GetPublicIP vs. Cloudflare Tunnel vs. Tailscale: Was eignet sich am besten zum Selbst-Hosten?
Wenn Sie hinter CGNAT oder bei einem restriktiven Internetanbieter selbst hosten, brauchen Sie einen Weg, Ihren Server aus dem Internet erreichbar zu machen. In Deutschland ist das häufig DS-Lite: eine eigene IPv6-Adresse, IPv4 aber nur über das CGNAT des Anbieters. Die drei beliebtesten Lösungen sind GetPublicIP, Cloudflare Tunnel und Tailscale, doch sie funktionieren grundlegend verschieden, und jede hat ihre Vor- und Nachteile.
Kurz gesagt: Cloudflare Tunnel ist kostenlos, verarbeitet aber nur HTTP/HTTPS-Verkehr und terminiert Ihr SSL. Tailscale ist ein privates Mesh-VPN, das Ihnen keine öffentliche IP-Adresse gibt. GetPublicIP gibt Ihnen eine echte, eigene öffentliche IP-Adresse mit Zugriff auf alle Ports und Protokolle.
Kurzvergleich
| Merkmal | GetPublicIP | Cloudflare Tunnel | Tailscale |
|---|---|---|---|
| Eigene öffentliche IP | Ja | Nein | Nein |
| E-Mail-/SMTP-Hosting | Ja | Nein | Nein |
| Alle Ports (TCP + UDP) | Ja | Nur HTTP/HTTPS | Nur im Tailnet |
| SSL/TLS-Terminierung | Keine; Ihr Verkehr läuft unverändert durch | Cloudflare terminiert SSL | Ende-zu-Ende im Tailnet |
| Öffentlicher Zugriff | Voll (echte öffentliche IP) | Ja, über Reverse Proxy | Eingeschränkt: Funnel (nur HTTPS) |
| Unterstützte Protokolle | Alle (TCP, UDP, ICMP) | HTTP/HTTPS (Spectrum für TCP, kostenpflichtig) | Alle im Tailnet |
| Reverse DNS (rDNS) | Ja | Nein | Nein |
| Preis | 8,99 USD pro Monat und IP | Kostenlos | Kostenlos (privat, bis 3 Nutzer) |
| Einrichtungsaufwand | Gering: WireGuard installieren, Konfiguration importieren | Gering: cloudflared installieren | Gering: Tailscale-Client installieren |
Was die einzelnen Dienste tun
GetPublicIP
GetPublicIP teilt Ihnen eine echte, eigene öffentliche IPv4- und IPv6-Adresse zu, die über einen verschlüsselten WireGuard-VPN-Tunnel an Ihren Server geleitet wird. Ihr Server empfängt den Datenverkehr genau so, als wäre die öffentliche IP-Adresse direkt auf Ihrem Rechner konfiguriert: alle Ports, alle Protokolle, ohne dass Ihre Pakete verändert oder geprüft werden. Das funktioniert hinter CGNAT, auch bei einem Wechsel des Internetanbieters, und unterstützt automatisches Failover.
Cloudflare Tunnel
Cloudflare Tunnel (früher Argo Tunnel) baut mit dem Daemon cloudflared eine rein ausgehende Verbindung von Ihrem Server zum Edge-Netz von Cloudflare auf. Cloudflare arbeitet dabei als Reverse Proxy. Es nimmt eingehende HTTP/HTTPS-Anfragen an Ihre Domain entgegen, terminiert die TLS-Verbindung auf seinen Edge-Servern, prüft den Datenverkehr und leitet ihn dann durch den Tunnel an Ihren Ursprungsserver weiter. Eine öffentliche IP-Adresse bekommen Sie nicht. Im kostenlosen Tarif ist der Verkehr auf die Protokolle HTTP und HTTPS beschränkt.
Tailscale
Tailscale ist ein auf WireGuard aufbauendes Mesh-VPN, das Ihre Geräte in einem privaten Netz (Tailnet) verbindet. Seine Stärke ist die sichere Verbindung Ihrer eigenen Geräte untereinander, zum Beispiel der Zugriff vom Laptop auf Ihren Heimserver. Für öffentlich erreichbare Dienste ist es jedoch nicht gedacht. Mit Tailscale Funnel lässt sich zwar ein Dienst öffentlich erreichbar machen, aber nur für HTTPS-Verkehr und über die Infrastruktur von Tailscale.
SSL/TLS und Privatsphäre
Das ist einer der wichtigsten Unterschiede, und er wird oft übersehen.
Cloudflare Tunnel terminiert Ihr SSL
Wenn Sie Cloudflare Tunnel nutzen, entschlüsselt Cloudflare Ihren HTTPS-Verkehr auf seinen Edge-Servern, prüft ihn und verschlüsselt ihn erneut, bevor er an Ihren Ursprungsserver geht. Cloudflare kann also den Klartext jeder Anfrage und jeder Antwort sehen, die durch Ihren Tunnel läuft. Cloudflare nutzt diese Möglichkeit für Funktionen wie seine WAF, die Bot-Erkennung und das Caching, doch es bedeutet, dass ein Dritter Zugriff auf Ihren unverschlüsselten Datenverkehr hat.
Für manche ist das akzeptabel. Für andere, vor allem wer aus Gründen der Privatsphäre selbst hostet, einen privaten Mailserver betreibt oder mit sensiblen Daten arbeitet, ist es ein Ausschlusskriterium.
Tailscale verschlüsselt Ende-zu-Ende (innerhalb Ihres Netzes)
Tailscale verschlüsselt die Verbindungen zwischen Ihren Geräten mit WireGuard. Der Datenverkehr bleibt innerhalb Ihres Tailnets verschlüsselt und privat. Machen Sie einen Dienst jedoch mit Tailscale Funnel öffentlich erreichbar, läuft der Verkehr über die DERP-Relay-Server von Tailscale. Das erhöht die Latenz und bedeutet, dass Ihr Datenverkehr durch deren Infrastruktur geht.
GetPublicIP sieht Ihren Datenverkehr nie im Klartext
GetPublicIP leitet den Datenverkehr über einen verschlüsselten WireGuard-Tunnel direkt an Ihren Server, ohne SSL/TLS zu terminieren. Wir entschlüsseln, prüfen oder verändern Ihre Pakete nie. Sie setzen Ihre eigene SSL/TLS-Verschlüsselung Ende-zu-Ende um und behalten die volle Kontrolle über Privatsphäre und Sicherheit. Die Pakete kommen genau so bei Ihrem Server an, wie sie gesendet wurden, mit sichtbaren Quell-IP-Adressen und den ursprünglichen Verkehrsdaten.
E-Mail und SMTP
Wenn Sie einen eigenen Mailserver betreiben wollen (Mailcow, Mail-in-a-Box, Postfix/Dovecot oder Ähnliches), spielt die Wahl des Tunnel-Dienstes eine große Rolle.
Cloudflare Tunnel: keine E-Mail-Unterstützung
Cloudflare sperrt Port 25 (SMTP) und leitet keinen E-Mail-Verkehr durch Tunnel weiter. Einen öffentlich erreichbaren Mailserver können Sie hinter einem Cloudflare Tunnel nicht betreiben. Das ist eine grundlegende Einschränkung der Architektur: Cloudflare Tunnel verarbeitet im kostenlosen Tarif nur HTTP- und HTTPS-Verkehr. Das Add-on Spectrum unterstützt TCP, ist aber kostenpflichtig, gehört zur Enterprise-Stufe und unterstützt E-Mail auf Port 25 trotzdem nicht.
Laut Cloudflares eigener Dokumentation wird SMTP-Verkehr nur weitergeleitet, wenn Spectrum konfiguriert ist, und selbst dann ist Port 25 eingeschränkt.
Tailscale: keine öffentliche E-Mail-Unterstützung
Tailscale ist ein privates Mesh-Netz. Theoretisch könnten Sie einen Mailserver betreiben, der innerhalb Ihres Tailnets erreichbar ist, aber E-Mails aus dem öffentlichen Internet lassen sich über Tailscale nicht empfangen. Tailscale Funnel unterstützt nur HTTPS, weder SMTP noch IMAP noch ein anderes E-Mail-Protokoll.
GetPublicIP: volle E-Mail-Unterstützung
GetPublicIP gibt Ihnen eine echte, eigene öffentliche IP-Adresse mit allen Ports, einschließlich Port 25 (SMTP), 465 (SMTPS), 587 (Submission) und 993 (IMAPS). Reverse DNS (rDNS / PTR-Einträge) konfigurieren Sie in der Verwaltungskonsole; das ist für die Zustellbarkeit von E-Mails entscheidend, denn die meisten empfangenden Mailserver prüfen, ob Ihre sendende IP-Adresse einen gültigen PTR-Eintrag hat.
Damit ist GetPublicIP in diesem Vergleich die einzige Option, mit der Sie einen voll funktionsfähigen, öffentlich erreichbaren Mailserver von zu Hause oder aus dem Büro betreiben können.
Zugriff auf Ports und Protokolle
| Funktion | GetPublicIP | Cloudflare Tunnel | Tailscale |
|---|---|---|---|
| HTTP (80) | Ja | Ja | Funnel (nur HTTPS) |
| HTTPS (443) | Ja | Ja | Funnel |
| SSH (22) | Ja | Über Access (im Browser) | Im Tailnet |
| SMTP (25) | Ja | Gesperrt | Nein |
| Eigene TCP-Ports | Ja, alle Ports | Nein (Spectrum, kostenpflichtig) | Im Tailnet |
| UDP | Ja | Nein | Im Tailnet |
| ICMP (Ping) | Ja | Nein | Im Tailnet |
| Gameserver | Ja | Nein (UDP erforderlich) | Nur im Tailnet |
| VoIP / SIP | Ja | Nein (UDP erforderlich) | Nur im Tailnet |
| DNS-Server | Ja | Nein | Nur im Tailnet |
Geht Ihr Einsatzzweck über HTTP/HTTPS hinaus (Gameserver, DNS, E-Mail, VoIP, eigene TCP-Dienste oder ein beliebiges UDP-basiertes Protokoll), kann Cloudflare Tunnel Ihnen nicht helfen. Tailscale funktioniert für diese Protokolle in Ihrem privaten Netz, kann sie aber nicht öffentlich erreichbar machen.
GetPublicIP unterstützt alle Ports und alle Protokolle, weil Sie eine echte öffentliche IP-Adresse bekommen. Es gibt keinen Reverse Proxy und kein Application-Layer-Gateway; der Verkehr wird auf der Netzwerkschicht geroutet, genau wie bei einer festen IP-Adresse von Ihrem Internetanbieter.
Preise
| Tarif | GetPublicIP | Cloudflare Tunnel | Tailscale |
|---|---|---|---|
| Kostenloser Tarif | Nein | Ja, nur HTTP/HTTPS | Ja, 3 Nutzer, 100 Geräte |
| Kostenpflichtig | 8,99 USD pro Monat und IP | Kostenlos (Spectrum: Enterprise-Preise) | Ab 6 USD pro Nutzer und Monat |
| Was Sie bekommen | Eigene öffentliche IPv4 + IPv6, alle Ports, alle Protokolle, rDNS, Failover, Firewall, Verwaltungskonsole | HTTP/HTTPS-Reverse-Proxy, WAF, DDoS-Schutz, Caching | Mesh-VPN, Funnel (HTTPS), MagicDNS, ACLs |
| Vertragsbindung | Nein, jederzeit kündbar | Nein | Nein |
Beim Preis ist Cloudflare Tunnel kaum zu schlagen: Für HTTP/HTTPS-Einsatzzwecke ist es wirklich kostenlos, ohne Nutzungslimits. Wenn Sie nur eine Webanwendung erreichbar machen müssen, ist es eine ausgezeichnete Wahl.
Der kostenlose Tarif von Tailscale ist für den privaten Gebrauch großzügig (bis zu 3 Nutzer und 100 Geräte). Für Teams beginnen die Preise bei 6 USD pro Nutzer und Monat.
GetPublicIP kostet 8,99 USD pro Monat und IP-Adresse, ohne Vertragsbindung. Kostenlos ist es nicht, aber Sie bekommen Funktionen, die weder Cloudflare noch Tailscale zu irgendeinem Preis bieten: eine echte öffentliche IP-Adresse, vollen Zugriff auf Ports und Protokolle, Unterstützung für E-Mail-Hosting, rDNS und Verbindungs-Failover.
Wann sich welcher Dienst eignet
Nutzen Sie Cloudflare Tunnel, wenn:
- Sie nur Webanwendungen (HTTP/HTTPS) erreichbar machen müssen
- es Ihnen vor allem auf „kostenlos“ ankommt und Sie weder E-Mail noch UDP noch eigene Ports brauchen
- Sie integrierten DDoS-Schutz und eine WAF wünschen
- es für Sie in Ordnung ist, dass Cloudflare Ihr SSL terminiert und Ihren Datenverkehr prüft
- Sie keine echte öffentliche IP-Adresse brauchen
Nutzen Sie Tailscale, wenn:
- Sie privaten Zugriff zwischen Ihren eigenen Geräten brauchen (Smartphone, Laptop, Heimserver)
- Sie ein Mesh-VPN ohne Konfigurationsaufwand möchten
- Sie keine Dienste im öffentlichen Internet erreichbar machen müssen
- Sie bestimmten Personen innerhalb Ihres Tailnets Zugriff geben möchten
Nutzen Sie GetPublicIP, wenn:
- Sie eine echte, eigene öffentliche IP-Adresse brauchen
- Sie einen eigenen Mailserver mit Reverse DNS betreiben möchten
- Sie vollen Zugriff auf Ports und Protokolle brauchen (TCP, UDP, ICMP: alle Ports)
- Sie vollständige Privatsphäre möchten: keine SSL-Terminierung, keine Prüfung des Datenverkehrs
- Sie Verbindungs-Failover brauchen: Ihre IP-Adresse bleibt, auch wenn Sie den Internetanbieter wechseln
- Sie Gameserver, VoIP, DNS oder eigene TCP/UDP-Dienste betreiben
- Sie hinter CGNAT sitzen und eine Lösung brauchen, die wie eine feste IP-Adresse vom Internetanbieter funktioniert, nur ohne den Internetanbieter
Kann ich diese Dienste kombinieren?
Ja, viele, die selbst hosten, nutzen mehr als einen. Ein verbreitetes Setup:
- GetPublicIP für Ihre öffentlich erreichbaren Dienste (Webserver, E-Mail, Gameserver), die eine echte IP-Adresse und vollen Portzugriff brauchen
- Tailscale für den privaten Fernzugriff auf Ihre Geräte (per SSH vom Smartphone auf den Server, privater Zugriff auf Admin-Oberflächen)
Die beiden Dienste ergänzen sich gut. GetPublicIP übernimmt die öffentliche Seite, Tailscale den privaten Zugriff von Gerät zu Gerät.
Häufig gestellte Fragen
Kann ich mit Cloudflare Tunnel einen Mailserver betreiben?
Nein. Cloudflare Tunnel sperrt Port 25 (SMTP) und leitet im kostenlosen Tarif nur HTTP/HTTPS-Verkehr weiter. Einen öffentlichen Mailserver können Sie hinter einem Cloudflare Tunnel nicht betreiben. GetPublicIP ist in diesem Vergleich die einzige Option, die E-Mail-Hosting mit allen nötigen Ports und Reverse DNS unterstützt.
Bekomme ich mit Cloudflare Tunnel eine öffentliche IP-Adresse?
Nein. Cloudflare Tunnel arbeitet als Reverse Proxy: Ihre Domain zeigt auf die IP-Adressen von Cloudflare, nicht auf Ihre eigene. Sie teilen sich den Adressraum von Cloudflare mit Millionen anderer Websites. GetPublicIP gibt Ihnen eine eigene öffentliche IP-Adresse, die nur Ihnen gehört.
Kann Tailscale meinen Server im öffentlichen Internet erreichbar machen?
Mit Tailscale Funnel lassen sich HTTPS-Dienste öffentlich erreichbar machen, aber nur HTTPS, über die Relay-Server von Tailscale und mit nicht offengelegten Bandbreitenlimits. Für öffentliches Hosting im Produktivbetrieb ist Funnel nicht gedacht. Für vollen öffentlichen Zugriff mit allen Protokollen brauchen Sie eine echte öffentliche IP-Adresse, etwa von einem Dienst wie GetPublicIP.
Ist GetPublicIP ein VPN?
GetPublicIP nutzt einen WireGuard-VPN-Tunnel, um eine eigene öffentliche IP-Adresse an Ihren Server zu leiten, ist aber kein Privatsphäre-VPN wie NordVPN oder Mullvad. Es macht das Gegenteil: Statt Ihre IP-Adresse zu verbergen, gibt es Ihnen eine öffentliche IP-Adresse, damit Ihr Server aus dem Internet erreichbar ist. Ihre bestehende Internetverbindung funktioniert für ausgehenden Verkehr weiter wie gewohnt.
Was eignet sich am besten, um hinter CGNAT selbst zu hosten?
Alle drei umgehen CGNAT, lösen aber unterschiedliche Probleme. Cloudflare Tunnel funktioniert für HTTP/HTTPS-Websites. Tailscale funktioniert für den privaten Zugriff auf Ihre Geräte. GetPublicIP funktioniert für jeden Einsatzzweck, der eine echte öffentliche IP-Adresse braucht: Webhosting, E-Mail, Gameserver, VoIP oder jedes andere Protokoll. Mehr dazu in unserem vollständigen Leitfaden zum Selbst-Hosten hinter CGNAT.