Alle Themen
Fernzugriff — in ein Netz hinein, das von außen niemand erreicht
WireGuard-Tunnel zu Standorten und Geräten Ihrer Kunden. Ohne Portfreigabe, auch hinter DS-Lite.
Der klassische Weg ins Netz eines Kunden war die Portfreigabe: ein Loch in der Firewall, das für jeden offensteht, der die Adresse kennt. Bei vielen Anschlüssen geht das inzwischen gar nicht mehr — hinter DS-Lite und im Mobilfunk teilen sich Hunderte Kunden eine öffentliche Adresse, und von außen führt kein Weg zu einem einzelnen davon.
Hier baut niemand von außen eine Verbindung auf. Beide Seiten — das Gerät im Kundennetz und Ihr Rechner — melden sich von innen bei einem Vermittlungsserver und finden sich dort. Nach außen bleibt im Kundennetz alles zu; die Verbindung entsteht von innen heraus.
Im Kundennetz braucht es dafür ein Gerät, das WireGuard beherrscht: eine FRITZ!Box neueren Datums, eine OPNsense, ein NAS, ein Router — oder notfalls einen Rechner, der ohnehin durchläuft. Die Konfiguration bekommen Sie fertig; einzuspielen ist eine Datei oder ein QR-Code.
Anleitungen 10
Und dann?
Der Tunnel bringt Sie ins Netz — vor dem Bildschirm des Kunden sitzen Sie damit noch nicht. Dafür brauchen Sie sonst auf jedem Gerät, von dem aus Sie arbeiten, erst den Tunnel und dann ein Programm für RDP, SSH oder VNC. Mit der Fernwartung genügt ein Browserfenster.
Was vorher zu klären ist
Die häufigen Fragen zu diesem Thema. Alle Antworten stehen gesammelt unter Häufige Fragen.
Funktioniert der Fernzugriff ohne feste IP-Adresse?
Ja. Beide Seiten bauen die Verbindung von sich aus zu einem Vermittlungsserver auf. Weil niemand von außen angerufen wird, braucht keine Seite eine feste Adresse und keine Portfreigabe.
Geht das auch hinter DS-Lite?
Ja. An DS-Lite-Anschlüssen gibt es keine eigene IPv4-Adresse und keine Portfreigabe. Da die Verbindung von innen nach außen aufgebaut wird, spielt das keine Rolle. Dasselbe gilt für Mobilfunk und Gastnetze.
Können Kunden untereinander auf ihre Netze zugreifen?
Nein. Jedes Kundennetz bekommt einen eigenen Adressbereich, und der Vermittlungsserver lässt nur Verkehr innerhalb desselben Kundennetzes durch. Die Trennung ist eine durchgesetzte Regel, keine Einstellung in einem fremden Router.
Kennen Sie die privaten Schlüssel?
Nein. Der geheime Schlüssel entsteht im Browser oder im Gerät selbst und wird nie übermittelt; von ihm liegt bei uns nur der öffentliche Teil. Ein zusätzlicher PresharedKey wird verschlüsselt gespeichert und öffnet allein nichts. Das hat eine Kehrseite, die wir offen nennen: Geht eine Konfigurationsdatei verloren, können wir sie nicht ersetzen — die Gegenstelle wird dann neu angelegt.
Muss ich beim Kunden Software installieren?
In der Regel nicht. Eine FRITZ!Box ab FRITZ!OS 7.39 bringt WireGuard mit; sie bekommt eine Konfigurationsdatei und sonst nichts. Auf Laptop und Telefon genügt die kostenlose WireGuard-Anwendung. Anleitungen für die gängigen Geräte
Was passiert, wenn Ihr Vermittlungsserver ausfällt?
Dann steht der Fernzugriff still, bis er wieder läuft — die Netze Ihrer Kunden arbeiten davon unberührt weiter, es fällt nur der Weg von außen hinein aus. Die Verbindungen bauen sich anschließend von selbst wieder auf, ohne dass jemand etwas anfassen muss.
Was kostet der Fernzugriff?
Abgerechnet wird nach Kundennetzen, nicht nach Geräten. Der Einstieg liegt bei 19,00 € netto im Monat; 30 Tage lassen sich kostenlos und ohne Zahlungsmittel testen. Alle Tarife
Kann ich das erst ausprobieren?
30 Tage, ohne Zahlungsmittel, und die Testphase endet von selbst — sie wird nicht automatisch zu einem kostenpflichtigen Tarif.
Gibt es eine Alternative zu Tailscale aus Deutschland?
Ja, für einen bestimmten Fall: wenn Sie fremde Kundennetze betreuen. Beide stehen auf WireGuard, der Unterschied liegt im Zuschnitt — wir rechnen je Kundennetz ab statt je Nutzer, jedes Kundennetz ist im Ausgangszustand von jedem anderen getrennt, die Server stehen in Deutschland, und den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO können Sie vorab lesen. Wenn Sie dagegen Ihre eigene Infrastruktur verbinden und kein Systemhaus sind, ist Tailscale in der Regel das passendere Werkzeug. Der Vergleich im Einzelnen