Support VPN Tunnel zwischen Fritzbox7530 und 7490

Was hier (sehr wahrscheinlich) passiert​

• DS-Lite = kein eingehendes öffentliches IPv4 beim Kunden. Eingehendes IPv6 geht.
• Dein VPN kommt per IPv6 rein, transportiert aber nur IPv6 – und der X1 spricht nur IPv4 → deshalb kein Zugriff.

Lösung A (empfohlen, “privat”, kostenlos): WireGuard v6-Transport, v4-Routing im Tunnel​

1. WireGuard-Server (beim Kunden)
   
   • WG lauscht auf IPv6, z. B. UDP/51820 → im Router/Firewall IPv6-Port freigeben.
   • Tunnel-Adressen: innen IPv4 (z. B. 10.7.0.1/24). Optional zusätzlich ein v6-/64, aber nicht nötig.
   • IPv4-Forwarding aktivieren und ins LAN routen/NATen.
   • Code:

     # /etc/wireguard/wg0.conf  (Server, Kundenstandort)
     [Interface]
     Address = 10.7.0.1/24
     ListenPort = 51820
     PrivateKey = <server-privkey>
     
     # IPv4 Forwarding + (falls keine statische Route im Gateway möglich) NAT ins LAN
     PostUp   = sysctl -w net.ipv4.ip_forward=1
     PostUp   = iptables -t nat -A POSTROUTING -s 10.7.0.0/24 -o eth0 -j MASQUERADE
     PostDown = iptables -t nat -D POSTROUTING -s 10.7.0.0/24 -o eth0 -j MASQUERADE
     
     [Peer] # Dein Handy/Laptop
     PublicKey = <client-pubkey>
     AllowedIPs = 10.7.0.2/32

   Eleganter als NAT: Im LAN-Gateway (z. B. Router) eine statische Route für 10.7.0.0/24 → WG-Server setzen, dann kannst du das NAT im WG-Server weglassen.

   Zum Vergrößern anklicken....

2. WireGuard-Client (Handy/Laptop)
   
   Verbinden per IPv6 Endpoint (AAAA-Record oder nackte IPv6 in eckigen Klammern).
   • Im Client AllowedIPs gezielt nur die X1-IP (oder das ganze LAN) eintragen – das sind IPv4-Netze, die über den v6-Transport gehen.
   • Code:

     # wg0.conf (Client)
     [Interface]
     Address = 10.7.0.2/32
     PrivateKey = <client-privkey>
     DNS = 10.7.0.1
     
     [Peer]
     PublicKey = <server-pubkey>
     Endpoint = [2001:db8:...]:51820   # öffentliche IPv6 des Kunden
     PersistentKeepalive = 25
     # Nur den X1 durch den Tunnel, Beispiel: 192.168.1.50
     AllowedIPs = 10.7.0.0/24, 192.168.1.50/32

   Ergebnis: Der Tunnel steht über IPv6, aber du erreichst per IPv4 den X1 (z. B.
   Sie müssen registriert sein, um Links zu sehen.
   :...) durch das WG-Interface.

1. Firewall-Hinweise
   
   • Auf dem Kundenrouter: IPv6-UDP/51820 erlauben.
   • Auf dem WG-Server: ggf. ufw/firewalld Regeln für Weiterleitung setzen.
   • Optional: Statt “ganzes LAN” nur die X1-IP über AllowedIPs freigeben (Least Privilege).

Das funktioniert auch dann, wenn dein Client unterwegs nur IPv4 hat?
– Direkt nein (der Server ist IPv6-only erreichbar). In Deutschland haben die meisten Mobilnetze aber IPv6; falls du mal in einem v4-Only-WLAN sitzt, nimm Lösung B.

Zum Vergrößern anklicken....

Lösung B (universell, auch bei v4-Only-Clients): kleiner VPS als Hub​

• Beim Kunden: WG-Site-Tunnel nach außen zu einem günstigen VPS (v4+v6).
• Du verbindest dich zum VPS (v4 oder v6), der routed zum Kunden.
• Kostet ein paar €/Monat, aber kein Portmapper und volle Kontrolle (eigener “privater” Tunnel).

Lösung C (am schnellsten eingerichtet, kostenlos im kleinen Rahmen)​

• Tailscale oder ZeroTier auf einem RasPi beim Kunden als Subnet Router für 192.168.1.0/24 bzw. nur 192.168.1.50/32.
• Kein Port-Forwarding nötig, DS-Lite egal.
• Für “wirklich privat” kannst du Headscale (Self-Hosted Tailscale-Control-Server) betreiben – braucht aber trotzdem irgendeinen erreichbaren Server im Internet.

Lösung D (wenn’s der Provider zulässt)​

• Beim ISP auf echtes Dual-Stack umstellen lassen (manchmal kostenlos im Business-Profil). Dann könntest du auch klassisch per v4 arbeiten.

Kurzer Troubleshooting-Leitfaden​

• Tunnel steht, aber X1 nicht erreichbar:
  
  • ip a → hat der Client 10.7.0.2?
  • wg show → Handshake frisch?
  • ping 10.7.0.1 geht?
  • Vom WG-Server: ping 192.168.1.50 → erreichbar?
  • Wenn ja, fehlt meist Forwarding/Route/NAT zwischen WG-Server und LAN.
• Aus Hotel-WLAN (v4-Only) klappt es nicht → nutze Lösung B (VPS-Hub) oder C (Tailscale).