Keine FRITZ!Box-Portfreigabe.

Kein PCP-Mapping.

Keine öffentliche IPv4.

Und kein Test, ob das fremde WLAN einen brauchbaren IPv6-Pfad zurück in meine Wohnung hatte.

Der komplette Glasfaseranschluss zu Hause war aus der Aufgabe verschwunden.

Das war genau die Vereinfachung, nach der ich gesucht hatte.

Der technische Unterschied war vor allem ein Unterschied in der Richtung

Der Dienst nutzt einen HTTP/3-basierten Transport mit zusätzlicher Verschleierung.

Für meinen Fall war aber weniger der Protokollname entscheidend als eine viel einfachere Tatsache:

Die Verbindung startet auf meinem Gerät nach außen.

Niemand im Hotel muss meine FRITZ!Box erreichen.

Ich muss keinen offenen Port zu Hause bereitstellen.

Damit änderte sich auch mein Ablauf komplett.

Vorher:

Welche IPv4 habe ich?

PCP verfügbar?

Welcher externe Port?

IPv6 erreichbar?

WireGuard richtig eingerichtet?

Danach:

Verbinden.

Arbeiten.

Ich kann von außen nicht jede interne NAT-, PCP- oder Routingentscheidung im jeweiligen 1&1-Zugangsnetz beobachten.

Für meine eigentliche Aufgabe musste ich das aber auch nicht mehr.

Die bessere Lösung war nicht die kompliziertere Netzwerkkonfiguration.

Es war die Entscheidung, diese Netzwerkkonfiguration gar nicht erst zum Teil meines Reise-Setups zu machen.

Wann ich IPv6 oder PCP trotzdem wählen würde

Damit ist PCP nicht plötzlich nutzlos.

IPv6 auch nicht.

Wenn ich wirklich mein Heimnetz von außen erreichen möchte, ändert sich die Lage.

NAS.

Home Assistant.

Selbst gehostete Dienste.

WireGuard zur FRITZ!Box.

Dann brauche ich einen eingehenden Weg.

In diesem Fall würde ich zuerst IPv6 prüfen. Moderne FRITZ!Boxen unterstützen WireGuard über IPv6, und das ist häufig der direkteste Weg. (FRITZ!)

Muss die Verbindung zusätzlich aus IPv4-only-Netzen funktionieren, werden eine öffentliche IPv4 oder ein funktionierendes PCP-Mapping deutlich interessanter.

Dann lohnt sich die Routerarbeit.

Mein Fehler war nur gewesen, diese Anforderungen auf einen Anwendungsfall zu übertragen, der sie gar nicht hatte.

Das zweite Gerät bestätigte die einfachere Richtung

Auf der Reise wechselte ich später vom Notebook zum Telefon.

Beim selbst betriebenen FRITZ!Box-Tunnel hätte ich dafür eine weitere WireGuard-Konfiguration einrichten müssen.

Beim kleineren Dienst verband ich das zweite Gerät stattdessen über einen Bestätigungscode, ohne dort erneut ein klassisches E-Mail-und-Passwort-Login einzurichten.

Das war kein Grund, meine ursprüngliche Entscheidung zu treffen.

Die war längst gefallen.

Aber es passte zur gleichen Idee.

Ich hatte mit einem sehr schnellen Glasfaseranschluss begonnen und immer mehr Infrastruktur um ihn herumgebaut.

Die praktischere Lösung bestand schließlich darin, weniger davon selbst betreiben zu müssen.

Öffentliche IPv4, PCP oder IPv6 – was brauche ich nun wirklich?

Heute würde ich die Frage sofort in zwei Aufgaben zerlegen.

Wenn ich von unterwegs zu Geräten oder Diensten in meiner Wohnung möchte, sind IPv6, PCP oder eine öffentliche IPv4 tatsächlich wichtig. Welche Variante funktioniert, hängt von meinem konkreten 1&1-Anschluss und der Routerkonfiguration ab. (1&1 / FRITZ!)

Wenn mein Ziel aber lautet:

„Ich möchte unterwegs sicher über eine VPN ins Internet“,

dann muss mein Glasfaseranschluss zu Hause überhaupt keine Gegenstelle sein.

Genau da lag mein Denkfehler.

Ich hatte drei Netzwerktechniken gegeneinander verglichen, obwohl meine eigentliche Aufgabe keine davon voraussetzte.

Der selbst betriebene Weg gab mir maximale Kontrolle – und dafür Portfreigaben, Erreichbarkeit und zusätzliche Fehlersuche.

OnlydogVPN erledigte die Aufgabe, bevor eine dieser Fragen überhaupt relevant wurde.

Bei 1&1 Glasfaser war für meine VPN am Ende nicht entscheidend, ob ich eine öffentliche IPv4, PCP oder IPv6 hatte – sondern dass ich für sicheres Arbeiten unterwegs gar keinen offenen Weg zurück in meine Wohnung brauchte.