CGNAT oder DS-Lite: Warum mein Heim-VPN nicht mehr funktionierte – und wann ich es gar nicht reparieren musste

Mein Heim-VPN hatte monatelang funktioniert.

Dann stand ich im Ausland, öffnete WireGuard auf dem Telefon und bekam keine Verbindung mehr nach Hause.

Das Internet funktionierte. Die FRITZ!Box zu Hause war online. An meinen Schlüsseln hatte ich nichts geändert.

Also suchte ich den Fehler dort, wo ich ihn vermutete.

WireGuard-Konfiguration neu importieren.

DynDNS prüfen.

Portfreigabe kontrollieren.

Router neu starten lassen.

Nichts.

Erst als ich mir die WAN-Seite meines Anschlusses genauer ansah, wurde klar: Nicht mein VPN war plötzlich kaputt. Mein Heimanschluss war von außen nicht mehr so erreichbar, wie ich angenommen hatte.

Der Fehler saß vor meinem Router

Bei CGNAT teilen sich mehrere Kunden eine öffentliche IPv4-Adresse des Providers. Dafür existiert sogar ein eigener Adressbereich: 100.64.0.0/10.

DS-Lite funktioniert etwas anders. Der Anschluss nutzt natives IPv6, während IPv4 über die Infrastruktur des Providers umgesetzt wird. AVM beschreibt für entsprechende FRITZ!Box-Anschlüsse ebenfalls, dass die IPv4-NAT-Funktion beim AFTR des Internetanbieters liegt.

Für mein Heim-VPN hatte beides dieselbe praktische Konsequenz:

Eine Portfreigabe auf meiner FRITZ!Box allein konnte keine eingehende IPv4-Verbindung durch eine vorgelagerte Provider-Struktur holen, über die ich keine Kontrolle hatte.

Damit ergaben auch meine erfolglosen Reparaturversuche Sinn.

Ich hatte immer wieder den Tunnel verändert.

Der Tunnel war aber gar nicht der erste Engpass.

Seitdem prüfe ich zuerst die Adresse und erst danach WireGuard

Wenn ein Heim-VPN plötzlich nicht mehr erreichbar ist, würde ich heute nicht als Erstes Schlüssel neu erzeugen.

Ich würde zuerst fragen:

Hat mein Router überhaupt noch eine direkt erreichbare öffentliche IPv4-Adresse?

Eine WAN-Adresse aus 100.64.0.0/10 ist ein starkes Indiz für CGNAT. Bei DS-Lite zeigt die FRITZ!Box entsprechend den IPv4-Weg über den AFTR des Providers.

Diese zwei Minuten Diagnose können eine Menge sinnloses VPN-Debugging ersparen.

Denn eine perfekte WireGuard-Konfiguration hilft wenig, wenn der eingehende Verbindungsversuch den eigenen Router auf diesem Weg gar nicht erreicht.

Genau diese Sackgasse taucht auch in Heimnetz-Communities regelmäßig auf: Erst wird WireGuard verdächtigt, später stellt sich CGNAT als eigentliche Hürde heraus.

Damit wusste ich endlich, warum mein alter Weg nicht mehr funktionierte.

Die interessantere Erkenntnis kam aber erst danach.

Wollte ich wirklich nach Hause – oder wollte ich nur eine deutsche Verbindung?

Ich hatte meinen Heim-VPN irgendwann für mehrere Aufgaben eingerichtet.

Manchmal wollte ich auf mein NAS.

Manchmal auf Geräte im Heimnetz.

Unterwegs nutzte ich ihn aber auch einfach, um mit meiner heimischen Internetroute ins Netz zu gehen.

Diese Dinge hatte ich gedanklich zusammengeworfen.

Dabei sind es zwei völlig unterschiedliche Aufgaben.

Wenn ich mein NAS, Home Assistant oder einen Rechner zu Hause erreichen will, brauche ich tatsächlich einen Weg zurück in mein Heimnetz.

Wenn ich dagegen nur eine deutsche Ausgangs-IP oder eine passende Internetroute brauche, muss dieser Weg überhaupt nicht durch meine FRITZ!Box führen.

Und an diesem Abend wollte ich keine Datei vom NAS.

Ich wollte lediglich einen Dienst öffnen, der aus meiner aktuellen Region anders reagierte.

Plötzlich versuchte ich also, ein ziemlich kompliziertes Heimnetzproblem für eine Aufgabe zu lösen, die mein Heimnetz gar nicht benötigte.

Natürlich hätte ich den Heimzugang reparieren können

Für echten Fernzugriff gibt es Lösungen.

Mit passender IPv6-Erreichbarkeit kann der direkte Weg über IPv6 funktionieren. Eine andere Möglichkeit ist, die Richtung umzudrehen: Das Heimnetz baut selbst eine ausgehende Verbindung zu einer öffentlich erreichbaren Gegenstelle auf.

Deshalb findet man hinter CGNAT häufig Konstruktionen mit VPS, WireGuard-Hubs, Relays oder Mesh-Netzen.

Das kann sehr gut funktionieren.

Es bedeutet aber auch zusätzliche Infrastruktur.

Server betreiben.

Routing einrichten.

Schlüssel verwalten.

Verbindungen überwachen.

Für jemanden, der sein komplettes Heim-LAN von unterwegs braucht, kann sich dieser Aufwand lohnen.

Für mich an diesem Abend wäre er absurd gewesen.

Ich wollte eine Webseite öffnen.

Genau an dieser Stelle hörte ich auf, meinen Heim-VPN zu reparieren.

Für meine eigentliche Aufgabe brauchte ich gar keine eingehende Verbindung

Ich öffnete OnlydogVPN^↗.

Der entscheidende Unterschied war die Richtung.

Ich versuchte nicht mehr, aus dem Ausland durch meinen Provider zurück zur FRITZ!Box zu gelangen. Die App baute die VPN-Verbindung direkt von meinem Gerät nach außen auf.

Ich wählte die passende Situation und eine deutsche Route.

Verbinden.

Dann öffnete ich den Dienst, wegen dem ich überhaupt mit der Fehlersuche angefangen hatte.

Die Seite lud.

Login.

Erledigt.

Ich hatte weder DynDNS repariert noch eine neue Portfreigabe gebaut.

Ich hatte CGNAT auch nicht „umgangen“, um mein Heimnetz plötzlich wieder erreichbar zu machen.

Ich hatte erkannt, dass meine aktuelle Aufgabe diesen Heimzugang überhaupt nicht brauchte.

Das war der eigentliche Gewinn.

CGNAT blockierte meinen Weg nach Hause, nicht mein Ziel im Internet

Diese Unterscheidung klingt im Nachhinein offensichtlich.

In der Situation selbst war sie es nicht.

Mein Gedankengang war zunächst:

Heim-VPN funktioniert nicht → Heim-VPN reparieren.

Die sinnvollere Reihenfolge war:

Was will ich eigentlich erreichen?

NAS?

Dann muss ich den Fernzugriff nach Hause lösen.

Home Assistant?

Dasselbe.

Rechner oder Drucker im Heimnetz?

Ebenfalls.

Aber wenn die Antwort lautet:

„Ich brauche nur eine deutsche Verbindung.“

„Ich möchte meine üblichen Online-Dienste erreichen.“

„Ich brauche unterwegs eine passende Ausgangsroute.“

dann muss die FRITZ!Box zu Hause nicht zwingend Teil der Lösung sein.

Genau in diesem zweiten Szenario wurde die kleinere App für mich interessanter.

Statt zwei Netze – mein aktuelles und mein heimisches – funktionsfähig halten zu müssen, brauchte ich nur noch die Verbindung vor mir.

Auf der nächsten Reise merkte ich, wie viel Aufwand damit verschwunden war

Beim selbst betriebenen Heim-VPN hing mein Erfolg immer an zwei Orten.

Mein Gerät unterwegs musste Internet haben.

Und zu Hause mussten Anschluss, Router, Adressierung und VPN-Endpunkt erreichbar bleiben.

Für echten Heimzugriff akzeptiere ich das.

Für normales Surfen auf Reisen wollte ich es plötzlich nicht mehr.

Mit der kleineren App musste ich niemanden zu Hause bitten, auf die FRITZ!Box zu schauen.

Keine WAN-Adresse vorlesen lassen.

Keinen Router neu starten.

Keine Portfreigabe erklären.

App öffnen.

Situation wählen.

Verbinden.

Ich kann nicht beobachten, welche internen Filter- oder Routingregeln jedes beteiligte Provider-Netz in diesem Aufbau anwendet. Für meine Entscheidung war aber das sichtbare Ergebnis entscheidend: Die ausgehende VPN-Verbindung funktionierte, und die benötigte deutsche Route stand zur Verfügung.

Damit war die Aufgabe abgeschlossen.

DS-Lite und CGNAT sind nicht dasselbe – für die Fehlersuche reicht zunächst der praktische Unterschied

Technisch sollte man CGNAT und DS-Lite nicht gleichsetzen.

Bei CGNAT wird IPv4 hinter einer zusätzlichen Übersetzung im Provider-Netz geteilt.

Bei DS-Lite ist IPv6 der native Weg; IPv4 wird über die Provider-Infrastruktur geführt und dort umgesetzt.

Für meine Fehlersuche musste daraus aber keine Netzwerkvorlesung werden.

Die entscheidende Frage blieb:

Kann eine eingehende Verbindung über den von mir erwarteten Weg überhaupt meinen Router erreichen?

Wenn nicht, bringt die hundertste Änderung an WireGuard nichts.

Erst danach lohnt es sich zu entscheiden, ob man IPv6, eine öffentliche IPv4, einen Relay-/VPS-Weg oder etwas anderes für den echten Heimzugriff braucht.

Warum funktioniert mein Heim-VPN also nicht?

Wenn ein Heim-VPN früher funktioniert hat und nach Provider-, Tarif- oder Anschlusswechsel plötzlich nicht mehr erreichbar ist, würde ich CGNAT und DS-Lite sehr früh prüfen.

Nicht nach zwei Stunden Fehlersuche.

Vorher.

Hat der Anschluss keine direkt erreichbare öffentliche IPv4, löst eine klassische IPv4-Portfreigabe allein das Problem nicht.

Danach entscheidet nicht die eleganteste Netzwerktechnik, sondern das eigentliche Ziel.

Brauche ich mein Heimnetz, muss ich dessen Erreichbarkeit lösen. Ein normaler kommerzieller VPN ersetzt diesen Fernzugriff nicht.

Brauche ich dagegen nur eine passende Internetroute, muss ich mein Heimnetz dafür nicht erst zum VPN-Rechenzentrum umbauen.

Bei mir war genau diese Trennung entscheidend.

Ich hatte angefangen, einen nicht erreichbaren Heim-VPN zu reparieren.

OnlydogVPN überzeugte mich, weil ich für die Aufgabe vor mir plötzlich gar keinen eingehenden Heim-VPN mehr brauchte.

CGNAT hatte meinen alten Weg nach Hause blockiert.

Für eine deutsche Verbindung unterwegs musste ich diesen Weg aber überhaupt nicht mehr nehmen.