Drei Österreich: Brauche ich für VPN wirklich eine öffentliche IP?

Mein Verdacht begann mit zwei IP-Adressen, die nicht zusammenpassten. Im Statusfenster meines Drei-Routers stand eine interne Adresse. Eine Webseite zur IP-Abfrage zeigte eine andere.

Gleichzeitig verhielt sich mein VPN genau dann unpraktisch, wenn ich es brauchte: Der Tunnel ließ sich aufbauen, nach einer kurzen Schwäche oder einem Wechsel der Mobilfunkverbindung musste ich mich aber wieder darum kümmern.

Also suchte ich nach „Drei Österreich CGNAT öffentliche IP VPN“.

Die naheliegende Erklärung war schnell gefunden: CGNAT. Und damit schien auch die Lösung klar – öffentliche IPv4 aktivieren und das VPN-Problem ist erledigt.

Nur hatte ich dabei zwei verschiedene Probleme miteinander vermischt.

Nicht jedes VPN-Problem ist ein CGNAT-Problem

CGNAT bedeutet vereinfacht, dass mehrere Kunden öffentliche IPv4-Adressen gemeinsam benutzen. Der dafür vorgesehene Adressbereich 100.64.0.0/10 ist nicht wie eine normale öffentliche IPv4 direkt aus dem Internet erreichbar.(IETF / RFC Editor)

Das ist wichtig, wenn die Verbindung von außen zu mir nach Hause gehen soll.

Läuft beispielsweise ein eigener WireGuard-Server oder ein NAS hinter dem Drei-Router, kann CGNAT klassische Portfreigaben ausbremsen. Genau diese Situation findet sich auch in österreichischen Nutzerberichten: eigener VPN-Server eingerichtet, Router konfiguriert, von unterwegs trotzdem kein Zugriff.

Dann ist die öffentliche IP tatsächlich die passende Antwort.

Auch die RTR unterscheidet hier klar: Wer vom Anbieter nur eine private Adresse erhält, kann eine kostenlose öffentliche dynamische IPv4-Adresse verlangen. Eine kostenlose fixe IPv4 ist damit nicht automatisch verbunden.(Rundfunk und Telekom Regulierungs-GmbH…)

Für einen Heimserver ist das relevant.

Ich wollte aber gar nicht von außen in mein Heimnetz.

Ich wollte vom Laptop nach außen durch einen kommerziellen VPN-Dienst.

Und damit wurde aus derselben Drei-Verbindung plötzlich eine andere technische Frage.

Ein VPN-Client braucht nicht automatisch eine öffentliche IPv4

Mein Laptop wartet nicht auf eine neue Verbindung aus dem Internet. Der VPN-Client startet den Tunnel selbst.

Ausgehende VPN-Verbindungen können deshalb auch hinter NAT aufgebaut werden. Bei WireGuard gibt es beispielsweise einen Keepalive-Mechanismus, der NAT-Zuordnungen bei Bedarf offenhält.

Ich musste also nicht weiter theoretisieren. Ich konnte es einfach ausprobieren.

CGNAT blieb aktiv. Ich startete einen etablierten VPN-Client.

Der Tunnel verband sich.

Damit war der wichtigste Irrtum erledigt: Die fehlende öffentliche IPv4 war nicht das Hindernis, das ich gesucht hatte.

Eine öffentliche IP hätte meinen Anschluss von außen besser erreichbar gemacht. Mein eigentliches Problem lag aber woanders: Was passiert mit dem VPN, wenn die Mobilfunkverbindung kurz schwankt oder sich der Netzpfad verändert?

Welche internen Filter- oder Priorisierungsregeln Drei dabei in einzelnen Netzsegmenten verwendet, kann ich von außen nicht beobachten. Für meine Entscheidung war deshalb das sichtbare Verhalten wichtiger: Verbindet sich der VPN-Client, und muss ich mich danach ständig um ihn kümmern?

Mein erster VPN funktionierte – bis ich wieder hinschauen musste

Der etablierte Anbieter war also nicht grundsätzlich unbrauchbar. Die Verbindung kam zustande.

Das Problem zeigte sich danach.

Nach einer kurzen Unterbrechung oder Veränderung der Verbindung musste ich wieder in die App. Neu verbinden. Im Zweifel einen anderen Endpunkt versuchen. Danach kontrollieren, ob die gewünschte Seite wieder sauber lud.

Auf einem stabilen Anschluss wäre das nur ein kleines Ärgernis gewesen. Auf einer mobilen Drei-Verbindung änderte es jedoch meine Priorität.

Plötzlich war mir die Zahl der Server weniger wichtig.

Ich brauchte keinen VPN mit der längsten Länderliste. Ich brauchte einen, der mir auf dieser Verbindung möglichst wenig zusätzliche Arbeit machte.

Damit war auch klar, was ich als Nächstes testen musste.

Bei OnlydogVPN^↗ musste ich den Drei-Anschluss nicht erst umbauen

Ich ließ CGNAT unangetastet und probierte OnlydogVPN.

Keine neue WAN-Konfiguration. Keine öffentliche IPv4. Keine erneute Router-Fehlersuche.

Ich wählte in der App die passende Nutzungssituation, stellte die Verbindung her und öffnete dieselbe Seite erneut.

Sie lud über den Tunnel.

Der wichtigere Unterschied zeigte sich direkt danach: Als sich die Verbindung veränderte, musste ich nicht erst wieder durch eine lange Serverliste gehen und ausprobieren, welcher Endpunkt nun funktioniert.

Genau das war die Lösung, nach der ich ursprünglich gesucht hatte – obwohl ich sie zunächst fälschlich bei der öffentlichen IP vermutet hatte.

Der Dienst nutzt einen HTTP/3-basierten Transport und zusätzliche Verschleierung des VPN-Verkehrs. Für mich war daran weniger der Protokollname entscheidend als das Verhalten auf einer Mobilfunkverbindung, die nicht immer denselben sauberen Netzwerkpfad liefert.

HTTP/3 basiert auf QUIC. Eine der dafür relevanten Eigenschaften ist, dass Verbindungen besser mit Änderungen des Netzwerkpfads umgehen können, etwa wenn sich durch NAT oder einen Netzwechsel Adressinformationen verändern.(IETF / RFC Editor)

Mehr musste ich darüber eigentlich nicht wissen.

Eine öffentliche IPv4 verbessert die Erreichbarkeit meines Anschlusses von außen. Ein robuster VPN-Transport hilft meinem VPN-Client bei der Verbindung nach außen.

Für meinen Drei-Anschluss war das der entscheidende Unterschied.

Weniger Auswahl war hier überraschend hilfreich

Erst nachdem die eigentliche Verbindung funktionierte, fiel mir noch etwas auf.

Bei meinem vorherigen VPN hatte ich während der Fehlersuche begonnen, Server wie Ersatzteile auszuprobieren: dieses Land, jener Standort, anderer Endpunkt. Wenn etwas nicht funktionierte, war die nächste Versuchsmöglichkeit immer nur einen Klick entfernt – aber damit auch die nächste Entscheidung.

Die kleinere App reduziert diese Arbeit. Statt mich zuerst durch eine möglichst lange geografische Auswahl zu schicken, orientiert sie sich stärker an Nutzungssituationen.

Das klingt nach einer Kleinigkeit. Nach einer Fehlersuche, die bereits mit CGNAT, WAN-Adressen und Router-Einstellungen angefangen hatte, war es aber genau die richtige Art von Kleinigkeit.

Der Nachteil liegt auf der Hand: Der Dienst hat weniger Serverstandorte und eine kürzere öffentliche Historie als die großen VPN-Anbieter. Wer sehr viele konkrete Länder braucht oder ausschließlich auf jahrelang etablierte Anbieter setzen möchte, bekommt anderswo mehr Auswahl.

Für mein Problem war mehr Auswahl allerdings nicht mehr gleichbedeutend mit einer besseren Lösung.

Ich wollte die Seite öffnen, die Verbindung weiter benutzen und den VPN anschließend vergessen können.

Das funktionierte besser als eine weitere Runde IP-Diagnose.

Wann ich bei Drei trotzdem eine öffentliche IP nehmen würde

Damit ist die öffentliche IPv4 keineswegs überflüssig. Sie gehört nur zu einem anderen Problem.

Wenn ich zu Hause einen eigenen WireGuard-Server, ein NAS oder einen anderen Dienst betreiben und direkt von unterwegs darauf zugreifen wollte, würde ich bei Drei die öffentliche dynamische IPv4 prüfen. Das ist genau das Szenario, in dem CGNAT zum Hindernis wird.(Rundfunk und Telekom Regulierungs-GmbH…)

Bei einer wechselnden öffentlichen Adresse kann anschließend DDNS helfen: Drei beschreibt selbst, wie sich die dynamische IP über einen festen Hostnamen erreichbar machen lässt.

Wenn ich dagegen einfach einen VPN-Client auf Laptop oder Smartphone über Drei 4G/5G benutzen möchte, würde ich nicht als Erstes die IP-Konfiguration meines Anschlusses verändern.

Ich würde zuerst den VPN selbst testen.

Denn genau dort lag mein Denkfehler: Ich hatte die richtige Lösung für einen Heimserver auf ein Problem mit einem ausgehenden VPN-Client übertragen.

Für einen eigenen VPN-Server hinter Drei zählt die Erreichbarkeit von außen. Dann kann die öffentliche IPv4 entscheidend sein.

Für einen VPN-Client auf Drei zählt dagegen, wie unkompliziert der Tunnel nach außen funktioniert und wie wenig Betreuung er auf einer wechselnden Mobilfunkverbindung verlangt.

Deshalb blieb bei mir CGNAT bestehen – und ich wechselte statt der IP den VPN.