RDP, SSH und VNC im Browserfenster — ohne Installation auf Ihrem Rechner.
Fernzugriff auf jedes Kundennetz — ohne feste IP, ohne Portfreigabe
Ein verschlüsselter Zugang in jedes Kundennetz — ohne feste IP-Adresse, ohne Portfreigabe, auch hinter DS-Lite und im Mobilfunk. Alle Ihre Kunden an einer Stelle, standardmäßig streng voneinander getrennt.
Das ersetzt die Handarbeit: Schlüssel je Kunde, Portfreigabe je Router — und nach einem halben Jahr weiß niemand mehr, wer noch Zugang hat.
Sie wollen nur in Ihr eigenes Netz und betreuen keine fremden Kunden? Dafür gibt es einen kleineren Tarif.
Grundlage: WireGuard
Server in Deutschland
Abrechnung je Kundennetz
Warum es dort funktioniert, wo sonst nichts geht
Der eine Unterschied, auf dem alles andere aufbaut.
Der klassische Weg: jemand ruft an
Ein klassischer VPN-Zugang ruft an: Sie verbinden sich von außen auf den Router des Kunden. Damit das geht, braucht dieser Router eine erreichbare Adresse und eine offene Tür — eine Portfreigabe. Genau das gibt es an modernen Anschlüssen immer seltener: An DS-Lite-Anschlüssen bekommt der Kunde gar keine eigene IPv4-Adresse mehr, im Mobilfunk ebenso wenig, und in einem Gebäude mit gemeinsamem Anschluss gehört der Router jemand anderem.
Der Fernzugriff: niemand ruft an
Beim Fernzugriff ruft niemand an. Beide Seiten — der Router im Büro Ihres Kunden und Ihr Laptop — bauen die Verbindung von sich aus zu unserem Vermittlungsserver auf, von innen nach außen. Das darf jeder Anschluss, ohne dass irgendwo etwas freigegeben werden müsste. Der Vermittler führt die beiden Enden zusammen und lässt genau das durch, was zusammengehört.
Keine Portfreigabe
An keinem Router, weder bei Ihnen noch beim Kunden. Es gibt damit auch nichts, was jemand von außen anklopfen könnte.
Keine feste IP-Adresse
Weder beim Kunden noch bei Ihnen. Wechselt der Anbieter die Adresse, merkt die Verbindung davon nichts.
DS-Lite, Mobilfunk, Gastnetz
Alles Fälle, in denen der herkömmliche Weg ausfällt — hier sind es normale Anschlüsse. Keine Vorprüfung mehr, bevor Sie ein Angebot schreiben.
Fremder Router? Egal
Sie müssen an der Technik des Vermieters oder der Hausverwaltung nichts ändern und niemanden darum bitten.
Drei Ebenen, mehr braucht es nicht
Betreuen Sie nur Ihr eigenes Netz, legen Sie genau ein Kundennetz an und merken von der Ebene nichts.
Weiterlesen
Ihr Konto
Eine Rechnung, ein Zugang, ein Ansprechpartner. Sie zahlen, Sie verwalten — und geben die Zeile an Ihren Kunden weiter.
Ein Netz je Kunde
Eigener Adressbereich, eigene Namen, eigene Regel. Der Mitarbeiter von Kunde A kommt an Kunde A — und an sonst nichts.
Gegenstellen
Büro-Router, Server, Telefon, Laptop. Anlegen, sperren, entfernen — ein Klick, und der Zugang ist binnen einer Minute beendet.
Ein Standort bringt sein ganzes Netz mit. Tragen Sie beim Büro-Router das Netz dahinter ein — etwa 192.168.178.0/24 — dann sind alle Geräte darin erreichbar: der Server, der Drucker, die Anlage im Keller. Ein einzelnes Gerät wie ein Laptop kommt als eigene Gegenstelle dazu.
Die Trennung — der Punkt, an dem es ernst wird
Wer zwanzig fremde Firmennetze an einer Stelle zusammenführt, trägt dafür die Verantwortung. Deshalb steht hier, wie es gemacht ist.
Weiterlesen
Getrennte Adressbereiche
Jedes Kundennetz bekommt einen eigenen Bereich im Tunnel, der nur einmal vergeben wird. Auch das Büronetz hinter einem Standort — 192.168.178.0/24 haben nun einmal viele — darf im Fernzugriff nur an einer Stelle liegen; einen zweiten Kunden mit demselben Netz weisen wir beim Anlegen ab. Sonst wäre nicht mehr entscheidbar, zu wem ein Paket gehört.
Eine durchgesetzte Regel, keine Einstellung
Was zwischen zwei Kundennetzen nicht darf, wird auf dem Vermittlungsserver durchgesetzt — als Regelwerk, das alles verwirft, was nicht ausdrücklich erlaubt ist. Es hängt nicht an einer Einstellung in einem fremden Router, an der jemand drehen kann, und nicht an einer Absprache.
Sie kommen überall hin — aber nur zu Ihren Kunden
Ihr eigenes Verwaltungsgerät erreicht alle Netze Ihres Kontos. Es endet dort: Kunden anderer Dienstleister sind nicht erreichbar, und das ist keine Einstellung, sondern ergibt sich aus derselben Regel.
Wir kennen Ihre Schlüssel nicht
Der geheime Schlüssel einer Gegenstelle entsteht im Browser oder im Gerät selbst — eine FRITZ!Box tut das beim Anlegen einer WireGuard-Verbindung ohnehin — und wird uns nie übermittelt. Von ihm liegt bei uns nur der öffentliche Teil. Ein zusätzlicher PresharedKey wird verschlüsselt gespeichert; er allein öffnet nichts, denn ohne den privaten Schlüssel kommt keine Verbindung zustande. Aus unseren Daten allein lässt sich kein Zugang zu einem Ihrer Kundennetze bauen.
Ausgeschiedener Mitarbeiter?
Eine Gegenstelle sperren, fertig — binnen einer Minute ist der Zugang beendet. Kein Termin beim Kunden, kein Router-Besuch, keine Frage, ob der alte Schlüssel noch irgendwo liegt. Jede Änderung steht im Protokoll.
Und das Backup?
Weiterlesen
Dafür gibt es den Cloud-Speicher: ein Sicherungsziel je Kunde, kein geteilter Platz. Verschlüsselt wird beim Kunden, mit dem Werkzeug seiner Wahl — bei uns liegt Zeichensalat, und wir sehen nur, wie groß die Sicherung ist.
Was im Tunnel sonst noch dazugehört
Eine Verbindung allein reicht nicht, wenn man sich dahinter Zahlen merken muss.
Weiterlesen
Namen statt Adressen
Steht beim Kunden eine FRITZ!Box, kann sie zugleich der Namensdienst für alle im Tunnel sein. Dann erreichen Sie server.fritz.box statt 10.80.3.7 — auch vom Telefon aus.
Zusätzlich vergeben Sie eigene Namen je Kundennetz, die aus dem Tunnel heraus aufgelöst werden.
Zertifikate für lokale Geräte
Der Server im Kundennetz hat ein selbst erzeugtes Zertifikat, und jeder Browser warnt davor. Wir stellen je Kundennetz ein echtes Zertifikat aus, das jedes Gerät anerkennt — ohne dass der Server von außen erreichbar sein muss, über einen DNS-Nachweis.
Ein Zertifikat deckt alle Geräte eines Kundennetzes ab. Der Server holt sich die Erneuerung selbst ab; Sie tauschen nichts mehr von Hand.
Und wenn Sie an einem fremden Rechner sitzen?
Weiterlesen
Der Tunnel bringt Sie in das Netz — vorausgesetzt, auf dem Gerät vor Ihnen darf WireGuard laufen. Beim Kunden, im Hotel, am Telefon eines Kollegen ist das oft nicht so. Dafür gibt es die Fernwartung im Browser: RDP, SSH und VNC im Browserfenster, über einen Zugangsserver, den Ihr Haus allein bekommt.
Was Sie dafür brauchen
- Auf der Kundenseite
- Eine FRITZ!Box mit FRITZ!OS 7.39 oder neuer bringt WireGuard mit — das deckt die meisten Büros ab. Sonst tut es jedes Gerät, auf dem WireGuard läuft: OPNsense, pfSense, ein Linux-Server, ein kleiner Rechner im Netz.
- Auf Ihrer Seite
- Die kostenlose WireGuard-Anwendung auf Laptop oder Telefon. Nichts, was gepflegt werden müsste, keine Serverlizenz, kein Client-Rollout.
- An Zeit
- Ein Kundennetz mit dem ersten Standort ist in wenigen Minuten eingerichtet. Es gibt Schritt-für-Schritt-Anleitungen für FRITZ!Box, Windows, macOS, iPhone und Android.
Was es kostet
Abgerechnet wird nach Kundennetzen — also nach betreuten Kunden, nicht nach Geräten. Das ist die Einheit, in der Sie selbst rechnen, und die Zeile, die Sie eins zu eins weitergeben können. Wie viele Laptops und Telefone in einem Netz hängen, ändert am Preis nichts.
Ab 19,00 € netto im Monat für 3 Kundennetze — jedes weitere 6,00 €
Abgerechnet wird nach Kunden, nicht nach Geräten: Wie viele Laptops und Telefone in einem Netz hängen, ändert am Preis nichts. DynDNS-Hostnamen sind enthalten.
Abgerechnet wird nach Kunden, nicht nach Geräten: Wie viele Laptops und Telefone in einem Netz hängen, ändert am Preis nichts. DynDNS-Hostnamen sind enthalten.
Beträge zzgl. 19 % Umsatzsteuer; dieses Angebot richtet sich an Unternehmer im Sinne des § 14 BGB.
Sie betreuen schon zwanzig Netze und wollen wissen, was sich gegenüber Ihrem heutigen Vorgehen ändert? Die Rechnung für Systemhäuser stellt beides nebeneinander.
Noch größer? Schreiben Sie uns an info@idodns.de — ab einer gewissen Zahl rechnen wir das einzeln.
Für den eigenen Anschluss
Alles auf dieser Seite gilt auch für ein einzelnes Netz — Ihres. Kein Systemhaus, keine Kunden: Sie kommen von unterwegs an Ihre Geräte zu Hause oder in der Firma, ohne feste IP und ohne Portfreigabe.
Tüftler
Ein Netz, 5 Gegenstellen, 3 DynDNS-Hostnamen
Ein Netz, 5 Gegenstellen, 3 DynDNS-Hostnamen
5,00 €
/ Monat
Endpreis inkl. 19 % Umsatzsteuer — genau dieser Betrag wird abgebucht. Monatlich kündbar.
Sie vergleichen mit Tailscale?
Weiterlesen
Beide Wege stehen auf WireGuard. Der Unterschied liegt nicht in der Technik, sondern im Zuschnitt: Wir rechnen je Kundennetz ab statt je Nutzer, jedes Kundennetz ist im Ausgangszustand von jedem anderen getrennt, die Server stehen in Deutschland, und den Auftragsverarbeitungsvertrag können Sie vorab lesen.
Wenn Sie dagegen Ihre eigene Infrastruktur verbinden und keine fremden Kundennetze betreuen, ist Tailscale in der Regel das passendere Werkzeug — das steht dort so, samt Preisen, Zitaten und Quellen mit Prüfdatum.
Was wir bewusst nicht anbieten
Weiterlesen
Kein Anonymisierungs-VPN. Es gibt keine Möglichkeit, den gesamten Internetverkehr über uns zu leiten — der Fernzugriff verbindet Sie mit dem Netz Ihres Kunden, mehr nicht. Ihr übriges Surfen läuft weiter direkt über Ihren Anschluss; Sie können den Tunnel also den ganzen Tag anlassen. Das andere ist ein anderes Geschäft mit anderen Kunden, und es passt nicht zu einem Haus mit Wartungsverträgen.
Als Betreuer fremder Netze sind Sie gegenüber Ihren Kunden verantwortlich, wir sind Ihr Unterauftragsverarbeiter. Den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO können Sie vorab lesen und im Kundenbereich annehmen; Einzelheiten dazu, was der Vermittlungsserver sieht und speichert, stehen offen in unserer Datenschutzerklärung.
Dreißig Tage, Ihr eigenes Kundennetz
Konto anlegen, ein Kundennetz anlegen, die erste Gegenstelle verbinden — für die gängigen Router steht die Anleitung mit Bildern daneben. Danach sehen Sie an Ihrer eigenen Anlage, ob es taugt.
Keine Zahlungsdaten nötig, keine automatische Verlängerung in einen kostenpflichtigen Tarif. Sie richten in Ruhe ein und entscheiden danach.
Häufige Fragen
Funktioniert der Fernzugriff ohne feste IP-Adresse?
Ja. Beide Seiten bauen die Verbindung von sich aus zu einem Vermittlungsserver auf. Weil niemand von außen angerufen wird, braucht keine Seite eine feste Adresse und keine Portfreigabe.
Geht das auch hinter DS-Lite?
Ja. An DS-Lite-Anschlüssen gibt es keine eigene IPv4-Adresse und keine Portfreigabe. Da die Verbindung von innen nach außen aufgebaut wird, spielt das keine Rolle. Dasselbe gilt für Mobilfunk und Gastnetze.
Können Kunden untereinander auf ihre Netze zugreifen?
Nein. Jedes Kundennetz bekommt einen eigenen Adressbereich, und der Vermittlungsserver lässt nur Verkehr innerhalb desselben Kundennetzes durch. Die Trennung ist eine durchgesetzte Regel, keine Einstellung in einem fremden Router.
Kennen Sie die privaten Schlüssel?
Nein. Der geheime Schlüssel entsteht im Browser oder im Gerät selbst und wird nie übermittelt; von ihm liegt bei uns nur der öffentliche Teil. Ein zusätzlicher PresharedKey wird verschlüsselt gespeichert und öffnet allein nichts. Das hat eine Kehrseite, die wir offen nennen: Geht eine Konfigurationsdatei verloren, können wir sie nicht ersetzen — die Gegenstelle wird dann neu angelegt.
Muss ich beim Kunden Software installieren?
In der Regel nicht. Eine FRITZ!Box ab FRITZ!OS 7.39 bringt WireGuard mit; sie bekommt eine Konfigurationsdatei und sonst nichts. Auf Laptop und Telefon genügt die kostenlose WireGuard-Anwendung. Anleitungen für die gängigen Geräte
Weitere Fragen — zu Abrechnung, Kündigung, Datenschutz und den anderen Leistungen — stehen unter Häufige Fragen.
Was IDO DNS Service sonst noch kann
Verschlüsseltes Backup außer Haus — ein eigenes Ziel, kein geteilter Platz.
Gültige Zertifikate für NAS, Firewall und Server im eigenen Netz — ohne Warnung im Browser.
Ihr Anschluss immer unter demselben Namen erreichbar.
Alle Preise nebeneinander stehen auf der Preisseite.