Ruijie-Gateway hinter FRITZ!Box – VPN, doppeltes NAT und DS-Lite

Steht das Ruijie-Gateway hinter einer FRITZ!Box, funktioniert das Internet meist problemlos. Ein VPN-Server auf dem Gateway ist aber nur unter bestimmten Bedingungen erreichbar. Entscheidend ist, ob Ihr Anschluss eine eigene öffentliche IPv4-Adresse hat oder DS-Lite nutzt.

Schema: Ruijie-Gateway hinter einer FRITZ!Box

Voraussetzungen

FRITZ!Box als Internetrouter, Ruijie-Gateway mit seinem WAN-Port an einem LAN-Port der FRITZ!Box
Zugang zu beiden Weboberflächen

Unterstützte Modelle

Reyee-Gateways der Serie RG-EG, z. B. RG-EG105G-P-V3, RG-EG210G-P-V3, RG-EG305GH-P-E. Die FRITZ!Box-Menüs unterscheiden sich je nach Modell und FRITZ!OS-Version.

Das Grundproblem: doppeltes NAT

Die FRITZ!Box übersetzt die öffentliche Adresse in ihr Heimnetz (z. B. 192.168.178.0/24), das Ruijie-Gateway übersetzt ein zweites Mal in sein LAN (z. B. 192.168.110.0/24). Für ausgehenden Verkehr ist das unkritisch. Eingehende Verbindungen – etwa zum VPN-Server – müssen aber an beiden Geräten ankommen.

Schritt 1: Hat der Anschluss eine öffentliche IPv4-Adresse?

Laut AVM nutzen Anbieter DS-Lite, wenn sie nicht genug öffentliche IPv4-Adressen haben. Die FRITZ!Box verpackt den IPv4-Verkehr dann in IPv6 und hat keine eigene öffentliche IPv4-Adresse. Folge laut AVM: Geräte im Heimnetz sind aus dem Internet über IPv4 nicht erreichbar. Ob Ihr Anschluss DS-Lite nutzt, erfahren Sie beim Anbieter bzw. in der Übersicht der FRITZ!Box.

Fall A: öffentliche IPv4 vorhanden

Geben Sie dem Ruijie-Gateway am WAN eine feste Adresse im FRITZ!Box-Netz (z. B. 192.168.178.2) – über Static IP unter One-Device > Gateway > Config > Network > WAN oder als feste Zuordnung in der FRITZ!Box.

Beispiel für doppeltes NAT: WAN des Ruijie-Gateways bezieht 192.168.1.80 vom vorgeschalteten Router 192.168.1.1

Richten Sie in der FRITZ!Box eine Portfreigabe für das Ruijie-Gateway ein: bei WireGuard UDP 51820 (bzw. der Port, den Sie am Gateway eingestellt haben), bei OpenVPN standardmäßig 1194 mit dem gewählten Protokoll.
Tragen Sie am Ruijie-Gateway als Server IP die öffentliche Adresse bzw. eine DynDNS-Domain ein, die auf die FRITZ!Box zeigt.
Testen Sie von außen, z. B. über mobile Daten.

Fall B: DS-Lite oder CGNAT

Eine IPv4-Portfreigabe hilft hier nicht – der Anschluss ist über IPv4 von außen nicht erreichbar. Mögliche Wege:

Öffentliche IPv4 beim Anbieter anfragen (oft als Option oder Umstellung auf Dual-Stack erhältlich). Danach gilt Fall A.
PCP (Port Control Protocol): Laut AVM kann die FRITZ!Box über PCP Portfreigaben beim Anbieter einrichten. Fragen Sie Ihren Anbieter, ob der Anschluss PCP unterstützt.
Gateway als Client statt Server: Das Ruijie-Gateway baut die Verbindung selbst nach außen auf – zu einem WireGuard- oder OpenVPN-Server mit öffentlicher IP (z. B. am Hauptstandort).
Standorte über Ruijie Cloud verbinden: Laut Ruijie verbindet die SD-WAN-Lösung von Ruijie Cloud mehrere Standorte ohne öffentliche IP-Adressen. Voraussetzungen und unterstützte Modelle finden Sie im Ruijie Cloud Help Center (Abschnitt SD-WAN).
IPv6: Laut AVM ist das Heimnetz bei DS-Lite über IPv6 erreichbar, wenn beide Seiten IPv6 haben. Das ist nicht in allen Mobilfunknetzen und WLAN-Hotspots der Fall.

Praxisbeispiel

Kunde mit Kabelanschluss (DS-Lite), Techniker möchte auf den NVR zugreifen. Die Portfreigabe für UDP 51820 bleibt wirkungslos. Lösung: Beim Anbieter eine öffentliche IPv4 anfragen und danach Fall A einrichten – oder den Standort als Client mit dem eigenen Firmen-Gateway (öffentliche IP) verbinden.

Häufige Fehler

Portfreigabe zeigt auf die falsche Adresse: Das Ruijie-Gateway hat per DHCP eine neue Adresse erhalten. Feste Adresse vergeben.
Test aus dem eigenen Netz: Ein Test aus dem WLAN derselben FRITZ!Box sagt nichts über die Erreichbarkeit von außen aus. Immer über mobile Daten testen.
DynDNS zeigt auf eine alte IP: Aktualisierung der DynDNS-Domain prüfen.

Sicherheitshinweise

Geben Sie nur den VPN-Port frei – niemals die Weboberfläche von Gateway, NVR oder Kameras direkt ins Internet.
Verwenden Sie sichere Schlüssel bzw. Passwörter und halten Sie die Firmware aktuell.