Vom WireGuard-Profil bis zum Zugriff aufs NAS über Mobilfunk. Mit Voraussetzungen für IPv4, IPv6 und DS-Lite.
WireGuard auf der FRITZ!Box einrichten und das Heimnetz unterwegs erreichen
Mit WireGuard verbindet sich dein Handy verschlüsselt mit der FRITZ!Box zu Hause. So kannst du von unterwegs auf Geräte und Dienste im Heimnetz zugreifen, etwa auf ein NAS oder deine Fotos in Immich. Du erstellst an der FRITZ!Box ein eigenes Profil für das Handy, importierst es und testest die Verbindung über Mobilfunk.
Inhaltsverzeichnis
Anzeigen
Voraussetzungen an der FRITZ!Box prüfen
| Was du prüfst | Was du brauchst |
|---|---|
| Router und FRITZ!OS | Ein Modell und eine FRITZ!OS-Version mit WireGuard. Suche in der Oberfläche unter Internet → Freigaben nach VPN (WireGuard). |
| Erreichbarkeit | Laut FRITZ! braucht der Router eine vom Internetanbieter zugewiesene IPv6-Adresse oder eine öffentliche IPv4-Adresse. Auch das fremde Netz muss den passenden Verbindungsweg unterstützen. |
| Adresse des Routers | Richte für wechselnde Adressen zum Beispiel eine MyFRITZ!-Adresse nach Herstelleranleitung ein. |
| Ziel im Heimnetz | Notiere die lokale Adresse des Geräts und den Port des Dienstes. Teste beides zuerst im heimischen WLAN. |
Die FRITZ!-Anleitung für Smartphones und Tablets zeigt den Ablauf am Beispiel der 7590 AX. Wähle bei einem anderen Modell dessen Wissensdatenbank. Ein MyFRITZ!-Name kann die aktuelle Adresse auffindbar machen. Er stellt keine öffentliche IPv4-Adresse bereit.
1. WireGuard-Profil für ein Handy erstellen
- Öffne die FRITZ!Box im Heimnetz und melde dich an. Installiere die WireGuard-App über den offiziellen App-Store oder die WireGuard-Downloadseite.
- Wähle Internet → Freigaben → VPN (WireGuard) und füge eine Verbindung hinzu. Wähle für ein Handy Einzelgerät verbinden.
- Vergib einen eindeutigen Namen für dieses Gerät und bestätige die Einrichtung. Öffne auf dem Handy WireGuard und füge den Tunnel per QR-Code hinzu. Wenn das Scannen nicht klappt, importiere die von der FRITZ!Box angebotene Konfigurationsdatei.
- Lege für ein weiteres Gerät ein neues Profil an. QR-Code und Konfigurationsdatei enthalten Zugangsdaten für den Tunnel. Teile sie nicht. Geht ein Gerät verloren, entferne dessen Verbindung an der FRITZ!Box.
2. Den Tunnel über Mobilfunk testen
- Lass das Heimnetz zu Hause unverändert. Schalte am Handy das WLAN aus, sodass es über Mobilfunk online ist.
- Aktiviere den Tunnel in der WireGuard-App. Rufe zuerst einen im Heimnetz geprüften Dienst über seine lokale Adresse auf. Verwende dafür die Adresse des NAS oder Servers, nicht die öffentliche Routeradresse.
- Prüfe danach, ob das erwartete Gerät antwortet. In der App kann ein aktueller Handshake beim Eingrenzen helfen. Der Zugriff auf den eigentlichen Dienst ist der entscheidende Test.
Wenn dein Immich-Server zu Hause beispielsweise auf 192.168.178.30 läuft, verwendest du über den Tunnel die dort eingerichtete Serveradresse. Welche Adresse Immich standardmäßig nutzt und wie du den Upload testest, steht in der Immich-Anleitung.
Das vom FRITZ!-Assistenten erstellte Mobilgeräteprofil kann auch normalen Internetverkehr über deinen Heimanschluss leiten. Wenn dir das wichtig ist, prüfe das erzeugte Profil und die Beschreibung für dein Modell. Für NAS, Immich oder die Proxmox-Oberfläche brauchst du in diesem Aufbau keine zusätzlichen öffentlichen Portfreigaben für die einzelnen Dienste.
Wenn WireGuard verbindet, der Dienst aber nicht lädt
| Befund | Erster Test |
|---|---|
| Kein aktueller Handshake | Prüfe die Internetverbindung am Handy, den Endpunkt im Profil und die aktuelle Erreichbarkeit des Heimanschlusses. |
| Funktioniert per Mobilfunk, aber nicht im Hotel-WLAN | Prüfe, ob beide Netze denselben Adressbereich verwenden, zum Beispiel 192.168.178.0/24. Ein Test über ein anderes Netz hilft, den Konflikt einzugrenzen. |
| Handshake da, NAS antwortet nicht | Teste die lokale IP statt des Gerätenamens. Prüfe im Heimnetz, ob der Dienst läuft und ob seine Firewall den Zugriff erlaubt. |
| DS-Lite oder keine öffentliche IPv4 | Prüfe zuerst die IPv6-Erreichbarkeit zu Hause und im fremden Netz. Ein ausschließlich IPv4-fähiger Zugang kann einen nur per IPv6 erreichbaren Endpunkt nicht direkt ansprechen. |
Wenn im Heimnetz mehrere Router arbeiten, prüfe, welches Gerät tatsächlich der Internetrouter ist. Die Anleitung zu zwei WLAN-Routern erklärt die Unterschiede zwischen eigenem Netz, Mesh und Access Point.
Häufige Fragen
Muss ich für WireGuard am NAS Ports öffnen?
Bei einer direkt erreichbaren FRITZ!Box terminiert der VPN-Tunnel am Router. Für den Zugriff auf das NAS über diesen Tunnel ist normalerweise keine zusätzliche öffentliche NAS-Portfreigabe nötig.
Funktioniert WireGuard mit DS-Lite?
Es kann über IPv6 funktionieren, wenn der Heimanschluss und das externe Netz den Endpunkt über IPv6 erreichen. Eine öffentliche IPv4-Adresse steht bei DS-Lite normalerweise nicht zur Verfügung.
Kann ich denselben QR-Code auf zwei Handys verwenden?
Lege für jedes Handy ein eigenes Profil an. So kannst du den Zugang für ein einzelnes Gerät entziehen, ohne die anderen Geräte neu einzurichten.
Ist die Verbindung schon erfolgreich, wenn der Schalter in der App grün ist?
Teste zusätzlich einen Dienst im Heimnetz. Ein aktueller Handshake hilft bei der Diagnose, bestätigt aber noch nicht, dass zum Beispiel das NAS erreichbar ist.
- WireGuard auf der FRITZ!Box einrichten und das Heimnetz unterwegs erreichen
Vom WireGuard-Profil bis zum Zugriff aufs NAS über Mobilfunk. Mit Voraussetzungen für IPv4, IPv6 und DS-Lite. - Immich installieren und Handyfotos auf dem eigenen NAS sichern
Immich auf einem Linux-Server einrichten, Fotos vom Handy hochladen und die Bilddateien samt Datenbank getrennt sichern. - Proxmox VE auf einem Mini-PC installieren und die erste VM einrichtenVom USB-Startstick bis zur ersten Debian-VM. So richtest du Proxmox VE auf einem x86-Mini-PC ein und prüfst Netzwerk, Speicher und Backup.
