Zeigt die WireGuard-App auf dem iPhone einen aktiven Tunnel, während Geräte im Fritzbox-Heimnetz unerreichbar bleiben, ist häufig eine Überschneidung der IP-Netze verantwortlich. Verwendet das fremde WLAN denselben Adressbereich wie das Heimnetz, schickt das iPhone die Anfragen möglicherweise ins lokale WLAN statt durch den VPN-Tunnel. Der schnellste sichere Test besteht darin, WLAN am iPhone auszuschalten und denselben Zugriff über Mobilfunk zu wiederholen.
Funktioniert der Zugriff über Mobilfunk, sind Fritzbox und WireGuard-Profil wahrscheinlich grundsätzlich richtig eingerichtet. Scheitert er auch dort, müssen Zieladresse, Tunnelverkehr und die Zuordnung des WireGuard-Profils getrennt geprüft werden. Ein Werksreset der Fritzbox ist für diese Diagnose weder erforderlich noch sinnvoll.
Warum ein aktiver WireGuard-Tunnel noch keinen Heimnetzzugriff beweist
Der Schalter in der WireGuard-App zeigt zunächst nur, dass das Profil aktiviert wurde. Auch ein angezeigter Handshake bestätigt im Wesentlichen, dass sich iPhone und Fritzbox kryptografisch erreichen konnten. Daraus folgt noch nicht, dass die angeforderte Heimnetzadresse über die richtige Route läuft oder dass der angesprochene Dienst Verbindungen annimmt.
Für die Fehlersuche müssen drei Strecken auseinandergehalten werden:
- Das iPhone muss die öffentliche Erreichbarkeit der Fritzbox finden und den WireGuard-Tunnel aufbauen.
- Die gewünschte private Zieladresse muss dem Tunnel zugeordnet sein.
- Das Zielgerät im Heimnetz muss eingeschaltet, unter dieser Adresse erreichbar und für den gewünschten Dienst freigegeben sein.
Ein erfolgreicher Handshake grenzt den Fehler somit ein, beseitigt aber weder einen Routingkonflikt noch eine falsche Zieladresse.
Der Mobilfunktest entlarvt überschneidende Heimnetze
Viele Fritzbox-Heimnetze verwenden private IPv4-Bereiche. Hotels, Büros, Ferienwohnungen oder andere private Router können zufällig denselben Bereich einsetzen. Befindet sich beispielsweise sowohl das Heimnetz als auch das fremde WLAN im Netz 192.168.178.0/24, wirkt eine Heimnetzadresse für das iPhone wie ein direkt erreichbares Ziel im gerade verbundenen WLAN.
- Notiere die interne IP-Adresse eines erreichbaren Geräts zu Hause, etwa die Adresse eines NAS oder Servers.
- Deaktiviere am iPhone nur WLAN. Mobile Daten und WireGuard bleiben eingeschaltet.
- Öffne das Ziel erneut über seine interne IP-Adresse und denselben Dienst wie zuvor.
- Schalte WLAN danach wieder ein und wiederhole den Aufruf ohne Änderung der Zieladresse.
Gelingt der Zugriff ausschließlich über Mobilfunk, spricht das stark für eine Netzüberschneidung im fremden WLAN. Der Test ist aussagekräftiger als ein bloßer Blick auf das VPN-Symbol, weil er nur den lokalen WLAN-Routenweg aus der Verbindung entfernt.
Eine dauerhafte Lösung ist ein weniger häufig verwendeter privater Adressbereich für das Fritzbox-Heimnetz. Eine solche Änderung betrifft jedoch alle Geräte mit festen IP-Adressen, gespeicherte Netzlaufwerke, Drucker, Portfreigaben und möglicherweise Smart-Home-Systeme. Vor der Umstellung sollte die Fritzbox-Konfiguration gesichert und eine Liste statischer Adressen angelegt werden. Der betreffende Bereich ist in der Fritzbox bei den Heimnetz- und Netzwerkeinstellungen für IPv4 zu finden; die genaue Darstellung kann von der FRITZ!OS-Version abhängen.
Wenn WireGuard auch über Mobilfunk nicht ins Heimnetz führt
Scheitert die Gegenprobe über Mobilfunk, liegt der Fehler nicht an einem gleichartigen WLAN-Subnetz. Dann liefert die folgende Reihenfolge schneller ein verwertbares Ergebnis als das wahllose Ändern mehrerer VPN-Einstellungen.
1. Eine bekannte IP-Adresse statt eines Namens aufrufen
Teste zuerst die interne IPv4-Adresse eines Geräts, das zu Hause nachweislich eingeschaltet ist. Ein Aufruf über einen Gerätenamen kann an der Namensauflösung scheitern, obwohl das Routing durch WireGuard funktioniert. Auch ein Lesezeichen kann auf einen alten Namen, eine geänderte Adresse oder einen extern nicht geeigneten Dienst verweisen.
Funktioniert die IP-Adresse, aber nicht der bisher verwendete Name, ist der VPN-Weg intakt. Zu prüfen sind dann die DNS-Einstellung des Profils, die lokale Namensauflösung und der tatsächlich im Heimnetz gültige Gerätename. Bleibt auch die IP-Adresse unerreichbar, folgt die Kontrolle des Profils und der Gegenstelle.
2. Handshake und Datenzähler in der WireGuard-App ansehen
Öffne das aktive Profil in der WireGuard-App und achte auf den letzten Handshake sowie auf gesendete und empfangene Daten. Ändern sich die übertragenen Daten beim Zugriffsversuch nicht sinnvoll oder fehlt ein aktueller Handshake, erreicht das iPhone die Fritzbox nicht zuverlässig. Mögliche Ansatzpunkte sind dann die Internetverbindung des iPhones, ein veraltetes Profil oder die öffentliche Erreichbarkeit der Fritzbox.
Ist der Handshake aktuell und steigen die gesendeten Daten, ohne dass Antworten zurückkommen, muss zwischen einer unpassenden Route und einem nicht erreichbaren Zielgerät unterschieden werden. Der Status allein benennt keine defekte Komponente.
3. Das Profil der richtigen Fritzbox-Verbindung zuordnen
In der Fritzbox befindet sich die WireGuard-Verwaltung im Bereich der Internetfreigaben und VPN-Verbindungen. Dort sollte genau die Verbindung für dieses iPhone kontrolliert werden. Mehrere ähnlich benannte Profile können leicht verwechselt werden, besonders wenn eine Einrichtung wiederholt oder ein iPhone gewechselt wurde.
Vergleiche die aktive iPhone-Konfiguration mit der vorgesehenen Verbindung in der Fritzbox. Ein manuell verändertes Profil kann die für das Heimnetz vorgesehenen Netze aus den erlaubten IP-Bereichen verloren haben. Diese Bereiche bestimmen bei WireGuard zugleich, welcher Verkehr durch den Tunnel geleitet wird. Sie sollten nicht auf Verdacht erweitert werden, weil eine Änderung auch beeinflusst, welcher übrige Datenverkehr das VPN nutzt.
Ist das Profil unklar oder wurde es nach dem Import bearbeitet, ist eine gezielte Neueinrichtung meist sauberer als einzelne Werte zu erraten. Lösche dabei nur die betroffene iPhone-Verbindung, nicht andere VPN-Zugänge. Erstelle in der Fritzbox eine neue WireGuard-Verbindung für ein einzelnes Gerät, importiere sie erneut in die iPhone-App und teste sie zunächst unverändert über Mobilfunk.
4. Das Zielgerät innerhalb des Heimnetzes gegenprüfen
WireGuard kann korrekt funktionieren, obwohl nur das gewünschte NAS, die Kamera oder ein anderer Dienst nicht antwortet. Rufe das Ziel deshalb von einem zweiten Gerät im heimischen WLAN unter derselben IP-Adresse und mit demselben Protokoll auf.
- Ist das Ziel auch im Heimnetz unerreichbar, liegt das Problem am Gerät, seiner Adresse oder dem Dienst und nicht am iPhone-VPN.
- Ist das Ziel intern erreichbar, aber über WireGuard nicht, kommen eine lokale Gerätefirewall, eine Zugriffsbeschränkung auf das direkte Subnetz oder eine fehlerhafte VPN-Route infrage.
- Ist nur ein bestimmter Dienst betroffen, teste einen zweiten freigegebenen Dienst auf demselben Gerät. So wird sichtbar, ob das ganze Gerät oder lediglich eine Anwendung blockiert.
Manche Geräte akzeptieren Zugriffe nur aus ihrem unmittelbar lokalen Netz oder besitzen eigene Sicherheitsregeln. Diese Einschränkung lässt sich nicht durch einen aktiven Tunnelstatus widerlegen.
Lokale Netzwerkberechtigung auf dem iPhone richtig einordnen
iOS kann einzelnen Apps den Zugriff auf Geräte im lokalen Netzwerk erlauben oder verweigern. Diese Berechtigung betrifft die App, mit der das Heimnetzgerät angesprochen wird, und nicht pauschal die Fähigkeit der WireGuard-App, einen Tunnel aufzubauen. Eine Hersteller-App für NAS, Kamera oder Smart Home kann daher trotz funktionierendem VPN an ihrer eigenen iOS-Berechtigung scheitern.
Prüfe in den iPhone-Einstellungen bei der betroffenen Anwendung, ob der lokale Netzwerkzugriff gestattet ist. Teste zusätzlich, sofern der Dienst dies unterstützt, die interne IP-Adresse im Browser. Funktioniert der Browserzugriff, während ausschließlich die Geräte-App scheitert, liegt die Ursache eher bei deren Berechtigung, Erkennungsmethode oder App-Konfiguration als bei WireGuard.
Automatische Gerätesuche ist über ein geroutetes VPN ebenfalls nicht mit einem direkten WLAN gleichzusetzen. Manche Apps entdecken Geräte über lokale Broadcast- oder Multicast-Verfahren, die nicht über jeden VPN-Weg übertragen werden. Eine manuell eingetragene IP-Adresse kann in diesem Fall funktionieren, obwohl die automatische Suche kein Gerät anzeigt.
Die Auswertung der Tests führt zum passenden Eingriff
- Mobilfunk funktioniert, fremdes WLAN scheitert: Adressbereich des fremden WLANs mit dem Fritzbox-Heimnetz vergleichen; bei Übereinstimmung die Heimnetzadressierung geplant ändern oder vorübergehend Mobilfunk verwenden.
- IP-Adresse funktioniert, Gerätename scheitert: DNS und lokale Namensauflösung prüfen, nicht den gesamten WireGuard-Zugang neu bauen.
- Kein aktueller Handshake: Internetweg, aktives Profil und die WireGuard-Verbindung in der Fritzbox kontrollieren.
- Handshake vorhanden, aber kein internes Ziel erreichbar: erlaubte IP-Bereiche und die Zuordnung des iPhone-Profils prüfen; bei unklaren Änderungen das einzelne Profil neu erzeugen.
- Nur eine App oder ein Gerät scheitert: lokale Netzwerkberechtigung, manuelle IP-Eingabe und Erreichbarkeit des Dienstes im heimischen WLAN testen.
Ein Zurücksetzen der Fritzbox auf Werkseinstellungen ist erst recht keine passende Abkürzung. Dabei können Zugangsdaten, Telefonie, WLAN-Namen, Mesh-Zuordnungen, Freigaben und weitere VPN-Verbindungen verloren gehen. Die Kombination aus Mobilfunktest, direkter IP-Adresse und Statuskontrolle des einzelnen WireGuard-Profils grenzt die Störung wesentlich gezielter ein.
