Ein erfolgreicher WireGuard-Verbindungsaufbau bestätigt zunächst nur, dass der verschlüsselte Tunnel zwischen Client und FRITZ!Box zustande kommt. Bleiben sämtliche Geräte im Heimnetz unerreichbar, liegt der Fehler meist bei der Route zum Heimnetz, einer Überschneidung der IP-Netze oder einer ungeeigneten VPN-Konfiguration. Der schnellste sichere Test ist der direkte Aufruf der FRITZ!Box über ihre Heimnetz-IP-Adresse. Ein Zurücksetzen des Routers ist für diese Diagnose weder nötig noch sinnvoll.
Mit drei Zugriffstests die fehlerhafte Ebene bestimmen
Teste nicht zuerst einen Gerätenamen oder eine App, sondern nacheinander drei Ziele. So lässt sich unterscheiden, ob der gesamte Weg ins Heimnetz fehlt oder lediglich Namensauflösung beziehungsweise der Zugriff auf ein einzelnes Gerät scheitert.
- Rufe die Heimnetz-IP-Adresse der FRITZ!Box im Browser auf. Verwende die Adresse, die in deinem eigenen Heimnetz tatsächlich für die Benutzeroberfläche gilt.
- Teste anschließend die lokale IP-Adresse eines eingeschalteten Heimnetzgeräts, dessen Adresse du sicher kennst.
- Prüfe erst danach den Zugriff über den Gerätenamen oder über die gewünschte App.
Ist bereits die FRITZ!Box-IP nicht erreichbar, fehlt sehr wahrscheinlich die nutzbare Route durch den Tunnel oder das entfernte Netz überschneidet sich mit dem Heimnetz. Funktioniert die FRITZ!Box-IP, aber keine Geräte-IP, kommen eine Zugriffsbeschränkung der VPN-Verbindung, ein isoliertes Netzsegment oder die Firewall des Zielgeräts infrage. Funktionieren IP-Adressen, jedoch keine Namen, ist die VPN-Strecke grundsätzlich nutzbar; dann betrifft der Fehler die lokale Namensauflösung oder die Erkennung durch die App.
Gleiche IP-Netze an beiden Standorten sind der häufigste Stolperstein
WireGuard kann nur zuverlässig entscheiden, wohin ein Paket gehört, wenn das lokale Netz am Aufenthaltsort und das Heimnetz hinter der FRITZ!Box unterschiedliche Adressbereiche verwenden. Nutzt beispielsweise sowohl das Hotel-WLAN als auch das Heimnetz denselben privaten IP-Bereich, behandelt das Endgerät das Ziel möglicherweise als lokal. Die Anfrage gelangt dann gar nicht erst in den VPN-Tunnel.
Eine solche Überschneidung erkennst du, indem du die lokale IP-Adresse und das zugehörige Netz des WireGuard-Clients mit dem Heimnetz der FRITZ!Box vergleichst. Entscheidend ist nicht nur die einzelne Geräteadresse, sondern das durch Netzmaske beziehungsweise Präfix bestimmte Subnetz. Zwei unterschiedlich aussehende Adressen können weiterhin demselben Netz angehören.
- Funktioniert der Zugriff über Mobilfunk, aber nicht über das fremde WLAN, spricht das stark für eine Netzüberschneidung oder eine Einschränkung des fremden Netzes.
- Scheitert er über Mobilfunk und über mehrere WLANs gleichermaßen, liegt die Ursache eher im WireGuard-Profil, in der FRITZ!Box-Konfiguration oder am Zielgerät.
- Funktioniert nur ein einzelnes Ziel nicht, ist eine allgemeine Netzüberschneidung weniger wahrscheinlich.
Als Gegenprobe genügt es, WLAN am Smartphone vorübergehend auszuschalten, die WireGuard-Verbindung über Mobilfunk neu aufzubauen und die Heimnetz-IP der FRITZ!Box erneut aufzurufen. Bei einem Notebook kann ein Smartphone-Hotspot dieselbe Aufgabe erfüllen.
Prüfen, ob das WireGuard-Profil den Heimnetzzugriff enthält
Die FRITZ!Box kann WireGuard-Verbindungen für unterschiedliche Aufgaben anlegen. Ein Profil für ein einzelnes Smartphone oder Notebook muss den Zugriff auf das Heimnetz tatsächlich vorsehen. Bei einer Kopplung zweier Netzwerke müssen außerdem die Netze auf beiden Seiten richtig zugeordnet sein. Ein sichtbarer Handshake allein beweist nicht, dass die erforderlichen Zielnetze in der Konfiguration enthalten sind.
Öffne in der FRITZ!Box den Bereich für VPN-Verbindungen unter Internet, Freigaben und VPN (WireGuard). Die genaue Darstellung hängt von der installierten FRITZ!OS-Version ab. Kontrolliere dort, ob du die passende Verbindung für dieses Endgerät beziehungsweise diese Gegenstelle bearbeitest und ob die Verbindung für den Zugriff auf das Heimnetz eingerichtet wurde. Bei einer Netzwerkkopplung müssen die eingetragenen entfernten Netze mit der tatsächlichen Adressierung übereinstimmen.
Auf dem Client ist vor allem relevant, welche Zielnetze durch den Tunnel geleitet werden. WireGuard bezeichnet diese Auswahl üblicherweise als Allowed IPs. Fehlt das Heimnetz dort, sendet der Client die entsprechenden Pakete über seine normale Verbindung. Bei einem vollständigen Tunnel wird ein größerer Adressbereich über WireGuard geführt; auch dann muss die FRITZ!Box den Verkehr in das eigene Heimnetz passend behandeln.
Bearbeite ein von der FRITZ!Box erzeugtes Profil nicht auf Verdacht. Wurde die Verbindung ursprünglich für einen anderen Zweck erstellt oder mehrfach verändert, ist es meist übersichtlicher, die Einstellungen der vorhandenen Verbindung zu dokumentieren und ein neues Profil mit dem richtigen Verwendungszweck anzulegen. Importiere dieses Profil anschließend erneut in die WireGuard-App. Lösche die bisherige Verbindung erst, wenn die neue Variante funktioniert.
Wenn die FRITZ!Box erreichbar ist, aber Heimnetzgeräte nicht antworten
Eine erreichbare Routeroberfläche zeigt, dass Tunnel und Route bis zur FRITZ!Box grundsätzlich funktionieren. Die weitere Prüfung richtet sich dann auf das Zielgerät und auf das Netz, in dem es sich befindet.
Zielgerät über seine IP-Adresse statt über den Namen öffnen
Lokale Gerätenamen werden über VPN nicht in jeder Anwendung genauso gefunden wie im heimischen WLAN. Automatische Erkennungsverfahren verwenden teilweise Broadcasts oder Multicasts, die nicht wie normaler IP-Verkehr über die VPN-Verbindung arbeiten. Eine App kann deshalb ein Gerät als offline anzeigen, obwohl dessen Weboberfläche oder Dienst über die lokale IP-Adresse erreichbar ist.
Rufe das Ziel direkt über seine bekannte Heimnetz-IP auf. Funktioniert das, liegt kein allgemeiner WireGuard-Ausfall vor. Verwende in der App nach Möglichkeit eine manuell eingetragene IP-Adresse oder einen vom Gerät unterstützten festen Hostnamen. Eine DHCP-Zuordnung in der FRITZ!Box verhindert, dass sich die Adresse des Zielgeräts unerwartet ändert.
Gastnetz und getrennte Netzsegmente berücksichtigen
Geräte im Gastzugang sind vom normalen Heimnetz getrennt. Diese Trennung soll Zugriffe auf private Heimnetzgeräte verhindern und kann auch den Zugriff aus einer VPN-Verbindung beeinflussen. Prüfe in der Heimnetzübersicht der FRITZ!Box, ob das gesuchte Gerät wirklich dem normalen Heimnetz zugeordnet ist.
Zusätzliche Router, VLANs oder nachgeschaltete Gastnetze bilden ebenfalls eigene Netzsegmente. Eine WireGuard-Verbindung zur FRITZ!Box kennt solche Netze nicht automatisch. Für den Zugriff sind passende Routen sowie ein erlaubter Rückweg erforderlich. Ohne bewusst eingerichtete Routing-Struktur sollte das Zielgerät für den Test direkt im Heimnetz der FRITZ!Box liegen.
Firewall und Dienstbindung des Zielgeräts testen
Ein Computer, NAS oder Server kann Anfragen aus einem VPN-Adressbereich anders behandeln als Anfragen aus seinem unmittelbaren lokalen Netz. Eine Gerätefirewall oder der betreffende Dienst kann den Zugriff auf das lokale Subnetz beschränken. Auch ein Dienst, der nur an eine bestimmte Netzwerkschnittstelle gebunden ist, antwortet möglicherweise nicht auf VPN-Verkehr.
Teste auf demselben Zielgerät nach Möglichkeit mehr als einen Dienst. Ist etwa die Weboberfläche erreichbar, aber eine Dateifreigabe nicht, funktioniert der Netzwerkweg und die Ursache liegt bei Dienst, Berechtigung oder Firewallregel. Scheitern sämtliche Dienste ausschließlich über VPN, prüfe die Firewallprotokolle und die zugelassenen privaten Netze des Zielgeräts. Deaktiviere die Firewall nicht dauerhaft als vermeintliche Lösung.
Rückweg und Netzwerkkopplung richtig einordnen
Bei einer gewöhnlichen Verbindung eines einzelnen Endgeräts übernimmt die FRITZ!Box einen wesentlichen Teil der Weiterleitung. Komplexer ist eine WireGuard-Kopplung zwischen zwei Routern oder Netzen. Hier muss nicht nur der Hinweg zum Ziel stimmen; Antworten müssen auch zum entfernten Netz zurückfinden.
Prüfe bei einer Standortkopplung auf beiden Seiten:
- Das lokale und das entfernte Netz verwenden unterschiedliche Subnetze.
- In jeder Verbindung ist das jeweils andere Netz korrekt eingetragen.
- Kein zusätzlicher Router beansprucht denselben Adressbereich.
- Das Zielgerät verwendet den Router als Standardgateway, der den Rückweg zur WireGuard-Gegenstelle kennt.
- Firewallregeln zwischen den Netzen erlauben den gewünschten Dienst.
Ein typisches Indiz für einen fehlenden Rückweg ist ausgehender Verkehr im Tunnel ohne passende Antwortpakete. Die WireGuard-App zeigt je nach Plattform übertragene und empfangene Datenmengen. Steigt beim Zugriffsversuch nur der gesendete Wert, verlassen Pakete den Client, kommen aber nicht erfolgreich zurück. Das beweist noch keine einzelne Ursache, grenzt die Suche jedoch auf Route, Freigabe, Zielgerät und Rückweg ein.
FRITZ!Box-Status und Ereignisse ohne unnötige Änderungen prüfen
In der FRITZ!Box sollte die richtige WireGuard-Verbindung als aktiv erscheinen. Achte darauf, dass du nicht versehentlich ein altes Profil mit ähnlichem Namen verwendest. Datum und Uhrzeit des letzten Verbindungsaufbaus sowie die sichtbare Gegenstelle helfen dabei, die aktive Konfiguration zuzuordnen.
Sieh außerdem im Systembereich der FRITZ!Box in die Ereignisse und filtere nach Internet- beziehungsweise VPN-Meldungen, sofern deine FRITZ!OS-Version diese Auswahl anbietet. Wiederholte Neuverbindungen deuten eher auf ein Tunnel- oder Erreichbarkeitsproblem hin. Bleibt die Verbindung stabil, während Zugriffe scheitern, sollte die weitere Prüfung bei Subnetzen, Routing und Zielgeräten erfolgen.
Für modell- und versionsabhängige Bezeichnungen ist die FRITZ!Box-Hilfe zur Rubrik VPN mit WireGuard der passende Prüfpunkt. Vergleiche dort den Verbindungstyp mit deinem Einsatzfall: einzelnes Mobilgerät, Computer oder Kopplung zweier Netzwerke. Menüoptionen und mögliche Einschränkungen können sich mit Modell und FRITZ!OS-Version unterscheiden.
Priorisierte Route zur Behebung
- Teste zuerst die Heimnetz-IP der FRITZ!Box, danach eine bekannte Geräte-IP und zuletzt den Gerätenamen.
- Scheitert bereits der Routerzugriff, wiederhole den Test über Mobilfunk oder ein anderes Netz. Funktioniert er dort, beseitige die Überschneidung der IP-Netze.
- Scheitert der Zugriff in jedem fremden Netz, kontrolliere in der FRITZ!Box den Typ der WireGuard-Verbindung und im Client die über den Tunnel geführten Zielnetze.
- Ist die FRITZ!Box erreichbar, prüfe beim Zielgerät Gastnetzzuordnung, IP-Adresse, Firewall und den gewünschten Dienst.
- Bei einer Standortkopplung kontrollierst du zusätzlich die Netzeinträge und den Rückweg auf beiden Routern.
- Erstelle bei einer unklaren oder mehrfach veränderten Konfiguration ein neues passendes VPN-Profil und teste es, bevor du die alte Verbindung entfernst.
Ein Neustart kann eine festgefahrene Verbindung bereinigen, ersetzt aber keine Prüfung der Netzbereiche und Routen. Werkseinstellungen würden Zugangsdaten, Telefonie, Freigaben, Mesh-Zuordnungen und weitere Heimnetzeinstellungen gefährden, ohne einen Konfigurationsfehler im WireGuard-Profil zuverlässig zu beheben. Sie gehören bei diesem Fehlerbild nicht zur regulären Fehlersuche.
