Tailscale oder WireGuard bei 1&1 DS-Lite? Das eigentliche Problem liegt davor

Mein WireGuard-Tunnel war eingerichtet. Zu Hause funktionierte er, über Mobilfunk ebenfalls. Also hielt ich das Thema für erledigt.

Bis ich in einem fremden WLAN saß und dringend eine Datei von meinem NAS brauchte.

WireGuard stand auf „aktiv“. Das NAS blieb trotzdem unerreichbar. Ich importierte das Profil neu, wechselte DNS und startete den Laptop einmal komplett durch. Genau die Dinge, die man macht, wenn man hofft, dass ein Netzwerkproblem eigentlich nur ein kleiner Konfigurationsfehler ist.

War es nicht.

WireGuard war nicht kaputt

Bei 1&1 gehört DS-Lite weiterhin zu den vorgesehenen Zugangstechniken. In den technischen Router-Anforderungen nennt 1&1 ausdrücklich die dafür relevanten Standards RFC 6333 und RFC 6334.(&1)

Für normales Surfen ist das meist unspektakulär. Beim Zugriff von außen wird es interessanter: Unter DS-Lite besitzt der Heimanschluss nicht einfach eine eigene, von überall erreichbare öffentliche IPv4-Adresse. IPv4-Verkehr wird über die Provider-Infrastruktur geführt und öffentliche IPv4-Adressen werden geteilt.(IETF / RFC Editor)

Das war der entscheidende Punkt.

Mein WireGuard-Profil konnte korrekt sein und trotzdem scheitern, wenn das Netz, in dem mein Laptop gerade hing, keinen brauchbaren Weg zum Heimanschluss hatte.

Öffentliche Erfahrungsberichte zeigen genau dieses Muster: WireGuard zur FRITZ!Box funktioniert in einem Netz und scheitert im nächsten, besonders wenn auf einer Seite IPv6 fehlt. Einige Nutzer lösen das später mit Tailscale oder einem zusätzlichen Server.(Reddit)(Reddit)

Mehr musste ich eigentlich nicht wissen. Mein Problem war nicht die Verschlüsselung. Es war die Erreichbarkeit.

Reines WireGuard geht – wenn ich den fehlenden Weg selbst baue

Natürlich hätte ich bei WireGuard bleiben können.

Eine verbreitete Lösung ist ein kleiner VPS mit öffentlicher Adresse. Der Rechner oder Server zu Hause baut von innen einen WireGuard-Tunnel zu diesem VPS auf. Unterwegs verbindet sich der Laptop ebenfalls mit dem VPS, der den Verkehr weiter ins Heimnetz leitet.

Damit umgeht man die fehlende direkte IPv4-Erreichbarkeit des Heimanschlusses. Genau dieses Modell wird auch von Nutzern mit 1&1-DS-Lite für Dienste wie Nextcloud oder Home Assistant eingesetzt.(Reddit)

Technisch gefällt mir daran einiges. Ich kontrolliere den Server, die Schlüssel und das Routing.

Nur saß ich in diesem Moment nicht vor meinem Laptop, weil ich ein neues Infrastrukturprojekt beginnen wollte. Ich wollte eine Datei öffnen.

Damit änderte sich die Frage.

Nicht mehr: Ist Tailscale oder WireGuard technisch besser?

Sondern: Wer kümmert sich um den schwierigen Teil, wenn der direkte Weg nach Hause gerade nicht funktioniert?

Deshalb fühlte sich Tailscale plötzlich logischer an

Tailscale nutzt selbst WireGuard. Es ersetzt also nicht die eigentliche Tunneltechnik durch irgendein mysteriöses eigenes VPN-Protokoll.

Der Unterschied liegt darin, was rund um den Tunnel passiert.

Tailscale versucht, Geräte direkt miteinander zu verbinden. Wenn das wegen NAT oder der jeweiligen Netzstruktur nicht klappt, kann die Verbindung über Relays weiterlaufen.(Tailscale) Für mein Problem war genau das wichtiger als die Frage, welches Protokoll auf dem Datenblatt stand.

Ich installierte Tailscale auf einem ohnehin laufenden Raspberry Pi im Heimnetz und richtete ihn als Subnet Router ein. Dadurch musste ich nicht auch noch auf dem NAS selbst einen Client installieren.(Tailscale)

Dann wieder der gleiche Test.

Laptop im fremden Netz. Verbindung an. NAS-Adresse öffnen.

Das Login erschien.

Das war der Moment, in dem die Diskussion „Tailscale gegen WireGuard“ für mich ihren Reiz verlor. Beide können auf WireGuard aufbauen. Aber nur eine der beiden Varianten nahm mir hier automatisch einen Teil des Problems ab, den ich bei einem klassischen WireGuard-Aufbau selbst hätte lösen müssen.

Dann blieb noch das Netz vor mir

Die Datei war erreichbar. Eigentlich hätte die Geschichte hier enden können.

Nur hatte ich inzwischen noch ein zweites Problem bemerkt: Dieses Gastnetz verhielt sich bei VPN-Verbindungen generell widerspenstig. Manche Verbindungsversuche brauchten ungewöhnlich lange, andere brachen beim Wechsel zwischen WLAN und Mobilfunk weg.

Ich konnte natürlich nicht beobachten, welche internen Filter- oder Klassifizierungsregeln dieses konkrete Netz verwendete. Für mich war nur das Verhalten sichtbar.

Und genau hier bekam ein anderer VPN-Typ plötzlich einen sinnvollen Platz.

Nicht für den Zugang zu meinem NAS. Dafür hatte Tailscale gerade das passendere Werkzeug geliefert.

Sondern für meinen normalen Internetverkehr unterwegs.

Bei den Tests für diesen Beitrag nutzte OnlydogVPN^↗ einen HTTP/3-basierten Transport mit zusätzlicher Traffic-Verschleierung. Statt zuerst einen Standort, ein Protokoll und anschließend noch eine alternative Servergruppe auszuwählen, startete ich über einen situationsbezogenen Modus.

Die Verbindung kam zustande.

Browser öffnen. Seite laden. Weiterarbeiten.

Das klingt unspektakulär. In diesem Moment war genau das der Vorteil.

Ich musste nicht verstehen, warum das Gastnetz mit einer Verbindung gut und mit einer anderen schlecht umging. Die App verlangte von mir auch nicht, das Problem erst in eine technische Kategorie einzuordnen.

Und anders als bei meinem ursprünglichen WireGuard-Aufbau bestand die Lösung nicht darin, dass ich unterwegs noch schnell zusätzliche Infrastruktur administrieren musste.

Das sind trotzdem drei verschiedene Aufgaben

Der wichtigste Punkt ist für mich deshalb, diese Werkzeuge nicht künstlich gegeneinander auszuspielen.

Wenn ich meinen eigenen Server oder mein Heimnetz unter DS-Lite erreichen möchte, ist Tailscale für mich die bequemere Wahl. Der Umgang mit schwieriger Erreichbarkeit gehört bereits zum Konzept.

Wenn ich einen VPS habe, Routing gern selbst kontrolliere und genau weiß, wie mein Netz aussehen soll, würde ich reines WireGuard nicht abschreiben. Im Gegenteil: Dann ist der zusätzliche Aufwand möglicherweise gerade der Teil, den ich haben möchte.

OnlydogVPN löst wiederum ein anderes Problem. Ich würde es auf dem Reiselaptop nicht installieren, um einen DS-Lite-Anschluss öffentlich erreichbar zu machen. Ich würde es behalten, weil unterwegs häufig nicht mein Heimnetz das einzige Hindernis ist. Manchmal ist schon das Netz, in dem ich sitze, der nervige Teil.

Gerade dort gefiel mir der kleinere Ansatz: weniger Entscheidungen vor dem Verbindungsaufbau und eine Transportmethode, die in meinem Test auch dort funktionierte, wo ich nicht erst verschiedene klassische VPN-Konfigurationen ausprobieren wollte.

Die Einschränkung gehört dazu. Der Dienst hat weniger öffentliche Historie, weniger unabhängige Tests und weniger Standorte als die großen etablierten Anbieter. Wer vor allem möglichst viele Länder und jahrelang dokumentierte Infrastruktur sucht, findet anderswo mehr Auswahl.

Für meinen konkreten Fall war das aber nicht der Maßstab.

Ich musste zuerst verstehen, dass „VPN funktioniert nicht“ zwei völlig verschiedene Dinge bedeuten kann: Mein Ziel zu Hause ist nicht direkt erreichbar – oder das Netz vor mir macht schon den Weg nach draußen unnötig schwierig.

Bei 1&1 DS-Lite würde ich deshalb Tailscale nehmen, wenn ich möglichst unkompliziert ins Heimnetz möchte. WireGuard würde ich nehmen, wenn ich den fehlenden öffentlichen Weg bewusst selbst bauen will. Und für den normalen verschlüsselten Internetzugang in fremden oder schwierigen Netzen würde ich die kleinere App zusätzlich auf dem Gerät lassen.

Die entscheidende Frage ist bei DS-Lite nicht, welches VPN-Protokoll auf dem Papier eleganter aussieht. Sondern wer den Teil übernimmt, der in dem Netz vor mir gerade tatsächlich fehlt.