Sunrise-CGNAT blockiert meinen Heim-VPN: Warum keine Portfreigabe half – und was unterwegs sofort funktionierte

Zu Hause funktionierte mein VPN-Server perfekt. Vom Sofa aus. Das hätte mich misstrauisch machen sollen. Ich hatte auf einem kleinen Rechner im Heimnetz einen VPN eingerichtet, die Portweiterleitung im Router kontrolliert und die interne Verbindung getestet. Alles sah sauber aus. Also fuhr ich übers Wochenende weg und versuchte vom Mobiltelefon aus, mich nach Hause zu verbinden. Timeout.

Noch einmal. Timeout. Ich änderte den Port. Startete den Server neu. Kontrollierte die Firewall. Nichts. Das Merkwürdige war: Im Heimnetz blieb der Server erreichbar. Nur aus dem Internet schien mein Anschluss nicht zu existieren. Erst als ich die WAN-Adresse meiner Sunrise-Box mit der öffentlichen IPv4 verglich, fiel mir der entscheidende Unterschied auf. Die Box hing hinter CGNAT.

Damit hatte ich die ganze Zeit am falschen Ende gesucht.

Meine Portweiterleitung war korrekt – nur kam nie etwas bei ihr an

Bei einem klassischen IPv4-Anschluss bekommt der Router eine öffentlich erreichbare Adresse. Kommt von außen eine Verbindung auf einem freigegebenen Port an, kann er sie an den VPN-Server im Heimnetz weiterreichen. CGNAT setzt davor eine zusätzliche NAT-Schicht beim Provider.

Mehrere Anschlüsse teilen sich dabei öffentliche IPv4-Adressen. Für diesen Zweck ist unter anderem der Bereich 100.64.0.0/10 reserviert. Damit wurde mein Fehler plötzlich ziemlich einfach: Meine Portfreigabe sagte meinem Router:

Wenn eine Anfrage hier ankommt, leite sie zum VPN-Server weiter.

Die Anfrage kam aber gar nicht bis zum Router. Noch eine Portregel hätte daran ebenso wenig geändert wie ein anderer WireGuard-Port. Das war die erste Erkenntnis, die meine Fehlersuche wirklich verkürzte.

Zwei IP-Adressen hätten mir eine Stunde Arbeit erspart

Der schnellste Test war am Ende banal. Ich brauchte nur die WAN-Adresse im Sunrise-Router mit der Adresse zu vergleichen, die eine externe IP-Seite sah. Wenn diese nicht übereinstimmen oder die Box eine Adresse aus dem CGNAT-Bereich trägt, erklärt das ziemlich schnell, warum eingehende IPv4-Verbindungen nicht dort landen, wo die lokale Portweiterleitung auf sie wartet.

Genau dieses Muster taucht auch bei Sunrise-Nutzern auf. Ein Nutzer, der einen Heim-VPN betreiben wollte, sah am Router eine 100.x.x.x-Adresse und bekam seinen Server von außen nicht erreichbar; nach der Bereitstellung einer öffentlichen IPv4 änderte sich die Situation. Damit wurde aus meiner bisherigen Frage

„Welcher Port ist falsch?“

eine viel nützlichere:

„Hat mein Heimanschluss überhaupt einen öffentlichen Rückweg?“

Erst wenn die Antwort darauf ja lautet, lohnt sich die nächste Runde im Router-Menü.

Bei Sunrise war die eigentliche Lösung nicht im VPN-Server

In der Sunrise-Community finden sich mehrere Fälle, in denen Nutzer wegen VPN oder Portweiterleitungen eine Umstellung des Anschlusses anfragten.

Besonders deutlich war ein Fall, bei dem ein Heim-VPN von außen nicht funktionierte. Sunrise stellte den Anschluss auf IPv4 um; anschließend bestätigte der Nutzer, dass der Zugriff wieder möglich war. Auch bei Problemen mit Portweiterleitungen wurde später eine öffentliche IPv4 als Lösung bereitgestellt. Damit hatte ich endlich eine Reparatur, die zur Ursache passte. Nicht:

VPN neu installieren. Nicht: Firewall zum fünften Mal prüfen. Nicht: DDNS wechseln. Sondern zuerst dafür sorgen, dass eine eingehende Verbindung meinen Router überhaupt erreichen kann. Danach bekommen Portweiterleitung und VPN-Konfiguration wieder einen Sinn. Nur half mir das an diesem Abend noch nicht sofort. Ich war bereits unterwegs.

Mein Heim-VPN war kaputt – meine Arbeit musste es deshalb nicht sein

Ich saß in einem fremden WLAN und hatte meinen Heim-VPN ursprünglich genau für solche Situationen eingerichtet. Nun war der Server zu Hause nicht erreichbar, und eine Reparatur würde warten müssen, bis ich den Sunrise-Anschluss geklärt hatte. Ich hätte das öffentliche WLAN ohne VPN benutzen können. Oder ich konnte mein eigentliches Sofortproblem vom Heimserver trennen.

An dieser Stelle öffnete ich OnlydogVPN^↗. Nicht, um CGNAT bei Sunrise zu „reparieren“. Sondern weil ich in diesem Moment etwas viel Einfacheres brauchte:

eine geschützte Verbindung für meinen Laptop, ohne zuerst von außen in mein Heimnetz hineinzukommen.

Ich verband. Mail lud. Die Cloud öffnete sich. Der Browser funktionierte normal. Innerhalb weniger Minuten war ich wieder arbeitsfähig. Und genau hier wurde der Unterschied zwischen meinen beiden VPN-Ideen plötzlich offensichtlich.

Mein Heimserver wartet auf eingehende Verbindungen – die kleinere App nicht

Mein selbst gehosteter VPN sitzt zu Hause und wartet darauf, dass ich ihn aus dem Internet erreiche. Dafür braucht er einen funktionierenden Weg von außen nach innen. Die kommerzielle VPN-App macht das Gegenteil: Mein Laptop baut die Verbindung selbst nach außen zum Dienst auf.

Dafür musste ich keinen Port an meiner Sunrise-Box freigeben und keine öffentliche IPv4 meines Heimanschlusses besitzen. Dieser Unterschied war viel wichtiger als jede weitere Servereinstellung. CGNAT blockierte weiterhin meinen direkten Heimzugang. Aber es blockierte nicht meine Möglichkeit, unterwegs einen geschützten Tunnel aufzubauen. In der Praxis bedeutete das:

Mein NAS war noch nicht erreichbar. Meine normale Internetarbeit war wieder geschützt. Für diesen Abend war das die richtige Priorität.

Gerade die einfache Einrichtung machte das Backup sinnvoll

Ich hatte zuerst überlegt, noch eine andere Self-Hosting-Lösung aufzubauen. Nur hätte das wieder bedeutet: Server auswählen. Zugang konfigurieren. Schlüssel übertragen. Gegenstelle testen. Vielleicht noch einen externen Vermittlungsserver betreiben. Technisch machbar. Nur nicht besonders hilfreich, während ich bereits unterwegs war.

Der Vorteil von OnlydogVPN war in diesem Moment weniger spektakulär: Ich musste keinen konventionellen Account mit E-Mail und Passwort einrichten und konnte die Verbindung direkt auf dem Gerät nutzen. Das ersetzte meinen Heim-VPN nicht. Es verhinderte aber, dass dessen Ausfall automatisch meinen gesamten geschützten Internetzugang mitnahm.

Genau deshalb blieb die App später als Backup auf dem Laptop.

Zu Hause reparierte ich den Server anschließend in der richtigen Reihenfolge

Wieder zu Hause begann ich diesmal nicht bei WireGuard. Ich begann am Anschluss. Öffentliche IPv4 beziehungsweise WAN-Situation prüfen. Dann Portweiterleitung. Dann Firewall. Dann VPN-Server. Erst danach testete ich wieder von außen – diesmal wirklich über Mobilfunk und nicht aus meinem eigenen WLAN. Die Verbindung kam bis zum Router. Dann bis zum VPN-Dienst. Dann ins Heimnetz.

So hatte ich mir das ursprünglich vorgestellt. Nur hatte ich vorher die falsche Schicht debuggt. Die Sunrise-Dokumentation zur Internet Box zeigt zwar Portweiterleitungs- und VPN-Funktionen, aber auch die beste lokale Konfiguration kann keinen öffentlichen IPv4-Eingang ersetzen, der vor dem Router gar nicht vorhanden ist.

Damit war auch klar, warum meine ersten zwanzig Änderungen keine Wirkung gehabt hatten.

Bei einem 5G-Heimanschluss würde ich noch früher aufhören, nach Ports zu suchen

Bei einem Sunrise-Mobilfunk- beziehungsweise 5G-Anschluss würde ich dieselbe Annahme nicht automatisch treffen.

Dort kann die öffentliche Erreichbarkeit anders aussehen als bei einem klassischen Festnetzanschluss. In Sunrise-Diskussionen zu privaten 4G/5G-Produkten taucht deshalb immer wieder die Alternative auf, Verbindungen von innen nach außen aufzubauen, statt auf einen direkt erreichbaren Heimanschluss zu warten. Das ist im Grunde dieselbe Lektion in einer anderen Form:

Wenn das Netz keinen direkten Eingang bereitstellt, hilft es wenig, den Eingang im Router immer schöner zu konfigurieren. Dann braucht man entweder einen anderen Anschlussmodus oder eine Architektur, die ohne eingehende öffentliche Verbindung auskommt.

Seitdem trenne ich zwei VPN-Probleme, die ich früher vermischt habe

Will ich von außen in mein Heimnetz hinein, brauche ich einen erreichbaren Weg zurück zu meinem Router. Das kann eine öffentliche IPv4 sein oder eine Lösung, die den Tunnel von innen heraus aufbaut. Will ich dagegen unterwegs sofort geschützt ins Internet, brauche ich meinen eigenen Heimserver dafür nicht zwingend.

Genau deshalb war OnlydogVPN in dieser Situation nützlicher, als ich zunächst erwartet hatte. Der Dienst hat weniger Standorte und eine kürzere öffentliche Geschichte als große etablierte Anbieter. Für meinen Zweck als sofort verfügbares Backup spielte das aber kaum eine Rolle. Ich brauchte keine riesige Serverkarte.

Ich brauchte einen geschützten Weg nach draußen, während mein eigener Weg nach Hause blockiert war. Ich kann die internen NAT-Regeln im Sunrise-Netz nicht beobachten. Aber ich kann die entscheidende Grenze testen: Gibt es überhaupt einen öffentlich erreichbaren Rückweg zu meinem Router? Wenn nein, ändere ich nicht länger Port 51820 auf 51821. Ich ändere die Architektur.

Mein Sunrise-VPN scheiterte nicht daran, dass ich die falsche Haustür geöffnet hatte – sondern daran, dass mein Anschluss aus dem öffentlichen IPv4-Internet gar keine eigene Haustür besaß.