Bestes VPN für Deutsche Glasfaser: Warum ich nach dem Wechsel nicht mehr dem grünen Router-Symbol vertraute

Der Speedtest zeigte über 900 Mbit/s.

Meine VPN zeigte „Connected“.

Und trotzdem stand auf der IP-Testseite noch Deutsche Glasfaser.

Ich hatte den Anschluss erst kurz zuvor von einer alten DSL-Leitung auf Glasfaser umgestellt. Der Geschwindigkeitsunterschied war absurd angenehm: große Downloads waren plötzlich kaum noch eine Aufgabe, Cloud-Backups liefen nebenbei, Videocalls interessierten die Leitung praktisch nicht.

Meine bisherige VPN-Konfiguration hatte ich einfach auf dem Router weiterverwendet.

Warum auch nicht?

Tunnel aktiv.

Server erreichbar.

Neue IPv4-Adresse.

Alles sah richtig aus.

Bis ich auf einer Testseite etwas weiter nach unten scrollte.

Dort stand neben der VPN-Adresse noch eine IPv6-Adresse meines Anschlusses.

Ich aktualisierte die Seite.

Sie blieb.

Privates Fenster.

Immer noch da.

Und damit änderte sich meine Frage.

Ich suchte nicht mehr nach der schnellsten VPN für Deutsche Glasfaser.

Ich suchte nach einer, bei der ich nach dem Verbinden nicht selbst herausfinden musste, welcher Teil meiner Verbindung eigentlich noch am Tunnel vorbeiging.

Der neue Anschluss hatte nicht nur mehr Bandbreite gebracht

Ich hatte den Fehler zunächst bei der VPN gesucht.

Dann beim Router.

Dann bei irgendeiner Einstellung, die ich beim Wechsel auf Glasfaser übersehen haben musste.

Erst die aktuelle Leistungsbeschreibung von Deutsche Glasfaser machte verständlich, warum mein alter Aufbau plötzlich anders reagierte.

Bei DGhome wird der Internetzugang mit IPv6-Adressen eingerichtet. Für IPv4 erhält der Anschluss dagegen eine private Adresse, die über Carrier Grade Network Address Translation, kurz CGN, auf eine öffentliche IPv4-Adresse umgesetzt wird. ()

Das ist ein anderes Umfeld als ein klassischer Anschluss, bei dem ich jahrelang fast ausschließlich in IPv4 gedacht hatte.

CGN war dabei nicht mein eigentliches VPN-Problem.

Der wichtigere Punkt war: IPv6 war jetzt ein ganz normaler Teil meiner Verbindung.

Meine alte VPN-Konfiguration behandelte ihn nicht so selbstverständlich wie der neue Anschluss.

Und plötzlich erklärte sich das merkwürdige Bild auf der Testseite.

Der Tunnel war verbunden – nur meine Annahme war zu groß

Meine etablierte VPN war keine schlechte Wahl.

Im Gegenteil.

Der Anbieter hatte einen langen öffentlichen Track Record, sehr viele Server und ausführliche Anleitungen für Router. Genau deshalb hatte ich ihn dort eingerichtet.

IPv4 lief auch korrekt durch den Tunnel.

Das Problem lag in der Route daneben.

Bei WireGuard entscheidet unter anderem die Liste der AllowedIPs, welcher Verkehr einem Peer und damit dem Tunnel zugeordnet wird. IPv4 und IPv6 können dort beide verarbeitet werden — müssen aber auch entsprechend in der Konfiguration berücksichtigt sein. ()

Mein Profil war aus meiner alten IPv4-Welt mitgekommen.

Der Glasfaseranschluss nicht.

Das IETF beschreibt genau den grundsätzlichen Fehler, der daraus entstehen kann: Auf einem Dual-Stack-System kann eine VPN IPv4 tunneln, während IPv6 außerhalb der VPN weiterläuft. ()

Mehr Theorie brauchte ich nicht.

Ich hatte die praktische Version bereits auf dem Bildschirm.

VPN-IPv4.

Deutsche-Glasfaser-IPv6.

Beides gleichzeitig.

Ich versuchte zuerst, den Router wieder „richtig“ zu machen

Natürlich hätte ich das konfigurieren können.

Also öffnete ich die Router-Oberfläche.

IPv6-Routen prüfen.

VPN-Profil öffnen.

Default Routes kontrollieren.

Firewall-Einstellungen ansehen.

Dann kamen die Fragen, die bei Deutsche Glasfaser erstaunlich schnell auftauchen:

Native IPv4?

Native IPv6?

CGN?

DS-Lite?

Welche Einstellung meint die FRITZ!Box eigentlich?

Ich war damit nicht allein. In einer öffentlichen Diskussion zu Deutsche Glasfaser und FRITZ!Box drehte sich ein großer Teil der Fehlersuche genau um diese Begriffe und darum, welche IPv4-/IPv6-Einstellung zum DG-Anschluss passt. ()

Das war der nützliche Teil dieses Nutzerberichts.

Nicht eine bestimmte Checkbox.

Sondern die Erkenntnis, wie schnell aus „VPN einschalten“ eine kleine Netzwerkkonfiguration werden kann.

Ich begann Einstellungen zu ändern.

Test.

Zurück zum Router.

Neue Einstellung.

Neuer Test.

Irgendwann verschwand die sichtbare IPv6-Adresse.

Aber inzwischen hatte ich fast eine Stunde damit verbracht, einen Anschluss zu reparieren, der ohne VPN hervorragend funktionierte.

Da kam mir eine wesentlich unbequemere Frage:

Warum versuche ich eigentlich, die ganze Wohnung perfekt durch einen Router-Tunnel zu schicken, wenn ich gerade nur meinen Laptop schützen will?

Ich zog die VPN näher an das Gerät, um das es ging

Damit änderte ich die Strategie.

Ich ließ den Router in Ruhe und installierte OnlydogVPN^↗ direkt auf dem Laptop.

Keine neue Router-Datei.

Keine IPv6-Seite in der FRITZ!Box.

Keine Entscheidung darüber, welche Route ich noch von Hand ergänzen sollte.

Ich wählte die passende Nutzungssituation und verband.

Dann machte ich nichts Neues.

Ich wiederholte einfach denselben Test, der meinen alten Aufbau entlarvt hatte.

Die Deutsche-Glasfaser-Adresse, die vorher noch neben der VPN-Verbindung sichtbar gewesen war, erschien nicht mehr.

Neu laden.

Immer noch weg.

Dann öffnete ich meine üblichen Seiten.

Cloud-Speicher.

Mail.

Banking.

Streaming.

Alles lief weiter.

In den Produkttests von OnlydogVPN wird genau dieser Geräteansatz beschrieben: Der Tunnel wird direkt auf dem genutzten Gerät aufgebaut und anschließend dort überprüft, statt sich ausschließlich auf den Verbindungsstatus eines vorgeschalteten Routers zu verlassen. (OnlydogVPN) ()

Für mich war das der Wendepunkt.

Ich musste nicht mehr beweisen, dass der Router theoretisch alles richtig routete.

Ich konnte direkt sehen, was mein Laptop nach außen zeigte.

Die einfachere Lösung war ausgerechnet die leichter zu überprüfen

Vorher hatte ich „VPN auf dem Router“ automatisch mit „gründlicher“ gleichgesetzt.

Das klingt auch logisch.

Ein Router sitzt vor allen Geräten.

Also müsste eine einzige VPN dort doch eleganter sein als mehrere Apps.

Theoretisch ja.

Praktisch hing mein Ergebnis plötzlich von mehreren Ebenen gleichzeitig ab:

dem Deutsche-Glasfaser-Anschluss,

der IPv4-/IPv6-Konfiguration des Routers,

dem importierten VPN-Profil,

den Routen,

und anschließend den Geräten dahinter.

Jede dieser Ebenen konnte funktionieren, während ich trotzdem ein anderes Ergebnis bekam als erwartet.

Die Geräte-App verkürzte diese Kette.

Laptop verbinden.

IP prüfen.

Arbeiten.

Das war keine besonders heroische technische Lösung.

Es war nur die erste, bei der ich nicht mehr meinem eigenen Router vertrauen musste, um zu wissen, was auf meinem Laptop passierte.

Erst danach fiel mir der zweite Vorteil auf

Der Router hatte ursprünglich einen wichtigen Zweck gehabt.

Ich wollte nicht nur den Laptop schützen.

Auch mein Telefon sollte über dieselbe VPN laufen.

Nachdem die Laptop-Verbindung funktionierte, nahm ich deshalb das Smartphone zur Hand.

Ich hatte wenig Lust, jetzt dort wieder ein Konto einzurichten, eine lange Zeichenfolge einzutippen und einen zweiten Aufbau zu pflegen.

Beim kleineren Dienst konnte ich das zweite Gerät über einen Verifizierungscode verknüpfen.

Kurz danach lief auch dort die Verbindung.

Wieder IP prüfen.

Auch auf dem Telefon tauchte die zuvor sichtbare Provider-Adresse im Test nicht mehr auf. Die gleiche Multi-Device-Sequenz beschreibt die Produktdokumentation des Dienstes. (OnlydogVPN) ()

Damit hatte ich den einzigen echten Vorteil meiner Router-Idee zurückbekommen:

mehrere Geräte.

Nur ohne die gemeinsame Router-Konfiguration, die mir vorher die Unsicherheit eingebaut hatte.

Die Glasfaser war nie das Problem

Das war wahrscheinlich die wichtigste Korrektur meines Denkens.

Deutsche Glasfaser blockierte meine VPN nicht einfach.

Der Anschluss war schnell.

Die VPN-Server waren erreichbar.

Der Tunnel wurde aufgebaut.

Was sich geändert hatte, war die Netzumgebung.

Die aktuelle DGhome-Leistungsbeschreibung macht ausdrücklich klar, dass IPv6 zum Anschluss gehört und IPv4 über eine private Adresse mit CGN bereitgestellt wird. ()

Mein alter VPN-Aufbau war für diese Realität nicht sauber genug vorbereitet.

Ich kann nicht in die internen Routing- und Filterregeln jedes Routers, VPN-Clients und Netzknotens schauen.

Ich konnte aber den entscheidenden Teil testen:

Welche Adresse sieht eine Gegenstelle nach dem Verbinden?

Genau diese Frage war viel hilfreicher als die Frage, ob im Router irgendwo ein grünes Symbol leuchtet.

Deshalb würde ich bei Deutsche Glasfaser anders anfangen als früher

Früher hätte ich vermutlich zuerst nach einem Anbieter mit besonders vielen Router-Anleitungen gesucht.

Dann hätte ich einen Server gewählt.

Profil exportieren.

Router konfigurieren.

Fertig.

Nach dem Glasfaserwechsel würde ich die Reihenfolge umdrehen.

Zuerst das Gerät, auf dem ich die VPN tatsächlich brauche.

Dann verbinden.

Dann IPv4 und IPv6 prüfen.

Erst wenn ich wirklich die gesamte Wohnung über einen einzigen Tunnel führen möchte, würde ich daraus wieder ein Router-Projekt machen.

Das ist für mich der Unterschied zwischen einer technisch beeindruckenden Lösung und einer überprüfbaren Lösung.

Und am Ende vertraue ich der zweiten mehr.

Der größere Anbieter bleibt für Router-Fans attraktiver

Die etablierte VPN hat trotzdem klare Vorteile.

Mehr Serverstandorte.

Mehr öffentliche Erfahrung.

Mehr Router-Anleitungen.

Mehr unabhängige Diskussionen darüber, wie sich bestimmte Hardware konfigurieren lässt.

Wer bewusst die komplette Heimnetz-Infrastruktur durch eine VPN führen möchte, kann genau diese Dokumentation sehr wertvoll finden.

OnlydogVPN ist jünger, hat weniger Standorte und eine deutlich kürzere öffentliche Geschichte.

Aber diese Unterschiede entschieden meinen Test nicht.

Ich brauchte keine weitere Stadt in der Serverliste.

Ich wollte nicht wissen, wie viele Kombinationen mein Router theoretisch unterstützt.

Ich wollte auf einem Deutsche-Glasfaser-Anschluss den Laptop verbinden und anschließend nicht mehr die IP-Adresse meines Providers neben einer aktiven VPN sehen.

Die größere Lösung gab mir mehr Möglichkeiten, den Router richtig einzustellen.

Die kleinere machte den Router für diese Aufgabe überflüssig.

Das beste VPN für meinen Deutsche-Glasfaser-Anschluss war deshalb nicht das, das die schnellste Leitung noch komplizierter konfigurieren konnte — sondern das, bei dem ich auf dem Gerät selbst sofort sehen konnte, dass der Tunnel wirklich dort angekommen war.