FRITZ!Box-VPN geht über IPv6, aber nicht aus IPv4-Netzen: Was ich im Hotel erst zu spät verstanden habe

Über Mobilfunk hatte mein WireGuard-Tunnel am Nachmittag noch funktioniert. Abends im Hotel nicht mehr.

Das WLAN selbst war okay. Teams öffnete sich, meine Mails waren da, die Präsentation lag auf dem Laptop. Erst als ich die VPN-Verbindung zur FRITZ!Box zu Hause aktivierte, blieb alles hängen.

Ich machte deshalb genau das, was wahrscheinlich viele zuerst machen: Tunnel aus, wieder an. WireGuard-Profil kontrollieren. MyFRITZ!-Adresse prüfen. Noch einmal verbinden.

Keine Änderung.

Das Seltsame war nicht, dass VPN einmal ausfallen kann. Seltsam war, dass dieselbe Konfiguration über Mobilfunk funktionierte.

Dieser Unterschied erwies sich als wichtiger als jede WireGuard-Einstellung.

Nicht der Tunnel war unerreichbar – sein Eingang war es

Ich prüfte zuerst das Hotelnetz. Dort bekam mein Gerät nur IPv4. Über Mobilfunk hatte ich dagegen IPv6.

Zu Hause lief der Internetanschluss der FRITZ!Box mit DS-Lite. Vereinfacht gesagt bedeutet das: Die Box kann über IPv6 öffentlich erreichbar sein, besitzt aber nicht automatisch eine eigene öffentlich erreichbare IPv4-Adresse. FRITZ! selbst weist darauf hin, dass VPN-Verbindungen zwar über IPv4 und IPv6 möglich sind, die tatsächliche Erreichbarkeit aber von der Anschlussart abhängt. (FRITZ! / AVM, „Überträgt die FRITZ!Box…) Die technische Grundlage von DS-Lite ist genau für diesen Übergang zwischen IPv6-Infrastruktur und gemeinsam genutztem IPv4 gedacht. (IETF, RFC 6333 und RFC 6908)

Mehr musste ich eigentlich gar nicht wissen.

Mein Handy konnte die IPv6-Seite meiner FRITZ!Box erreichen.

Das IPv4-only-Hotelnetz konnte es nicht.

Damit erklärte sich auch ein Fehlerbild, das zunächst völlig widersinnig wirkt: Dass WireGuard über ein Netz funktioniert und über ein anderes nicht, bedeutet nicht automatisch, dass mit WireGuard etwas nicht stimmt.

Ein öffentlicher r/de_EDV-Thread brachte für mich den praktischen Teil auf den Punkt: Ein Nutzer beschrieb fast dieselbe Situation – FRITZ!Box-WireGuard funktioniert in Dual-Stack-Netzen, in IPv4-only-eduroam dagegen nicht. Das war keine technische Beweisführung; dafür gibt es AVM und die IETF. Aber es bestätigte, dass dieser Unterschied im Alltag tatsächlich dort auffällt, wo man ihn am wenigsten gebrauchen kann: unterwegs.

Plötzlich war auch klar, warum ein fünfter Blick auf Schlüssel, DNS und QR-Code nichts bringen würde.

Dann merkte ich, dass ich gerade das falsche Problem lösen wollte

Mein Termin begann in zwölf Minuten.

Ich hatte mich auf den Gedanken festgebissen: Ich muss jetzt mein FRITZ!Box-VPN reparieren.

Aber wofür?

Die Präsentation war bereits lokal gespeichert. Ich musste nicht auf mein NAS, nicht auf Home Assistant und nicht auf einen Rechner zu Hause. Ich wollte über ein fremdes Hotel-WLAN an einer Kundenbesprechung teilnehmen und danach noch Dateien hochladen.

Das ist ein wichtiger Unterschied.

Wenn eine Datei ausschließlich auf dem heimischen NAS liegt, ersetzt ein kommerzieller VPN-Dienst keine fehlende IPv4-Erreichbarkeit der FRITZ!Box. Dafür braucht es eine tatsächliche Lösung für den Heimzugang – etwa Full Dual Stack beim Provider oder einen von beiden IP-Welten erreichbaren Zwischenserver.

Meine Aufgabe an diesem Abend war jedoch einfacher: Ich brauchte sofort einen geschützten Internetzugang, der aus diesem Hotelnetz heraus erreichbar war.

Und dafür musste ich mein Heimnetz gar nicht erst zum Umweg machen.

Der zweite VPN-Versuch musste nur eine Sache richtig machen

Ich trennte den FRITZ!Box-Tunnel und öffnete OnlydogVPN^↗.

Auf dem IPv4-only-Netz vor mir verband sich die kleinere App.

Ich öffnete Teams.

Der Besprechungsraum erschien.

Dann zog ich die PDF in den Projektraum.

Der Upload lief durch.

Das klingt beinahe zu banal, aber genau das änderte meinen Vergleich. Minutenlang hatte ich darüber nachgedacht, welcher Tunnel technisch eleganter konfiguriert war. Für den nächsten Arbeitsschritt war nur entscheidend, welcher VPN-Endpunkt von meinem aktuellen Netz überhaupt erreichbar war.

Welche internen Filter- oder Firewall-Regeln das Hotelnetz auf einzelne Verbindungen anwandte, konnte ich nicht beobachten. Sichtbar war nur das Ergebnis: Der Heimtunnel kam aus diesem Zugang nicht sinnvoll zustande, während die zweite Verbindung im Test funktionierte.

Ich musste weder einen anderen Heimserver aufsetzen noch zwischen einer Reihe von Ländern und Protokollen herumprobieren. Die App ist genau für solche Reise- und Fremdnetzsituationen aufgebaut; die offizielle Produktseite stellt Hotel- und Flughafen-WLAN entsprechend in den Vordergrund.

Das macht sie nicht zum Ersatz für eine FRITZ!Box.

Es machte sie für diesen Abend zum sinnvolleren Werkzeug.

Diese Unterscheidung gefiel mir auch deshalb, weil sie eine Schwäche des kleineren Dienstes nicht versteckt: Wer maximale Serverauswahl, jahrelange öffentliche Historie und sehr viele unabhängige Erfahrungsberichte will, findet bei etablierten Anbietern mehr Material. OnlydogVPN ist jünger und kleiner.

Aber meine zwölf Minuten wurden nicht dadurch gerettet, dass ein Anbieter theoretisch mehr Länder oder Bewertungen hatte.

Der Upload war bereits fertig.

Erst auf dem Weg nach draußen fiel mir der zweite Vorteil auf

Nach dem Termin lief die Verbindung noch auf meinem Telefon. Auf dem Weg aus der Lobby verlor das Gerät das Hotel-WLAN und wechselte auf Mobilfunk.

Die Verbindung fing sich wieder, statt mich zurück an den Anfang zu schicken.

Das war für mich interessanter als eine weitere Geschwindigkeitsmessung. Der Dienst setzt auf einen HTTP/3-basierten Transport; darunter arbeitet QUIC. Eine der vorgesehenen Eigenschaften von QUIC ist, dass Verbindungen einen Wechsel des Netzwerkpfads überstehen können – beispielsweise wenn sich die IP-Adresse eines Clients ändert. (IETF, RFC 9000)

Mehr Protokolltheorie brauchte ich an diesem Abend nicht.

Im Hotel war mein eigentliches Problem in zwei Teile zerfallen: Der FRITZ!Box-Tunnel führte zu einem Endpunkt, den das aktuelle IPv4-Netz nicht erreichen konnte. Der zweite Dienst führte zu einem erreichbaren Internet-VPN und blieb danach auch beim Netzwechsel brauchbar.

Seitdem teste ich bei diesem Fehlerbild deshalb nicht mehr als Erstes zehn WireGuard-Einstellungen.

Ich prüfe zuerst eine viel einfachere Frage: Kann das Netz, in dem ich gerade sitze, die Adresse meiner FRITZ!Box überhaupt erreichen?

Brauche ich wirklich NAS, Smart Home oder andere Geräte zu Hause, muss ich genau dieses IPv4-/IPv6-Problem lösen. Da gibt es keine Abkürzung.

Brauche ich dagegen in den nächsten fünf Minuten eine funktionierende, geschützte Internetverbindung aus einem Hotel-, Campus- oder anderen Fremdnetz, ist die FRITZ!Box möglicherweise gar nicht mehr das richtige Ziel.

An diesem Abend war deshalb nicht der ausgefeiltere Heimtunnel entscheidend, sondern der erreichbare Tunnel, mit dem ich meine eigentliche Arbeit fortsetzen konnte.