Site-to-Site-VPN im Heimnetz instabil: Überschneidende IP-Bereiche vermeiden

Warum gleiche IP-Netze die VPN-Verbindung stören

Ein Router entscheidet anhand seiner Routingtabelle, wohin ein Datenpaket gesendet wird. Die Netzmaske legt fest, welche Adressen als lokal gelten. Bei 192.168.178.0/24 gehören alle Adressen von 192.168.178.1 bis 192.168.178.254 zum gleichen lokalen Netz. Ein Gerät mit der Adresse 192.168.178.50 behandelt ein Ziel wie 192.168.178.80 daher zunächst als direkt erreichbar im eigenen LAN.

Das VPN kann zwar technisch aufgebaut sein, doch der Datenverkehr zum entfernten Gerät erreicht den Tunnel nicht. Der Client versucht, das Ziel über ARP oder die lokale WLAN- beziehungsweise LAN-Schnittstelle zu finden. ARP dient im IPv4-Netz dazu, zu einer IP-Adresse die zugehörige Hardwareadresse zu ermitteln. Für ein gleichnamiges entferntes Netz ist dieser Mechanismus jedoch nicht geeignet.

Die Folge sind typische Mischbilder: Der Tunnel wird als aktiv angezeigt, einzelne entfernte Geräte bleiben aber unerreichbar. Manchmal funktionieren Verbindungen in eine Richtung, während Rückantworten ausbleiben. Auch DNS-Auflösung, Datei-Zugriffe oder der Zugriff auf eine Verwaltungsoberfläche können sporadisch wirken, wenn nur bestimmte Ziele betroffen sind.

Die häufigsten Anzeichen im Heimnetz

Eine identische Netzadresse ist besonders wahrscheinlich, wenn beide Router mit ähnlichen Werkseinstellungen betrieben werden. Viele Heimrouter verwenden verbreitete private Bereiche wie 192.168.0.0/24, 192.168.1.0/24 oder herstellerspezifische Varianten. Entscheidend ist nicht nur die Adresse des Routers, sondern der gesamte Bereich aus Netzwerkadresse und Präfix.

• Das VPN meldet eine erfolgreiche Verbindung, aber entfernte LAN-Geräte antworten nicht.
• Ein Ping zum entfernten Router funktioniert nicht, obwohl der Tunnel aktiv ist.
• Nur Ziele außerhalb des lokalen Netzes sind erreichbar, während Geräte im gleichen Adressbereich verwechselt werden.
• Nach einem Router- oder Client-Neustart ändert sich das Verhalten vorübergehend.
• Die Verbindung funktioniert von einem Standort aus, vom anderen aber nicht.
• Ein zusätzlicher Router oder Repeater verwendet unbemerkt ebenfalls denselben privaten IP-Bereich.

Diese Symptome beweisen noch keinen überlappenden Bereich. Auch eine fehlende Route, eine blockierende Firewall, ein abgeschaltetes IP-Forwarding oder ein fehlerhaftes VPN-Profil kann ähnliche Auswirkungen haben. Deshalb sollte die Prüfung in einer festen Reihenfolge erfolgen.

IP-Bereiche beider Standorte sauber vergleichen

Notiere für jeden Standort mindestens die LAN-IP des Routers, die IPv4-Netzmaske, den DHCP-Bereich und die Adressen wichtiger statischer Geräte. Ein typischer Eintrag lautet beispielsweise:

• Router: 192.168.10.1
• Netzmaske: 255.255.255.0
• Präfix: /24
• DHCP-Bereich: 192.168.10.100 bis 192.168.10.200

Beim Vergleich zählt der Netzbereich, nicht nur die erste Adresse. Die Netze 192.168.10.0/24 und 192.168.10.0/25 überschneiden sich, weil der kleinere Bereich innerhalb des größeren liegt. Auch unterschiedlich wirkende Routeradressen können zum gleichen Netz gehören, wenn die Netzmaske groß genug ist.

Unter Windows findest du die lokale IPv4-Konfiguration beispielsweise mit ipconfig in der Eingabeaufforderung. Unter macOS und Linux stehen die Informationen je nach System in der Netzwerkübersicht oder über Netzwerkbefehle zur Verfügung. Auf Smartphones zeigt die Detailansicht des verbundenen WLANs meist IP-Adresse, Router und Netzmaske. Für die VPN-Planung sollten die Werte der Routeroberfläche jedoch maßgeblich sein.

Prüfe außerdem VLANs, Gastnetze, Docker- oder NAS-Netze sowie zusätzliche Router im Access-Point- oder Repeater-Betrieb. Ein separates Gastnetz muss nicht zwingend in die Site-to-Site-Verbindung einbezogen werden, kann aber ebenfalls Routingkonflikte verursachen, wenn es falsch eingebunden ist.

Vor dem Ändern der Routerkonfiguration

Eine Änderung des LAN-Netzes betrifft alle Geräte am jeweiligen Standort. Der Router kann danach unter einer anderen Adresse erreichbar sein, Clients erhalten neue IP-Adressen und statische Einträge müssen angepasst werden. Sichere deshalb die aktuelle Konfiguration und halte die Zugangsdaten für Internetzugang und Telefonie bereit, sofern der Router diese Einstellungen benötigt.

• Exportiere eine Konfigurationssicherung, falls das Modell diese Funktion anbietet.
• Notiere die bisherige LAN-IP und die Netzmaske.
• Erfasse feste IP-Adressen von NAS, Druckern, Kameras und Servern.
• Notiere DHCP-Reservierungen, lokale DNS-Einträge und Portfreigaben.
• Halte die VPN-Parameter, Peer-Adressen und entfernten Netzbereiche fest.
• Plane die Änderung möglichst dann, wenn ein kurzer Ausfall im lokalen Netz vertretbar ist.

Ein vollständiger Werksreset ist dafür nicht erforderlich. Er würde zusätzlich WLAN-Namen, Passwörter, Telefonie, Freigaben und weitere individuelle Einstellungen entfernen. Eine gezielte Änderung des LAN-Adressbereichs ist wesentlich kontrollierbarer.

Einen nicht überlappenden Bereich auswählen

Wähle für beide Standorte zwei eindeutig getrennte private IPv4-Netze. Häufig genügt ein /24-Netz, also eine Netzmaske 255.255.255.0. Ein mögliches Schema wäre Standort A mit 192.168.10.0/24 und Standort B mit 192.168.20.0/24.

Die verwendeten Bereiche sind nur Beispiele. Entscheidend ist, dass sie nicht mit Netzbereichen deines Internetanbieters, eines vorgeschalteten Routers, eines VPN-Dienstes oder einer lokalen Virtualisierung kollidieren. Vermeide außerdem Adressen, die du bereits für VLANs, Gastnetze oder spezielle Tunnel verwendest.

Bei mehreren Standorten hilft ein einfacher Plan:

• Standort A: 192.168.10.0/24
• Standort B: 192.168.20.0/24
• Standort C: 192.168.30.0/24
• Gastnetz: ein separater, nicht gerouteter Bereich nach Bedarf

Die Netzadresse endet bei einem /24-Netz auf .0, die Broadcast-Adresse auf .255. Diese beiden Adressen sollten nicht als normale Host-Adressen vergeben werden. Bei anderen Präfixen gelten andere Grenzen; prüfe die Berechnung, bevor du den Bereich übernimmst.

LAN-Netz am passenden Router ändern

Ändere normalerweise nur den Standort, dessen Adressbereich sich leichter anpassen lässt. Wenn ein NAS, eine Kameraanlage oder viele feste Adressen vorhanden sind, kann der andere Standort weniger Aufwand verursachen. Welcher Router den Bereich ändern sollte, hängt nicht von der VPN-Technik, sondern von der vorhandenen lokalen Konfiguration ab.

1. Öffne die lokale Verwaltungsoberfläche des ausgewählten Routers.
2. Suche nach einem Bereich wie LAN, Heimnetz, lokales Netzwerk oder IPv4-Einstellungen.
3. Ändere die LAN-IP und die Netzmaske auf den geplanten, freien Bereich.
4. Speichere die Änderung und bestätige einen möglichen Router-Neustart.
5. Verbinde den Computer oder das Smartphone erneut mit dem Netzwerk.
6. Öffne die Routeroberfläche anschließend über die neue LAN-Adresse.

Menünamen unterscheiden sich je nach Hersteller und Modell. Suche nach den Begriffen für lokales IPv4-Netz, DHCP-Server und Heimnetz, statt eine Menüfolge eines anderen Routers zu übertragen. Nach der Umstellung sollten Clients per DHCP eine Adresse aus dem neuen Bereich beziehen.

Statische Geräte müssen gegebenenfalls manuell angepasst werden. Bei einem NAS mit fester Adresse änderst du IP-Adresse, Netzmaske und Standardgateway passend zum neuen Netz. DHCP-Reservierungen werden entweder automatisch übernommen oder müssen neu angelegt werden; kontrolliere das nach der Änderung.

VPN-Routen und Gegenstelle aktualisieren

Nach der LAN-Änderung kennt das Site-to-Site-VPN die neuen lokalen Netze möglicherweise noch nicht. In jedem Peer-Profil müssen die lokalen und entfernten Netzbereiche eindeutig eingetragen sein. Bei WireGuard betrifft das häufig die Werte unter AllowedIPs. Je nach Plattform können die Angaben stattdessen als lokale Netzwerke, entfernte Subnetze, Traffic Selectors oder Routing-Netze bezeichnet werden.

Ein vereinfachtes Beispiel für zwei getrennte /24-Netze sieht so aus:

Standort A: 192.168.10.0/24
Standort B: 192.168.20.0/24

Die Seite A muss den Bereich von B über den Tunnel senden, während die Gegenstelle den Bereich von A kennt. Trage nicht versehentlich die Router-Einzeladressen als vollständige Netzbereiche ein. Ein Eintrag wie 192.168.20.1/32 beschreibt nur einen einzelnen Host und nicht das gesamte entfernte LAN.

Bei manchen VPN-Lösungen werden Routen automatisch aus den LAN-Einstellungen erzeugt. Trotzdem solltest du die generierte Routingtabelle prüfen. Entferne alte Einträge mit dem früheren Netzbereich, sofern sie nicht für einen anderen Zweck benötigt werden. Danach speicherst du beide VPN-Profile und baust den Tunnel neu auf.

Verbindung nach der Umstellung testen

Teste nicht nur, ob das VPN-Symbol grün oder aktiv erscheint. Eine erfolgreiche Aushandlung bestätigt zunächst nur, dass die VPN-Endpunkte miteinander kommunizieren. Der eigentliche Test muss ein Gerät im entfernten LAN erreichen.

1. Prüfe, ob dein Client eine IP-Adresse aus dem neuen lokalen Bereich besitzt.
2. Rufe die lokale Routeradresse auf und kontrolliere die Internetverbindung.
3. Starte den VPN-Tunnel auf beiden Seiten neu.
4. Teste die Routeradresse des entfernten Standorts.
5. Rufe danach einen entfernten Host wie NAS oder Drucker über dessen IP-Adresse auf.
6. Prüfe erst anschließend die Namensauflösung über lokale DNS-Namen.

Wenn die entfernte Routeradresse erreichbar ist, ein bestimmtes Gerät aber nicht, liegt die Ursache wahrscheinlich am Zielgerät, seiner Firewall oder dessen Standardgateway. Antwortet kein Ziel im entfernten Netz, untersuche Routing, VPN-Konfiguration und Firewall-Regeln. Ein Ping kann auf dem Zielgerät deaktiviert sein und ist deshalb kein alleiniger Beweis für einen funktionierenden oder fehlerhaften Tunnel.

Wenn die Bereiche bereits getrennt sind

Verwendest du unterschiedliche Netze und bleibt die Verbindung instabil, prüfe die nächstwahrscheinlichen Fehlerklassen. Ein Router kann den Tunnel aufbauen, während die Weiterleitung zwischen VPN-Schnittstelle und LAN blockiert wird. Ebenso können Rückrouten fehlen, sodass die Anfrage das entfernte Gerät erreicht, die Antwort aber nicht zurückfindet.

• Kontrolliere die Routingtabelle auf beiden VPN-Endpunkten.
• Prüfe, ob IP-Forwarding oder die Funktion für LAN-zu-LAN-Verkehr aktiviert ist.
• Vergleiche die lokalen und entfernten Präfixe in beiden Peer-Profilen.
• Untersuche Firewall-Regeln für VPN-, LAN- und Forwarding-Zonen.
• Teste die Verbindung zunächst mit IP-Adressen und danach mit Hostnamen.
• Prüfe, ob eine zweite VPN-Verbindung dieselben Netze beansprucht.

Bei dynamischen Internetanschlüssen kann zusätzlich die Erreichbarkeit der VPN-Endpunkte schwanken. Ein Wechsel der öffentlichen IP-Adresse, fehlerhaftes DynDNS oder eine blockierte eingehende Verbindung betrifft den Tunnelaufbau selbst. Das ist von einem lokalen Routingkonflikt zu unterscheiden.

DNS, IPv6 und doppelte DHCP-Dienste

Ein funktionierendes Routing bedeutet nicht automatisch, dass Namen im entfernten Netz aufgelöst werden. Lokale DNS-Suffixe und Router-Namen werden oft nur am jeweiligen Standort verteilt. Teste deshalb zunächst den Zugriff über IP-Adresse. Funktioniert die IP-Verbindung, aber der Hostname nicht, liegt der nächste Prüfschritt bei DNS oder der Namensweiterleitung.

IPv6 kann einen Test zusätzlich verfälschen. Ein Client versucht möglicherweise, ein Ziel über IPv6 zu erreichen, während der Site-to-Site-Tunnel nur IPv4 transportiert. Prüfe, welche Adresse der Name liefert und ob der VPN-Aufbau IPv6 unterstützt. Deaktiviere IPv6 nicht pauschal als erste Maßnahme, sondern grenze den Protokollpfad gezielt ein.

Ein weiterer Router im gleichen Heimnetz darf nicht parallel als DHCP-Server arbeiten, wenn er nur als Access Point vorgesehen ist. Zwei DHCP-Server können unterschiedliche Gateways und DNS-Server verteilen. Dadurch erhält ein Teil der Geräte eine falsche Route, obwohl die VPN-Konfiguration selbst stimmt.

Sonderfall: Mehrere Router oder doppelte NAT-Strukturen

Hintereinander geschaltete Router erzeugen häufig mehrere private Netzebenen. Das ist nicht automatisch falsch, erschwert aber den Zugriff zwischen den Standorten. Der VPN-Endpunkt muss wissen, welches LAN er anbietet und über welches Gateway Antworten zurückgesendet werden.

Wenn ein Router im reinen Routermodus hinter einem anderen Router arbeitet, können Portweiterleitungen, Firewallregeln und Rückrouten an beiden Geräten nötig sein. Im Access-Point-Modus übernimmt dagegen meist nur der Hauptrouter Routing und DHCP. Die Betriebsart sollte deshalb zum geplanten Netzwerkdesign passen.

Vermeide es, den zweiten Router nur wegen einer VPN-Störung auf Werkseinstellungen zurückzusetzen. Prüfe zuerst Verkabelung, Betriebsart, LAN-Bereich, DHCP und die Route zwischen den Segmenten. Ein Reset beseitigt keine grundsätzlich falsche Netzplanung und kann weitere Konfigurationen löschen.

Checkliste für eine stabile Standortkopplung

• Die LAN-Netze beider Standorte sind vollständig dokumentiert.
• Netzwerkadressen und Präfixe überschneiden sich nicht.
• DHCP-Bereiche liegen innerhalb des jeweils vorgesehenen LANs.
• Statische Geräte verwenden passende IP-Adressen und Gateways.
• Beide VPN-Seiten kennen das lokale und das entfernte Subnetz.
• Alte Routen und nicht mehr gültige Peer-Einträge sind entfernt.
• Firewallregeln erlauben den erforderlichen Verkehr zwischen den LANs.
• Der Test wurde mit IP-Adresse und, getrennt davon, mit DNS-Namen durchgeführt.
• IPv4- und IPv6-Pfade wurden nicht miteinander verwechselt.
• Konfigurationssicherungen liegen vor, bevor weitere Änderungen erfolgen.

Wenn die Kopplung nach dieser Prüfung weiterhin ausfällt, vergleiche die Ereignisprotokolle beider Router zum gleichen Zeitpunkt. Achte auf Hinweise zu Handshake, Authentifizierung, Route, Firewall und Zeitüberschreitung. So lässt sich unterscheiden, ob der Tunnel selbst instabil ist oder nur der Verkehr zu einem bestimmten entfernten Netz nicht weitergeleitet wird.

Fragen und Antworten zu Site-to-Site-VPN-IP-Bereichen

Wie erkenne ich, ob zwei VPN-Netze wirklich überlappen?

Vergleiche an beiden Standorten jeweils Netzwerkadresse und Präfix, nicht nur die Router-IP. Überlappt ein Adressbereich ganz oder teilweise mit dem anderen, kann der lokale Router Ziele fälschlich als direkt erreichbar behandeln.

Kann ein überlappendes Netz den VPN-Tunnel selbst instabil machen?

Meist bleibt der Tunnel technisch aufgebaut, während der Datenverkehr zu bestimmten entfernten Zielen scheitert. Häufig wirkt die Verbindung deshalb instabil, obwohl tatsächlich eine fehlerhafte Routenauswahl und kein wiederholter Tunnelabbruch vorliegt.

Welchen IP-Bereich sollte ich für zwei Heimnetzwerke wählen?

Geeignet sind zwei getrennte private IPv4-Netze, etwa 192.168.10.0/24 und 192.168.20.0/24. Die Beispiele sind nicht zwingend; wichtig ist, dass die Bereiche auch mit vorgeschalteten Routern, Gastnetzen, VLANs und virtuellen Netzwerken nicht kollidieren.

Muss ich bei einer Netzänderung alle Geräte manuell neu konfigurieren?

Geräte mit DHCP beziehen normalerweise automatisch eine Adresse aus dem neuen Bereich, sobald sie die Netzwerkverbindung erneuern. Statische IP-Adressen, DHCP-Reservierungen, lokale DNS-Einträge und Freigaben müssen dagegen geprüft und gegebenenfalls angepasst werden.

Was passiert mit NAS, Druckern und Kameras nach dem Wechsel des LAN-Netzes?

Bei festen Adressen können diese Geräte zunächst nicht erreichbar sein, wenn IP-Adresse und Gateway im alten Netz verbleiben. Aktualisiere ihre Netzwerkkonfiguration oder Reservierungen und prüfe anschließend den Zugriff zuerst per IP-Adresse, bevor du Hostnamen testest.

Kann ein Gastnetz die Site-to-Site-Verbindung ebenfalls stören?

Ein Gastnetz ist nur dann relevant, wenn es in Routingregeln, VPN-Netze oder gemeinsame Dienste einbezogen wird. Prüfe deshalb, ob der VPN-Router das Gastnetz anbietet oder Routen dafür verteilt, statt automatisch den gesamten Gastverkehr freizuschalten.

Warum funktioniert der Zugriff per IP-Adresse, aber nicht über den Gerätenamen?

Dann ist das Routing wahrscheinlich grundsätzlich möglich, während die Namensauflösung zwischen den Standorten fehlt. Prüfe DNS-Weiterleitungen, lokale DNS-Suffixe und die vom Client tatsächlich verwendete IPv4- oder IPv6-Adresse.

Wann reicht eine Netzänderung nicht aus und wann brauche ich weitere VPN-Anpassungen?

Nach einer Änderung müssen beide VPN-Seiten weiterhin das korrekte lokale und entfernte Subnetz sowie passende Rückrouten kennen. Bleibt der Zugriff trotz eindeutig getrennter Netze aus, kommen zusätzlich Firewallregeln, IP-Forwarding, doppelte NAT-Strukturen oder ein fehlerhaftes VPN-Profil als Ursachen infrage.