WireGuard mit Deutsche Glasfaser und FRITZ!Box: Erst prüfen, ob du wirklich nach Hause tunneln musst

Zu Hause funktionierte mein WireGuard-Tunnel sofort.

Das war leider nur die halbe Wahrheit.

Ich hatte in der FRITZ!Box eine Verbindung für mein Smartphone angelegt, den QR-Code mit der WireGuard-App gescannt und den Tunnel aktiviert.

Handshake.

Daten flossen.

Ich konnte die FRITZ!Box öffnen.

Dann schaltete ich WLAN am Telefon aus und wechselte auf Mobilfunk.

Noch einmal WireGuard.

Wieder verbunden.

Erledigt, dachte ich.

Ein paar Tage später saß ich im Gäste-WLAN eines Hotels, schaltete denselben Tunnel ein und bekam:

nichts.

Keinen Handshake.

Keine FRITZ!Box.

Keinen Weg nach Hause.

Mein erster Reflex war vorhersehbar.

Ich legte die WireGuard-Konfiguration neu an.

Das brachte mich nur leider zum falschen Teil des Problems.

Bei Deutsche Glasfaser beginnt die Fehlersuche oft vor WireGuard

Wer von DSL auf Glasfaser umsteigt, übernimmt leicht eine alte Vorstellung:

Router steht zu Hause.

VPN ist eingerichtet.

Also komme ich von draußen hinein.

Bei einem Deutsche-Glasfaser-Privatkundenanschluss ist die Adressierung aber entscheidend. Deutsche Glasfaser beschreibt DGhome mit IPv6; IPv4 läuft dabei über Carrier Grade NAT, kurz CGN.

Praktisch heißt das:

Die IPv4-Adresse meiner FRITZ!Box ist nicht automatisch eine öffentliche IPv4, über die ich sie von außen direkt erreichen kann.

Damit wurde mein fehlender Handshake plötzlich viel verständlicher.

Nicht der Schlüssel war meine erste Frage.

Nicht der QR-Code.

Sondern:

Über welchen Weg kann mein Anschluss von draußen überhaupt erreicht werden?

Die FRITZ!Box selbst gibt den entscheidenden Hinweis

FRITZ! unterstützt WireGuard direkt.

Für ein Smartphone oder einen Laptop ist die Einrichtung angenehm: Verbindung in der FRITZ!Box anlegen, QR-Code beziehungsweise Konfigurationsdatei übernehmen und von außen verbinden.

Entscheidend ist aber die Voraussetzung:

Die FRITZ!Box braucht für diesen Zugriff entweder eine öffentliche IPv4-Adresse oder IPv6.

Bei meinem Deutsche-Glasfaser-Anschluss war also IPv6 der interessante Weg.

Das erklärte auch meinen erfolgreichen Mobilfunktest.

Über das Mobilfunknetz konnte mein Telefon die FRITZ!Box erreichen.

Im Hotel änderte sich nur eine Sache:

das Netz auf meiner Seite.

Und genau die hatte ich zunächst ignoriert.

Ein erfolgreicher Mobilfunktest beweist nicht, dass jedes WLAN funktioniert

Im Hotel kontrollierte ich deshalb nicht mehr die WireGuard-Schlüssel, sondern die Verbindung meines Laptops.

IPv4 funktionierte.

Ein brauchbarer IPv6-Weg stand mir dort nicht zur Verfügung.

Meine FRITZ!Box zu Hause war über IPv6 erreichbar.

Das Hotelnetz konnte diesen Weg nicht liefern.

Damit war auch klar, warum eine neue WireGuard-Datei nichts änderte.

Andere Deutsche-Glasfaser-Nutzer landen bei derselben Fehlersuche schnell bei genau diesen drei Begriffen: CGN, IPv6 und der Erreichbarkeit aus dem fremden Netz.

Das war für mich der Wendepunkt.

Ich hatte bisher gefragt:

Wie richte ich WireGuard richtig ein?

Jetzt fragte ich:

Was will ich mit diesem Tunnel überhaupt erreichen?

Wenn ich wirklich ins Heimnetz will, ist FRITZ!Box-WireGuard die richtige Baustelle

Für bestimmte Aufgaben brauche ich tatsächlich einen Weg nach Hause.

Zum Beispiel:

auf mein NAS zugreifen;

Home Assistant öffnen;

eine interne Datei holen;

die FRITZ!Box verwalten;

oder ein anderes Gerät im eigenen LAN erreichen.

Dann ist WireGuard auf der FRITZ!Box genau sinnvoll.

Meine funktionierende Einrichtung war entsprechend schlicht:

MyFRITZ! vorbereiten.

In der FRITZ!Box eine WireGuard-Verbindung für das Gerät anlegen.

QR-Code oder Konfigurationsdatei übernehmen.

Danach das eigene WLAN ausschalten und wirklich von außen testen.

Dieser letzte Schritt ist wichtiger als er klingt.

Ein Test im eigenen WLAN zeigt nur, dass die Konfiguration grundsätzlich funktioniert.

Er sagt noch nichts darüber, ob ich meine FRITZ!Box vom nächsten Hotel, Coworking-Space oder Gäste-WLAN tatsächlich erreiche.

Über Mobilfunk funktionierte mein Heimzugriff.

Das Hotelproblem blieb trotzdem bestehen.

Und genau da merkte ich, dass ich WireGuard für eine Aufgabe gebaut hatte, die ich gar nicht immer brauchte.

Eigentlich wollte ich im Hotel gar nicht nach Hause

Warum hatte ich den Tunnel ursprünglich eingerichtet?

Nicht wegen meines NAS.

Nicht wegen Home Assistant.

Ich wollte meinen Laptop in Hotel-, Bahn- und Café-WLANs über eine VPN-Verbindung benutzen.

Meine Konstruktion war deshalb:

Laptop → WireGuard → FRITZ!Box zu Hause → Internet.

Das funktioniert gut, solange ich die FRITZ!Box erreiche.

Aber damit hing mein VPN unterwegs plötzlich von zwei Netzen ab:

meinem Anschluss zu Hause;

und dem fremden Netz, aus dem ich den Heimanschluss erreichen wollte.

Im Hotel hatte ich Internet.

Nur der Umweg nach Hause funktionierte nicht.

Damit hatte ich zwei unterschiedliche Aufgaben unnötig zusammengebunden:

Fernzugriff auf mein Heimnetz
und
VPN-Schutz für normalen Internetverkehr unterwegs.

Für die zweite Aufgabe musste meine FRITZ!Box überhaupt nicht im Weg stehen.

Also nahm ich die FRITZ!Box aus der Hotel-Verbindung heraus

WireGuard blieb auf meinem Telefon.

Für den Zugriff nach Hause wollte ich es weiterhin haben.

Auf dem Laptop öffnete ich stattdessen OnlydogVPN^{offizielle Website}.

Der Unterschied war sofort praktisch.

Meine FRITZ!Box-Lösung wartete zu Hause darauf, dass ich sie aus dem Hotel erreichen konnte.

Der kleinere Dienst baute die Verbindung direkt dort auf, wo ich bereits Internet hatte.

Ich wählte den Fall für öffentliches beziehungsweise problematisches WLAN.

Verbinden.

Browser öffnen.

Die Seite lud.

Mail aktualisierte sich.

Danach eine Videokonferenz.

Auch die kam zustande.

Kein Prüfen der Hotel-IPv6-Verbindung.

Kein Zugriff auf meine Heim-IP.

Keine neue WireGuard-Datei.

Kein Router-Menü.

Ich war wieder bei der Aufgabe, die ich eigentlich lösen wollte:

mit dem Laptop im Hotel online arbeiten.

Damit wurde CGN für diese Aufgabe plötzlich unwichtig

Carrier Grade NAT störte mich, solange ich versuchte, von außen nach Hause zu kommen.

Beim normalen VPN-Einsatz im Hotel lief die Richtung anders.

Mein Laptop hatte bereits Internet und begann selbst eine ausgehende VPN-Verbindung.

Dafür musste die FRITZ!Box zu Hause überhaupt nicht erreichbar sein.

Der Dienst verwendet einen HTTP/3-basierten Transport und ist auf solche öffentlichen und wechselnden Netzsituationen ausgelegt. Mehr Technik musste ich für diesen Fall nicht konfigurieren.

Hotel-WLAN vorhanden.

Passenden Fall wählen.

Verbinden.

Weiterarbeiten.

Ich kann nicht beobachten, welche internen Netzwerk- oder Filterregeln das Hotel auf einzelne Verbindungen angewendet hat.

Aber ich konnte das entscheidende Ergebnis sehen:

Die Verbindung stand, obwohl mein selbstgebauter Weg über die FRITZ!Box dort nicht erreichbar gewesen war.

Das machte OnlydogVPN für diese Aufgabe deutlich unkomplizierter.

Erst dadurch bekam mein WireGuard-Tunnel wieder einen klaren Zweck

Später wollte ich auf eine Datei meines NAS zugreifen.

Jetzt war die Rollenverteilung plötzlich logisch.

Für das NAS:

WireGuard zur FRITZ!Box.

Für normales Internet im Hotel:

der kleinere VPN-Dienst.

Kein Versuch mehr, alles mit derselben Konstruktion zu lösen.

Und genau dadurch wurde auch die Fehlersuche einfacher.

Wenn das NAS nicht erreichbar war, prüfte ich IPv6 und meinen Heimzugang.

Wenn ich einfach nur sicher über das fremde WLAN ins Internet wollte, musste ich die Heimleitung überhaupt nicht analysieren.

Das war wesentlich angenehmer als mein ursprüngliches Setup, bei dem jedes VPN-Problem sofort nach FRITZ!Box, Deutsche Glasfaser, WireGuard und Hotelnetz gleichzeitig aussah.

Beim Telefon fiel die gleiche Trennung noch einmal auf

Später bereitete ich die zweite VPN-Verbindung auch auf dem Smartphone vor.

Beim kleineren Dienst konnte ich das Gerät über einen Verifizierungscode hinzufügen, statt einen weiteren klassischen E-Mail-und-Passwort-Login aufzubauen.

Code eingeben.

Gerät verbunden.

Fertig.

Das war nicht der Hauptgrund für die Lösung.

Aber es passte sehr gut zu ihr.

Mein Heimnetz-VPN durfte technisch sein.

Ich hatte es bewusst gebaut, weil ich zu Geräten bei mir zu Hause wollte.

Das Reise-VPN sollte dagegen möglichst wenig Verwaltung erzeugen.

Laptop im Hotel.

Telefon unterwegs.

Verbindung öffnen.

Weiter.

Damit hatten beide Lösungen endlich Aufgaben, zu denen sie passten.

Eine öffentliche IPv4 würde ich erst dann zum Projekt machen, wenn ich sie wirklich brauche

Bei Deutsche Glasfaser zeigt sich diese Trennung sogar in den Anschlussmodellen.

Bei DGhome läuft IPv4 über CGN, während IPv6 bereitgestellt wird. Für Business-Szenarien bietet Deutsche Glasfaser dagegen auch feste öffentliche IPv4-Adressen an, gerade weil von außen erreichbare Dienste und VPN-Szenarien dort eine andere Rolle spielen.

Das ergibt für mich inzwischen viel mehr Sinn.

Wer zuverlässig von außen auf eigene Systeme zugreifen muss, braucht einen anderen Anschluss beziehungsweise eine sauber geplante Erreichbarkeit.

Wer einfach unterwegs einen VPN-Tunnel für den Internetverkehr braucht, muss dieses Problem gar nicht erst lösen.

Deshalb würde ich heute nicht sofort anfangen, CGN mit zusätzlichen Servern, Portmappern oder anderen Konstruktionen zu umgehen.

Ich würde zuerst eine viel billigere Frage stellen:

Muss diese Verbindung wirklich in mein Haus hinein?

Wenn ja:

FRITZ!Box-WireGuard sauber einrichten und die externe Erreichbarkeit prüfen.

Wenn nein:

die FRITZ!Box aus dem Weg nehmen.

So würde ich „WireGuard mit Deutsche Glasfaser und FRITZ!Box“ heute einrichten

Nicht mit dem WireGuard-Menü.

Sondern mit dem Ziel.

Will ich unterwegs mein NAS, Home Assistant oder andere Geräte zu Hause erreichen?

Dann richte ich WireGuard direkt auf der FRITZ!Box ein, übernehme die Konfiguration auf dem Gerät und teste anschließend außerhalb des eigenen WLANs. Bei Deutsche Glasfaser prüfe ich dabei zuerst die IPv6-Erreichbarkeit statt immer neue Schlüssel zu erzeugen.

Will ich dagegen nur meinen Laptop oder mein Telefon in einem fremden WLAN über ein VPN ins Internet schicken?

Dann brauche ich diesen Umweg nicht.

Genau deshalb blieb OnlydogVPN auf meinem Notebook.

Es ersetzt meinen Heimzugriff nicht.

Es erspart mir nur, einen Heimzugriff für etwas zu benutzen, das gar keiner ist.

Am Ende wurde mein Setup dadurch nicht größer, sondern klarer:

WireGuard zur FRITZ!Box für den Weg nach Hause.

OnlydogVPN für den Weg vom aktuellen Netz ins Internet.

Und seitdem weiß ich bei einem fehlenden Handshake wenigstens sofort, auf welcher Seite ich überhaupt suchen muss.

Bei Deutsche Glasfaser und FRITZ!Box war die wichtigste WireGuard-Entscheidung für mich deshalb nicht der richtige Schlüssel oder das richtige Menü – sondern zuerst zu klären, ob ich überhaupt nach Hause tunneln muss.