FRITZ!Box Portfreigabe und MyFRITZ! funktionieren nicht? So erkennen und lösen Sie DS-Lite
Warum die Portfreigabe nicht funktioniert. Meistens nutzt Ihr Anschluss DS-Lite: Er hat eine eigene IPv6, aber für IPv4 teilen Sie sich eine öffentliche Adresse mit anderen Kunden am Carrier-Grade NAT (CGNAT) Ihres Anbieters. Eine IPv4-Portfreigabe in der FRITZ!Box kann dann nicht greifen, weil eingehende Verbindungen schon beim Anbieter enden. MyFRITZ! funktioniert nur noch über IPv6.
Hinter DS-Lite?
Ohne eigene öffentliche IPv4 lässt sich in der FRITZ!Box nichts freigeben. Mit einer festen öffentlichen IP über einen Tunnel ist Ihr Server trotzdem erreichbar, über IPv4 und IPv6, ohne Portfreigabe.
Sie haben in der FRITZ!Box eine Portfreigabe eingerichtet, die Regel sieht richtig aus, der Dienst läuft, und trotzdem kommt von außen nichts an. Oder MyFRITZ! funktioniert zu Hause, aber nicht unterwegs im Mobilfunk oder im Hotel.
An vielen Kabel- und Glasfaseranschlüssen liegt das nicht an der FRITZ!Box und nicht an Ihrer Konfiguration, sondern an der Anschlussart DS-Lite. Diese Anleitung zeigt, wie Sie DS-Lite in der FRITZ!Box erkennen, warum Portfreigabe und MyFRITZ! dann nur eingeschränkt funktionieren und welche Lösungen es gibt.
Was ist DS-Lite?
DS-Lite steht für Dual-Stack Lite. Ihr Anschluss bekommt eine vollwertige, öffentliche IPv6-Adresse, aber keine eigene öffentliche IPv4-Adresse. IPv4-Verkehr wird stattdessen über IPv6 zum Anbieter getunnelt und dort durch ein Carrier-Grade NAT (CGNAT) geleitet, das eine öffentliche IPv4-Adresse unter vielen Kunden aufteilt.
Für ausgehende Verbindungen merken Sie davon nichts: Surfen, Streaming und Videocalls funktionieren normal. Problematisch wird es erst, wenn jemand aus dem Internet eine Verbindung zu Ihnen aufbauen soll, zum Beispiel zu Ihrem Heimserver, Ihrer Nextcloud, einem Gameserver oder Ihrer FRITZ!Box selbst.
Mehr zum Hintergrund lesen Sie in unserer Anleitung zum eigenen Server hinter CGNAT.
So prüfen Sie, ob Ihre FRITZ!Box DS-Lite nutzt
- Öffnen Sie die Benutzeroberfläche der FRITZ!Box, meist unter
http://fritz.box. - Klicken Sie auf Internet und dann auf Online-Monitor.
- Öffnen Sie die Verbindungsdetails und sehen Sie sich die Zeile für Internet und IPv4 an. Falls dort keine Adresse steht, schalten Sie zuerst die erweiterte Ansicht ein.
So deuten Sie das Ergebnis:
| Anzeige in der Zeile für IPv4 | Bedeutung |
|---|---|
| Hinweis, dass die FRITZ!Box einen DS-Lite-Tunnel nutzt | DS-Lite: keine eigene öffentliche IPv4 |
Adresse zwischen 192.0.0.0 und 192.0.0.7 | DS-Lite: das ist der Adressbereich des DS-Lite-Tunnels |
Adresse zwischen 100.64.0.0 und 100.127.255.255 | CGNAT ohne DS-Lite: ebenfalls keine eigene öffentliche IPv4 |
Private Adresse wie 192.168.x.x oder 10.x.x.x | Vor der FRITZ!Box steht ein weiterer Router (doppeltes NAT) |
| Eine andere Adresse, die auch auf unserer Startseite als Ihre IPv4 erscheint | Sie haben eine eigene öffentliche IPv4, die Portfreigabe sollte funktionieren |
Sie können die Adresse auch mit dem CGNAT-Check vergleichen: Geben Sie dort die IPv4-Adresse aus dem Online-Monitor ein.
Warum die Portfreigabe hinter DS-Lite nicht funktioniert
Eine Portfreigabe in der FRITZ!Box (unter Internet > Freigaben > Portfreigaben) sagt dem Router: „Wenn eine Verbindung auf Port X ankommt, leite sie an dieses Gerät weiter.“ Das wirkt aber nur für Verbindungen, die die FRITZ!Box überhaupt erreichen.
Bei DS-Lite gehört die öffentliche IPv4-Adresse nicht Ihrer FRITZ!Box, sondern dem CGNAT Ihres Anbieters, und den teilen sich viele Kunden. Kommt dort eine Verbindung an, weiß das CGNAT nicht, für welchen Kunden sie bestimmt ist, und verwirft sie. Ihre IPv4-Portfreigabe bekommt diese Verbindung nie zu sehen. Keine Einstellung in der FRITZ!Box kann daran etwas ändern.
Einige Anbieter stellen an DS-Lite-Anschlüssen per PCP einzelne IPv4-Ports bereit. Ist das bei Ihnen der Fall, zeigt die FRITZ!Box bei den Freigaben an, welche Ports Ihr Anbieter zur Verfügung stellt, und nur diese Ports sind über IPv4 erreichbar.
Lässt sich Ihre Portfreigabe trotz eigener öffentlicher IPv4 nicht nutzen, liegt es oft an einer Firewall auf dem Zielgerät, einer falschen Geräte-IP oder einem gesperrten Port. Die übrigen Ursachen erklärt unsere Anleitung Portfreigabe funktioniert nicht.
Warum MyFRITZ! nur über IPv6 funktioniert
MyFRITZ! gibt Ihrer FRITZ!Box einen festen Namen, der automatisch auf ihre aktuelle Adresse zeigt. Bei DS-Lite gibt es für IPv4 aber keine eigene Adresse, auf die der Name zeigen könnte. Der MyFRITZ!-Name zeigt dann nur auf die IPv6-Adresse Ihrer FRITZ!Box.
Das heißt: Der Zugriff funktioniert nur, wenn auch das Gerät, mit dem Sie zugreifen, eine IPv6-Verbindung hat. Viele Mobilfunknetze und Heimanschlüsse bieten IPv6, manche Firmen-, Hotel- oder Gäste-WLANs aber nur IPv4. Aus solchen Netzen erreichen Sie Ihre FRITZ!Box und Ihre Dienste nicht.
Das Gleiche gilt für DynDNS: Ein DynDNS-Name kann nur auf eine Adresse zeigen, die es gibt. Für IPv6 funktioniert das, für IPv4 nicht.
Ihre Möglichkeiten im Vergleich
| Lösung | Erreichbar über | Haken |
|---|---|---|
| IPv6-Freigabe in der FRITZ!Box | Nur IPv6 | Kostenlos, aber Besucher ohne IPv6 erreichen Sie nicht |
| Öffentliche IPv4 beim Anbieter anfragen | IPv4 und IPv6 | Nicht jeder Anbieter und nicht jeder Tarif bietet eine Umstellung an, teils nur gegen Aufpreis oder im Geschäftskundentarif |
| Einzelne Ports per PCP vom Anbieter | Nur die zugewiesenen IPv4-Ports | Nur, wenn Ihr Anbieter das anbietet; Sie wählen die Ports nicht selbst |
| Cloudflare Tunnel | HTTP und HTTPS | Nur für Websites; Cloudflare terminiert Ihr TLS |
| Tailscale oder ein anderes Mesh-VPN | Ihre eigenen Geräte | Gut für den privaten Zugriff, aber nicht für öffentliche Dienste |
| Feste öffentliche IP über einen Tunnel (GetPublicIP) | IPv4 und IPv6, alle Ports | 8,99 USD pro Monat und IP |
Einen ausführlicheren Vergleich finden Sie in GetPublicIP vs. Cloudflare Tunnel vs. Tailscale.
So machen Sie Ihren Server hinter DS-Lite mit GetPublicIP erreichbar
Der Trick ist die Richtung: DS-Lite blockiert eingehende IPv4-Verbindungen, lässt Ihre Geräte aber nach außen verbinden. Ihr Server (nicht die FRITZ!Box) baut deshalb einen ausgehenden, verschlüsselten WireGuard-Tunnel zu einem unserer Standorte auf. Ihre feste öffentliche IPv4- und IPv6-Adresse wird durch diesen Tunnel zu Ihrem Server geleitet.
- Konto anlegen und Standort wählen. Registrieren Sie sich und wählen Sie den Standort, der den Nutzern Ihres Servers am nächsten liegt, für Deutschland zum Beispiel Frankfurt.
- Server verbinden. Importieren Sie die WireGuard-Konfiguration aus dem Dashboard auf Ihrem Server, unter Linux, mit dem Windows-Client oder als Docker-Image neben Ihren Containern.
- Ports freigeben. Geben Sie im Dashboard die Ports frei, die Ihr Dienst braucht. In der FRITZ!Box müssen Sie nichts einrichten: Für sie ist der Tunnel nur eine gewöhnliche ausgehende Verbindung.
Danach ist Ihr Server unter seiner festen öffentlichen IP erreichbar, über IPv4 und IPv6, aus jedem Netz. Die Adresse bleibt auch dann gleich, wenn Sie den Anbieter wechseln oder umziehen. Mehr dazu auf unserer Seite Feste öffentliche IP trotz CGNAT und DS-Lite.