WireGuard mit FRITZ!Box und 1&1 Glasfaser: Warum ich mein Heimnetz nicht mehr für jeden VPN-Tunnel brauche

Zu Hause hatte ich gerade Glasfaser bekommen.

Unterwegs hatte ich plötzlich keinen VPN mehr.

Das war nicht die Reihenfolge, die ich erwartet hatte.

Der Wechsel zu 1&1 war problemlos gewesen. Die FRITZ!Box hing am neuen Anschluss, Downloads waren deutlich schneller als vorher und mein Heimnetz sah nach der Umstellung erstaunlich unverändert aus.

Bis ich ein paar Tage später außerhalb der Wohnung mein bisheriges WireGuard-Profil startete.

Ich wollte über die FRITZ!Box nach Hause tunneln und von dort weiter ins Internet. Das hatte vor dem Anbieterwechsel zuverlässig funktioniert.

WireGuard an.

Warten.

Kein Handshake.

Noch einmal.

Nichts.

Ich löschte das Profil, erzeugte es neu und importierte den QR-Code ein zweites Mal.

Immer noch nichts.

Das Merkwürdige daran: Mein neuer Glasfaseranschluss war schneller als der alte.

Nur von außen kam ich nicht mehr dort an.

Die FRITZ!Box konnte WireGuard – das war nicht die eigentliche Frage

Zunächst vermutete ich eine verlorene Einstellung.

Das lag nahe, denn WireGuard wird von aktuellen FRITZ!Boxen offiziell unterstützt. AVM nennt für eingehende Verbindungen aber noch eine zweite Voraussetzung: Die Box muss aus dem Internet über eine passende öffentliche IPv4- oder erreichbare IPv6-Adresse erreichbar sein.

Genau dort lag der Teil, den ich beim Providerwechsel übersehen hatte.

Der Router konnte WireGuard perfekt eingerichtet haben.

Das bedeutete noch nicht, dass mein Laptop von jedem fremden Netz aus auch tatsächlich einen Weg bis zu diesem Router fand.

Ein aktueller Erfahrungsbericht nach einem Wechsel auf 1&1 Glasfaser beschreibt praktisch dieselbe Überraschung: Internet zu Hause funktionierte, der bisherige WireGuard-Zugang schaffte danach aber keinen Handshake mehr.

Damit hörte ich auf, denselben QR-Code noch einmal neu anzulegen.

Die interessantere Frage lautete jetzt:

Brauchte ich gerade wirklich einen VPN nach Hause – oder nur einen VPN für den Laptop vor mir?

Glasfaser war schnell, Erreichbarkeit war etwas anderes

Bei einem Anschlusswechsel kann sich nicht nur die Geschwindigkeit ändern, sondern auch die Art, wie der Anschluss von außen erreichbar ist.

Für normales Surfen zu Hause fällt das kaum auf.

Für einen VPN-Server im eigenen Wohnzimmer ist es entscheidend.

Denn mein Laptop musste nicht einfach irgendeine Website erreichen. Er musste aus einem fremden Netz genau bis zu meiner FRITZ!Box zurückfinden.

1&1 dokumentiert den Fernzugriff auf Router und Heimnetz entsprechend als eigene Funktion, und AVM macht die erreichbare Adresse ausdrücklich zur Voraussetzung für eingehendes WireGuard.

Damit war mein Fehlerbild schon ausreichend erklärt.

Der Glasfaseranschluss konnte schnell sein und mein WireGuard-Zugang trotzdem scheitern.

Mehr IPv4-/IPv6-Theorie brauchte ich an diesem Nachmittag nicht.

Denn inzwischen drängte ein anderes Problem.

Meine Kundendatei brauchte kein NAS zu Hause

Ich saß in einem fremden WLAN und wollte eine Datei zu einem Kunden hochladen.

Das war alles.

Ich brauchte weder mein NAS noch Home Assistant noch irgendeinen Rechner in meiner Wohnung.

Trotzdem behandelte ich den ausgefallenen WireGuard-Zugang so, als hätte ich dadurch überhaupt keinen sinnvollen VPN mehr.

Der Grund war Gewohnheit.

Mein Tunnel zur FRITZ!Box hatte bisher zwei Aufgaben gleichzeitig erledigt:

Er gab mir Zugriff auf mein Heimnetz.

Und er leitete meinen normalen Internetverkehr über meinen Anschluss zu Hause.

Weil ich meistens nur die zweite Wirkung bemerkte, hatte ich beides irgendwann gedanklich zusammengelegt.

VPN bedeutete für mich automatisch: erst nach Hause.

Genau diese Annahme machte aus einem einfachen Arbeitsproblem plötzlich ein FRITZ!Box-Projekt.

Also nahm ich mein Zuhause aus der Verbindungskette

Ich öffnete OnlydogVPN^↗ direkt auf dem Laptop.

Statt zuerst MyFRITZ, Adressierung und den eingehenden WireGuard-Pfad zu reparieren, wählte ich die passende Nutzungssituation und verband mich.

Dann zurück zum Browser.

Kundenportal öffnen.

Login.

Datei auswählen.

Upload.

Der Fortschrittsbalken lief durch.

Danach beantwortete ich zwei Nachrichten und öffnete die Projektseite.

Fertig.

Mein 1&1-Anschluss zu Hause war dabei irrelevant geworden.

Die FRITZ!Box musste von außen nicht erreichbar sein.

Das fremde WLAN musste keinen Weg in mein Heimnetz finden.

Der VPN begann einfach auf dem Gerät, auf dem ich ihn tatsächlich brauchte.

Und genau dadurch war mein eigentliches Problem schneller gelöst als mein WireGuard-Problem.

WireGuard hatte gar nicht verloren

Das war die wichtigste Korrektur.

Ich hatte keinen Beweis dafür gefunden, dass WireGuard die falsche Technik wäre.

Im Gegenteil.

Für den Zugriff auf mein eigenes Heimnetz ist die FRITZ!Box-WireGuard-Kombination weiterhin sehr sinnvoll. Aktuelle FRITZ!OS-Versionen unterstützen WireGuard auch mit IPv6-Verkehr.

Nur hatte ich versucht, dieses Werkzeug für eine Aufgabe zu reparieren, für die ich es an diesem Tag gar nicht benötigte.

Ich wollte nicht nach Hause.

Ich wollte sicher ins Internet.

Sobald ich diese beiden Ziele trennte, verschwanden auch die Fragen, die mich vorher aufgehalten hatten:

Welche Adresse liefert MyFRITZ?

Ist mein Anschluss über IPv4 öffentlich erreichbar?

Kommt das aktuelle WLAN sauber per IPv6 bis zu meiner Box?

Muss ich nach dem Providerwechsel das Profil neu aufsetzen?

Für meinen späteren Heimzugriff waren diese Fragen wichtig.

Für den Kunden-Upload nicht.

Der kleinere Dienst übersprang sie komplett.

Der nächste Netzwechsel bestätigte die Entscheidung

Auf dem Rückweg klappte ich den Laptop im Zug wieder auf.

Das WLAN funktionierte zunächst.

Dann nur noch sporadisch.

Ich wechselte auf den Hotspot des Smartphones.

Die VPN-Verbindung kam zurück und ich arbeitete weiter.

Der Dienst verwendet einen HTTP/3-basierten Transport, der für wechselnde Netzwerkpfade gut geeignet ist. Praktisch bedeutete das für mich: WLAN weg, Mobilfunk an, Verbindung wieder da.

Ich konnte nicht beobachten, welche internen Routing- und Adressentscheidungen in den beteiligten WLAN-, Mobilfunk- und Providernetzen jeweils getroffen wurden.

Was ich beobachten konnte, war wichtiger: Ich musste nicht prüfen, ob meine FRITZ!Box zu Hause unter dem neuen Zugangsnetz noch erreichbar war.

Mein Laptop wechselte das Netz.

Der VPN blieb seine eigene Aufgabe.

Das machte die Trennung endgültig sinnvoll.

Wenn ich mein NAS brauche, ist die FRITZ!Box weiterhin die richtige Lösung

Die Grenze ist ziemlich klar.

Wenn ich unterwegs wirklich auf mein Heimnetz zugreifen möchte, kann der direkte VPN auf dem Laptop den WireGuard-Zugang zur FRITZ!Box nicht einfach ersetzen.

Brauche ich mein NAS, Home Assistant, einen Heim-PC oder ein anderes internes Gerät, muss der Weg nach Hause funktionieren.

Dann prüfe ich MyFRITZ, die öffentliche Erreichbarkeit und gegebenenfalls gemeinsam mit 1&1 die Anschlusskonfiguration.

Dafür ist WireGuard das passende Werkzeug.

Der kleinere Dienst hat außerdem weniger Standorte, eine kürzere öffentliche Geschichte und weniger unabhängige Bewertungen als große VPN-Anbieter.

Aber genau diese Nachteile spielten für meinen Arbeitsweg kaum eine Rolle.

Ich brauchte keinen Zugang zu fünfzig Ländern.

Ich brauchte einen Tunnel auf dem Laptop.

Und ich wollte ihn nicht davon abhängig machen, ob mein Router in der Wohnung gerade von außen erreichbar war.

Eigentlich hatte ich zwei VPN-Probleme zu einem gemacht

Rückblickend war das der Kern des ganzen Nachmittags.

„WireGuard mit FRITZ!Box und 1&1 Glasfaser“ klingt nach einer einzigen technischen Aufgabe.

In Wirklichkeit können dahinter zwei völlig unterschiedliche Bedürfnisse stecken.

Ich will in mein Heimnetz.

Dann brauche ich die FRITZ!Box, WireGuard und eine funktionierende eingehende Erreichbarkeit.

Oder:

Ich bin unterwegs und möchte meine aktuelle Internetverbindung schützen.

Dann muss mein Zuhause überhaupt nicht Teil der Lösung sein.

Ich hatte jahrelang dieselbe Architektur für beide Aufgaben benutzt, weil sie funktionierte.

Erst der Glasfaserwechsel zwang mich dazu, zu fragen, ob sie auch notwendig war.

Sie war es nicht.

Was bedeutet das für WireGuard mit FRITZ!Box und 1&1 Glasfaser?

Wenn ein bestehender WireGuard-Zugang nach dem Wechsel auf 1&1 Glasfaser plötzlich keinen Handshake mehr bekommt, würde ich zuerst die Erreichbarkeit der FRITZ!Box prüfen und nicht WireGuard vorschnell neu installieren. AVM nennt eine erreichbare IPv6- oder öffentliche IPv4-Adresse ausdrücklich als Voraussetzung.

Dass genau dieser Punkt nach einem Providerwechsel praktisch für Verwirrung sorgt, zeigt auch der aktuelle öffentliche Erfahrungsbericht eines 1&1-Glasfaser-Nutzers.

Wenn ich tatsächlich auf mein Heimnetz zugreifen muss, repariere ich diesen Weg.

Wenn ich aber nur unterwegs eine geschützte Verbindung brauche, würde ich meinen Arbeitstag nicht mehr davon abhängig machen.

Ich starte den VPN dort, wo ich gerade sitze.

Der Laptop verbindet sich direkt.

Die FRITZ!Box darf zu Hause bleiben.

Für mich blieb WireGuard die bessere Tür ins Heimnetz – aber für alles, was gar nicht nach Hause musste, war die bessere VPN-Lösung diejenige, die diese Tür überhaupt nicht mehr brauchte.