O2 Home: VPN verbindet nicht – warum ich nicht länger nach einer öffentlichen IPv4 gesucht habe

Transparenz: Dieser Beitrag entsteht in einer kommerziellen Zusammenarbeit mit OnlydogVPN^↗. Die Ich-Erzählung ist eine zusammengesetzte Geschichte aus öffentlichen O2-Nutzerberichten, technischen Quellen und Produkttests für diesen Artikel; sie beschreibt nicht die wortgetreue Erfahrung einer einzelnen Person. Die geschilderten Ergebnisse beziehen sich auf den getesteten O2-Home-Kabelanschluss und die verwendeten VPN-Verbindungen, nicht auf jeden O2-Tarif oder jedes Firmennetz.

Der Internetanschluss war neu und schnell.

Die VPN hing bei „Verbinden“.

Ich war gerade von einem älteren DSL-Anschluss auf O2 Home über Kabel gewechselt. Webseiten öffneten sofort, Downloads waren schnell, Videocalls liefen.

Nur die VPN, die ich normalerweise einschaltete und vergaß, kam nicht mehr sauber hoch.

Also tat ich, was man nach fünf Minuten Googeln zwangsläufig tut.

IPv6 ausschalten.

Neu verbinden.

Nichts.

DNS ändern.

Nichts.

Router neu starten.

Immer noch nichts.

Dann tauchten in den Suchergebnissen die Begriffe DS-Lite und CGNAT auf. Plötzlich schien alles logisch: Mein neuer Kabelanschluss hatte keine eigene öffentliche IPv4. Also musste genau das die VPN blockieren.

Ich begann schon zu überlegen, wie ich bei O2 an eine andere Anschlussart komme.

Zum Glück testete ich vorher noch eine viel einfachere Frage:

Brauchte meine VPN tatsächlich eine öffentliche IPv4 – oder kam nur diese eine Verbindung mit meinem O2-Anschluss nicht zurecht?

Bei O2 Home muss man zuerst wissen, welchen Anschluss man überhaupt hat

„O2 Home“ beschreibt nicht eine einzige Netztechnik.

O2 bietet Festnetz über DSL, Glasfaser, Kabel und zusätzlich LTE/5G-Lösungen an. (O2) Zwei Menschen können also beide „O2 Home“ haben und technisch auf völlig unterschiedlichen Netzen sitzen.

Bei mir war das entscheidende Wort: Kabel.

Dort begegnet man schnell DS-Lite. IPv6 ist regulär verfügbar, während IPv4 über eine gemeinsam genutzte Provider-Infrastruktur läuft. Aktuelle O2-Community-Antworten bestätigen für Kabelanschlüsse genau dieses Modell und weisen darauf hin, dass eine eigene öffentliche IPv4 dort nicht einfach zum Standard gehört. (O2 Community)

Das passte zu dem, was ich in meinem Router sah.

Und es erklärte auch, warum so viele Suchtreffer sofort auf CGNAT zeigten.

Nur beantwortete es noch nicht die eigentliche Frage:

Warum funktionierte meine ausgehende VPN-Verbindung nicht?

CGNAT ist ein echtes Problem – aber nicht für jede Art von VPN

Hier hatte ich zwei Szenarien miteinander vermischt.

Wenn ich von unterwegs in mein Heimnetz hinein möchte, etwa zu einem eigenen VPN-Server, NAS oder einer Kamera, ist eine fehlende öffentlich erreichbare IPv4 sehr relevant. Klassisches IPv4-Portforwarding wird hinter CGNAT schwierig oder unmöglich.

Mein Fall war aber der umgekehrte.

Mein Laptop saß zu Hause und sollte selbst eine Verbindung nach außen zu einem VPN-Server aufbauen.

Dafür ist eine eigene öffentliche IPv4 nicht grundsätzlich nötig.

DS-Lite transportiert IPv4 über die IPv6-Infrastruktur des Providers und übersetzt den Verkehr später zentral. (IETF) NAT gehört dabei zum Design. Ausgehende Verbindungen können also durchaus funktionieren.

Diese Unterscheidung war der erste wirkliche Fortschritt des Abends.

Ich musste nicht sofort meinen O2-Anschluss „reparieren“.

Ich musste zuerst herausfinden, ob der konkrete VPN-Tunnel das Problem war.

Die große VPN machte aus der Diagnose ein kleines Netzwerkprojekt

Mein bisheriger Anbieter war nicht ohne Grund auf dem Rechner.

Großes Servernetz.

Viele Jahre am Markt.

Mehrere Protokolle.

Ausgereifte Anwendungen.

Also begann ich, diese Möglichkeiten zu nutzen.

Automatischer Modus aus.

WireGuard auswählen.

Verbinden.

Warten.

Keine stabile Verbindung.

Anderen Server wählen.

Noch einmal.

Dann ein anderes Protokoll.

Zwischendurch kam die Verbindung einmal hoch. Später hing sie wieder.

Das war der Moment, in dem ein Vorteil des großen Anbieters gegen mich arbeitete: Ich hatte viele Dinge, die ich ausprobieren konnte.

Und ich probierte sie tatsächlich alle aus.

Parallel fand ich aktuelle O2-Nutzer, bei denen gerade Firmen-VPNs über Kabel und DS-Lite in Timeouts liefen. (O2 Community) Das zeigte mir immerhin, dass die Kombination aus Kabelanschluss und bestimmter VPN-Technik reale Probleme verursachen kann.

Aber es bedeutete nicht, dass jede VPN an diesem Anschluss scheitern musste.

Diese kleine Unterscheidung war entscheidend.

Eine öffentliche IPv4 wäre eine ziemlich große Lösung für ein noch ungeklärtes Problem gewesen

An diesem Punkt war ich kurz davor, mich komplett auf das Thema Dual Stack zu versteifen.

Dabei hatte ich noch gar nicht bewiesen, dass ich es brauchte.

Wenn ich einen Server zu Hause öffentlich erreichbar machen wollte, wäre die Diskussion sinnvoll gewesen.

Aber ich wollte nur meinen Laptop durch eine VPN schicken.

Deshalb änderte ich die Reihenfolge meiner Fehlersuche.

Nicht mehr:

„Wie bekomme ich CGNAT weg?“

Sondern:

„Funktioniert auf genau diesem Anschluss eine andere Art von VPN-Verbindung?“

Wenn die Antwort Ja war, konnte die fehlende öffentliche IPv4 nicht allein für mein Problem verantwortlich sein.

Das ließ sich in wenigen Minuten testen.

Gleicher O2-Router, gleiches DS-Lite, andere VPN

Ich öffnete die OnlydogVPN.

Der kleinere Dienst hat weniger Standorte, weniger unabhängige Bewertungen und eine deutlich kürzere öffentliche Geschichte als die großen Anbieter.

Aber ich brauchte in diesem Moment keine lange Länderliste.

Ich brauchte eine Verbindung.

Ich wählte die passende Nutzungssituation und verband.

Ein paar Sekunden später war der Tunnel aktiv.

Browser öffnen.

Seite laden.

Nächste Seite.

Download starten.

Alles lief.

Und genau das machte den Test so aussagekräftig.

Ich hatte nichts am O2-Anschluss geändert.

IPv6 war weiterhin aktiv.

DS-Lite war weiterhin aktiv.

CGNAT war weiterhin Teil des Anschlusses.

Die zweite VPN funktionierte trotzdem.

Plötzlich war die öffentliche IPv4, nach der ich eine Stunde lang gesucht hatte, nicht mehr die Lösung meines Problems.

Sie war für diesen Anwendungsfall schlicht nicht nötig.

Der Unterschied lag nicht darin, IPv6 loszuwerden

OnlydogVPN verwendet einen HTTP/3-basierten Transport mit zusätzlicher Verschleierung des VPN-Verkehrs.

Für mich war daran weniger der Protokollname interessant als das Ergebnis.

Die vorherige Verbindung zwang mich dazu, Server und klassische VPN-Protokolle gegeneinander zu testen.

Die neue Verbindung kam auf demselben Anschluss direkt zustande.

Ich kann von außen nicht vollständig sehen, ob beim ersten Anbieter NAT-Zustände, Routing, MTU, Protokollverhalten oder eine Kombination daraus die entscheidende Rolle gespielt hat.

Mehr musste ich für meine Entscheidung aber auch nicht wissen.

Der Vergleich war sauber genug:

gleicher Laptop;

gleicher Router;

gleicher O2-Kabelanschluss;

gleiches DS-Lite;

erste VPN problematisch;

zweite VPN verbunden und nutzbar.

Damit verlor IPv6 seinen Status als Hauptverdächtiger.

Rückblickend hatte ich zuerst am falschen Teil des Anschlusses herumgeschraubt

Als die VPN nicht funktionierte, war IPv6 das Auffälligste an meinem neuen Anschluss.

Also schaltete ich es aus.

Nach der Recherche erschien mir das rückwärts.

Bei DS-Lite ist IPv6 nicht irgendein störender Zusatz. Es ist ein zentraler Teil der Anschlussarchitektur. (IETF) IPv4 wird gerade über diese Infrastruktur ermöglicht.

Wenn eine bestimmte VPN damit schlecht zusammenspielt, ist das ein Kompatibilitätsproblem der konkreten Verbindung.

Nicht automatisch ein Argument gegen IPv6.

Auch öffentliche Diskussionen aus deutschen Kabelnetzen zeigen seit Langem beide Erfahrungen nebeneinander: Manche VPN-Konfigurationen machen hinter DS-Lite Schwierigkeiten, während andere Tunnel problemlos funktionieren. (Reddit / r/deEDV)

Genau diese scheinbare Widersprüchlichkeit hatte mich vorher verwirrt.

Nach dem zweiten Test war sie plötzlich logisch.

Nicht jede VPN nimmt denselben Weg.

Wann ich mich tatsächlich um eine öffentliche IPv4 kümmern würde

Durch den ganzen Umweg war diese Grenze am Ende immerhin sehr klar.

Ich würde mich mit öffentlicher IPv4, Dual Stack oder alternativen Zugriffsmöglichkeiten beschäftigen, wenn ich:

von außen auf einen Server zu Hause zugreifen möchte;

klassische IPv4-Portfreigaben brauche;

oder eine Firmen-VPN benutzen muss, deren Infrastruktur mit meinem O2-Anschluss nicht zurechtkommt.

Gerade der letzte Punkt ist wichtig. Bei einem Unternehmens-VPN kann ich nicht einfach selbst die Gegenstelle austauschen. O2-Nutzer berichten auch 2026 von genau solchen Fällen, in denen das Firmen-VPN über DS-Lite Probleme macht. (O2 Community)

Aber das war nicht mein Szenario.

Ich wollte eine normale Consumer-VPN auf meinem Rechner nutzen.

Und dafür hatte ich inzwischen den wesentlich schnelleren Weg gefunden:

erst eine andere Verbindung testen, bevor ich den Internetanschluss zum Problem erkläre.

Auch „O2 Home“ allein reicht für die Diagnose nicht

Eine letzte Sache wurde dadurch ebenfalls klar.

Suchergebnisse für O2 Home lassen sich nicht blind auf jeden O2-Anschluss übertragen.

Kabel ist nicht DSL.

DSL ist nicht Glasfaser.

HomeSpot über LTE oder 5G ist wieder ein anderes Szenario.

Auch dort kann CGNAT relevant sein, und O2 beschreibt für bestimmte Mobilfunkfälle eigene Optionen rund um öffentliche IPv4-Adressen. (O2 Community)

Deshalb würde ich heute vor jeder weiteren Fehlersuche nur noch zwei Dinge klären:

Welche O2-Zugangstechnik habe ich?

Und will ich von außen hinein oder nur mit einer VPN von innen hinaus?

Diese beiden Antworten sparen erstaunlich viele unnötige Router-Neustarts.

Also: IPv4, IPv6 oder CGNAT?

Am Anfang des Abends hätte ich gesagt:

„CGNAT ist schuld. Ich brauche eine öffentliche IPv4.“

Nach dem Test würde ich die Sache viel einfacher beurteilen.

Wenn du einen Dienst in deinem Heimnetz von außen erreichbar machen willst, ist CGNAT tatsächlich ein zentrales Thema.

Wenn dagegen eine normale VPN-App auf deinem Rechner nicht verbindet, würde ich nicht zuerst IPv6 abschalten oder versuchen, den gesamten Anschluss auf öffentliche IPv4 umzubauen.

Ich würde zuerst testen, ob ein anderer VPN-Transport auf demselben Anschluss funktioniert.

Bei mir war das der entscheidende Vergleich.

Der etablierte Anbieter gab mir viele Protokolle und Server, mit denen ich das Problem selbst untersuchen konnte.

OnlydogVPN verband sich auf demselben O2-Kabelanschluss, ohne dass ich IPv6 abschalten, CGNAT beseitigen oder den Router umbauen musste.

Damit war die Suche für mich beendet.

Bei O2 Home Kabel würde ich heute nicht zuerst fragen, wie ich CGNAT loswerde – sondern welche VPN einfach funktioniert, obwohl es da ist.