Mesh-VPN-Netzwerke: Direkte Tunnel zwischen Ihren Geräten, NAT-Traversal und Relays

Ein Mesh-VPN baut ein privates Overlay-Netzwerk auf, in dem beliebige zwei Ihrer Geräte einen verschlüsselten Tunnel direkt zueinander öffnen können. Ein klassisches Privatkunden-VPN arbeitet stattdessen nach dem Hub-and-Spoke-Modell: Ihr Laptop schickt alles an einen Anbieter-Server, und selbst wenn zwei Ihrer eigenen Geräte miteinander kommunizieren, führt der Weg über diesen Umweg. Bei einem Mesh kann ein Telefon im Hotel das NAS unter Ihrem Schreibtisch zu Hause erreichen, ohne dass ein Unternehmens-Server dazwischen sitzt, denn jedes Gerät besitzt eine private Adresse innerhalb des Overlays und einen eigenen Satz Schlüssel.

Hub-and-Spoke versus Mesh

Der Koordinationsserver: wer weiß, welches Gerät wo ist

Der Traffic läuft normalerweise von Gerät zu Gerät, während der Koordinationsserver das Adressbuch führt: Er verwaltet die Mitgliederliste, vergibt Overlay-Adressen, verteilt öffentliche Schlüssel und Zugriffsregeln und teilt jedem Gerät mit, wo seine Peers sitzen. Sie können den gehosteten Controller des Anbieters nutzen oder selbst einen hosten; Headscale bedient Tailscale-Clients von Ihrem eigenen Server aus, und vollständig serverlose Designs wie tinc existieren, sind aber selten. Fällt der Koordinator aus, laufen bereits bestehende Tunnel meist weiter; neue Geräte warten, bis er zurückkehrt.

Durch das NAT kommen: Hole Punching und Relays

Heimrouter und Mobilfunkanbieter verbergen Geräte hinter einer gemeinsamen öffentlichen Adresse und verwerfen jedes Paket, das niemand angefordert hat, sodass zwei Maschinen hinter zwei Routern sich nicht einfach gegenseitig anrufen können. Der Workaround: Beide Geräte fragen einen STUN-Server, über welche öffentliche IP und welchen Port sie erscheinen, der Koordinator tauscht diese Antworten aus, und beide Seiten senden im selben Augenblick Pakete, sodass jeder Router das eingehende Paket für eine Antwort hält. Das nennt man Hole Punching, und es erfordert keine Portweiterleitung an Ihrem Router.

Das scheitert, wenn ein Router für jedes Ziel einen neuen ausgehenden Port wählt. Das ist ein symmetrisches NAT, das in Mobilfunknetzen, Unternehmens-WLANs und bei Carrier-grade NAT (CGNAT) verbreitet ist; ein einziger solcher Router auf dem Weg genügt, um die direkte Route zu brechen. Dann fällt der Traffic auf einen Relay-Server zurück, der von beiden Enden erreichbar ist: Tailscale hat ein eigenes Protokoll entwickelt, DERP, das über HTTP läuft und verschlüsselte Pakete weiterleitet, die es nicht entschlüsseln kann, während WebRTC das Äquivalent TURN nennt. Der Preis dafür sind Latenz und weniger Bandbreite. Mesh-Clients zeigen an, ob eine Peer-Verbindung direkt oder über ein Relay läuft; bei einem ruckelnden Spiel sollten Sie daher meist zuerst diesen Indikator prüfen. Der Tailscale-Artikel zu NAT-Traversal erklärt den Mechanismus.

Für was ein Mesh gut ist

Erreichen Sie ein NAS, einen Heimserver, eine Kamera oder einen Desktop von unterwegs, ohne Ports für das gesamte Internet offenzulegen. Alte Multiplayer-Spiele, die nur im lokalen Netzwerk nach Spielern suchen, finden Freunde über verschiedene Anschlüsse hinweg, sobald alle in einem virtuellen LAN sitzen. Ein kleines Team kann auf einen gemeinsamen Server zugreifen – mit Schlüsseln und Zugriffsregeln pro Gerät statt einer gemeinsamen VPN-Anmeldung. Soll der Web-Traffic woanders hinausgehen, markieren Sie eine Ihrer Maschinen, etwa den Heimrouter oder einen gemieteten VPS, als Ausgangsknoten, und Websites sehen die Adresse dieser Box.

Was ein Mesh-VPN nicht kann

Es macht Sie nicht anonym. Geräte werden unter Ihrem Konto angemeldet und identifizieren sich gegenseitig über Schlüssel und Namen, es gibt also keinen gemeinsamen IP-Pool, in dem man untertauchen kann, und ein gehosteter Koordinationsdienst kennt Ihre Geräteliste und deren Adressen. Ein dezentrales VPN verfolgt das gegenteilige Ziel: Es leitet Ihr Surfen über die Knoten anderer Leute, sodass Websites Ihre Adresse nicht mehr sehen.

Mesh-WLAN ist ein anderes Produkt

Ein Mesh-WLAN-Set verteilt einen einzigen Funknamen über mehrere Access Points, um ein großes Haus abzudecken. Es hat nichts mit VPN-Tunneln oder NAT-Traversal zu tun, und der Kauf eines Mesh-Routers verschlüsselt Ihren Traffic nicht.

Wo Mesh-Tools bei VPNRadarLab eingeordnet sind

Das Ranking selbst gehosteter VPNs listet 75 Tools auf, darunter Mesh-Controller wie Headscale, NetBird und Nebula, und 69 davon bieten Open-Source-Apps, während im Hauptranking von 371 Diensten NordVPN (Meshnet, für LAN-Partys aufgeführt) und QubitVPN (ein auf NetBird basierendes Mesh ab dem Basic-Tarif) zu den Privatkunden-Diensten gehören, die ein Geräte-Mesh anbieten.

FAQ

Verbirgt ein Mesh-VPN meine IP?

Nur, wenn der Traffic über einen von Ihnen gewählten Ausgangsknoten hinausgeht, und dann sehen Websites die Adresse dieses Knotens.

Ist ein Mesh-VPN dasselbe wie ein dVPN?

Nein. Das eine verbindet Geräte, die Sie kontrollieren; das andere verbirgt Ihre Adresse hinter den Maschinen anderer Leute.

Muss ich Ports an meinem Router öffnen?

In der Regel nicht. Hole Punching findet einen direkten Weg, und ein Relay übernimmt die Fälle, in denen das nicht gelingt.

Kurzantwort

Ein Mesh-VPN verbindet Ihre Geräte über direkte verschlüsselte Tunnel: Ein Koordinator verwaltet Schlüssel und Adressen, Hole Punching umgeht das NAT, und ein Relay trägt die Verbindungen, wo kein direkter Weg existiert. Nutzen Sie es für den Fernzugriff auf Heimgeräte, LAN-only-Spiele und kleine Teams, nicht für Anonymität.