VPN von IPv4 zu IPv6

[herrybert]

Hallo!
Ich habe 2 Anschlüsse die ich per VPN verbinden möchte.
Beide Glasfaser mit neuer Fritzbox 5530 bzw. 5590.
Das Problem: die 5590 bekommt vom Anbieter nur IPv6 und die 5530 von einem anderen Anbieter nur IPv4.
Laut Fritz-AVM Support kann ich hier keinen VPN aufbauen...

Kennt ihr eine andere Lösung? Vielleicht auch mit anderen Geräten hinter der Fritz angeschlossen?

Danke und lG!

 

[DLMttH]

Ganz grundsätzlich tut sich erst einmal die Frage auf, um welche Anbieter es sich handelt und ob sich das nicht ändern lässt.

Falls nein, dann hier lesen.

 

[keinFischBitte]

Eines der FritzBoxen braucht eine öffentlich erreichbare Ipv4 oder Ipv6 Adresse. Diese kann durchaus dynamisch sein. Dann einfach MyFritz als DynDns nutzen. Wireguard Konfiguration, wie in der Fritz Anleitung erstellen, und einrichten.
Ich habe so 2 Netzwerke verbunden. Mein Anschluss von der Telekom hat sowohl öffentliche Ipv4 als auch Ipv6 Adresse, der zweite Anschluss hat über einen Glasfaseranbieter nur eine öffentliche Ipv6 Adresse. In dem Fall hat auch die Glasfaserseite eine öffentliche Adresse. Dort funktioniert auch VPN von Handy auf Heimnetz über Ipv6.

 

[herrybert]

Ganz grundsätzlich tut sich erst einmal die Frage auf, um welche Anbieter es sich handelt und ob sich das nicht ändern lässt.

Falls nein, dann hier lesen.

Deutsche Glasfaser mit Ipv6 und der andere im Ausland ohne IPv6. Gäbe es da Alternativen in DE?

Ergänzung (15. Januar 2026)

Eines der FritzBoxen braucht eine öffentlich erreichbare Ipv4 oder Ipv6 Adresse. Diese kann durchaus dynamisch sein. Dann einfach MyFritz als DynDns nutzen. Wireguard Konfiguration, wie in der Fritz Anleitung erstellen, und einrichten.
Ich habe so 2 Netzwerke verbunden. Mein Anschluss von der Telekom hat sowohl öffentliche Ipv4 als auch Ipv6 Adresse, der zweite Anschluss hat über einen Glasfaseranbieter nur eine öffentliche Ipv6 Adresse. In dem Fall hat auch die Glasfaserseite eine öffentliche Adresse. Dort funktioniert auch VPN von Handy auf Heimnetz über Ipv6.

Interessant. Der AVM verweißt auf diese Seite:
https://fritz.com/de-it/apps/knowle...der-FRITZ-Box-im-Internet-prufen?t_id=7271531
Und meint es geht nicht...
Beide Fritzboxen sind öffentlich erreichbar! Eine eben NUR mit IPv4, die andere NUR mit IPv6 :-( Ich habe auch MyFritz und schon öfters solche Verbindungen hergestellt aber eben immer nur von 4zu4... 4zu6 geht nicht bis jetzt

 

[keinFischBitte]

@herrybert Die Fritzbox an der Deutschen Glasfaser hat eine private Ipv4 und eine öffentliche Ipv6.
Die andere Fritzbox hat eine öffentliche Ipv4 Adresse? (Hat diese eine private oder öffentliche Ipv6 Adresse und überhaupt eine Ipv6 Adresse? Ist auch egal.)

Dann wäre doch schon alles gegessen. "andere Fritzbox" nutzt seine öffentliche Ipv4 Adresse mit MyFritzDNS. "andere Fritzbox" ist die Zentrale laut der Fritz Doku. Dann so machen wie beschrieben und fertig. Es braucht nur eine Seite eine öffentliche Adresse, damit die Kommunikation starten kann! Beide müssen das gleiche sprechen - in diesem Fall Ipv4.

https://fritz.com/apps/service/vpn-...zwischen-zwei-FRITZ-Box-Netzwerken-einrichten

 

[Web-Schecki]

Eines der FritzBoxen braucht eine öffentlich erreichbare Ipv4 oder Ipv6 Adresse.

Eine öffentliche IPv6-Adresse an einem der Anschlüsse hilft erstmal überhaupt nicht, wenn am anderen Anschluss gar kein IPv6 verfügbar ist, weil der dortige ISP noch tief im letzten Jahrtausend steckt. Dann bräuchte man dort erst einen entsprechenden Tunnel, weil ja sonst gar kein Zugang zum v6-Internet besteht.

Andersherum sieht es natürlich besser aus; Zugang zum v4-Internet sollte man heutzutage noch an jedem Anschluss bekommen.

In #2 wurde eigentlich schon alles verlinkt, was man wissen muss, wenn ich es richtig sehe.

 

[DLMttH]

Jo, der Host muss dann die IPv4 im Ausland sein. Die 5530 würde ich zu dem Zweck wieder loswerden, wenns schnell sein soll. Das können fast alle anderen Router besser.

Alternativ auf dem Netz der Deutsche Glasfaser zu 1&1 wechseln, dann geht trotz DS Lite eine eingehende IPv4-Verbindung mit PCP.

 

[keinFischBitte]

@Web-Schecki Guck dir mal die Urzeiten der Posts #2 und #3 an. Posts fast zur gleichen Zeit. Ich würde zusätzlich sagen, dass dieser kleine Austausch mit etwas mehr Informationen von TE und relativ unkomplizierte Weisung in die richtige Richtung für den TE Ersteller und alle anderen einfacher ist, als eine Seite Forumsbeiträge mit Links zu lesen. Dabei dann noch mit Halbwissen herauszufiltern, was man braucht und was nicht. Das hier ist ja jetzt kein Problem, bei dem man ein Fass aufmachen muss.

 

[DLMttH]

Also deine Antwort passte einfach nicht zur Frage, da verstehe ich jetzt die Kritik nicht.

Vergleiche "Was soll ich mir auf die Pommes machen, wenn ich Essig partout nicht ausstehen kann?" - "Mayo oder Ketchup!".

 

[keinFischBitte]

Ich glaube, dass ich das schon ganz gut getroffen habe. Was meiner Meinung nach wenig hilft für jemanden der nicht schon tausend Seiten gelesen hat, ist, wenn man etwas verlinkt, in den die ersten Links über Einsatz von VPS gehen, dann DynDNS Service und gleichzeitig Erwähnen von Zertifikatsausstellung und und und. Das ist doch alles viel zu viel für das Problem, was hier berichtet wurde.

Im Endeffekt ist es aber egal. Hier hat jemand meiner Meinung nach relativ schnell den Weg zu einer Lösung gezeigt bekommen, den ein Otto-Normalverbraucher auch gut gehen kann. Wenn die Tatsachen so sind wie dargestellt, ist das kein Problem und der TE kann sich an eine gute Anleitung von Fritz halten. TE happy, alle (hoffentlich) happy.

 

[Netzwerker556]

Einfach bei HE ein Konto erstellen und eine Ipv6 über ipv4 beziehen
https://tunnelbroker.net/
Funktioniert mit der FritzBox super, ist einfach zu konfigurieren und du kriegst auch dein geigenes Präfix also genug Adressen für dein Heimnetz...

Dann hat deine v4 Box auch v6 und VPN ist kein Problem

 

[Pummeluff]

Ich stand vor demselben Problem. Meine Eltern haben auch nur eine IPv4. Ist ein lokaler Kabelanbieter.

Ansich reicht das, weil man bei der DG sowohl eine IPv4 und eine IPv6 bekommt. @keinFischBitte hat damit vollkommen Recht. Allerdings muss der DG-Anschluss dann zwingend ein Keep-Alive senden, da der reine IPv4-Anschluss selbständig keine Verbindung zum DG-Anschluss aufbauen kann.

Um diese Probleme zu umgehen, hab ich mir einen V-Server bei Noez geholt (kostet 1,20€/Monat) und da einen Wireguard-Server aufgesetzt. Der Server hat sowohl eine native IPv4 und eine IPv6. Den nutz ich, um die beiden LANs miteinander zu verbinden und auch um mobile Clients zu verbinden, ohne direkt auf die Fritzboxen zu müssen. Läuft jetzt schon seit 3 Jahren ziemlich problemlos.

 

[keinFischBitte]

Keep-Alive ist ja kein Problem und wird von der Fritzbox direkt so eingerichtet.

Ich verstehe nicht, warum ihr das direkt so kompliziert machen wollt mit externen Diensten und VPS und und und. Meint ihr nicht, dass das etwas zu kompliziert für das Basisproblem des TE ist? Würde ich die Frage stellen und bekomme nur Speziallösungen, dann wäre bei mir wahrscheinlich erstmal wieder Schluss.

 

[DLMttH]

Der Vorteil beim Durcharbeiten der Vorschläge wäre gewesen, dass man sich keine Gedanken darum machen muss, inwiefern die Frage falsch gestellt ist. Durch deine Antwort die nicht zur Frage passt, entsteht die Konfrontation dann aber zwangsweise.

 

[keinFischBitte]

Warum soll meine Antwort nicht zur Frage passen? Dass er nur eine! öffentliche IP Adresse braucht ist korrekt. Einzig, dass beide die gleiche IP Version sprechen können müssen wurde von mir nicht explizit erwähnt.

Ist dir oder euch eigentlich bewusst, was ihr für Antworten schreibt? Hast du den Link und die darin angegebenen Links durchgearbeitet und meinst, dass jemand, der nicht professionell mit Netzwerken arbeitet das auf Anhieb versteht? Dazu kommt noch der Verweis oben auf tunnelbroker.net...
Um auch mit einem Sprichwort zu kommen: "[...] mit Kanonen auf Spatzen schießen."

Ich hoffe nur, dass der TE sich nicht als erstes überlegt eine der Optionen von dir (@DLMttH) oder von Netzwerker556 zuerst auszuprobieren bevor er es mit den einfachen probiert. Ich mach jetzt die Benachrichtigungen an diesem Thread aus, da ich die Art und Weise der Hilfestellungen nicht verstehen/ertragen kann.

 

[herrybert]

danke für eure hilfe! ich wollte hier keinen konflikt erzeugen!!!
bin sehr dankbar für eure kommentar auch wenn ich (noch) nicht alles technisch verstehe...

also ich weiß sehrwohl wie vpn mit wireguard aufzubauen geht, nur habe ich bei diesem einen fall so meine probleme leider. und ich bin normal eher für die einfacheren lösungen.

ich habe überall myfritz aktiviert (was bei anderen ip4-ip4 verbindungen auch problemlos geht!)

wenn ich nun mit meinem pc an meiner ip4 5530 hänge (oder einem anderen ip4 netz) kann ich aber nicht auf die ip6 5590 (im DG netz) zugreifen:

1

2

3

ich denke da müssen wir mal anfangen?

---

dann habe ich probiert von der ip6 aus eine wireguard verbindung zur ip4 aufzubauen
aber da bleibt die verbindung dann grau in der fritzbox...

 

[hildefeuer]

Also Zusammenfasssung:
vpn Client Verbindung von ipv4 zu ipv6 sind nicht möglich, ebenso umgekehrt.
MyFritz ist ja ein Dydns Dienst, der geht immer, löst aber das Problem nicht.
Diese Funktion ist nur dafür da, das man den Router wieder erreicht, wenn neue ip zugewiesen wird.
Abhilfe in Reihenfolge Kosten und Aufwand:

Bei einem der beiden Provider nachfragen ob man Dual Stack bestellen kann und was es kostet.

Dann verbindet man beide Clients nicht per Wireguard Clients vpn, sondern beide Heimnetze side by side.
Diese Konfig erfolgt ausschließlich in den Fritzboxen, nicht auf Client Rechnen/Smartphones.
Das geht auch mit mehr als 2 Heimnetzen, wo nur einer Dual Stack haben muss.
Privat kann man das relativ einfach machen, indem man einen Dritten mit ins Boot holt aus dem Freundeskreis oder Verwandschaftskreis, der bei Telekom oder 1&1 ist und eh dual stack hat.

Oder einer wechselt zu einem Provider, die auch nur ipv6 oder ipv4 anbietet.
Bei Deinem Beispiel DG zu DG geht. Das geht dann auch mit Client vpn Wireguard.

Andere Lösungen:

V-Server mieten und konfigurieren ist was für Profis. Meist billiger als der Aufpreis der Provider, aber erheblicher Konfig Aufwand. Da muss man auch genau wissen was man tut.

Lösung wie in #11 (Tunnelbroker) beschrieben ist vielleicht etwas einfacher und unter Sicherheits-Aspekten für Laien besser, aber auch nicht einfach.

 

[Web-Schecki]

dann habe ich probiert von der ip6 aus eine wireguard verbindung zur ip4 aufzubauen
aber da bleibt die verbindung dann grau in der fritzbox...

Das ist der einzige Weg, der funktionieren könnte, daher brauchen wir da mal mehr Informationen.
Andersherum kann es nach deinen Aussagen so ohne Weiteres nicht klappen.

IPv6 und IPv4 sind ohne explizite Übersetzung schlicht inkompatibel zueinander.

Es gilt: Für einen Tunnelendpunkt brauchst du eine öffentliche IP-Adresse (oder andere Späße wie PCP, das lassen wir mal jetzt außen vor).
Um diesen Tunnel von woanders zu erreichen, muss der dortige Anschluss also auch dieses(!) Internet Protocol unterstützen. Für den Zugriff(!) brauchst du aber keine öffentliche Adresse, nur einen Zugang.

Du sagst:

Beide Fritzboxen sind öffentlich erreichbar! Eine eben NUR mit IPv4, die andere NUR mit IPv6

Soweit, so gut.

Nun folgt aber in der Regel immer: Wenn du eine öffentliche IPv6-Adresse bekommst, dann hast du trotzdem einen IPv4-Zugang, oft eben über CGNAT oder DS-lite, also nicht mit öffentlicher IPv4-Adresse. Ein Zugang ist es trotzdem.
Am Anschluss mit öffentlicher IPv4-Adresse hast du (scheinbar?) keinen IPv6-Zugang. Kann leider vorkommen.
Du musst also, wie hier auch schon geschrieben wurde, am Anschluss mit öffentlicher IPv4-Adresse den Tunnelendpunkt einrichten und den kannst du dann in der Regel von überall aus erreichen.

Die Screenshots, die du geschickt hast, helfen also nicht weiter. Es ist vollkommen klar, dass das so nicht funktionieren kann. Einzig und allein die andere Richtung ist interessant.

Die Frage ist, warum die Verbindung grau bleibt.
Erste Vermutung wäre, dass die IPv4-Adresse des anderen Endpunkts gar nicht öffentlich ist, wie von dir behauptet. Das solltest du klären. Und dann per ping mal schauen, ob du den Router mit öffentlicher IPv4-Adresse allgemein erreichen kannst.
Wenn das nicht geht, dann wäre dieser Vorschlag der einfachste und vermutlich auch günstigste:

Alternativ auf dem Netz der Deutsche Glasfaser zu 1&1 wechseln, dann geht trotz DS Lite eine eingehende IPv4-Verbindung mit PCP.

--

Guck dir mal die Urzeiten der Posts #2 und #3 an.

Mir ging es nicht darum, deinen Post als überflüssig zu deklarieren, ich wollte nur nicht, dass #2 überlesen wird, weil er mit mehr eigenverantwortlicher Problemlösung verbunden ist. Dein Post enthielt nur einen Fehler, den ich richtigstellen wollte.
Da scheinbar trotz anderer Hinweise versucht wurde, einen Endpunkt am DG-Anschluss ohne öffentliche IPv4-Adresse einzurichten, wäre etwas Lektüre zu dem Thema seitens des TE wohl nicht vollkommen verkehrt gewesen...

 

[Pummeluff]

Bei einem der beiden Provider nachfragen ob man Dual Stack bestellen kann und was es kostet.

Deutsche Glasfaser ist Dualstack. Ist halt die Einschränkung, dass die IPv4 in einem Carrier-grade NAT ist. D.h. du hast eine DG-interne und eine externe IPv4. Alle Kunden innerhalb das Glasfasernetzes können sich auch per IPv4 problemlos ansprechen. Nur von außen geht's halt nicht über IPv4.

Zusammenfassend:
IPv6 (DG) → IPv4 (anderer Provider): klappt nicht
IPv4 (DG) → IPv4 (anderer Provider): geht
IPv4 (anderer Provider) → IPv4 (DG): klappt nicht
IPv4 (anderer Provider) → IPv6 (DG): klappt nicht

Und wie oben schon erwähnt:
Mit der IPv4 des DG-Anschlusses kannst du eine VPN-Verbindung zur Gegenstelle mit der IPv4 aufbauen. Nur in die andere Richtung geht's halt nicht. D.h. die externe Stelle kann keine VPN-Verbindung zum DG-Anschluss aufbauen. Entsprechend muss auf der Seite des DG-Anschlusses sichergestellt werden, dass die Verbindung zuverlässig funktioniert und nicht abbricht. Aber das macht die Fritzbox eigentlich von sich aus.

 

[h00bi]

wenn ich nun mit meinem pc an meiner ip4 5530 hänge (oder einem anderen ip4 netz) kann ich aber nicht auf die ip6 5590 (im DG netz) zugreifen:

Du hast also in der 5530 ein Wireguard VPN Profil erstellt, das du in der 5590 dann eingerichtet hast?