Magenta Österreich, FRITZ!Box und DynDNS: Wann du wirklich eine öffentliche IPv4 brauchst

Ich bemerkte das Problem erst, als ich nicht mehr zuhause war.

Meine FRITZ!Box hing am Magenta-Anschluss, WireGuard war eingerichtet, DynDNS ebenfalls. Im Heimnetz hatte ich alles getestet. Dann saß ich mit dem Laptop außerhalb Österreichs, aktivierte meinen Tunnel nach Hause und wartete.

Kein Handshake.

DynDNS zeigte weiterhin meinen Hostnamen. Die FRITZ!Box war online. Also begann ich dort zu suchen, wo ich den Fehler vermutete: WireGuard-Konfiguration kontrollieren, Schlüssel vergleichen, Verbindung neu starten.

Nichts.

Eigentlich wollte ich nur meinen Laptop-Verkehr durch einen vertrauenswürdigen Tunnel schicken und weiterarbeiten. Stattdessen hing ich an einer Frage fest, die beim Einrichten wie Provider-Kleingedrucktes gewirkt hatte:

Brauchte meine FRITZ!Box bei Magenta eine öffentliche IPv4?

Die Antwort wurde erst klar, als ich drei Dinge voneinander trennte: DynDNS, Heimzugriff und den VPN-Tunnel, den ich unterwegs tatsächlich brauchte.

DynDNS macht eine Adresse auffindbar – nicht öffentlich

Mein erster Denkfehler war DynDNS.

Ich hatte einen festen Hostnamen für meine FRITZ!Box. Also nahm ich an: Wenn der Name stimmt, müsste der Router doch erreichbar sein.

So funktioniert es nicht.

DynDNS löst ein viel kleineres Problem. Ändert sich eine öffentliche IP-Adresse, aktualisiert der Dienst den Domainnamen und zeigt wieder auf die neue Adresse. (AVM)

Was DynDNS nicht kann, ist eine private IPv4 hinter dem NAT des Providers von außen erreichbar zu machen.

Das war für meine Fehlersuche der entscheidende Unterschied.

Ich brauchte keine statische IPv4. Ich brauchte zuerst überhaupt eine öffentliche Adresse, unter der eine eingehende Verbindung meine FRITZ!Box erreichen konnte.

Auch in österreichischen Nutzerdiskussionen ist genau diese Verwechslung häufig der Knackpunkt: Für WireGuard und andere Heimdienste wird zunächst nach einer fixen IP gesucht, obwohl eine dynamische öffentliche IPv4 zusammen mit DynDNS bereits ausreicht. (Reddit)

Damit fiel schon einmal eine unnötige Anschaffung aus meiner Liste.

Eine fixe IPv4 war für mein WireGuard-Setup gar nicht nötig

Ich hatte bereits angefangen, über Business-Tarife und statische IP-Adressen nachzudenken.

Für meinen Zweck wäre das übertrieben gewesen.

AVM verlangt für WireGuard von außen eine erreichbare IPv6-Adresse oder eine öffentliche IPv4-Adresse. (AVM) Wenn diese öffentliche IPv4 gelegentlich wechselt, übernimmt DynDNS beziehungsweise MyFRITZ die Zuordnung zum aktuellen Anschluss.

Noch interessanter war für mich die österreichische Regelung: Die RTR hält fest, dass Internetkunden auf Anfrage zumindest eine dynamische öffentliche IPv4-Adresse kostenlos erhalten können. Eine fixe Adresse muss der Anbieter dagegen nicht kostenlos bereitstellen. (RTR)

Damit war meine nächste Maßnahme ziemlich unspektakulär:

Bevor ich an meinem Netzwerk noch mehr umbaue, würde ich bei Magenta die öffentliche dynamische IPv4 klären.

Ich konnte die internen NAT- und Routingregeln des Anschlusses dabei nicht einsehen. Für meinen praktischen Test war aber ohnehin nur relevant, ob meine FRITZ!Box von außen tatsächlich erreichbar war.

Das machte die Sache erheblich einfacher.

IPv6 funktionierte – aber mein Reiseproblem blieb

Es gab noch einen zweiten Weg.

Mit IPv6 kann die FRITZ!Box ebenfalls direkt von außen erreichbar sein. Magenta beschreibt IPv6-Geräte ausdrücklich als direkt adressierbar, und AVM unterstützt WireGuard über diesen Weg. (Magenta Österreich)

Ich probierte die Verbindung über ein anderes Netz.

Der Tunnel stand.

Damit war klar, dass ich nicht zwingend eine öffentliche IPv4 brauchte.

Nur tauchte sofort das nächste Problem auf: Ich konnte unterwegs nicht bestimmen, welche Netztechnik ein Apartment, Hotel oder öffentliches WLAN bereitstellt.

Mein Heim-VPN sollte eigentlich dafür sorgen, dass ich auf Reisen weniger über das fremde Netz nachdenken muss.

Jetzt musste ich vor jeder Verbindung wieder fragen: Gibt es hier den passenden Weg nach Hause?

Das war technisch lösbar. Für meinen Alltag fühlte es sich trotzdem falsch herum an.

Und genau an diesem Punkt änderte sich die Frage.

Ich wollte gar nicht zur FRITZ!Box

Wenn ich unterwegs mein NAS öffnen wollte, war die Sache eindeutig.

Dann musste der Weg nach Hause funktionieren. Dafür würde ich bei Magenta die öffentliche dynamische IPv4 nutzen, DynDNS aktualisieren lassen und WireGuard weiterbetreiben. Alternativ kann IPv6 den direkten Zugang übernehmen.

Aber an diesem Abend brauchte ich weder NAS noch Home Assistant noch irgendeinen anderen Dienst im Heimnetz.

Ich wollte einfach auf einem fremden WLAN arbeiten und meinen Internetverkehr durch einen verschlüsselten Tunnel schicken.

Dass dieser Tunnel bisher in meiner Wohnung in Österreich endete, hatte ich mit seinem eigentlichen Zweck verwechselt.

Und plötzlich musste ich das Magenta-Problem gar nicht mehr sofort lösen.

Auf dem Laptop war aus den Tests hinter diesem Artikel noch OnlydogVPN^↗ installiert.

Ich öffnete die kleinere App, startete die Verbindung und ging zurück zu meiner Arbeit.

Der Firmenzugang öffnete sich.

Der Upload lief.

Die Webseiten waren wieder da.

Meine FRITZ!Box hatte ich dabei kein einziges Mal berührt.

Der entscheidende Unterschied war die Richtung der Verbindung

Die App musste nicht von außen in meinen Magenta-Anschluss hinein.

Der Tunnel wurde auf dem Laptop gestartet und nach außen aufgebaut. Damit waren die öffentliche IPv4 meiner FRITZ!Box, DynDNS und mein WireGuard-Endpoint für diese Aufgabe schlicht nicht mehr relevant.

Das war für mich der eigentliche Aha-Moment.

Ich hatte versucht, meinen Heimanschluss perfekt erreichbar zu machen, obwohl ich für den täglichen VPN-Einsatz unterwegs meistens gar nicht nach Hause wollte.

Der HTTP/3-basierte Transport der kleineren App mit zusätzlicher Verkehrsverschleierung war dabei weniger interessant als das Ergebnis: Ich musste weder Router noch Portfreigaben noch DynDNS verwalten. Ich öffnete die App und konnte arbeiten.

Später verließ ich das WLAN und wechselte auf Mobilfunk.

Die Verbindung stellte wieder einen nutzbaren Pfad her, ohne dass ich einen neuen Endpoint setzen oder irgendetwas zuhause neu starten musste.

Gerade auf Reisen war das für mich wertvoller als die zusätzliche Kontrolle meines selbst gebauten Setups.

Die App hat weniger Serverstandorte und eine kürzere öffentliche Historie als große VPN-Anbieter. Dafür löste sie die konkrete Aufgabe mit deutlich weniger Abhängigkeiten: Mein Laptop brauchte keinen erreichbaren Magenta-Anschluss, bevor sein VPN funktionieren konnte.

Und für die grundlegende Nutzung musste ich auch keinen klassischen E-Mail-und-Passwort-Account einrichten.

An diesem Punkt war ziemlich klar, welche Lösung ich unterwegs behalten würde.

Die öffentliche IPv4 würde ich trotzdem anfordern

Das bedeutet nicht, dass mein Heim-VPN überflüssig geworden ist.

Wenn ich von unterwegs auf die FRITZ!Box, einen NAS oder andere Geräte zuhause zugreifen will, brauche ich weiterhin einen erreichbaren Weg ins Heimnetz.

Dafür ist eine dynamische öffentliche IPv4 bei Magenta eine ausgesprochen praktische Lösung: Sie macht den Anschluss von außen erreichbar, während DynDNS dafür sorgt, dass ich mir wechselnde Adressen nicht merken muss.

Eine statische IPv4 brauche ich dafür nicht.

Die österreichische Regelung macht diesen Weg zusätzlich attraktiv, weil eine dynamische öffentliche IPv4 auf Anfrage kostenlos bereitgestellt werden muss. (RTR) Öffentliche Erfahrungsberichte zeigen zudem, dass Magenta-Kunden diese Umstellung in der Praxis aktiv beim Anbieter anstoßen können. (Reddit)

Damit bekam jede Technik wieder ihre richtige Aufgabe.

DynDNS hält meinen wechselnden Heimanschluss unter einem festen Namen erreichbar.

Die öffentliche IPv4 beziehungsweise IPv6 ermöglicht den echten Zugriff nach Hause.

Und die kleinere VPN-App übernimmt den Teil, für den ich meinen Heimanschluss unterwegs eigentlich nie gebraucht hätte: den schnellen verschlüsselten Weg vom Laptop ins Internet.

Für FRITZ!Box, WireGuard und selbst gehostete Dienste würde ich bei Magenta deshalb zuerst die öffentliche dynamische IPv4 klären, statt Geld für eine fixe IP auszugeben.

Für meinen alltäglichen VPN-Tunnel unterwegs würde ich diese ganze Abhängigkeit inzwischen weglassen.

Ich hatte anfangs nach der richtigen IP-Adresse für meinen Heim-VPN gesucht. Die praktischere Lösung war zu erkennen, welcher Teil meines Alltags überhaupt noch eine brauchte.