WireGuard mit Salt Fiber: Router, Bridge oder eigener Gateway – was wirklich sinnvoll ist

WireGuard funktionierte bei mir von Anfang an.

Das war rückblickend fast das Problem.

Auf dem Laptop war der Tunnel in wenigen Minuten eingerichtet. Verbindung hoch, öffentliche IP geändert, fertig. Danach dachte ich: Wenn das so problemlos geht, kann ich WireGuard doch gleich auf den Router legen. Dann müssen Laptop, Handy und die anderen Geräte nicht jeweils selbst einen VPN starten.

Aus einer funktionierenden Verbindung wurde damit plötzlich ein Heimnetzprojekt.

Ich öffnete die Oberfläche der Salt Fiber Box.

Kein WireGuard.

Also suchte ich nach Bridge Mode.

Auch den fand ich nicht.

Spätestens als neben der Fiber Box ein zweiter Router auf meinem Tisch stand, fragte ich mich deshalb, ob ich mein eigentliches Problem noch löste – oder nur ein schöneres Netzwerkdiagramm baute.

Die Salt Fiber Box nimmt mir diese Entscheidung ziemlich schnell ab

Die Idee, WireGuard direkt auf der Salt Box laufen zu lassen, klingt zunächst vernünftig. Die aktuelle Fiber Box X6 arbeitet mit XGS-PON und ist für sehr hohe Anschlussgeschwindigkeiten ausgelegt. (Salt) Wenn bereits leistungsfähige Hardware am Glasfaseranschluss hängt, möchte man sie natürlich auch für den VPN verwenden.

Salt sieht diesen Einsatz aber nicht vor.

Die eigene Dokumentation sagt klar: VPN-Software auf angeschlossenen Geräten kann verwendet werden, direkt auf der Fiber Box lässt sich ein VPN jedoch nicht einrichten. Einen klassischen Bridge Mode bietet Salt ebenfalls nicht an. (Salt)

Damit waren meine beiden bevorzugten Varianten erledigt:

WireGuard direkt auf der Salt Box: nicht vorgesehen.

Salt Box nur als transparentes Modem vor meinem Router: ebenfalls nicht.

Wer WireGuard zentral im Heimnetz betreiben will, landet deshalb schnell bei einem eigenen Router oder Gateway hinter der Salt Box.

Also baute ich genau das.

Der eigene Gateway löste WireGuard – und brachte ein neues Problem mit

Ich verband meinen Router per Ethernet mit der Salt Box und liess WireGuard dort als Client laufen.

Der Tunnel kam hoch.

Laptop im zweiten Netz: VPN.

Handy im WLAN des eigenen Routers: ebenfalls VPN.

Technisch funktionierte mein Plan.

Nur hatte ich jetzt zwei Router hintereinander. Die Salt Box routete zuerst, mein Gateway ein zweites Mal. Plötzlich musste ich darüber nachdenken, welches Gerät DHCP verteilt, in welchem Netz mein NAS hängt und warum ein Gerät im WLAN der Salt Box nicht dieselbe Route verwendet wie eines hinter meinem Gateway.

Ein zweiter Router hinter der Salt Box, häufig über die DMZ, ist auch in öffentlichen Schweizer Nutzerdiskussionen ein üblicher Ausweg für den fehlenden Bridge Mode. (Reddit) Das bestätigte mir, dass mein Aufbau nicht exotisch war.

Ein echter Bridge Mode wurde daraus trotzdem nicht.

Und genau an diesem Punkt fiel mir auf, dass ich noch eine wichtigere Frage übersprungen hatte:

Will ich mit WireGuard eigentlich ins Heimnetz hinein – oder nur mit meinen Geräten sicher nach draussen?

„Ins Heimnetz“ und „mit VPN ins Internet“ sind zwei verschiedene Projekte

Diese Unterscheidung vereinfachte die Sache sofort.

Wenn mein eigener Gateway als WireGuard-Client nach draussen verbindet, startet er die Verbindung selbst. Dafür brauche ich keinen Bridge Mode der Salt Box.

Wenn ich dagegen von unterwegs per WireGuard in mein Heimnetz hinein möchte – etwa auf NAS, Home Assistant oder andere lokale Dienste –, muss mein Anschluss von aussen erreichbar sein.

Dann ist die öffentliche Adresse wichtiger als der Bridge Mode.

Salt unterstützt entsprechende Zugriffe über IPv6 und bietet für Anwendungen, die eine öffentliche IPv4 benötigen, eine zusätzliche statische IPv4/v6-Option an. (Salt) Auch WireGuard berücksichtigt NAT-Situationen; dafür gibt es beispielsweise PersistentKeepalive. (WireGuard)

Mehr Technik brauchte ich für die Entscheidung eigentlich nicht.

Ein eigener WireGuard-Server zu Hause und ein VPN für meinen ausgehenden Internetverkehr lösen unterschiedliche Probleme.

Genau diese Verwechslung taucht auch bei anderen Salt-Nutzern auf. In einer öffentlichen Diskussion über einen von aussen nicht erreichbaren NAS führte die Fehlersuche schnell weg vom Router selbst und hin zur öffentlichen IP beziehungsweise IPv6. (Reddit)

Damit war auch klar, warum mein Aufbau zwar funktionierte, aber für meinen eigentlichen Bedarf viel zu gross geworden war.

Ich hatte einen Gateway gebaut, obwohl ich nur ein paar Geräte schützen wollte

Bei mir ging es nämlich gar nicht darum, von unterwegs einen Heimserver zu erreichen.

Ich wollte hauptsächlich den Verkehr meines Laptops und Telefons über einen VPN schicken und gelegentlich ein weiteres Gerät hinzufügen.

Dafür hatte ich inzwischen:

eine Salt Fiber Box,

einen zusätzlichen Router,

zwei lokale Netze

und eine WireGuard-Konfiguration.

Alles funktionierte.

Aber ich hatte Infrastruktur gebaut, um drei Geräte nicht einzeln konfigurieren zu müssen.

An diesem Punkt probierte ich OnlydogVPN^↗ direkt auf dem Laptop.

Nicht auf der Salt Box.

Nicht auf dem zusätzlichen Gateway.

Auf dem Gerät, dessen Internetverkehr ich tatsächlich über einen VPN schicken wollte.

Die Verbindung stand, der Verkehr lief darüber, und ich musste an meiner Salt-Konfiguration nichts ändern.

Der Aufbau war auf dem Papier weniger beeindruckend.

Im Alltag war er sofort einfacher.

Der fehlende Bridge Mode wurde plötzlich irrelevant

Das war für mich der eigentliche Wendepunkt.

Die kleinere App löste nicht den fehlenden Bridge Mode der Salt Box. Sie sorgte dafür, dass ich ihn für meinen Anwendungsfall gar nicht mehr brauchte.

Salt blieb einfach Router.

Der VPN lief dort, wo ich ihn benötigte: auf dem Endgerät.

Das passt auch zu Salts eigener Architektur, denn VPN-Software auf angeschlossenen Geräten wird ausdrücklich unterstützt. (Salt) Statt also DMZ, doppeltes NAT und einen zweiten Router dauerhaft mitzuschleppen, konnte ich das Netzwerk unangetastet lassen.

OnlydogVPN verwendet dafür einen HTTP/3-basierten Transport statt eines klassischen WireGuard-Tunnels. Für mich war aber weniger der Protokollname entscheidend als das Ergebnis: Der VPN funktionierte, ohne dass mein Heimnetz Teil der Konfiguration werden musste.

Natürlich hat der kleinere Dienst weniger Standorte, eine kürzere öffentliche Historie und weniger unabhängige Bewertungen als grosse VPN-Anbieter. Wer eine selbst kontrollierte WireGuard-Konfiguration, einen eigenen Endpoint oder einen zentralen Tunnel für das gesamte LAN will, bekommt mit einem eigenen Gateway deutlich mehr Kontrolle.

Genau das wollte ich inzwischen aber nicht mehr.

Mein Engpass war nicht Kontrolle.

Es war unnötige Komplexität.

Beim zweiten Gerät merkte ich, warum die einfachere Lösung besser zu meinem Ziel passte

Als Nächstes nahm ich das Handy.

Mit meiner ursprünglichen WireGuard-Lösung hätte ich entweder die Konfiguration importieren oder darauf achten müssen, dass das Telefon im richtigen WLAN hinter meinem Gateway hing.

Die kleinere App verband das zusätzliche Gerät stattdessen über einen Verifizierungscode.

Code bestätigen.

Verbinden.

Fertig.

Das war keine spektakuläre Funktion. Sie löste aber genau den Grund, aus dem ich überhaupt über einen routerweiten VPN nachgedacht hatte: Ich wollte nicht aus jedem neuen Gerät ein kleines Netzwerkprojekt machen.

Der zusätzliche Gateway blieb noch einige Tage angeschlossen.

Dann nahm ich ihn für diesen Zweck wieder aus dem Netz.

Nicht weil WireGuard schlecht funktioniert hätte. WireGuard hatte von Anfang an funktioniert.

Ich hatte es nur an einer Stelle eingesetzt, an der ich seine zusätzliche Kontrolle gar nicht brauchte.

Router, Bridge oder eigener Gateway?

Heute würde ich diese Entscheidung deshalb nicht mehr mit der Hardware beginnen.

Wenn du einen eigenen WireGuard-Server zu Hause betreiben und von unterwegs auf NAS, Home Assistant oder andere Dienste zugreifen willst, ist ein eigener Gateway sinnvoll. Bei Salt solltest du dann vor allem klären, wie dein Anschluss von aussen erreichbar ist – über IPv6 oder eine öffentliche IPv4.

Wenn du das gesamte Heimnetz durch einen selbst verwalteten WireGuard-Tunnel schicken möchtest, ist ebenfalls ein eigener Gateway hinter der Salt Box die passende Lösung. Der fehlende Bridge Mode macht die Konfiguration aufwendiger, verhindert sie aber nicht.

Wenn du dagegen einfach möchtest, dass Laptop, Telefon und ein paar persönliche Geräte einen VPN nutzen, würde ich die Salt Fiber Box gar nicht mehr zum Mittelpunkt des Projekts machen.

Mein WireGuard-Gateway gab mir mehr Kontrolle über das gesamte Netzwerk.

Die kleinere App gab mir etwas, das für meinen tatsächlichen Bedarf wertvoller war: VPN auf den Geräten, die ihn brauchen – ohne aus Salt Fiber ein Routerprojekt zu machen.