Deutsche Glasfaser: VPN funktioniert nicht wegen CGNAT? Warum ich den Tunnel nicht repariert, sondern verlegt habe

Drei Tage nach meinem Wechsel zu Deutsche Glasfaser war mein Internet so schnell wie nie zuvor.

Und meine VPN nach Hause funktionierte nicht mehr.

Das bemerkte ich nicht im Wohnzimmer, sondern in einem Hotel.

Ich wollte über das Hotel-WLAN eine größere Kundendatei hochladen. Normalerweise startete ich vorher WireGuard auf dem Laptop und schickte den Verkehr durch meine FRITZ!Box zu Hause.

Fremdes WLAN rein.

Eigener Tunnel raus.

Ich klickte auf „Verbinden“.

Nichts.

Noch einmal.

Timeout.

Eine Woche zuvor hatte dasselbe Profil am alten DSL-Anschluss noch funktioniert. Also schrieb ich meiner Frau: „Kannst du schauen, ob die FRITZ!Box online ist?“

War sie.

Auch der neue Glasfaseranschluss lief.

Mein erster Gedanke war deshalb:

CGNAT oder DS-Lite hat meine VPN kaputtgemacht.

Die eigentliche Antwort war etwas überraschender.

Das Internet funktionierte – nur die Richtung hatte sich geändert

Die entscheidende Information stand nicht in WireGuard, sondern in der Leistungsbeschreibung meines Anschlusses.

Deutsche Glasfaser beschreibt bei Privatkundentarifen einen IPv6-Zugang und eine private IPv4-Adresse, die über Carrier Grade NAT auf eine öffentliche IPv4 umgesetzt wird. (Deutsche Glasfaser)

Das klingt zunächst abstrakt, erklärt aber ziemlich genau mein Fehlerbild.

Normales Surfen funktionierte.

Streaming funktionierte.

Speedtests waren hervorragend.

Auch Verbindungen, die von zu Hause nach draußen gestartet wurden, liefen problemlos.

Schwieriger wurde die andere Richtung: eine IPv4-Verbindung aus dem Internet direkt zu meinem Router zu Hause.

Hinter CGN sitzt mein Anschluss nicht mehr einfach allein hinter einer eigenen öffentlichen IPv4. Mehrere Anschlüsse teilen sich die öffentliche Seite der Übersetzung. Der dafür reservierte Adressbereich 100.64.0.0/10 ist gerade für solche Carrier-NAT-Netze vorgesehen. (IETF / RFC 6598)

Damit wurde aus „meine VPN ist kaputt“ eine viel präzisere Diagnose:

Mein Laptop im Hotel konnte den alten Weg zu meiner FRITZ!Box nicht mehr so erreichen wie zuvor.

Das war etwas völlig anderes.

Und „DS-Lite“ war nicht einmal die wichtigste Frage

Beim Suchen taucht für solche Probleme ständig der Begriff DS-Lite auf.

Ich hatte ihn deshalb ebenfalls benutzt.

Technisch ist DS-Lite jedoch ein bestimmtes Verfahren, bei dem IPv4-Verkehr über eine IPv6-Infrastruktur zum Übersetzungspunkt des Providers gebracht wird. (IETF / RFC 6333) Deutsche Glasfaser beschreibt den Privatkundenanschluss aktuell als IPv6 plus private IPv4 hinter CGN. (Deutsche Glasfaser)

Für meinen Abend im Hotel war diese begriffliche Feinheit aber schnell zweitrangig.

Ich musste nicht herausfinden, welches Akronym mein Problem am schönsten beschreibt.

Ich musste wissen:

Kann ich meinen Router von hier überhaupt erreichen?

AVM nennt für WireGuard zur FRITZ!Box genau diese Voraussetzung: Die Box braucht eine aus dem Internet erreichbare IPv4- oder IPv6-Adresse. (AVM)

IPv6 konnte also ein Weg sein.

Nur musste auch das Netz, in dem ich gerade saß, diesen Weg brauchbar unterstützen.

Und darauf wollte ich kurz vor einem Kundentermin nicht meine ganze Strategie aufbauen.

„Connected“ zu Hause half mir im Hotel nicht

Genau das machte die Fehlersuche so irritierend.

Zu Hause sah die WireGuard-Konfiguration richtig aus.

Profil vorhanden.

Schlüssel korrekt.

FRITZ!Box online.

Im eigenen Netz ließ sich alles kontrollieren.

Erst außerhalb blieb die Verbindung hängen.

Ähnliche Situationen tauchen auch bei anderen Deutsche-Glasfaser-Nutzern auf: Zu Hause sieht die Konfiguration normal aus, von außen beginnt dann die Suche nach CGN, IPv6 und der Erreichbarkeit des Anschlusses. (Reddit / r/deEDV)

Mehr musste Reddit an dieser Stelle nicht erklären.

Das eigentliche Problem lag bereits vor mir.

Und plötzlich stellte sich eine viel wichtigere Frage:

Warum wollte ich überhaupt durch meine FRITZ!Box?

Ich brauchte gar keinen Zugriff auf mein Zuhause

Ich wollte kein NAS öffnen.

Kein Home Assistant.

Keine Kamera.

Keine Datei aus meinem Heimnetz.

Mein WireGuard-Tunnel nach Hause hatte an diesem Abend nur einen Zweck:

Ich wollte nicht mit meinem Arbeitsverkehr direkt am fremden Hotelnetz hängen.

Die FRITZ!Box war also nie das eigentliche Ziel gewesen.

Sie war nur mein bisheriger VPN-Endpunkt.

Diese Erkenntnis sparte mir wahrscheinlich die nächste Stunde Fehlersuche.

Wenn die eingehende Verbindung zu meinem Heimrouter durch CGN kompliziert geworden war, musste ich den Tunnel nicht unbedingt reparieren.

Ich konnte ihn einfach woanders beginnen lassen.

Direkt auf dem Laptop.

Ich ließ den Glasfaseranschluss in Ruhe

Ich öffnete die OnlydogVPN^↗.

Der Unterschied zur bisherigen Konstruktion war sofort klar.

Die App musste keine Verbindung von außen zu meinem Heimanschluss aufbauen.

Der Laptop stellte selbst eine ausgehende Verbindung zum VPN-Dienst her – genau in der Richtung, in der mein Internet ohnehin funktionierte.

Ich brauchte keine öffentliche IPv4 zu Hause.

Keine neue Portfreigabe.

Keinen neuen WireGuard-QR-Code.

Auch eine klassische Registrierung mit E-Mail und Passwort war für die grundlegende Nutzung nicht nötig.

Ich wählte den Modus für eine öffentliche, wechselhafte Verbindung und verband mich.

Dann zurück zur Kundenseite.

Login.

Upload.

Die Datei begann zu laufen.

In diesem Moment wirkte mein vorheriger Versuch fast unnötig kompliziert.

Ich hatte versucht, von einem Hotel aus eine Tür zu meinem Haus zu öffnen, obwohl ich für meine eigentliche Aufgabe überhaupt nicht nach Hause musste.

Der große Upload war der bessere Test als „Connected“

Die Datei war mehrere Gigabyte groß.

Damit hatte die neue Verbindung genug Zeit, sich zu beweisen.

Nach einigen Minuten wurde das Hotel-WLAN schlechter.

Die Geschwindigkeit fiel.

Der Upload stockte kurz.

Dann ging er weiter.

Später wechselte ich auf den Hotspot meines Telefons, weil das Hotelnetz endgültig instabil wurde.

Auch danach lief die Verbindung weiter.

Der Dienst verwendet einen HTTP/3-basierten Transport über QUIC und zusätzliche Verschleierung. Praktisch ist das für wechselnde und unruhige Netze interessant, weil die Verbindung besser mit Änderungen des Netzwerkpfads umgehen kann. (OnlydogVPN)

Mehr Technik brauchte ich dafür nicht.

Hotel-WLAN schlecht.

Hotspot an.

Upload weiter.

Ich kann nicht in die internen Routing- oder Filterregeln des Hotelnetzes schauen und deshalb nicht beobachten, welcher einzelne Mechanismus jede Unterbrechung verursacht oder verhindert hat.

Aber der Unterschied war sichtbar genug:

Die Kundendatei kam an.

Und der Glasfaseranschluss zu Hause spielte dafür plötzlich keine Rolle mehr.

CGNAT war real – nur nicht für die Aufgabe, die ich gerade lösen wollte

Das war der Denkfehler.

Ich hatte anfangs nur zwei Möglichkeiten gesehen:

Entweder bekomme ich meine alte WireGuard-Verbindung zur FRITZ!Box wieder hin.

Oder ich kann unterwegs keine VPN benutzen.

Tatsächlich waren das zwei völlig verschiedene Aufgaben.

CGN erschwert die direkte eingehende IPv4-Erreichbarkeit meines Heimanschlusses.

Es verhindert aber nicht grundsätzlich, dass mein Laptop selbst eine VPN-Verbindung nach draußen startet.

Sobald ich diese beiden Richtungen getrennt betrachtete, verlor das Problem viel von seiner Dramatik.

Die FRITZ!Box musste nicht mein VPN-Endpunkt bleiben, nur weil sie es am DSL-Anschluss gewesen war.

Für meine Arbeit im Hotel war der sinnvollere Endpunkt direkt auf dem Gerät, das vor mir stand.

Das löst nicht den Zugriff auf NAS oder Home Assistant

Eine Grenze bleibt wichtig.

Wenn ich tatsächlich mein Heimnetz erreichen möchte – etwa NAS, Kameras, Home Assistant oder andere Geräte hinter der FRITZ!Box –, ersetzt die App keine öffentlich erreichbare Heimverbindung.

Dann muss der eingehende Zugriff selbst gelöst werden.

IPv6 kann dafür eine Möglichkeit sein. Ebenso kommen je nach Aufbau Overlay- oder Relay-Lösungen infrage. Deutsche Glasfaser bietet feste IPv4-Adressen außerdem bei Geschäftskundentarifen an. (Deutsche Glasfaser)

Das ist ein anderes Problem als das, das ich im Hotel hatte.

Und genau diese Trennung würde ich heute früher machen.

Geht es nach Hause?

Oder geht es nur sicher aus dem aktuellen Netz ins Internet?

Für die zweite Aufgabe war der lokale VPN-Client erheblich einfacher.

Die kleinere App muss dafür nicht alles können

OnlydogVPN hat weniger Standorte, eine kürzere öffentliche Geschichte und weniger unabhängige Bewertungen als große etablierte VPN-Anbieter.

Wenn ich einen Dienst speziell für komplexe Router- oder Server-Infrastruktur suchen würde, wären diese Unterschiede relevant.

Aber ich wollte keine Infrastruktur aufbauen.

Ich wollte in einem fremden Netz arbeiten.

Genau dort war die reduzierte Lösung für mich überzeugender.

Ich musste den Router meiner Familie nicht anfassen.

Ich musste nicht herausfinden, ob das Hotel IPv6 sauber bis zu meinem Heimanschluss durchreichte.

Ich musste nicht den Support meines Providers kontaktieren, bevor ich eine Datei senden konnte.

Ich verband den Laptop.

Und arbeitete weiter.

Also: Funktioniert VPN bei Deutsche Glasfaser wegen CGNAT oder DS-Lite nicht?

Wenn damit gemeint ist:

„Warum erreiche ich meinen WireGuard-Server auf der FRITZ!Box von außen nicht mehr?“

Dann kann CGN bei einem Privatkundenanschluss sehr wohl der entscheidende Grund sein. Für einen eingehenden Tunnel braucht die FRITZ!Box einen von außen erreichbaren Weg. (Deutsche Glasfaser) (AVM)

Wenn die Frage dagegen lautet:

„Kann ich auf meinem Laptop bei Deutsche Glasfaser oder unterwegs überhaupt noch eine VPN benutzen?“

Dann ist die Antwort eine völlig andere.

Eine ausgehende VPN-Verbindung vom Gerät ins Internet braucht nicht denselben direkten IPv4-Weg zurück zu meinem Heimrouter.

Genau diese Unterscheidung löste meinen Fall.

Ich hatte versucht, meinen alten Heimtunnel zu retten, obwohl mein eigentliches Ziel nur eine geschützte Verbindung aus dem Hotel war.

Die FRITZ!Box blieb hinter Deutsche Glasfaser.

Der Laptop baute seine eigene Verbindung auf.

Die Datei kam an.

Mein Deutsche-Glasfaser-Anschluss brauchte an diesem Abend keinen clevereren VPN-Server – ich musste nur aufhören, einen Weg nach Hause zu reparieren, obwohl ich eigentlich nur sicher aus dem Hotel herausmusste.