A1-VPN funktioniert nicht: Warum der Firmen-VPN über den Hotspot läuft – aber zu Hause hängen bleibt

Um 8:47 Uhr zeigte mein Firmen-VPN noch immer „Verbindung wird hergestellt“.

Der Laptop hatte Internet. Outlook synchronisierte. Webseiten öffneten sich. Nur der Zugang zum Firmennetz kam nicht zustande.

Also begann die übliche Fehlersuche: VPN schließen, neu starten. WLAN trennen. Windows neu verbinden. Rechner neu starten.

Nichts.

Dann nahm ich mein Telefon, aktivierte den mobilen Hotspot und verband denselben Laptop damit.

Firmen-VPN anklicken.

Drei Sekunden später war ich drin.

Das interne Laufwerk erschien. Die Firmenanwendung öffnete sich.

Damit hatte ich den wichtigsten Test des Morgens eigentlich schon gemacht. Denn zwischen beiden Versuchen waren Laptop, VPN-Client, Zertifikat und Zugangsdaten gleich geblieben.

Geändert hatte sich nur der Weg ins Internet.

Wenn der Hotspot funktioniert, wird der Heimanschluss interessant

Zurück im A1-Netz scheiterte die Verbindung wieder.

Hotspot an: funktioniert.

A1 an: hängt.

Spätestens an diesem Punkt ergab es wenig Sinn, zum fünften Mal Benutzername oder VPN-Profil zu kontrollieren. Der Firmen-VPN konnte grundsätzlich funktionieren. Die Frage war jetzt, warum er über diese Internetverbindung nicht sauber durchkam.

Bei A1 können je nach Anschluss private IP-Adressen und Carrier Grade NAT eine Rolle spielen. A1 selbst weist darauf hin, dass eine öffentliche IPv4-Adresse für bestimmte VPN- und Erreichbarkeitsszenarien relevant sein kann. (A1 Österreich)

Das klingt technischer, als es für meine Fehlersuche sein musste.

Für mich bedeutete es nur: Ein Anschluss kann normales Surfen problemlos ermöglichen und trotzdem mit einem bestimmten Firmen-VPN Schwierigkeiten haben.

Genau dieses Muster taucht auch in öffentlichen Nutzerberichten auf: gleicher Arbeitsrechner, gleicher VPN-Zugang, über den Mobilfunk-Hotspot funktioniert es – über den Heimanschluss nicht.

Das reichte, um meine Aufmerksamkeit vom Laptop wegzulenken.

Warum Browser und Firmen-VPN sich unterschiedlich verhalten können

Unser Firmenzugang verwendete IPsec.

Solche Verbindungen sind stärker davon abhängig, wie Router und Provider bestimmte UDP-Verbindungen und NAT behandeln. Für IPsec kommen dabei typischerweise UDP 500 und bei NAT-Traversal UDP 4500 ins Spiel.

Mehr musste ich an diesem Morgen nicht wissen.

Mein Browser und Teams konnten über A1 funktionieren, während der Firmen-VPN trotzdem hängen blieb. Das war kein Widerspruch. Es waren schlicht unterschiedliche Verkehrswege mit unterschiedlichen Anforderungen.

Damit war auch klar, dass der nächste Router-Neustart wahrscheinlich weniger bringen würde als ein Gespräch mit A1 oder unserer IT.

Nur hatte ich dafür gerade keine Zeit.

Um neun begann eine Kundenbesprechung.

Ich musste den Firmen-VPN nicht sofort reparieren, um weiterarbeiten zu können

Die Präsentation lag bereits auf meinem Laptop.

Für die nächste Stunde brauchte ich Teams, einen webbasierten Projektraum, Browser und Cloud-Speicher. Nur eine interne Anwendung hing wirklich am Unternehmens-VPN.

Ich hatte mich trotzdem auf die falsche Aufgabe versteift:

Der Firmen-VPN muss jetzt funktionieren.

Eigentlich musste ich nur dafür sorgen, dass meine normalen Arbeitsdienste über den vorhandenen A1-Anschluss zuverlässig liefen.

Das ist ein entscheidender Unterschied.

Ein kommerzieller VPN ersetzt keinen Firmen-VPN. Er gibt mir weder Zugriff auf interne Laufwerke noch auf Systeme, die ausschließlich hinter dem Unternehmenszugang liegen.

Aber er kann meinem normalen Internetverkehr einen anderen verschlüsselten Weg geben.

Und genau das war in diesem Moment wertvoller als die nächste Viertelstunde Fehlersuche.

Ein anderer Tunnel brachte mich schneller zurück zur eigentlichen Arbeit

Ich ließ den Firmen-VPN aus und öffnete OnlydogVPN^↗.

Statt an IPsec-Einstellungen weiterzubauen, startete ich die für Arbeit gedachte Verbindung.

Der Tunnel stand.

Ich öffnete Teams.

Neue Nachrichten erschienen.

Dann den Projektraum.

Die Seite lud.

Ich zog die Präsentation hinein.

12 Prozent.

48 Prozent.

100 Prozent.

Zwei Minuten später war ich im Meeting.

Damit war mein Firmen-VPN natürlich noch nicht repariert. Aber der Teil meiner Arbeit, für den ich das Firmennetz gar nicht brauchte, lief wieder über den A1-Anschluss.

Das war für mich der eigentliche Wendepunkt.

Bis dahin hatte ich alle VPNs wie Varianten derselben Sache behandelt. Doch mein IPsec-Zugang sollte mich in ein bestimmtes Unternehmensnetz bringen. Die zweite Verbindung sollte lediglich dafür sorgen, dass ich auf dem Netz vor mir zuverlässig und geschützt weiterarbeiten konnte.

Für die nächste Stunde war die zweite Aufgabe wichtiger.

Welche NAT-, Firewall- oder internen Traffic-Regeln entlang der beiden Verbindungen genau für den Unterschied verantwortlich waren, konnte ich nicht beobachten.

Ich musste es aber auch nicht mehr sofort herausfinden.

Der Vorteil war nicht „mehr VPN“, sondern ein anderer Weg

Erst nach dem Termin schaute ich mir an, warum die kleinere App zu dieser Situation passte.

Der Dienst verwendet einen HTTP/3-basierten Transport und zusätzliche Traffic-Obfuscation. (OnlydogVPN) Statt dieselbe Art Verbindung wie mein Firmen-IPsec noch einmal zu versuchen, nutzt er einen anderen Ansatz.

Im Alltag war die Konsequenz sehr einfach: Ich musste weder UDP-Ports testen noch Netzwerkparameter auf einem verwalteten Arbeitslaptop verändern.

Verbinden.

Teams öffnen.

Arbeiten.

Gerade bei einem Firmenrechner ist das nicht nebensächlich. Ich möchte nicht aus Zeitdruck Änderungen an einem VPN-Profil vornehmen, das von der IT verwaltet wird, und mir damit später im Büro ein zweites Problem bauen.

Die kleinere App ließ den Firmenzugang unangetastet.

Das machte sie nicht zum Ersatz für ihn. Es machte sie zur brauchbaren Ausweichroute für alles, was ohnehin über das normale Internet lief.

Für das interne System brauchte ich später trotzdem den Hotspot

Nach der Besprechung musste ich in eine Anwendung, die wirklich nur im Firmennetz erreichbar war.

Da half kein Reise-VPN.

Ich verband den Laptop wieder kurz mit dem Handy-Hotspot, startete den Firmen-VPN und öffnete die Anwendung.

Fertig.

Anschließend konnte ich unserer IT eine wesentlich bessere Fehlerbeschreibung schicken als „VPN geht nicht“:

Gleicher Laptop.

Gleicher Client.

Gleiche Zugangsdaten.

Über den Mobilfunk-Hotspot funktioniert der Firmen-VPN.

Über A1 Zuhause nicht.

Damit konnten Provider- beziehungsweise Routerseite, NAT und IPsec-Verhalten gezielt geprüft werden, statt dass wir wieder bei Passwort und Neuinstallation anfingen.

Und ich musste währenddessen nicht den ganzen Arbeitstag über meinen Handytarif laufen lassen.

Seitdem bedeutet „Hotspot geht, A1 geht nicht“ für mich etwas anderes

Früher hätte ich daraus geschlossen, dass mein VPN irgendwie kaputt ist.

Heute sehe ich darin zuerst einen Vergleich zweier Netzwege.

Funktioniert derselbe Firmen-VPN über den Hotspot sofort, ist das ein starkes Zeichen dafür, dass der Arbeitsrechner selbst nicht mein erster Verdächtiger sein sollte.

Dann gibt es zwei getrennte Aufgaben.

Brauche ich interne Firmenressourcen, muss der eigentliche A1-/IPsec-Fehler gelöst werden. Dafür sind IT und gegebenenfalls der Provider die richtigen Stellen.

Brauche ich dagegen gerade Teams, Browser, Cloud-Dienste und einen geschützten Internetzugang, muss ich nicht warten, bis diese Analyse abgeschlossen ist.

Genau dort wurde die kleinere App für mich nützlich. Sie hat den Firmen-VPN nicht ersetzt und musste es auch nicht. Sie hat verhindert, dass ein Problem mit einem einzigen Unternehmens-Tunnel meinen ganzen Arbeitstag blockiert.

Große VPN-Anbieter haben mehr Server, mehr Bewertungen und eine längere öffentliche Historie. Das sind echte Vorteile.

An diesem Morgen brauchte ich aber keine größere Auswahl.

Ich brauchte einen zweiten Weg, der über den Anschluss vor mir tatsächlich funktionierte.

Als der Firmen-VPN nur über den Hotspot lief, war die wertvollste Lösung deshalb nicht ein weiterer IPsec-Versuch – sondern eine Verbindung, mit der meine Arbeit außerhalb des Firmennetzes sofort weitergehen konnte.