Travel-Router und VPN-Server zu Hause: So behalten Sie Ihre Heim-IP im Ausland

Ein WireGuard-Server läuft auf einem Gerät zu Hause (der Router selbst, ein Raspberry Pi oder ein NAS), und ein kleiner Travel-Router verbindet sich mit dem Hotel-WLAN und baut einen verschlüsselten Tunnel dorthin zurück auf. Jedes Gerät hinter diesem Travel-Router erreicht das Internet über Ihre Heimleitung, sodass Websites und Apps die Haushaltsadresse sehen, die sie immer sehen. Die ehrlichen Einschränkungen: Die Leitung zu Hause braucht eine öffentliche IP, die Geschwindigkeit auf Reisen kann nie Ihre Heim-Upload-Geschwindigkeit übertreffen, und die Bedingungen der Streaming-Dienste und Ihres Arbeitsvertrags bleiben genau so, wie sie waren.

Die zwei Geräte und die Reihenfolge der Arbeit

Das Gerät zu Hause dient als Server; unterwegs stellt ein Client-Router die Verbindung zu diesem Server her. Die Reihenfolge in Worten:

1. Aktivieren Sie den VPN-Server auf einem Gerät, das zu Hause dauerhaft läuft, und lassen Sie ihn die Schlüssel erstellen.
2. Benennen Sie den Server so, dass er von außen gefunden wird: die öffentliche Adresse, die Ihre Leitung erhalten hat, oder – wenn sie sich ständig ändert – ein Hostname eines Dynamic-DNS-Dienstes.
3. Erstellen Sie ein Client-Profil pro Gerät; auf GL.iNet-Routern kommt es als QR-Code, Klartext oder .conf-Datei.
4. Laden Sie dieses Profil in den Travel-Router, aktivieren Sie dessen Kill Switch und prüfen Sie den Tunnel vor der Reise.
5. Verbinden Sie unterwegs den Travel-Router mit dem Hotel-WLAN (melden Sie sich zuerst am Captive Portal an, dann bauen Sie den Tunnel auf), und jedes Gerät dahinter geht über Ihre Heimleitung nach draußen.

Die letzte Prüfung erfolgt zu Hause vor der Abreise: Trennen Sie das Telefon vom WLAN, nutzen Sie mobile Daten und bestätigen Sie, dass der Tunnel funktioniert. Wenn er am Küchentisch scheitert, scheitert er auch in einer Hotellobby. Das offizielle GL.iNet-Handbuch zur WireGuard-Server-Einrichtung dokumentiert jede dieser Stufen, einschließlich der häufigsten Fehlerursachen.

Was Ihre Heimleitung unterstützen muss

Alles hängt an einer öffentlichen IP-Adresse. Die GL.iNet-Dokumentation sagt es klar: Ohne eine kann der Router nicht als WireGuard-Server fungieren. Viele Haushalte hatten nie eine, weil der Anbieter sie hinter ein carrier-grade NAT (CGNAT) setzt, wo viele Kunden des Anbieters sich eine externe Adresse teilen und von außen nichts Ihr Gerät erreicht. Ein kurzer Test: Vergleichen Sie die WAN-Adresse, die die Statusseite Ihres Routers zeigt, mit der Adresse, die ein IP-Lookup meldet. Weichen sie ab, haben Sie die Option, beim Anbieter eine öffentliche Adresse zu erfragen (kann extra kosten), oder ein Relay wie AstroWarp von GL.iNet zu nutzen. Nutzer im GL.iNet-Forum berichten, dass Heimleitungen oft hinter CGNAT stehen, und auf einer solchen Leitung ist ein heimischer VPN-Server schlicht unmöglich.

Zwei weitere Details folgen aus dem ersten. Eine dynamische IP ist machbar: Ein DDNS-Hostname verfolgt die sich ändernde Adresse, die der Provider zuweist, und seit Firmware v4.8 kann die Client-Datei die öffentliche IP, die DDNS-Domain oder die aktuelle WAN-IP als Serveradresse tragen. Und wenn das Server-Gerät hinter dem Router des Anbieters sitzt, braucht dieser Hauptrouter eine Regel, die den VPN-Port dorthin weiterleitet; jeder Zwischenrouter in der Kette braucht dieselbe Regel. Ist das Server-Gerät der Hauptrouter, ist keine Weiterleitung nötig.

WireGuard ist das Protokoll, von dem dieses Setup ausgeht. Die FAQ von GL.iNet selbst nennt es allgemein schneller als OpenVPN, und sein modernes, schlankes Design zählt auf einem kleinen Router-Prozessor. OpenVPN bleibt als Ausweichoption auf älterer Hardware. Schlüsselerstellung und Peer-Einrichtung sind auf der offiziellen WireGuard-Quick-Start-Seite dokumentiert.

Auf welchem Gerät der Server zu Hause läuft

Das VPN-Routers-Ranking von VPNRadarLab erfasst 14 Hardware-Hersteller mit eingebautem VPN; in seiner Self-Hosted-Liste mit 75 Tools unterstützen 41 WireGuard und 11 laufen auf einem Raspberry Pi. Die OpenWrt-Seite listet 10 Einträge, von denen 6 WireGuard unterstützen. Unter den Herstellern liefert Firewalla WireGuard- und OpenVPN-Server und -Client, MikroTik hat Back To Home über WireGuard, Ubiquiti UniFi-Gateways bieten Teleport, Peplink hat in Firmware 8.6.0 Fernzugriff über WireGuard ergänzt, und TP-Link Omada-Gateways enthalten einen WireGuard-Server.

Wahl des Travel-Routers

GL.iNet beherrscht diese Nische, und seine Firmware basiert auf OpenWrt. Die LuCI-Oberfläche ist über die erweiterten Einstellungen erreichbar. Der Hersteller verkauft kein VPN-Abo; die Firmware trägt sowohl WireGuard als auch OpenVPN in Client- und Server-Rolle, einen Kill Switch pro Tunnel plus einen globalen Enhanced Kill Switch ab v4.8, und VPN-Richtlinien nach Gerät, Verbindungstyp, Domain oder IP. Laut Herstellerangaben erreicht die VPN-Durchsatzrate bis zu 1100 Mbit/s auf Beryl 7 und Brume 3 – Zahlen des Herstellers, keine unabhängigen Tests.

Die Einstellungen, die sich lohnen: Im Hotel-WLAN ist der Kill Switch das, was einen Leak stoppt, wenn der Tunnel mitten in der Sitzung abbricht. Regeln pro Gerät lassen einen Arbeits-Laptop durch den Tunnel laufen, während ein Tablet direkt die Hotelleitung nutzt. Ein Warnsignal in den Daten von VPNRadarLab: AstroWarp, das Relay für CGNAT-Leitungen, sammelt Router-IP, MAC und Verbindungs-Logs – wer diese Details lieber für sich behält, fährt mit einer öffentlichen IP vom Anbieter besser als mit dem Relay.

Heimtunnel versus kommerzielles VPN

VPNRadarLab listet auch 120 VPN-Dienste, die auf einem Router laufen, und 36 davon bieten eine dedizierte IP-Adresse, 12 eine Residential-IP; bei einem kommerziellen VPN ist diese Zusatzoption der Weg, einer Heimatadresse näher zu kommen – Ihre eigene Leitung ist es trotzdem nicht. Der Sicherheitskompromiss ist real: Ihr Ausgang ist privat, doch ein offener Port zu Hause ist Angriffsfläche, die Sie patchen müssen, und ein gestohlener Travel-Router enthält einen funktionierenden Schlüssel in Ihr Netz – widerrufen Sie dieses Profil also am Tag des Verschwindens.

Was die andere Seite trotzdem prüft

Eine IP ist nur eines der Signale. Banking-Apps lesen GPS und das Netz der SIM, ein Kartenausgeber kennt das Land der Karte, und die Netflix-Nutzungsbedingungen, Abschnitt 1.5, sagen, dass Inhalte hauptsächlich in dem Land abgerufen werden dürfen, in dem das Konto eingerichtet wurde, und nur an Orten, wo Netflix den Dienst anbietet und die Inhalte lizenziert hat; der Katalog variiert je nach Standort. Wenn Netflix seinen VPN- oder Proxy-Fehler zeigt, verweist seine Hilfeseite darauf, das VPN zu deaktivieren und es erneut zu versuchen. BBC iPlayer verbietet das Ansehen außerhalb Großbritanniens, auch im Urlaub. Ein Katalog, der für ein anderes Land lizenziert ist, über die eigene Leitung zu sehen, verstößt trotzdem gegen die Streaming-Bedingungen, und die üblichen Folgen sind blockierte Wiedergabe oder Maßnahmen gegen das Konto. Sich über den eigenen Internetanschluss zu Hause beim eigenen Onlinebanking anzumelden, verstößt gegen keine Regel.

Wann das Setup nichts bringt

• Die Leitung hängt hinter CGNAT, und der Anbieter verweigert eine öffentliche IP.
• Strom oder Breitband fallen zu Hause aus, und niemand ist da, um es zu beheben.
• Das Reiseland blockiert VPN-Verkehr oder verbietet ihn per Gesetz.
• Das Telefon wechselt vom WLAN des Routers ins lokale Mobilfunknetz.
• Die App vertraut GPS mehr als der Adresse.
• Der Upstream der Heimleitung ist zu dünn für Video, denn alles, was Sie im Ausland empfangen, muss zuerst durch Ihre Heimverbindung hinaus.

Regeln, die eine IP nicht ändern kann

Arbeitsverträge, Steuerwohnsitz und Visabedingungen gelten für den Ort, an dem Sie physisch arbeiten, was auch immer Ihr Laptop zeigt; einem Arbeitgeber oder einer Behörde einen Auslandsaufenthalt zu verschweigen hat rechtliche Folgen, und Leistungen, die Wohnsitz verlangen, bleiben daran gebunden.

FAQ

Ist ein Travel-Router für ein einziges Telefon nötig?

Nein, die WireGuard-App verbindet sich direkt; der Router lohnt sich mit mehreren Geräten oder einem TV-Stick.

Kann ich das mit einer dynamischen IP betreiben?

Ja, nutzen Sie einen Dynamic-DNS-Hostnamen als Serveradresse des Clients statt der rohen Adresse.

Bemerkt Netflix eine Haushaltsadresse?

Eine Haushaltsadresse löst den VPN-Fehler vielleicht nicht aus, aber nach den Nutzungsbedingungen hängt weiterhin von Ihrem Aufenthaltsort ab, welche Inhalte Sie ansehen dürfen.

Stört sich meine Bank daran?

Sich über den eigenen Internetanschluss zu Hause beim eigenen Onlinebanking anzumelden, verstößt für sich gegen keine Regel, doch die App kann trotzdem GPS und das SIM-Netz lesen.

Kurzantwort für die Reise

Ein WireGuard-Server zu Hause mit einem Travel-Client zeigt im Ausland Ihre Breitband-IP. Es braucht eine öffentliche IP (oder ein Relay), DDNS, einen weitergeleiteten Port hinter einem zweiten Router und ausreichend Upload; die Geschwindigkeit ist durch Ihre Heimleitung begrenzt, und ein Ausfall zu Hause schneidet Sie ab. Banken sehen eine vertraute Adresse, die Streaming-Bedingungen bleiben, was sie waren.