WireGuard hinter A1 NetCube: Warum Bridge Mode und offene Ports oft am falschen Problem ansetzen

Ich war ziemlich sicher, dass nur noch eine Portfreigabe fehlte.

Der A1 NetCube lieferte Internet, dahinter hing meine FRITZ!Box, und dort lief WireGuard. Zuhause sah alles sauber aus. Erst als ich mit dem Laptop unterwegs war und den Tunnel aktivierte, passierte genau nichts.

Kein Handshake.

Also begann ich am offensichtlichsten Punkt: UDP-Port kontrollieren. Dann die Weiterleitung im Router. Danach DMZ. Schließlich landete ich beim Bridge Mode, weil zwei Router hintereinander verdächtig nach Double NAT aussahen.

Eine Stunde später hatte ich mehr Einstellungen verändert als nötig – und WireGuard funktionierte immer noch nicht.

Erst da wurde mir klar: Ich optimierte die Strecke hinter dem NetCube, obwohl das eigentliche Hindernis davor liegen konnte.

Bridge Mode löst nicht das wichtigste NAT-Problem

A1 verwendet bei Mobilfunkanschlüssen standardmäßig private IP-Adressen; eine öffentliche IP kann aktiviert werden. (A1)

Das war die Information, die mir gefehlt hatte.

Mein NetCube konnte problemlos mit der FRITZ!Box reden. Die FRITZ!Box kam problemlos ins Internet. Aber ein WireGuard-Client irgendwo draußen wollte genau in die andere Richtung: vom Internet bis zu meinem VPN-Server zuhause.

Und dafür sind drei Dinge nicht dasselbe.

Bridge Mode vereinfacht die Router-Kette zuhause.

Eine Portweiterleitung sagt einem erreichbaren Router, wohin eingehender Verkehr im eigenen Netz weitergeleitet werden soll.

Eine öffentliche IP sorgt überhaupt erst dafür, dass dieser Verkehr meinen Anschluss erreichen kann.

Wenn A1 vor meinem NetCube bereits eine private Provider-Adresse verwendet, kann ich hinter dem Gerät noch so sorgfältig Ports freigeben. Das Paket kommt dort gar nicht erst an.

A1 bietet auf seiner Cube-Hardware durchaus Portfreigaben an. (A1 Gerätehilfe) Die Funktion war also nicht nutzlos. Ich hatte sie nur vor der falschen Voraussetzung optimiert.

Damit war auch klar, warum Bridge Mode meine Verbindung nicht plötzlich retten konnte.

Ich hatte Double NAT verdächtigt, obwohl das Problem weiter draußen saß

Bridge Mode kann sinnvoll sein, wenn der NetCube und die FRITZ!Box beide als Router arbeiten. Dann reduziert er unnötige Schichten im eigenen Netz und überlässt die eigentliche Router-Arbeit dem Gerät dahinter.

Auch Nutzer mit A1-Mobilfunkanschlüssen verwenden solche Konstruktionen, wenn sie eigene Router und selbst gehostete Dienste betreiben. (Reddit)

Aber Bridge Mode verändert nicht automatisch die öffentliche Adresse, die A1 meinem Anschluss gibt.

Genau dort hatte ich zwei Probleme verwechselt.

Ich sah zwei Router und dachte: Double NAT.

In Wirklichkeit hätte ich zuerst prüfen müssen: Bin ich aus dem öffentlichen Internet überhaupt erreichbar?

Auch PersistentKeepalive war keine Abkürzung. WireGuard kann damit eine vorhandene NAT-Zuordnung aktiv halten. Eine private Provider-Adresse wird dadurch aber nicht zu einem öffentlichen VPN-Endpunkt. (WireGuard)

Nach all den Einstellungen war meine nächste Maßnahme deshalb erstaunlich simpel.

Nicht noch ein Router-Menü.

A1 kontaktieren.

Für echten Zugriff nach Hause würde ich zuerst die öffentliche IP klären

In Österreich ist eine dynamische öffentliche IPv4 für diesen Zweck der naheliegende Ausgangspunkt. Die RTR hält fest, dass Internetkunden auf Anfrage zumindest eine solche Adresse kostenlos erhalten können; eine kostenlose fixe IP muss dagegen nicht angeboten werden. (RTR Österreich) A1 beschreibt ebenfalls die Möglichkeit, eine öffentliche IP aktivieren zu lassen. (A1)

Für meinen WireGuard-Server würde ich deshalb heute genau dort anfangen.

Erst öffentliche IP.

Dann prüfen, welches Gerät den öffentlichen Anschluss tatsächlich übernimmt.

Und erst danach Bridge Mode, Portweiterleitung und WireGuard feinjustieren.

Damit wird aus einem ziemlich unübersichtlichen Problem eine kurze Kette.

Wenn WireGuard auf der FRITZ!Box läuft, muss der Verkehr dort ankommen. Wenn noch der NetCube davor routet, braucht es die passende Weiterleitung. Läuft die FRITZ!Box direkt hinter einem geeigneten Bridge-Setup, wird die Konstruktion einfacher.

Eine fixe Business-IP hätte ich dafür nicht automatisch gebraucht. A1 bietet statische öffentliche Adressen zwar für Business-Szenarien mit VPN und von außen erreichbaren Diensten an, (A1 Business Cube Internet) für meinen privaten WireGuard-Zugang war aber zuerst die öffentliche Erreichbarkeit entscheidend.

Damit hätte ich mein Heim-VPN sauber reparieren können.

Nur stellte sich unmittelbar danach eine unangenehm einfache Frage:

Musste ich es jetzt überhaupt reparieren?

Mein NAS war an diesem Abend gar nicht das Ziel

Ich hatte WireGuard ursprünglich aus zwei Gründen eingerichtet.

Manchmal wollte ich unterwegs auf die FRITZ!Box, mein NAS oder andere Geräte zuhause zugreifen.

Viel häufiger wollte ich aber einfach meinen Laptop in einem fremden WLAN durch einen verschlüsselten Tunnel schicken.

Über die Jahre waren diese beiden Aufgaben für mich zu einer einzigen geworden.

An diesem Abend brauchte ich keinen Zugriff auf mein Heimnetz. Ich wollte einen Upload abschicken und danach weiterarbeiten.

Damit musste mein Datenverkehr eigentlich gar nicht erst zum A1 NetCube nach Hause.

Auf dem Laptop war aus den Tests für diesen Artikel noch OnlydogVPN^↗ installiert.

Ich öffnete die kleinere App und startete die Verbindung.

Der Firmenzugang öffnete sich.

Der Upload begann.

Ich konnte weiterarbeiten.

Nach einer Stunde mit Ports, Bridge Mode und Router-Menüs fühlte sich das fast zu einfach an. Aber genau darin lag der Unterschied.

Der Tunnel musste nicht nach Österreich hinein

Mein selbst gehostetes WireGuard wartete zuhause darauf, dass ein Gerät von außen den Weg dorthin findet.

Die kleinere App drehte die Aufgabe um: Sie baute den Tunnel direkt vom Laptop nach außen auf.

Damit spielten die öffentliche IP meines A1-Anschlusses, die Portweiterleitung am NetCube und die Erreichbarkeit meiner FRITZ!Box für meinen normalen Internetverkehr keine Rolle mehr.

Ich musste mein Zuhause nicht erst zu einem funktionierenden Server machen, bevor ich unterwegs geschützt arbeiten konnte.

Der Dienst nutzt einen HTTP/3-basierten Transport mit zusätzlicher Verkehrsverschleierung. Welche internen Filterregeln das fremde WLAN verwendete, konnte ich nicht beobachten. Praktisch entscheidend war für mich, dass die Verbindung stand, ohne dass ich zwischen Serveradressen, Routermenüs und WireGuard-Endpoints wechseln musste.

Später wechselte ich vom WLAN auf den Hotspot meines Telefons.

Die Verbindung kam wieder, und der Upload lief weiter.

Dieser Moment war für meinen Alltag fast wichtiger als die ursprüngliche Verbindung. Mein selbst gebautes Heim-VPN gab mir viel Kontrolle, machte den Laptop aber gleichzeitig von einer langen Kette abhängig: fremdes Netz, A1-Erreichbarkeit, NetCube, FRITZ!Box, WireGuard.

Die kleinere App kürzte diese Kette drastisch.

Und genau deshalb blieb sie auf dem Laptop.

Nicht jedes VPN-Problem am NetCube braucht eine NetCube-Lösung

Wenn ich morgen auf mein NAS zugreifen will, sieht die Sache anders aus.

Dann brauche ich weiterhin einen Weg nach Hause. Dafür würde ich bei A1 zuerst die öffentliche dynamische IPv4 aktivieren lassen und danach mein Setup so einfach wie möglich halten: entweder sauberer Bridge-Aufbau oder eindeutige Portweiterleitung zur FRITZ!Box.

Das ist die richtige Baustelle für WireGuard.

Für den täglichen VPN-Einsatz unterwegs würde ich meinen Laptop dagegen nicht mehr davon abhängig machen.

OnlydogVPN hat weniger Standorte, weniger unabhängige Bewertungen und eine kürzere öffentliche Historie als große etablierte VPN-Dienste. Für meinen konkreten Fall war aber etwas anderes wertvoller: Ich brauchte weder öffentliche IP noch Bridge Mode noch eine erreichbare FRITZ!Box, um den Tunnel zu benutzen.

Damit wurde auch meine ursprüngliche Frage einfacher.

Bridge Mode? Sinnvoll, wenn die Router-Kaskade vereinfacht werden soll.

Ports? Relevant, sobald eingehender Verkehr meinen Anschluss überhaupt erreicht.

NAT? Das ist zuerst die Frage, die ich bei A1 klären würde.

Und OnlydogVPN? Das war für mich die Abkürzung, sobald ich merkte, dass mein Laptop gar keinen Weg nach Hause brauchte.

Bei meinem A1 NetCube war deshalb nicht die cleverste Router-Einstellung die wichtigste Lösung – sondern die Entscheidung, welche Verbindung überhaupt noch durch diesen Router führen musste.