Die kurze Antwort
An einem DS-Lite-Anschluss können Sie einen kommerziellen VPN-Dienst normalerweise nutzen, weil der Tunnel vom Heimnetz nach außen aufgebaut wird. Schwieriger ist die Gegenrichtung: Ein Zugriff aus dem Internet auf einen Server oder VPN-Endpunkt zu Hause kann nicht über eine eigene öffentliche IPv4-Adresse erfolgen, weil der Provider diese Adresse mit mehreren Anschlüssen teilt.
Über IPv6 kann Fernzugriff funktionieren, wenn Router, Zielgerät und das entfernte Netz IPv6 unterstützen. Eine FRITZ!Box kann WireGuard nach Herstellerangaben auch über IPv6 aufbauen. Die konkrete Erreichbarkeit hängt trotzdem von Anschluss, Firewall, FRITZ!OS und dem Netz des zugreifenden Geräts ab.
Was DS-Lite bedeutet
DS-Lite steht für Dual-Stack Lite. Das Verfahren ist in RFC 6333 beschrieben und kombiniert zwei Techniken:
- Der Kundenanschluss erhält natives IPv6.
- IPv4-Pakete werden durch das IPv6-Netz des Providers zu einem AFTR-Gateway transportiert.
- Am Gateway übersetzt Carrier Grade NAT viele private Kundenadressen auf einen kleineren Bestand öffentlicher IPv4-Adressen.
Ihr Router besitzt dadurch keine eigene, frei erreichbare öffentliche IPv4-Adresse. Ausgehende IPv4-Verbindungen funktionieren, weil das Provider-Gateway Zustände für die Antwortpakete führt. Unaufgeforderte eingehende Verbindungen können nicht einfach Ihrem Anschluss zugeordnet werden.
Das Verfahren entstand wegen der Knappheit von IPv4-Adressen. IPv6 bietet einen sehr viel größeren Adressraum, während zahlreiche Dienste weiterhin nur oder zusätzlich über IPv4 erreichbar sind.
DS-Lite, Dual Stack und CGNAT unterscheiden
Die Begriffe werden häufig vermischt.
Echter Dual Stack: Der Anschluss hat eine nutzbare öffentliche IPv4-Adresse und IPv6. Eingehende Verbindungen können nach Firewall- und Freigaberegeln über beide Protokolle möglich sein.
DS-Lite: Der Anschluss hat natives IPv6. IPv4 läuft in einem Tunnel zum AFTR und verwendet dort geteiltes Carrier Grade NAT. Eine eigene öffentliche IPv4-Adresse fehlt.
CGNAT: Der Provider übersetzt Adressen zentral. CGNAT kann auch in anderen Architekturen als DS-Lite vorkommen. Entscheidend für den Nutzer ist, dass die im Router sichtbare IPv4-Adresse nicht als eigene öffentliche Adresse aus dem Internet erreichbar ist.
IPv6 mit anderen Übergangsverfahren: Provider können MAP-T, MAP-E oder weitere Verfahren einsetzen. Deren Regeln für eingehende Ports unterscheiden sich. Verlassen Sie sich deshalb nicht allein auf die umgangssprachliche Bezeichnung des Tarifs.
So erkennen Sie Ihren Anschlusstyp
Öffnen Sie die Internet- oder Online-Monitor-Seite Ihres Routers und notieren Sie:
- die zugewiesene IPv4-Adresse
- die IPv6-Adresse oder das IPv6-Präfix
- Hinweise auf DS-Lite oder einen AFTR
- Angaben zu Portfreigaben oder eingeschränkten Ports
Vergleichen Sie anschließend die Routeradresse mit unserem IP-Check. Zeigt der Check eine andere öffentliche IPv4-Adresse als die WAN-Anzeige des Routers und nennt der Router DS-Lite oder AFTR, spricht das für eine Übersetzung beim Provider.
Ein einzelner Browsercheck reicht nicht in jeder Konfiguration. Der Browser kann IPv6 bevorzugen oder bereits durch einen VPN-Tunnel laufen. Deaktivieren Sie für die Diagnose vorübergehend den kommerziellen VPN-Client und prüfen Sie IPv4 sowie IPv6 getrennt mit dem IPv6-Leak-Test.
Warum ausgehende VPN-Verbindungen meist funktionieren
Eine App auf Ihrem Gerät oder die FRITZ!Box sendet das erste Paket zum VPN-Server. Damit ist die Verbindung aus Sicht des Provider-NAT ausgehend. Antwortpakete können dem bestehenden Zustand zugeordnet werden.
Das gilt für typische Protokolle wie WireGuard über UDP und für TCP-basierte Verbindungen, sofern Provider oder lokales Netz sie nicht blockieren. Der VPN-Server kann über IPv4 oder IPv6 erreicht werden. Bei einem nur über IPv4 erreichbaren Server transportiert DS-Lite die Pakete zum AFTR und von dort ins IPv4-Internet.
Der zusätzliche Übersetzungs- und Tunnelweg kann Latenz, maximale Paketgröße und Fehlersuche beeinflussen. Eine pauschale Aussage, DS-Lite mache VPN grundsätzlich langsam, ist jedoch nicht belastbar. Serverentfernung, Providerroute, Auslastung, WLAN und Protokoll sind ebenfalls maßgeblich.
Warum eingehendes IPv4 scheitert
Für einen Server zu Hause bräuchte ein externer Client eine eindeutige öffentliche Adresse und eine Zuordnung zum richtigen Port. Bei DS-Lite teilen sich viele Anschlüsse die öffentliche IPv4-Adresse am AFTR. Eine Portfreigabe in Ihrem Router steuert dieses Provider-Gateway nicht.
Deshalb löst eine lokale Freigabe allein das Problem nicht. Betroffen sind zum Beispiel:
- selbst betriebene Spielserver
- direkter Zugriff auf ein NAS über IPv4
- klassische IPv4-Kamera-Freigaben
- ein VPN-Server, der nur über IPv4 angesprochen wird
- manche Peer-to-Peer-Anwendungen mit eingehenden Verbindungen
Öffnen Sie interne Dienste nicht ungeschützt als Ersatz. Eine öffentliche IPv6-Adresse macht ein Gerät adressierbar, aber erst Firewall und Dienstkonfiguration entscheiden, ob ein Zugriff erlaubt und sicher ist.
Fernzugriff über IPv6
IPv6 benötigt kein Carrier Grade NAT, damit jeder Anschluss genügend Adressen erhält. Ein Dienst kann grundsätzlich direkt über seine globale IPv6-Adresse erreicht werden. Dafür müssen mehrere Bedingungen erfüllt sein:
- Der Provider delegiert ein erreichbares IPv6-Präfix.
- Der Router erlaubt die gewünschte eingehende Verbindung in seiner Firewall.
- Der Dienst hört auf IPv6 und ist sicher konfiguriert.
- Der Name wird auf die aktuelle IPv6-Adresse aufgelöst.
- Das entfernte Netz kann IPv6 erreichen.
Der letzte Punkt wird oft übersehen. Ein Notebook in einem reinen IPv4-Hotelnetz erreicht einen nur über IPv6 verfügbaren Heimanschluss nicht direkt.
Für die FRITZ!Box übernimmt MyFRITZ! die dynamische Namensauflösung. WireGuard auf der FRITZ!Box kann den sicheren Zugang zum Heimnetz bereitstellen, sofern beide Enden eine gemeinsame erreichbare IP-Version haben.
FRITZ!Box, WireGuard und DS-Lite
FRIT dokumentiert ausdrücklich, dass die FRITZ!Box WireGuard- und IPsec-Verbindungen über IPv4 oder IPv6 herstellen kann. Ein DS-Lite-Anschluss schließt VPN damit nicht aus.
Für WireGuard können aktuelle FRITZ!OS-Versionen nach Herstellerangaben Zugriffe auf Geräte im entfernten Netz über IPv4 und IPv6 ermöglichen. Beim Internetzugriff über die entfernte FRITZ!Box können weiterhin IPv6-Einschränkungen bestehen. Ältere Konfigurationen müssen für neuere IPv6-Funktionen möglicherweise neu erzeugt werden.
Die genaue Funktion hängt vom Modell und Softwarestand ab. Prüfen Sie die Wissensdatenbank mit dem ausgewählten Produkt. Eine Anleitung für eine andere Box kann abweichende Fähigkeiten anzeigen.
Lösungswege für eingehenden Zugriff
IPv6 verwenden
Das ist der direkte Weg, wenn alle beteiligten Netze IPv6 unterstützen. Verwenden Sie einen verschlüsselten Dienst wie WireGuard und geben Sie nicht die Verwaltungsoberfläche oder ein NAS offen frei.
Öffentliche IPv4 beim Provider anfragen
Manche Anbieter stellen auf Anfrage, in einem anderen Tarif oder als Zusatzoption echten Dual Stack bereit. Fragen Sie ausdrücklich nach einer eigenen öffentlich erreichbaren IPv4-Adresse, nicht nur nach „Dual Stack“ als Marketingbegriff.
Vermittlungsdienst oder ausgehenden Tunnel nutzen
Ein Gerät zu Hause kann eine dauerhafte ausgehende Verbindung zu einem erreichbaren Server aufbauen. Externe Clients verbinden sich ebenfalls dorthin. Mesh-VPNs, Reverse-Tunnel und selbst betriebene Relays verwenden dieses Prinzip. Sie verlagern Vertrauen und Betrieb auf den Vermittler und müssen genauso aktualisiert und abgesichert werden.
VPN-Anbieter mit Portweiterleitung
Ein kommerzieller Anbieter kann einen Port an seinem VPN-Ausgang einem Tunnel zuordnen. Das macht den Dienst über die Anbieteradresse erreichbar, nicht über die geteilte IPv4 des Heimanschlusses. Prüfen Sie Protokoll, erlaubte Dienste, wechselnde Ports und Datenschutz. Nicht jeder Anbieter unterstützt diese Funktion.
Typische Fehlannahmen
„Eine Portfreigabe in der FRITZ!Box reicht.“ Nicht für eingehendes IPv4 bei klassischem DS-Lite, weil die öffentliche Übersetzung beim Provider liegt.
„Ein VPN gibt meinem Router automatisch eine öffentliche IPv4.“ Der Ausgang des Tunnels hat eine öffentliche Adresse. Eingehende Erreichbarkeit entsteht nur, wenn der Dienst eine passende Portzuordnung anbietet.
„IPv6 braucht keine Firewall.“ Gerade weil Adressen global routbar sein können, bleibt eine zustandsbehaftete Firewall wichtig.
„DS-Lite ist ein IPv6-Leak.“ Nein. DS-Lite ist eine Anschlussarchitektur. Ein Leak entsteht, wenn eine VPN-Konfiguration IPv6 unerwartet außerhalb des vorgesehenen Tunnels sendet.
„Wenn der Tunnel verbunden ist, sind alle Protokolle erfasst.“ Nicht zwingend. Prüfen Sie IPv4, IPv6 und DNS einzeln.
Systematische Fehlersuche
- Bestimmen Sie, ob die problematische Verbindung ausgehend oder eingehend ist.
- Notieren Sie die IP-Version des VPN-Endpunkts.
- Prüfen Sie Routerstatus, AFTR-Hinweis und öffentliche Adressen.
- Testen Sie denselben VPN-Server über Mobilfunk und Heimanschluss.
- Vergleichen Sie IPv4 und IPv6 getrennt.
- Reduzieren Sie bei Handshake-Problemen testweise die MTU nach dokumentierter Empfehlung des Anbieters, statt zufällige Werte zu verwenden.
- Prüfen Sie Firewall, Routen und DNS.
- Dokumentieren Sie Uhrzeit und Fehlermeldung für Provider oder VPN-Support.
Ein DNS-Leak-Test prüft Resolver, nicht die eingehende Erreichbarkeit. Ein Port-Scanner kann nur eine Adresse testen, die von außen tatsächlich Ihrem Anschluss oder VPN-Port zugeordnet ist.