FRITZ!Box-VPN über O2 HomeSpot: Eine öffentliche IPv4 brauchst du nur für den Weg nach Hause

Ich war schon kurz davor, 49,99 Euro auszugeben.

Die FRITZ!Box hing hinter einem O2 HomeSpot.

Internet funktionierte.

Mein Notebook war online.

Videocalls liefen.

Nur mein VPN-Projekt verhielt sich nicht so, wie ich erwartet hatte.

Ich hatte gelesen, dass O2 für Mobilfunkanschlüsse eine öffentliche IPv4 freischalten kann. In aktuellen O2-Fällen wird dafür eine einmalige Gebühr von 49,99 Euro genannt; anschließend kommt der APN `netpublic` ins Spiel.

Also schien die Diagnose offensichtlich:

CGNAT.

Keine öffentliche IPv4.

Deshalb funktioniert VPN nicht.

Dann stellte mir jemand eine Frage, die zunächst nach Wortklauberei klang:

„Willst du von außen in dein Heimnetz – oder willst du von zu Hause durch einen VPN ins Internet?“

Genau diese Unterscheidung hätte ich von Anfang an gebraucht.

Ich hatte zwei völlig verschiedene VPN-Richtungen verwechselt

Mein ursprüngliches Ziel war simpel.

Der O2 HomeSpot lieferte die Internetverbindung.

Dahinter hing meine FRITZ!Box.

Notebook, Telefon und andere Geräte waren dort verbunden.

Beim Arbeiten wollte ich einen normalen VPN-Dienst nutzen.

Mehr nicht.

Weil mein Anschluss keine normale öffentliche IPv4 zeigte, war ich trotzdem überzeugt, dass CGNAT zuerst beseitigt werden müsse.

Dabei beschreibt CGNAT zunächst nur, wie sich mehrere Anschlüsse öffentliche IPv4-Adressen teilen können. Der dafür reservierte Adressbereich `100.64.0.0/10` ist sogar ausdrücklich standardisiert.

Für meine Entscheidung war aber viel wichtiger, wer die Verbindung startet.

Und genau dort wurde das Problem plötzlich einfacher.

Wenn mein Notebook den Tunnel startet, muss niemand meine FRITZ!Box finden

Bei einem normalen Verbraucher-VPN beginnt die Verbindung auf meinem Gerät.

Notebook.

FRITZ!Box.

HomeSpot.

O2.

VPN-Server.

Der Tunnel geht nach außen.

Die Antworten kommen über diese bereits aufgebaute Verbindung zurück.

Dafür muss ein Server im Internet nicht zuerst meine FRITZ!Box unter einer eigenen öffentlichen IPv4 finden.

Die FRITZ!-Dokumentation zeigt denselben grundlegenden Unterschied bei WireGuard: Erreichbar sein muss vor allem die Seite, die als VPN-Zentrale beziehungsweise Server auf eingehende Verbindungen wartet.

Damit war klar, dass ich ein Problem für eingehende Verbindungen recherchiert hatte, obwohl ich zunächst nur nach draußen wollte.

Also bestellte ich die öffentliche IPv4 noch nicht.

Ich machte stattdessen den einfacheren Test.

Eine VPN-App beantwortete die Frage schneller als das Routermenü

Ich ließ den Aufbau unverändert.

Notebook → FRITZ!Box → O2 HomeSpot → Mobilfunknetz.

Kein `netpublic`.

Keine Portfreigabe.

Keine gekaufte öffentliche IPv4.

Dann installierte ich OnlydogVPN^{offizielle Website} auf dem Notebook.

App öffnen.

Arbeitssituation wählen.

Verbinden.

Browser.

Cloud-Dokument.

Videocall.

Alles lief.

Danach prüfte ich die öffentliche Adresse des Notebooks.

Dort erschien die Ausgangsadresse des VPN-Dienstes.

Damit war mein ursprüngliches Problem praktisch erledigt.

Der HomeSpot musste keine eingehende VPN-Verbindung bis zur FRITZ!Box durchreichen.

Mein Notebook hatte die geschützte Verbindung selbst nach außen aufgebaut.

Für diesen Einsatz brachte mir die öffentliche IPv4 also keinen notwendigen Zwischenschritt.

Und gerade deshalb war die kleinere App hier angenehm: Ich musste die O2-Anbindung nicht erst zu einem kleinen Netzwerkprojekt umbauen, bevor ich eine geschützte Verbindung nutzen konnte.

Ich hatte beinahe für die falsche Lösung bezahlt

Bis dahin hatte ich bereits:

O2-Foren gelesen.

APN-Namen notiert.

FRITZ!Box-Menüs geöffnet.

CGNAT-Erklärungen studiert.

Und über eine kostenpflichtige Freischaltung nachgedacht.

Dabei wollte ich nur mit meinem Notebook durch einen VPN ins Internet.

Die kleinere App änderte nicht die Netzarchitektur von O2.

Sie musste es für diese Aufgabe auch nicht.

Der Tunnel begann auf meinem Gerät und ging nach außen.

Damit wurde aus meiner langen Frage eine ziemlich kurze Regel:

Für einen ausgehenden VPN-Tunnel würde ich die öffentliche IPv4 nicht vorsorglich kaufen. Ich würde zuerst ausprobieren, ob der VPN einfach funktioniert.

Bei mir tat er das.

Dann änderte ich die Richtung.

Und plötzlich sah alles anders aus.

Als ich unterwegs auf mein NAS wollte, wurde die öffentliche Adresse relevant

Ich deaktivierte WLAN am Telefon.

Mobilfunk an.

Dann wollte ich per WireGuard zur FRITZ!Box zu Hause.

Jetzt verlief die Verbindung so:

Telefon unterwegs → Internet → O2-Anschluss → HomeSpot → FRITZ!Box.

Der Tunnel kam nicht zustande.

Diesmal passte das Fehlerbild tatsächlich zu meiner ursprünglichen IPv4-Recherche.

Denn jetzt startete die Verbindung außerhalb meines Heimnetzes.

Mein Zuhause musste erreichbar sein.

FRITZ! nennt für solche WireGuard-Verbindungen zur Box eine öffentliche IPv4 oder eine geeignete IPv6-Erreichbarkeit als Voraussetzung.

Auf einmal war die öffentliche IPv4 keine diffuse „VPN-Funktion“ mehr.

Sie löste ein konkretes Problem:

Jemand draußen muss die VPN-Gegenstelle bei mir zu Hause finden können.

Hinter dem HomeSpot gibt es aber noch eine zweite Tür

Damit war die Sache noch nicht ganz fertig.

Meine FRITZ!Box hing schließlich hinter dem HomeSpot.

Eine öffentliche IPv4 landet deshalb zunächst am vorgeschalteten O2-Router.

Nicht automatisch an der FRITZ!Box.

Für eine kaskadierte FRITZ!Box beschreibt AVM deshalb zusätzliche Weiterleitungen beziehungsweise Portfreigaben im vorgeschalteten Router.

Das lässt sich viel einfacher als zwei Türen denken.

Öffentliche IPv4:

Die erste Tür des Hauses ist von außen erreichbar.

Weiterleitung:

Der Besucher wird anschließend zur richtigen Tür im Inneren geschickt.

Ohne die erste komme ich von außen gar nicht zum Anschluss.

Ohne die zweite weiß der HomeSpot nicht, wohin die eingehende VPN-Verbindung soll.

Damit verstand ich auch, warum „Ich habe doch eine öffentliche IPv4“ noch nicht automatisch bedeutet, dass der FRITZ!Box-Fernzugriff funktioniert.

Genau an dieser Stelle sind öffentliche O2-Fälle nützlich

In einem aktuellen O2-Fall war die öffentliche IPv4 bereits freigeschaltet, WireGuard funktionierte trotzdem nicht wie erwartet. Der Hinweis auf den korrekten APN `netpublic` wurde dabei noch einmal ausdrücklich bestätigt.

Mehr brauchte ich aus solchen Erfahrungsberichten nicht mitzunehmen.

Sie zeigen keine allgemeine Schwäche von O2.

Sie zeigen etwas viel Praktischeres:

Bei eingehendem Zugriff besteht die Kette aus mehreren Teilen.

Freischaltung.

APN.

Öffentliche Adresse.

HomeSpot.

Weiterleitung.

FRITZ!Box.

WireGuard.

Wenn ich dagegen nur OnlydogVPN auf meinem Notebook öffne und nach draußen verbinde, brauche ich diese gesamte eingehende Kette nicht.

Diese Trennung spart erstaunlich viel Fehlersuche.

Erst jetzt ergaben die 49,99 Euro für mich Sinn

Nachdem klar war, dass ich tatsächlich unterwegs auf Geräte hinter meiner FRITZ!Box zugreifen wollte, hatte die öffentliche IPv4 einen konkreten Zweck.

Freischalten.

`netpublic` setzen.

HomeSpot neu verbinden.

Adresse prüfen.

Weiterleitung zur FRITZ!Box einrichten.

Dann der eigentliche Test.

Telefon auf Mobilfunk.

WireGuard verbinden.

NAS öffnen.

Ordner geladen.

Damit löste die kostenpflichtige Option genau den zweiten Anwendungsfall.

Nicht das Surfen meines Notebooks über einen VPN-Dienst.

Nicht die geschützte Internetverbindung hinter dem HomeSpot.

Sondern den eingehenden Weg zurück in mein eigenes Heimnetz.

Das ist eine wesentlich bessere Begründung für die Ausgabe als das pauschale Gefühl, dass „VPN eben eine öffentliche IPv4 braucht“.

Für meinen normalen Alltag blieb die kleinere App trotzdem die einfachere Lösung

Nachdem der FRITZ!Box-Fernzugriff funktionierte, hätte ich natürlich viel mehr Verkehr über mein Heimnetz leiten können.

Aber für den normalen Alltag wollte ich genau das nicht.

Auf dem Notebook wollte ich einen VPN einschalten und arbeiten.

Auf dem Telefon ebenso.

Ohne Portweiterleitungen.

Ohne den HomeSpot als VPN-Zentrale zu behandeln.

Ohne davon abhängig zu sein, ob mein Heimanschluss von außen erreichbar ist.

Dafür blieb die kleinere App die deutlich einfachere Ebene.

Der Tunnel startet auf dem Gerät.

Er geht nach außen.

Fertig.

Wenn ich zwischen Heim-WLAN und Mobilfunk wechsle, ist außerdem die auf wechselnde Netze ausgelegte Verbindung nützlich; der Dienst verwendet dafür einen HTTP/3-basierten Transport.

Ich kann nicht beobachten, welche internen NAT-, Routing- oder Filterregeln O2 in jeder einzelnen Mobilfunkverbindung anwendet.

Für meine Entscheidung musste ich das aber auch nicht.

Der beobachtbare Unterschied reichte:

Der ausgehende VPN funktionierte ohne gekaufte IPv4.

Der eingehende FRITZ!Box-Zugriff brauchte eine erreichbare Heimseite.

Seitdem frage ich nicht mehr „Braucht O2 für VPN eine öffentliche IPv4?“

Die Frage ist zu grob.

Ich frage stattdessen:

Wer beginnt die Verbindung?

Wenn mein Notebook oder Telefon selbst einen VPN-Dienst im Internet kontaktiert:

erst ausprobieren.

Nicht vorsorglich 49,99 Euro bezahlen.

In meinem Aufbau funktionierte die kleinere App hinter FRITZ!Box und HomeSpot ohne zusätzliche öffentliche IPv4.

Wenn ich dagegen unterwegs mein NAS, Home Assistant oder die FRITZ!Box erreichen möchte:

dann muss mein Heimnetz von außen erreichbar sein.

Dafür kann die öffentliche IPv4 entscheidend werden.

Und wenn die FRITZ!Box hinter dem HomeSpot hängt, gehört auch die Weiterleitung durch den vorgeschalteten Router zur Lösung.

Damit haben beide VPN-Arten ihren eigenen Platz.

Die FRITZ!Box-Verbindung bringt mich nach Hause.

Die kleinere App bringt meine Geräte geschützt nach draußen.

Eine öffentliche IPv4 würde ich am O2 HomeSpot deshalb nicht kaufen, weil irgendwo „VPN“ steht, sondern erst dann, wenn der erste Verbindungsversuch von draußen zu meiner FRITZ!Box kommen soll.