Magenta 5G Outdoor Box: Warum Bridge Mode meinen VPN nicht reparierte – und der APN wichtiger war

Eigentlich dachte ich, der schwierige Teil sei erledigt.

Die Magenta 5G Outdoor Box hing draußen, der Empfang war besser als mit meinem alten Indoor-Router, und mein eigener Router stand wieder dort, wo ich ihn haben wollte: hinter der Magenta-Hardware.

Dann aktivierte ich Bridge Mode.

Internet da.

Speedtest schnell.

WLAN normal.

Nur mein VPN-Server war von außen weiterhin nicht erreichbar.

Also tat ich das Naheliegende: Ich kontrollierte WireGuard, erzeugte einen neuen Schlüssel und prüfte die Firewall meines Routers. Nichts änderte sich.

Erst als ich die WAN-Adresse des Routers mit der öffentlichen IP meines Anschlusses verglich, wurde klar, dass ich am falschen Ende suchte.

Bridge Mode entfernt eine lokale Routerebene. Er macht aus einem 5G-Anschluss aber nicht automatisch einen öffentlich erreichbaren IPv4-Anschluss.

Mein Denkfehler begann beim Wort „Bridge“

Aus dem Festnetz kannte ich ein einfaches Muster:

Provider-Modem in Bridge Mode.

Eigenen Router dahinter.

Öffentliche IP landet auf dem eigenen Router.

Fertig.

Bei der 5G Outdoor Box gibt es aber noch eine Ebene, die nicht in meinem Haus steht: das Mobilfunknetz des Providers.

Magenta beschreibt die Outdoor Box als 5G-/LTE-System und erlaubt über die Außeneinheit die Konfiguration mehrerer PDN-/APN-Profile. Damit entscheidet nicht nur der lokale Bridge Mode darüber, welche Art von Verbindung mein eigener Router am Ende erhält.

Genau das hatte ich übersehen.

Mein Router konnte problemlos Webseiten öffnen und Updates laden. Deshalb hielt ich die Verbindung für „direkt“.

Für einen Server, den ich von außen erreichen will, ist das aber nicht dasselbe.

Die WAN-Adresse verriet das Problem schneller als WireGuard

Ich sah mir deshalb nicht mehr den VPN an, sondern nur noch die beiden IP-Adressen.

Die Adresse am WAN-Port meines Routers entsprach nicht der öffentlichen IPv4, die ich von außen sah.

Damit wurde die Sache viel einfacher.

Ein Mobilfunkprovider kann Kunden hinter Carrier-Grade NAT betreiben. Der dafür reservierte Bereich 100.64.0.0/10 ist nicht global routbar. Für normales Surfen ist das kein Problem: Mein Router startet eine Verbindung nach außen, und die Antwort findet zurück.

Ein eigener VPN-Server braucht dagegen den umgekehrten Weg.

Eine Verbindung aus dem Internet muss tatsächlich bei meinem Router ankommen können.

Bridge Mode allein löst diese Providerseite nicht.

Und damit war auch klar, was ich als Nächstes prüfen musste.

Der APN war wichtiger als der nächste VPN-Schalter

Im Handbuch der Outdoor Box findet sich unter MPDN-Management die Einstellung, die ich bis dahin fast ignoriert hatte: der APN. Dort lassen sich APN, IP-Typ und weitere Verbindungsparameter festlegen.

In der Magenta-Community wird für Konfigurationen, die eine öffentlich erreichbare IPv4 benötigen, business.gprsinternet mit IPv4 beschrieben. Nutzer setzen diese Kombination auch zusammen mit einem eigenen Router hinter der Outdoor Box ein.

Das änderte meine Reihenfolge komplett.

Nicht mehr:

Bridge Mode einschalten → WireGuard reparieren → Firewall verdächtigen.

Sondern:

APN prüfen → WAN-Adresse prüfen → erst dann den eigenen VPN-Server testen.

Plötzlich war Bridge Mode nicht mehr „kaputt“. Ich hatte nur erwartet, dass er eine Aufgabe übernimmt, die eigentlich schon bei der Adressvergabe des Mobilfunkanschlusses beginnt.

Dann merkte ich, dass ich gerade zwei Probleme vermischte

Für meinen Heimserver war diese Erkenntnis wichtig.

Nur saß ich an diesem Nachmittag nicht vor dem Router, weil ich unbedingt mein NAS aus dem Internet erreichen musste.

In zwanzig Minuten begann ein Kundentermin.

Ich wollte mit dem Arbeitslaptop über die 5G-Verbindung ins Netz und dabei einen geschützten VPN-Tunnel verwenden.

Bis dahin hatte ich beide Anforderungen in einen Topf geworfen:

Mein eigener VPN-Server soll von außen erreichbar sein.

Und:

Mein Laptop soll geschützt nach außen kommunizieren.

Technisch sind das zwei verschiedene Richtungen.

Für die erste brauche ich einen erreichbaren Endpunkt zu Hause.

Für die zweite nicht.

Diese Unterscheidung sparte mir schließlich mehr Zeit als jede weitere Routereinstellung.

Ich ließ den Heimserver liegen und verband den Laptop direkt

Statt noch einmal die Outdoor-Box-Oberfläche zu öffnen, startete ich OnlydogVPN^↗ auf dem Laptop.

Ich musste dafür weder einen Port öffnen noch DynDNS konfigurieren oder zuerst eine öffentliche IPv4 bis zu meinem eigenen Router bringen.

Der Tunnel begann auf meinem Gerät und ging nach außen.

Verbinden.

Mail synchronisierte.

Kundenseite geöffnet.

Videokonferenz gestartet.

Die Sitzung lief.

Damit war das Problem, das in diesem Moment tatsächlich meine Arbeit blockierte, erledigt.

Mein eigener VPN-Server war noch nicht repariert. Aber ich brauchte ihn nicht mehr als Voraussetzung, um geschützt über den 5G-Anschluss zu arbeiten.

Das war der Punkt, an dem die kleinere App für mich interessanter wurde als eine weitere Stunde Bridge-Mode-Debugging.

Der Unterschied lag nicht in mehr Einstellungen, sondern in weniger Voraussetzungen

Der Dienst verwendet einen HTTP/3-basierten Transport mit zusätzlicher Verschleierung. Für mich war daran weniger die Protokollbezeichnung interessant als das Ergebnis: Ich konnte den Tunnel aus dem bestehenden Netz heraus aufbauen, statt zuerst meinen Anschluss für eingehende Verbindungen umzubauen.

Magentas interne NAT- und Routingentscheidungen kann ich von außen nicht beobachten. Ich kann deshalb nicht behaupten, welche konkrete interne Regel eine einzelne Verbindung passieren lässt oder verhindert.

Für meine Entscheidung musste ich das aber auch nicht wissen.

Ich sah zwei Dinge direkt:

Mein selbst gehosteter VPN war noch nicht von außen erreichbar.

Der ausgehende Tunnel auf meinem Laptop funktionierte.

Und weil für die grundlegende Nutzung kein klassischer E-Mail-und-Passwort-Account nötig war, wurde daraus keine neue Einrichtungsbaustelle. Ich konnte verbinden und weiterarbeiten.

Das ersetzt keinen echten Fernzugriff – und soll es auch nicht

Diese Grenze ist wichtig.

Wenn ich von unterwegs auf NAS, Home Assistant oder andere Geräte hinter meiner Magenta 5G Outdoor Box zugreifen möchte, muss ich den Heimzugang trotzdem richtig lösen.

Ein kommerzieller Client-VPN veröffentlicht meinen privaten Server nicht plötzlich im Internet.

Dafür brauche ich eine passende Adressierung beziehungsweise eine andere Remote-Access-Lösung.

OnlydogVPN hat außerdem weniger Serverstandorte und eine kürzere öffentliche Historie als die großen VPN-Anbieter.

Für meinen konkreten Fall änderte das die Entscheidung allerdings kaum.

Ich brauchte in diesem Moment weder hundert Länder noch einen von außen erreichbaren Heimrouter.

Ich brauchte einen Tunnel, der von meinem Laptop aus funktionierte, obwohl mein Bridge-Setup noch nicht fertig war.

Genau darin lag sein Vorteil.

Danach reparierte ich den Heimzugang mit der richtigen Frage

Als ich später wieder Zeit für die Outdoor Box hatte, begann ich nicht bei WireGuard.

Ich stellte nur eine Frage:

Welche WAN-Adresse bekommt mein Router tatsächlich?

Ist sie privat oder liegt sie im CGN-Bereich, bringt es wenig, sofort VPN-Schlüssel, Ports oder Firewall-Regeln zu verändern. Dann gehört zuerst die Adressierung beziehungsweise der APN auf den Prüfstand.

Ist die Adresse öffentlich erreichbar, kann ich anschließend den eigentlichen VPN-Server untersuchen.

Auch öffentliche Magenta-Erfahrungen mit Outdoor-Box und eigenem Router laufen immer wieder auf diese Reihenfolge hinaus: erst APN und IP-Situation klären, dann Bridge Mode und den Dienst dahinter.

Damit wurde aus einer ziemlich frustrierenden Fehlersuche eine überschaubare Diagnose.

Bridge Mode war nicht die eigentliche Lösung

Seitdem trenne ich zwei Fragen konsequent.

Will ich von außen in mein Heimnetz hinein, muss mein Heimanschluss dafür erreichbar sein. Bridge Mode kann Teil dieser Konfiguration sein, aber die IP-Seite des Mobilfunkanschlusses bleibt entscheidend.

Will ich dagegen vom Laptop geschützt ins Internet hinaus, muss ich meinen Heimanschluss nicht erst in einen öffentlich erreichbaren Serveranschluss verwandeln.

Genau dort war die kleinere App die praktischere Lösung: Sie ließ mich weiterarbeiten, während ich das eigentliche Heimnetzproblem später sauber lösen konnte.

Bei meiner Magenta 5G Outdoor Box war deshalb nicht Bridge Mode das Problem – sondern meine Erwartung, dass „gebridged“ automatisch „von außen erreichbar“ bedeutet.