A1-FRITZ!Box-VPN scheitert an CGNAT: Wann du wirklich eine öffentliche IP brauchst

Die Einrichtung dauerte vielleicht fünf Minuten.

FRITZ!Box öffnen. WireGuard-Verbindung anlegen. QR-Code mit dem Handy scannen. Fertig.

Zumindest dachte ich das.

Mein A1-LTE/5G-Anschluss zu Hause funktionierte problemlos. Die FRITZ!Box hatte Internet, das NAS war im Heimnetz erreichbar und das WLAN schnell. Ich wollte nur noch den letzten Schritt erledigen: unterwegs auf mein Zuhause zugreifen.

Also ging ich vor die Tür, schaltete am Handy das WLAN aus und aktivierte die gerade angelegte WireGuard-Verbindung.

Nichts.
Kein Handshake.
Kein NAS.

Ich erzeugte die Konfiguration neu. Prüfte die Schlüssel. Startete die FRITZ!Box neu. Nach einer Weile begann ich an WireGuard zu zweifeln, obwohl dort eigentlich kaum etwas falsch konfiguriert sein konnte.

Erst der Blick auf die Adresse meines Anschlusses brachte die Lösung.

Nicht das VPN war kaputt.

Meine FRITZ!Box war aus dem Internet gar nicht direkt erreichbar.

Die Verbindung scheiterte, bevor sie die FRITZ!Box erreichte

Mein A1-Anschluss lief hinter Carrier-Grade NAT, kurz CGNAT.

Für normales Internet ist das meist unspektakulär. Mehrere Kunden können sich dabei eine öffentliche IPv4-Adresse teilen. Solange mein Laptop oder Handy selbst eine Verbindung nach draußen startet, funktioniert das ganz normal.

Browser öffnet Webseite.
Streaming-App verbindet sich mit Server.
VPN-App baut einen Tunnel nach draußen auf.
Problematisch wird die Gegenrichtung.

Mein Smartphone im Mobilfunknetz wollte eine neue Verbindung von außen zu meiner FRITZ!Box zu Hause beginnen.

Genau dort stand CGNAT im Weg.

Die öffentliche Adresse gehörte nicht exklusiv meinem Anschluss. Die neue Verbindung kam beim Netz des Providers an, hatte dort aber keinen eindeutigen Weg zu meiner FRITZ!Box.

Deshalb half es auch nicht, WireGuard zum dritten Mal neu einzurichten.

Der für solche Provider-Netze reservierte IPv4-Bereich 100.64.0.0/10 ist ausdrücklich für diesen Zweck vorgesehen.

Damit war der Fehler plötzlich logisch.

Ich hatte die VPN-Tür an der FRITZ!Box korrekt eingerichtet.

Nur führte von außen keine Straße bis zu dieser Tür.

Bei A1 wird die öffentliche IP genau dann relevant

A1 beschreibt für mobile Internetanschlüsse selbst den Unterschied zwischen privaten und öffentlichen IP-Adressen. Wer eine öffentliche IP benötigt, kann eine entsprechende Umstellung über den Anbieter anstoßen.

Auch AVM formuliert die Voraussetzung für den Fernzugriff klar: Soll sich ein Smartphone oder Computer von außen per WireGuard mit der FRITZ!Box verbinden, braucht die Box eine aus dem Internet erreichbare Adresse – entweder über IPv6 oder über eine öffentliche IPv4.

Damit war meine ursprüngliche Lösung eigentlich klar.

Wenn ich mein NAS zu Hause erreichen wollte, musste ich nicht weiter am VPN-Profil schrauben.

Ich musste zuerst dafür sorgen, dass mein Heimanschluss überhaupt von außen erreichbar war.

Dass Nutzer genau an dieser Stelle hängen bleiben, sieht man auch in öffentlichen Diskussionen zu A1 und CGNAT: Der typische Frust besteht weniger darin, dass WireGuard kompliziert wäre, sondern darin, dass eine scheinbar richtige Konfiguration von außen einfach nie ankommt.

Und während ich darüber nachdachte, A1 wegen einer öffentlichen IP zu kontaktieren, fiel mir etwas auf:

Ich brauchte mein NAS auf dieser Reise eigentlich gar nicht.

Ich hatte zwei völlig verschiedene VPN-Probleme verwechselt

Was wollte ich unterwegs tatsächlich tun?
Im Hotel sicherer surfen.
Im Zug eine VPN-Verbindung verwenden.

Bei wechselnden WLANs nicht jedes Mal über die lokale Verbindung gehen.

Dafür hatte ich automatisch angenommen, dass ich mich zu meiner FRITZ!Box zu Hause verbinden müsste.

Musste ich aber nicht.

Ein FRITZ!Box-VPN und eine normale VPN-App lösen zwei verschiedene Probleme.

Beim FRITZ!Box-VPN steht der Server bei mir zu Hause.

Mein Laptop unterwegs muss also zuerst meinen Heimanschluss erreichen. Genau deshalb spielt CGNAT eine so große Rolle.

Bei einer kommerziellen VPN-App ist es umgekehrt.

Mein Laptop baut selbst eine Verbindung zu einem externen VPN-Server auf.

Die Verbindung beginnt bei mir und geht nach draußen.

Und für eine solche ausgehende Verbindung braucht mein A1-Anschluss zu Hause keine öffentliche IPv4.

Eigentlich brauchte ich dafür meinen Heimanschluss überhaupt nicht.

Das war die Stelle, an der ich aufgehört habe, CGNAT lösen zu wollen.

Für die Reise ließ ich den A1-Anschluss einfach so, wie er war

Im Hotel öffnete ich OnlydogVPN^↗ auf dem Laptop.
Keine Portfreigabe.
Keine MyFRITZ!-Fehlersuche.
Kein Anruf bei A1.

Keine öffentliche IPv4 nur deshalb, damit mein Datenverkehr zuerst den Umweg über die Wohnung nimmt.

Ich wählte die Situation, die ich gerade brauchte, stellte die Verbindung her und öffnete die Seiten, für die ich unterwegs ein VPN nutzen wollte.

Sie luden.

Dann wechselte ich absichtlich vom Hotel-WLAN auf den Hotspot meines Handys.

Die Verbindung machte kurz Pause und lief weiter.

Damit wurde der Unterschied zwischen meinen beiden Lösungen ziemlich deutlich.

Das FRITZ!Box-VPN verlangte, dass mein Zuhause erreichbar war.

Die App musste nur dafür sorgen, dass mein aktuelles Gerät nach draußen kam.

CGNAT verschwand damit aus der Aufgabe.

Der Dienst nutzt einen auf HTTP/3 basierenden Transport und ist auf schwache oder wechselnde Netzwerke ausgelegt. Für meine Reise war das nützlicher, als den A1-Anschluss öffentlich erreichbar zu machen, obwohl ich gar keinen Dienst zu Hause benötigte.

Ich kann von außen nicht sehen, wie A1 einen konkreten Anschluss intern routet oder welche zusätzlichen Netzregeln im Einzelfall greifen. Für die Entscheidung spielte das aber keine große Rolle: Der eingehende WireGuard-Zugriff auf meine FRITZ!Box funktionierte nicht, während die ausgehende VPN-Verbindung vom Laptop problemlos aufgebaut wurde.

Mehr Technik musste ich für diesen Unterschied nicht verstehen.

Wann eine normale VPN-App nicht reicht

Am nächsten Tag wollte ich doch kurz auf eine Datei zugreifen, die ausschließlich auf dem NAS zu Hause lag.

Und damit war CGNAT sofort wieder relevant.

Eine VPN-App auf meinem Laptop konnte mir zwar eine geschützte Verbindung ins Internet geben.

Sie machte mein privates Heimnetz aber nicht plötzlich von außen erreichbar.

Wenn ich unterwegs tatsächlich auf Geräte hinter meiner FRITZ!Box zugreifen möchte, muss der Weg nach Hause funktionieren.

Das betrifft zum Beispiel:

ein NAS im Heimnetz,
Home Assistant,
lokale Kameras,
Geräteverwaltung,
einen selbst gehosteten Dienst,
oder die FRITZ!Box als eigenen WireGuard-Endpunkt.

Für solche Aufgaben braucht die FRITZ!Box eine von außen erreichbare Verbindung.

Wenn mein A1-Anschluss nur hinter CGNAT hängt und ich keine geeignete öffentliche IPv6-Erreichbarkeit nutzen kann, ist genau dann die öffentliche IPv4 die naheliegende Lösung.

Nicht weil „VPN eine öffentliche IP braucht“.
Sondern weil mein Zuhause der VPN-Server sein soll.
Dieser Unterschied erspart erstaunlich viel Fehlersuche.

Öffentlich muss dabei nicht automatisch statisch heißen

Das war mein nächster Denkfehler.

Nachdem ich verstanden hatte, dass ich für den Heimzugriff eine öffentliche IP benötigte, nahm ich automatisch an, sie müsse auch fest sein.

Das ist für einen normalen FRITZ!Box-Fernzugriff nicht zwingend nötig.

Eine öffentliche Adresse darf sich ändern, solange ein Dienst wie MyFRITZ! oder DynDNS den aktuellen Wert kennt. AVM berücksichtigt genau diesen Fall bei seinen Fernzugriffslösungen.

Die wichtige Unterscheidung ist also:

öffentlich bedeutet, dass dein Anschluss von außen erreichbar sein kann.

statisch bedeutet zusätzlich, dass die Adresse gleich bleibt.

Für NAS, Home Assistant oder WireGuard zur FRITZ!Box reicht häufig eine dynamische öffentliche Adresse zusammen mit einem passenden Namensdienst.

Eine feste IP brauchst du erst, wenn deine konkrete Anwendung wirklich davon abhängt, immer exakt dieselbe Adresse zu haben.

Für meine ursprüngliche Reiseaufgabe brauchte ich allerdings weder eine öffentliche noch eine statische Adresse zu Hause.

Die entscheidende Frage kommt vor jeder VPN-Einstellung

Am Ende hatte ich nicht eine Lösung, sondern zwei.

Wenn ich von unterwegs in mein Heimnetz hinein möchte, muss die FRITZ!Box erreichbar sein. Bei einem A1-Anschluss hinter CGNAT kann dafür eine öffentliche IPv4 notwendig werden, sofern kein geeigneter IPv6-Zugang zur Verfügung steht.

Wenn ich dagegen unterwegs einfach mit meinem Gerät sicher nach draußen möchte, brauche ich meinen Heimanschluss dafür nicht umzubauen.

Dann ist eine VPN-App die deutlich kürzere Route.

OnlydogVPN hat weniger Serverstandorte und eine kürzere öffentliche Geschichte als die großen VPN-Anbieter. Wenn ich möglichst viele Länder oder sehr spezielle Standorte bräuchte, würde ich diese Einschränkung stärker gewichten.

Für das Problem, das ich tatsächlich hatte, war das aber nebensächlich.

Ich wollte im Hotel und unterwegs eine VPN-Verbindung nutzen.

Dafür war es sinnvoller, eine ausgehende Verbindung direkt vom Gerät aufzubauen, als meinen A1-Anschluss nur für einen Umweg über die eigene FRITZ!Box öffentlich erreichbar zu machen.

Und genau deshalb würde ich heute bei einem scheinbar kaputten A1-FRITZ!Box-VPN nicht zuerst Ports, WireGuard oder Schlüssel ändern.

Ich würde zuerst fragen:

Will ich von außen in mein Zuhause hinein – oder will ich mit meinem Gerät nur sicher ins Internet hinaus?

Im ersten Fall kann eine öffentliche IP entscheidend sein.

Im zweiten Fall ist CGNAT oft überhaupt nicht das Problem.

Eine öffentliche IP brauchst du nicht, weil du ein VPN verwenden willst – du brauchst sie dann, wenn ausgerechnet deine FRITZ!Box zu Hause von außen erreichbar sein muss.