Ein Gastnetz unter OpenWrt bleibt meist deshalb ohne Internet, weil entweder kein DHCP-Dienst läuft, die WLAN-Schnittstelle nicht der richtigen Netzwerkzone zugeordnet ist oder eine Firewall-Regel den Datenverkehr ins WAN blockiert. Prüfe zuerst, ob ein verbundenes Gastgerät eine IP-Adresse erhält und ob der OpenWrt-Router selbst erreichbar ist. Diese beiden Tests trennen ein DHCP- oder WLAN-Problem von einer fehlerhaften Weiterleitung ins Internet.
Setze OpenWrt nicht sofort zurück. Die Ursache lässt sich normalerweise über die Netzwerkzuordnung, den DHCP-Dienst und die Firewall eingrenzen. Dabei sollte das Gastnetz nur den Weg zum Internet erhalten, nicht aber Zugriff auf das interne LAN.
Die Fehlerklasse zuerst eingrenzen
Verbinde ein Smartphone oder einen Laptop mit der Gast-SSID und prüfe die Netzwerkinformationen. Eine gültige IPv4-Adresse, ein Gateway und ein DNS-Server müssen vorhanden sein. Die genaue Adresse hängt von deiner Konfiguration ab; sie sollte jedoch zum vorgesehenen Gastnetz gehören und nicht aus dem privaten Netz des Haupt-WLANs stammen.
- Keine IP-Adresse oder eine automatische Notfalladresse: Der DHCP-Dienst antwortet nicht oder die WLAN-Schnittstelle liegt im falschen Netzwerk.
- IP-Adresse und Gateway vorhanden, aber keine Webseiten: Prüfe Firewall, WAN-Zone, DNS und die Standardroute.
- IP-Adresse vorhanden, Routeroberfläche nicht erreichbar: Das kann bei einer korrekt isolierten Gastzone normal sein. Entscheidend ist, ob Internetzugriff funktioniert.
- Nur ein Gerät betroffen: Prüfe zunächst dessen DNS-Einstellungen, VPN, private MAC-Adresse und gespeicherte WLAN-Konfiguration.
- Alle Gastgeräte betroffen, Hauptnetz funktioniert: Die Ursache liegt wahrscheinlich in der OpenWrt-Netzwerk- oder Firewall-Konfiguration.
Unter Windows zeigt ipconfig die lokale Adresse, das Standardgateway und die DNS-Server. Unter Linux kannst du ip address sowie ip route verwenden. Auf Smartphones findest du diese Angaben in den Details des verbundenen WLANs. Eine Adresse aus dem Gastbereich allein beweist noch nicht, dass die Weiterleitung funktioniert.
Netzwerk und DHCP in LuCI prüfen
Öffne die OpenWrt-Weboberfläche und gehe zu Netzwerk beziehungsweise Interfaces. Je nach OpenWrt-Version kann die deutsche oder englische Bezeichnung abweichen. Suche nach dem Interface, das für das Gastnetz vorgesehen ist. Es sollte eine eigene IPv4-Adresse, eine passende Netzmaske und die Zuordnung zur richtigen Geräteschnittstelle besitzen.
Ein typisches Gastnetz besteht aus mehreren miteinander verknüpften Teilen: einer WLAN-Schnittstelle für die SSID, einem logischen Netzwerk-Interface für die IP-Konfiguration und einer Firewall-Zone für die Verkehrsregeln. Stimmen diese Ebenen nicht überein, kann das WLAN zwar sichtbar sein, aber keine funktionierende Netzwerkverbindung bereitstellen.
- Öffne die Einstellungen des Gast-Interfaces.
- Prüfe, ob eine IPv4-Adresse für dieses Netz eingetragen ist.
- Kontrolliere, ob das Interface mit der vorgesehenen WLAN-Schnittstelle oder Bridge verbunden ist.
- Öffne den Bereich für den DHCP-Server und stelle sicher, dass der Dienst für dieses Netzwerk aktiviert ist.
- Speichere die Änderung und wende sie erst an, wenn die Zuordnung vollständig geprüft wurde.
Der DHCP-Server verteilt normalerweise mindestens eine IP-Adresse, ein Standardgateway und DNS-Informationen. Ist DHCP deaktiviert, kann ein Testgerät zwar eine WLAN-Verbindung anzeigen, aber keine nutzbare Adresse erhalten. Wenn du DHCP absichtlich abgeschaltet hast, muss jedes Gastgerät manuell mit einer passenden Adresse, dem Router als Gateway und einem erreichbaren DNS-Server eingerichtet werden. Für ein normales Gastnetz ist das unnötig aufwendig und fehleranfällig.
Prüfe außerdem den DHCP-Adressbereich. Er darf nicht außerhalb des eigenen Subnetzes liegen und sollte nicht mit einem anderen Interface kollidieren. Zwei Interfaces mit überschneidenden Netzen führen zu unklaren Routen und können verhindern, dass Antworten das richtige Gerät erreichen.
Die WLAN-Schnittstelle dem Gastnetz zuordnen
Gehe in LuCI zu Netzwerk und Funknetz oder zum entsprechenden Wireless-Menü. Öffne die Konfiguration der Gast-SSID und suche nach dem Feld für das Netzwerk beziehungsweise die Zuordnung zu Interfaces. Dort muss das logische Gastnetz ausgewählt sein. Eine SSID, die versehentlich dem Hauptnetz oder keinem Netzwerk zugeordnet ist, erklärt sowohl fehlende Adressen als auch unerwartete Zugriffsrechte.
Bei einer zusätzlichen SSID sollte der Access Point dieselbe Funkhardware wie das Haupt-WLAN verwenden können. Prüfe deshalb nicht nur den Namen und die Verschlüsselung, sondern auch die Netzwerkzuordnung. Nach dem Speichern muss die WLAN-Konfiguration neu geladen werden. Bereits verbundene Geräte sollten das Gastnetz danach einmal verlassen und neu verbinden.
- SSID sichtbar, aber keine IP-Adresse: Zuordnung, DHCP und Bridge prüfen.
- SSID nicht sichtbar: Funkgerät, Aktivierung, Verschlüsselung und Länder- oder Kanalregeln kontrollieren.
- Gastgerät erhält eine Adresse aus dem Hauptnetz: Die SSID hängt am falschen Interface.
- Gastgerät erhält eine Gastadresse, erreicht aber interne Geräte: Firewall-Zone und Weiterleitungsregeln prüfen.
Bei VLAN-Konfigurationen kommt eine zusätzliche Ebene hinzu. Das WLAN muss dann nicht nur einem logischen Interface, sondern auch dem richtigen VLAN zugeordnet sein. Ein falscher VLAN-Tag kann dazu führen, dass DHCP-Anfragen an einem anderen Netzwerk ankommen oder vollständig verworfen werden. Ändere VLAN-Einstellungen nur mit einer bestehenden Zugriffsmöglichkeit per LAN oder über einen zweiten Verwaltungsweg.
Firewall-Zone für den Internetzugang einrichten
Öffne Netzwerk und Firewall. Das Gast-Interface sollte einer eigenen Zone zugeordnet sein. Für diese Zone ist eine Weiterleitung zum WAN erforderlich, während eine Weiterleitung zum LAN normalerweise deaktiviert bleibt. So kann das Gastnetz ins Internet gelangen, ohne automatisch auf Router, NAS, Drucker oder andere Geräte im internen Netz zuzugreifen.
Die wichtigsten Einstellungen lassen sich in drei Verkehrsrichtungen einteilen:
- Eingehender Verkehr: möglichst ablehnen, damit Gäste keine Dienste des Routers aus dem Gastnetz verwalten.
- Ausgehender Verkehr: für den Internetzugang erlauben.
- Weitergeleiteter Verkehr: von der Gastzone zur WAN-Zone erlauben, zur LAN-Zone normalerweise ablehnen.
Je nach Konfiguration muss der Zugriff auf DHCP und DNS zum Router ausdrücklich erlaubt werden. Werden diese beiden Dienste blockiert, erhält das Gerät möglicherweise keine Adresse oder kann keine Namen auflösen. In einer streng isolierten Zone solltest du daher nur die notwendigen Dienste freigeben, nicht pauschal den gesamten Zugriff auf den Router.
Prüfe in der Firewall-Übersicht, ob das Gast-Interface tatsächlich der erwarteten Zone zugewiesen ist. Eine neu angelegte Zone ohne Interface-Zuordnung wirkt auf den ersten Blick vollständig, verarbeitet aber keinen Datenverkehr des Gastnetzes. Umgekehrt kann eine zu großzügige Zone die Isolation aufheben.
DNS und IP-Weiterleitung unterscheiden
Ein DNS-Problem verhindert die Auflösung von Namen, nicht aber grundsätzlich die Verbindung zu einer IP-Adresse. Wenn das Gastgerät eine gültige Adresse besitzt, teste zuerst das Gateway. Danach kannst du eine bekannte IP-Adresse prüfen, sofern du einen passenden Testdienst verwendest. Funktioniert eine IP-Verbindung, aber eine Webadresse nicht, liegt der Schwerpunkt bei DNS.
In OpenWrt übernimmt häufig dnsmasq DHCP und DNS. Prüfe, ob der Dienst läuft und ob er Anfragen aus dem Gastnetz annehmen darf. Bei lokalen DNS-Regeln, Adblockern oder manuellen Weiterleitungen kann der Gastbereich unbeabsichtigt ausgeschlossen werden.
Wenn du einen externen DNS-Server einträgst, sollte die Firewall den ausgehenden DNS-Verkehr erlauben. Eine Umleitung auf den Router kann sinnvoll sein, wenn du zentrale Filterregeln verwenden möchtest. Vermeide jedoch mehrere widersprüchliche DNS-Mechanismen gleichzeitig. Prüfe nach jeder Änderung, ob das Gastgerät neue DNS-Server erhalten hat; alte DHCP-Informationen bleiben sonst bis zur erneuten Verbindung aktiv.
IPv6 separat kontrollieren
IPv6 kann unabhängig von IPv4 funktionieren oder ausfallen. Ein Gastnetz, das nur IPv4 korrekt verteilt, kann bei Geräten mit bevorzugtem IPv6-Verkehr langsam wirken oder einzelne Ziele nicht erreichen. Prüfe daher, ob IPv6 für das Gastnetz bewusst eingerichtet wurde.
Wenn du IPv6 im Gastnetz anbieten möchtest, müssen Präfixe, Router Advertisements, DHCPv6 und Firewall-Regeln zusammenpassen. Eine bloße IPv6-Aktivierung reicht nicht aus. Das Gastnetz darf kein internes Präfix erhalten und sollte keine unerwünschten Zugriffe auf lokale IPv6-Geräte erlauben.
Wenn du IPv6 derzeit nicht benötigst, ist eine einheitliche Konfiguration oft übersichtlicher als ein halb eingerichteter Parallelbetrieb. Deaktiviere Funktionen nicht dauerhaft als pauschale Reparatur, sondern nur, wenn du die Auswirkungen auf dein gesamtes Heimnetz kennst. Bei einem Provideranschluss mit aktivem IPv6 können sonst andere Geräte ihre Konnektivität verlieren.
Fehler über Status und Protokolle eingrenzen
Unter Status findest du je nach Version Übersichten für Interfaces, Routen und laufende Dienste. Prüfe dort, ob das Gast-Interface aktiv ist und ob der Router eine Standardroute über das WAN besitzt. Ohne Standardroute kann DHCP trotzdem funktionieren, während der Internetverkehr nicht weitergeleitet wird.
Die System- und Kernel-Protokolle können Hinweise auf abgelehnte Pakete, fehlgeschlagene DHCP-Anfragen oder Probleme mit einer Bridge liefern. Suche nach Meldungen, die zeitlich zum Verbindungsversuch passen. Einzelne Warnungen sind nicht automatisch die Ursache; wichtig ist die Kombination aus betroffener Schnittstelle, Dienst und Zeitpunkt.
Per SSH kannst du unter anderem diese Informationen abrufen:
ip addrzeigt vorhandene Adressen und Schnittstellen.ip routezeigt lokale Netze und die Standardroute.logreadzeigt das Systemprotokoll.ubus call network.interface dumpliefert Informationen zu den Netzwerk-Interfaces.
Die Ausgabe hängt von OpenWrt-Version, Paketen und deiner Konfiguration ab. Übernimm keine Beispieladresse aus einer Anleitung ungeprüft in dein Netz. Entscheidend ist, ob Gast-Interface, WLAN-Schnittstelle, DHCP-Dienst und WAN-Route tatsächlich zusammenpassen.
Typische Konfigurationsfehler gezielt korrigieren
Ein häufiger Fehler ist ein Interface ohne passende Firewall-Zone. Lege dann keine zweite, ähnlich benannte Zone an, sondern prüfe zuerst, welche Zone bereits existiert und ob das Gast-Interface dort eingetragen ist. Mehrere überlappende Regeln erschweren die Diagnose und können unbeabsichtigte Freigaben erzeugen.
Auch eine blockierte Weiterleitung zum WAN kommt häufig vor. Erlaube nur die Weiterleitung von der Gastzone zur WAN-Zone. Eine Weiterleitung zur LAN-Zone ist für den Internetzugang nicht erforderlich und würde die Trennung des Netzes schwächen.
Wenn DHCP funktioniert, aber der Router selbst nicht als DNS- oder Gateway-Adresse verteilt wird, prüfe die DHCP-Optionen. Das Gateway muss auf die Adresse des Gast-Interfaces zeigen. Ein externer DNS-Server kann die Namensauflösung übernehmen, ersetzt aber nicht die erforderliche IP-Weiterleitung zum WAN.
Nach Änderungen an Firewall, DHCP oder WLAN solltest du die Dienste neu laden oder den Router kontrolliert neu starten. Trenne dabei nicht gleichzeitig mehrere Konfigurationsbereiche. So bleibt nachvollziehbar, welche Änderung den Zustand beeinflusst hat.
Isolation testen, ohne den Internetzugang zu opfern
Ein funktionierendes Gastnetz muss zwei Anforderungen gleichzeitig erfüllen: Gastgeräte erreichen das Internet, interne Geräte bleiben geschützt. Teste deshalb beide Seiten. Rufe eine Webseite auf und prüfe anschließend, ob ein Gerät aus dem Hauptnetz erreichbar ist. Ein Zugriff auf die Verwaltungsoberfläche sollte nur möglich sein, wenn du ihn ausdrücklich vorgesehen hast.
Beachte, dass manche Routerdienste Sonderregeln benötigen. Ein Gastnetz kann etwa den Router für DNS und DHCP erreichen, ohne dass die Weboberfläche freigegeben wird. Ebenso können lokale Drucker, Medienserver oder Chromecast-Geräte durch die Isolation absichtlich nicht sichtbar sein. Das ist kein DHCP-Fehler, sondern eine Folge der Netztrennung.
Falls Gäste bestimmte lokale Dienste benötigen, richte gezielte Freigaben zwischen einzelnen Netzen oder Geräten ein. Öffne nicht pauschal den gesamten LAN-Verkehr. Jede Ausnahme sollte auf den erforderlichen Dienst, das Ziel und die Richtung begrenzt werden.
Letzte Maßnahmen vor einem Reset
Sichere die OpenWrt-Konfiguration, bevor du umfangreiche Änderungen vornimmst. Notiere insbesondere WLAN-Namen und Passwörter, Interface-Adressen, VLAN-Zuordnungen, Firewall-Zonen, DHCP-Bereiche, eigene DNS-Regeln und VPN- oder Portfreigaben. Bei Telefonie- oder Providerhardware können außerdem Zugangsdaten und spezielle Anschlussparameter erforderlich sein.
Ein Werksreset entfernt die Ursache nicht automatisch, wenn die Konfiguration anschließend unverändert wieder eingespielt wird. Setze den Router daher nur zurück, wenn die Einstellungen nicht mehr nachvollziehbar sind oder eine beschädigte Konfiguration vermutet wird. Richte danach zuerst WAN, ein einzelnes Hauptnetz und den Internetzugang ein. Ergänze das Gastnetz erst, wenn diese Basis stabil arbeitet.
Wenn das Hauptnetz und der WAN-Anschluss funktionieren, aber das Gastnetz trotz korrekter Zuordnung keine Verbindung erhält, vergleiche die Firewall-Zonen und die Systemprotokolle. Bleibt auch der WAN-Zugang instabil, liegt die Ursache möglicherweise außerhalb des Gastnetzes, etwa beim Anschluss, beim Modem oder beim Provider. In diesem Fall bringt eine weitere Änderung an DHCP oder WLAN keine Verbesserung.
Fragen und Antworten zum OpenWrt-Gastnetz ohne Internet
Warum funktioniert das OpenWrt-Gastnetz nach einem Neustart nicht mehr?
Prüfe, ob das Gast-Interface, der DHCP-Dienst und die Firewall-Zone nach dem Neustart weiterhin aktiv und korrekt zugeordnet sind. Wenn nur die Gast-SSID betroffen ist, deutet das eher auf eine nicht gespeicherte oder fehlerhafte WLAN- beziehungsweise Interface-Konfiguration hin als auf eine Providerstörung.
Kann das Gastnetz Internetzugang haben, obwohl die OpenWrt-Oberfläche nicht erreichbar ist?
Ja, das ist bei einer sauber isolierten Firewall-Zone häufig beabsichtigt. DHCP und DNS dürfen für den Internetzugang freigegeben sein, während der Zugriff auf die Routerverwaltung aus dem Gastnetz blockiert bleibt.
Was bedeutet eine IPv6-Adresse ohne funktionierendes Internet im OpenWrt-Gastnetz?
Eine IPv6-Adresse zeigt nur, dass IPv6-Konfiguration und Router Advertisement teilweise funktionieren; sie beweist keinen vollständigen Internetzugang. Prüfe deshalb getrennt IPv4, IPv6, DNS und die Firewall-Regeln der Gastzone, statt IPv6 pauschal zu deaktivieren.
Wie erkenne ich, ob ein DNS-Fehler oder eine fehlende WAN-Weiterleitung vorliegt?
Wenn eine bekannte IP-Adresse erreichbar ist, Webseiten aber nicht über Namen öffnen, liegt der Verdacht auf DNS. Sind weder IP-Adressen noch Namen erreichbar, obwohl Gateway und DHCP stimmen, solltest du die Weiterleitung von der Gastzone zur WAN-Zone und die Standardroute prüfen.
Warum erhält nur ein bestimmtes Gastgerät keine IP-Adresse?
Dann ist die OpenWrt-Konfiguration wahrscheinlich grundsätzlich funktionsfähig, und du solltest am Endgerät beginnen. Vergleiche die WLAN-Details mit einem zweiten Gastgerät und prüfe private MAC-Adresse, manuelle IP-Einstellungen, VPN sowie ein gespeichertes WLAN-Profil.
Kann ein Repeater oder Mesh-Knoten das OpenWrt-Gastnetz blockieren?
Ja, wenn der Knoten die Gast-SSID nicht übernimmt oder die VLAN- und Netzwerkzuordnung beim Weiterleiten nicht unverändert bleibt. Teste die Gast-SSID zunächst direkt am OpenWrt-Router; funktioniert sie dort, liegt die weitere Prüfung beim Mesh- oder Repeater-Backhaul.
Ist ein eigenes Gastnetz mit Internetzugang ohne Zugriff auf das LAN sicher eingerichtet?
Die grundlegende Trennung ist erreicht, wenn Gastgeräte ins Internet gelangen, interne Ziele aber nicht erreichbar sind und die Routerverwaltung nur ausdrücklich erlaubte Dienste annimmt. Kontrolliere zusätzlich, dass keine allgemeine Weiterleitung zur LAN-Zone, unnötige Eingangsfreigaben oder Fernzugriff aus dem Gastnetz aktiv sind.
