Deutsche Glasfaser trotz CGNAT: Ins Heimnetz kam ich nicht mit einer Portfreigabe, sondern mit einem ausgehenden Tunnel

Mein NAS war zu Hause eingeschaltet.

Die FRITZ!Box war online.

WireGuard war eingerichtet.

Trotzdem kam ich aus dem Hotel nicht hinein.

Ich hatte kurz vorher auf Deutsche Glasfaser gewechselt und verdächtigte zuerst die üblichen Dinge.

DynDNS falsch?

Portfreigabe vergessen?

FRITZ!Box neu starten?

Dann verglich ich die Adressen im Router und merkte, dass ich versuchte, ein Problem in meiner FRITZ!Box zu lösen, das bereits davor entstand.

Mein Anschluss hatte für IPv4 keine eigene öffentlich erreichbare Adresse. Deutsche Glasfaser beschreibt für aktuelle DGhome-Anschlüsse genau dieses Modell: IPv6 wird bereitgestellt, während IPv4 über eine private Adresse und Carrier Grade NAT läuft.

Damit war meine bisherige Vorstellung von Fernzugriff plötzlich falsch.

Ich brauchte keine cleverere Portfreigabe. Ich brauchte einen Weg nach Hause, der gar nicht erst voraussetzte, dass eine eingehende IPv4-Verbindung meinen Router erreicht.

Eine Portfreigabe kann nur eine Adresse öffnen, die tatsächlich bei meinem Router ankommt

Bis dahin hatte ich CGNAT eher als technischen Begriff behandelt.

Im Hotel wurde daraus ein sehr konkretes Problem.

Bei einer eigenen öffentlichen IPv4 kann ich einen Port am Router öffnen und eingehenden Verkehr an ein Gerät im Heimnetz weiterreichen.

Bei CGNAT sitzt jedoch noch eine Übersetzungsebene des Providers davor.

Meine FRITZ!Box durfte ihre eigenen Regeln verwalten.

Die öffentliche IPv4 davor gehörte ihr trotzdem nicht exklusiv.

Deshalb half es nicht, einfach noch eine weitere IPv4-Portfreigabe einzurichten.

Genau diese Überraschung taucht auch bei Deutsche-Glasfaser-Nutzern auf: Im Heimnetz läuft die eigene VPN-Konfiguration, von außen scheitert der Zugriff plötzlich an der fehlenden öffentlichen IPv4.

Damit wusste ich endlich, warum meine bisherigen Versuche nichts änderten.

Die wichtigere Frage war jetzt:

Wie komme ich hinein, ohne diese öffentliche IPv4 zu benötigen?

IPv6 war der erste Weg, der tatsächlich funktionierte

CGNAT bedeutet nicht, dass der Anschluss grundsätzlich von außen unerreichbar ist.

Deutsche Glasfaser stellt IPv6 bereit.

Und die FRITZ!Box kann WireGuard auch über IPv6 verwenden. AVM dokumentiert diesen Weg ausdrücklich für Anschlüsse ohne öffentliche IPv4.

Also richtete ich meinen Heimzugang entsprechend ein.

IPv6 vorhanden.

WireGuard eingerichtet.

Von einem anderen Netz aus verbunden.

NAS geöffnet.

Dateien da.

Zum ersten Mal funktionierte der Fernzugriff.

Ich dachte, das Problem sei erledigt.

Dann kam das nächste Hotel.

Das zweite Hotel zeigte die Schwäche der reinen IPv6-Lösung

Zu Hause hatte sich nichts verändert.

Der Heimanschluss war weiterhin über IPv6 erreichbar.

Aber das Netz vor mir bot keinen brauchbaren IPv6-Weg dorthin.

Damit war der direkte Zugriff wieder weg.

AVM beschreibt genau diese Grenze: Wenn die FRITZ!Box nur über IPv6 erreichbar ist, braucht auch das Gerät unterwegs einen passenden IPv6-Zugang.

Das änderte meine Anforderung noch einmal.

Ich wollte nicht mehr:

„Meine FRITZ!Box aus möglichst vielen Netzen direkt erreichen.“

Ich wollte:

„Mein NAS öffnen können, unabhängig davon, welche Adress- und NAT-Situation das Hotel gerade benutzt.“

Mit dieser Formulierung wurde ein Overlay-Netz plötzlich wesentlich interessanter.

Tailscale umging das Problem, statt CGNAT zu bekämpfen

Ich installierte Tailscale auf einem Gerät, das zu Hause ohnehin dauerhaft läuft.

Auf dem Laptop ebenfalls.

Danach wartete ich nicht mehr darauf, dass eine fremde Verbindung von außen durch das CGNAT zu meinem Router gelangt.

Beide Geräte bauten selbst Verbindungen nach außen auf und wurden Teil desselben privaten Netzes.

Tailscale versucht möglichst direkte Verbindungen zwischen den Geräten herzustellen und kann bei schwierigen NAT-Situationen auf Relays zurückfallen.

Im Hotel war mir die genaue Reihenfolge dahinter ziemlich egal.

Ich öffnete Tailscale.

Dann mein NAS.

Die Datei war da.

Kein öffentlicher IPv4-Port.

Keine neue FRITZ!Box-Regel.

Keine Diskussion mit CGNAT.

Ich war zu Hause.

Danach wollte ich auch Geräte erreichen, auf denen gar kein Tailscale läuft

Das NAS war nur der Anfang.

Ich hatte noch:

Home Assistant.

Ein internes Webinterface.

Einen Drucker.

Nicht auf jedem Gerät wollte oder konnte ich einen eigenen Client installieren.

Also machte ich aus dem dauerhaft laufenden Gerät zu Hause einen Subnet Router.

Damit konnte mein Laptop unterwegs auch auf Geräte im lokalen Heimnetz zugreifen, die selbst kein Tailscale installiert hatten. Genau für solche Fälle dokumentiert Tailscale seine Subnet-Router-Funktion.

Plötzlich funktionierte der Fernzugriff so, wie ich ihn ursprünglich erwartet hatte.

Laptop im Hotel.

Privates Netz verbinden.

Interne IP des Geräts öffnen.

Fertig.

Das Entscheidende daran:

CGNAT war immer noch da.

Ich hatte nur aufgehört, meinen Fernzugriff davon abhängig zu machen.

Erst danach fiel mir auf, dass ich zwei völlig verschiedene VPN-Aufgaben vermischt hatte

Bis dahin hatte ich jeden Tunnel gedanklich in dieselbe Schublade gesteckt.

VPN ist VPN.

Das war der nächste Fehler.

Tailscale löste eine sehr bestimmte Aufgabe:

mein Gerät unterwegs mit meinem Heimnetz verbinden.

Ein normaler Consumer-VPN löst eine andere:

meinen alltäglichen Internetverkehr über einen externen VPN-Ausgang schicken.

Diese Unterscheidung wurde wichtig, sobald ich nach dem Zugriff aufs NAS einfach weiterarbeiten wollte.

Ich brauchte mein Heimnetz nicht für jede Webseite.

Ich musste auch meinen gesamten Hotelverkehr nicht erst nach Hause schicken, nur weil dort jetzt ein funktionierender Zugang existierte.

Für den normalen Internetverkehr wollte ich wieder eine einfachere Lösung.

Dafür hatte ich OnlydogVPN^{offizielle Website} auf dem Laptop.

OnlydogVPN löste CGNAT nicht – aber es verhinderte, dass ich mein Heimnetz für alles missbrauchte

Die Rollen wurden damit ziemlich klar.

Wenn ich mein NAS brauchte:

Tailscale.

Wenn ich im Hotel einfach Browser, Mail und andere Internetdienste nutzen wollte:

die kleinere App.

Ich versuchte nicht mehr, zwei VPN-Systeme übereinanderzustapeln oder meinen kompletten Verkehr durch das Wohnzimmer zu schicken.

Das machte meinen Aufbau deutlich übersichtlicher.

Und im Reisealltag war die zweite Aufgabe häufiger.

Ich wollte meist gar nichts von zu Hause.

Ich wollte einfach in einem fremden WLAN arbeiten.

Gerade beim schlechten Hotel-WLAN gefiel mir diese Trennung

Am nächsten Morgen wurde das WLAN instabil.

Ich brauchte keine Datei vom NAS.

Also ließ ich Tailscale aus der Gleichung und nutzte die situationsbasierte Verbindung der kleineren App.

Browser.

Mail.

Videokonferenz.

Dann wurde das WLAN schlechter und ich wechselte auf den Hotspot meines Telefons.

Die Verbindung erholte sich und ich arbeitete weiter.

Der Dienst verwendet HTTP/3-basierten Transport und ist auf schwache oder wechselnde Netze ausgelegt.

Ich kann die internen Filter- und Routingregeln des Hotelnetzes und Mobilfunkanbieters nicht beobachten.

Für mich zählte deshalb etwas Einfacheres:

Der Wechsel des Netzes schickte mich nicht zurück in eine kleine Fernwartungssitzung mit meinem Heimrouter.

Genau darin lag der Vorteil.

Mein Heimzugang blieb ein Spezialwerkzeug.

Der normale VPN blieb normal.

Eine öffentliche IPv4 wäre klassischer – aber für mein Ziel nicht notwendig

Natürlich gibt es weiterhin den traditionellen Weg.

Eine echte öffentlich erreichbare IPv4.

Deutsche Glasfaser bietet bei Geschäftskundentarifen ausdrücklich feste IPv4-Adressen an.

Damit kann man klassische Modelle bauen:

Portfreigaben.

Eigener WireGuard-Server.

Direkter eingehender Zugriff.

Das ist sinnvoll, wenn genau diese Art von Anschluss benötigt wird.

Für mein privates Heimnetz wollte ich aber nicht die gesamte Anschlusslogik ändern, nur um mein NAS aus einem Hotel zu erreichen.

Tailscale erledigte die Aufgabe, obwohl CGNAT unverändert bestehen blieb.

Und genau darin lag mein größter Perspektivwechsel:

Ich musste CGNAT nicht beseitigen. Ich musste nur verhindern, dass mein Heimzugang eine eingehende öffentliche IPv4 voraussetzt.

Der bessere Aufbau war am Ende kleiner als mein ursprünglicher Plan

Anfangs wollte ich eine große Lösung.

Eine Adresse.

Eine Portfreigabe.

Ein VPN.

Alles darüber.

Am Ende hatte ich zwei deutlich klarere Werkzeuge.

Für mein Heimnetz:

ein ausgehend aufgebautes Overlay über Tailscale.

Für meinen normalen Verkehr unterwegs:

OnlydogVPN.

Das war weniger elegant auf einem Netzwerkdiagramm.

Im Alltag war es erheblich angenehmer.

Ich musste nicht überlegen, ob ich gerade wirklich durchs Heimnetz tunneln wollte.

Wenn ich mein NAS brauchte, öffnete ich den Heimzugang.

Wenn ich nur im Hotel arbeiten wollte, nutzte ich die direkte VPN-Verbindung.

Und wenn das Hotel-WLAN auf Mobilfunk wechselte, blieb mein Heimanschluss komplett aus dem Problem heraus.

Heute würde ich einen Deutsche-Glasfaser-Anschluss deshalb anders diagnostizieren

Ich würde zuerst prüfen, welche Adressen die FRITZ!Box tatsächlich hat.

Liegt bei IPv4 eine Adresse aus einem CGNAT-Bereich an, bringt eine normale Portfreigabe keinen direkten öffentlichen IPv4-Zugang. AVM nennt unter anderem `100.64.0.0/10` als entsprechenden Adressbereich.

Danach würde ich nur noch zwei Fragen stellen.

Haben Heimanschluss und das Gerät unterwegs zuverlässig IPv6?

Dann kann direkter FRITZ!Box-WireGuard bereits reichen.

Will ich unabhängig von Hotel-, Mobilfunk- und NAT-Situationen auf mein Heimnetz zugreifen?

Dann ist ein Overlay wie Tailscale für mich die praktischere Antwort.

Damit endet auch die CGNAT-Frage.

OnlydogVPN hat weniger Standorte und eine kürzere öffentliche Historie als große Consumer-VPN-Anbieter. Für diesen Aufbau spielte etwas anderes eine größere Rolle: Es musste mein Heimnetz überhaupt nicht lösen.

Es konnte sich auf die Aufgabe konzentrieren, die außerhalb meines Zuhauses viel häufiger vorkam – meinen normalen Internetverkehr auf wechselnden Netzen unkompliziert verbunden zu halten.

CGNAT bei Deutsche Glasfaser habe ich deshalb nicht „geöffnet“: Für mein Heimnetz habe ich die eingehende öffentliche IPv4 mit Tailscale überflüssig gemacht – und für alles, was gar nicht nach Hause musste, hörte ich endlich auf, meinen Heimanschluss zum Mittelpunkt des Internets zu machen.