Von außen aufs Heimnetzwerk zugreifen - so geht´s

Nicht jeder möchte alle privaten Dateien online stellen und sie so mit Google, Dropbox oder anderen Onlinediensten im „kostenlosen“ Cloudspeicher teilen. Dann ist es praktisch, wenn Sie auch aus der Ferne auf die Inhalte auf Ihrer Netzwerkfestplatte zugreifen können. Aber auch für den Fall, dass Sie keine Dokumente aus dem Heimnetz benötigen, ist ein Remote-Zugriff etwa auf das Routermenü sinnvoll. Darüber schalten Sie beispielsweise flott das Gäste-WLAN ein oder passen die Kindersicherung an. Per Remote-Zugang lassen sich auch Livevideos der heimischen Überwachungskamera aufs Smartphone streamen, die Smart-Home-Zentrale regeln sowie andere „Connected Devices“ steuern. Es gibt verschiedene Möglichkeiten, mit denen sich der Zugriff von außen ins Heimnetz einrichten und nutzen lässt – auch ohne Portweiterleitungen im Router einrichten zu müssen.

Zugriff per App auf Einzelgeräte

Soll ein Heimnetzgerät aus dem Internet erreichbar sein, bietet nahezu jeder Hersteller eine entsprechende Smartphone-App dafür an. Der Remote-Zugriff per Smartphone st dann sinnvoll, wenn Sie aus der Ferne bestimmte Einstellungen tätigen oder Informationen abrufen möchten. Manche der aktuelleren Mesh-WLAN-Router, beispielsweise Google Wifi , Ubiquity Amplifi oder Linksys Velop , lassen sich selbst im Heimnetz nur noch via Smartphone bedienen. Auch Western Digital bietet für die NAS-Modelle der My-Cloud-Home-Serie nur noch die Steuerung per App an. Ob diese Strategie gerade bei Netzwerkspeichern sinnvoll ist, soll hier nicht weiter diskutiert werden.

Von außen aufs ganze Heimnetz

AVM stellt den Fernzugriff über Myfritz-App zur Fritzbox per VPN her.

Wollen Sie hingegen nicht nur auf einzelne Geräte, sondern auf das komplette Heimnetz zugreifen, benötigen Sie einen Fernzugang über VPN (Virtual Private Network). Dabei stellen Sie die Verbindung von einem VPN-Client (Notebook, Smartphone …) im Internet über einen verschlüsselten Tunnel zum VPN-Server im Heimnetz her und genießen so aus der Ferne die Vorteile eines lokalen Netzwerkanschlusses. Dabei hängt die Übertragungsrate einer VPN-Fernverbindung stets von der Online-Anbindung des Heimnetzrouters beziehungsweise des entfernten VPN-Clients ab. Um den VPN-Zugang im Heimnetz ohne größeren Aufwand einzurichten, muss zudem eine weitere Bedingung erfüllt sein: Sie benötigen einen Internetanschluss mit öffentlicher IPv4-Adresse. Diese Adressen werden jedoch in Deutschland zunehmend knapper – mehr dazu finden Sie im Kasten „Problemfall DS-Lite“ unten.

Siehe auch: Die günstigsten VPN-Angebote im August

Fernzugang von überall aus

Wir starten deshalb zunächst mit einer Verbindungstechnik, die an jedem Internetzugang funktioniert – unabhängig davon, ob Ihr Heimnetz-Router über DS-Lite (IPv6) oder Dual Stack (IPv4 und IPv6) mit dem Internet verbunden ist. Dazu nutzen die Hersteller von netzwerkfähigen Geräten einen sogenannten Relayserver. An diesem Relayserver registrieren Sie sich zunächst vom Heimnetz aus über das Gerät des Herstellers (oder „Zielgerät“), auf das Sie später aus der Ferne zugreifen möchten. Das Setup erfolgt dabei entweder in der Weboberfläche des Zielgeräts oder per Hersteller-App am Smartphone (oder Tablet). Für die Registrierung geben Sie in der Regel eine gültige E-Mail-Adresse in Kombination mit einem möglichst sicheren Passwort an.

Wichtig: Das Setup für den Fernzugriff sollten Sie von Ihrem Heimnetz aus durchführen oder – etwas allgemeiner ausgedrückt – von dem lokalen Netzwerk aus, in dem Sie das Gerät auch später per Fernzugriff erreichen möchten.

Sobald das neu angelegte Fernzugriffskonto per Verifizierungsmail bestätigt ist, steht das Zielgerät (NAS, Kamera etc.) bereits mit dem Relayserver in Verbindung. Der Relayserver wiederum ist von jedem beliebigen Internetzugang aus zu erreichen. Melden Sie sich – beispielsweise per Smartphone-App – mit den korrekten Zugangsdaten am Fernzugriffskonto an, stellt der Relayserver die Verbindung zwischen Smartphone und dem Zielgerät im Heimnetz her. Das funktioniert auch dann, wenn das Heimnetz per DS-Lite angeschlossen ist.

Pro und Contra Relayzugang

Der Vorteil eines Relaydienstes liegt darin, dass er Verständigungsprobleme zwischen IPv4- und IPv6-Protokollanbindungen geschickt umgeht. Auch müssen keine Portweiterleitungen im Heimnetzrouter angelegt werden, da der Verbindungsaufbau in beiden Fällen von den beteiligten Endgeräten aufgebaut wird. Aus demselben Grund entfällt die Einrichtung eines dynamischen DNS-Dienstes (DynDNS) zur Lokalisierung des Heimnetzes, da sich die Endgeräte von sich aus am Relayserver anmelden.

Doch es gibt auch Einschränkungen: Abgesehen davon, dass der Relayserver vorübergehend ausfallen kann, sind die Übertragungsraten meist langsamer als beispielsweise über eine Direktverbindung per Portweiterleitung. Wer von seinem NAS zu Hause hochauflösende Videos streamen oder große Dateien übertragen möchte, wird mit einem Relaydienst schnell an Grenzen stoßen. Höher aufgelöste Kamera-Live-Streams werden vom Kamerahersteller deshalb meist zwischengepuffert und mit spürbarer Zeitversetzung ans „ferne“ Endgerät übertragen – oder stärker komprimiert und in geringerer Auflösung gestreamt. Manche Hersteller, zum Beispiel Arlo (ehemals Netgear), leiten die Kamerastreams sogar grundsätzlich über den Relayserver, also auch dann, wenn der zu greifende Client gerade im Heimnetz angemeldet ist.

Problemfall DS-Lite

Öffentliche IPv4-Adressen sind inzwischen so knapp, dass die meisten Internetprovider die Breitbandanschlüsse für Privathaushalte ausschließlich über das IPv6-Protokoll schalten – sogenannte „DS-Lite“-Anschlüsse. Wer von außerhalb des Heimnetzes auf einen DS-Lite-Anschluss zugreifen möchte, muss dazu zwingend das IPv6-Protokoll verwenden. Und genau darin liegt das Problem: Die in Deutschland am häufigsten eingesetzten Modemrouter mit integriertem VPN-Server sind die Fritzbox-Modelle von AVM. Sie besitzen zwar mit „MyFritz“ einen komfortablen IPv6-fähigen DynDNS-Dienst, doch kann der VPN-Server in Fritzbox-Routern keine Tunnelverbindungen über das IPv6- Protokoll entgegennehmen.

Der VPN-Fernzugriff auf eine Fritzbox funktioniert also nur an Internetanschlüssen, die über eine öffentliche IPv4-Adresse angebunden sind. In Deutschland gibt es öffentliche IPv4-Adressen jedoch nur noch im Rahmen sogenannter Dual-Stack-Anschlüsse. Ein solcher Dual-Stack-Anschluss ist vom Internet aus sowohl über IPv6 als auch über IPv4 erreichbar. Die Deutsche Telekom ist aktuell (noch) der einzige Zugangsprovider, der alle privaten Internetanschlüsse standardmäßig als Dual Stack bereitstellt. Bei den meisten anderen gibt es Dual Stack – wenn überhaupt – nur gegen Aufpreis oder in speziellen Tarifen.

Synchronisierung per Relaydienst

Manche Hersteller bieten den Fernzugang sowohl via App als auch über eine Weboberfläche an.

Relayverbindungen eigen sich somit sehr gut, um beliebige Geräte im Heimnetz aus der Ferne zu steuern. Und das Smartphone wird über die App des Herstellers zur idealen „Remote“-Fernsteuerung, da es sowohl zu Hause als auch „remote“ jederzeit griff- und einsatzbereit ist.

Dass ein Relayzugang zur Übertragung kleinerer Datenmengen wie Dokumenten oder Fotos auch am Notebook oder PC sinnvoll sein kann, zeigen verschiedene NAS-Hersteller wie zum Beispiel Synology mit Quickconnect oder Qnap mit Myqnapcloud . Damit lassen sich unter anderem ausgewählte Dateien oder Ordner auf dem NAS-Server mit beliebigen Clients abgleichen, wenn auf diesen Clients ein entsprechendes Tool installiert ist.

Arbeiten Sie am Notebook oft außerhalb des Heim- oder Büronetzes an diversen Dokumenten, werden Sie diese Funktion zu schätzen wissen. Je nach Synchronisierungseinstellung lassen sich damit alle am Fernzugriffsclient vorgenommenen Datei-Änderungen automatisch über den Relayserver auf die NAS im Heimnetz oder Büro übertragen.

Teamviewer: PC mit dem Smartphone fernsteuern

VPN über Dual Stack und Fritzbox

Inzwischen lassen sich manche Netzwerkgeräte, etwa der Amplifi-Router von Ubiquity, sogar nur noch per Smartphone-App konfigurieren und bedienen.

Allerdings bieten Relaydienste immer nur Zugriff auf das eine am Relayserver angemeldete Gerät. Wer aus der Ferne den vollen Netzwerkzugriff erhalten möchte, kommt um den Fernzugang über VPN nicht herum. Dafür benötigen Sie jedoch einen Dual-Stack-Anschluss mit öffentlicher IPv4- Adresse. Wie zuvor erwähnt, sollte man für den VPN-Zugang aufs eigene Heimnetz eine öffentliche IPv4-Adresse haben. Den dazu erforderlichen Dual-Stack-Anschluss erhalten Sie als Privatkunde bei der Telekom derzeit noch automatisch, bei anderen Netzbetreibern manchmal auf Nachfrage, im Rahmen spezieller Tarife – etwa einem Business-Anschluss – oder eventuell verbunden mit einer Zusatzgebühr. Hier müsste auch der Support des Providers Auskünfte erteilen können.

Neben der öffentlichen IPv4 benötigen Sie außerdem einen Heimnetzrouter mit integriertem VPN-Server, wie beispielsweise eine Fritzbox. Für die Einrichtung eines VPN-Zugangs in der Fritzbox sind eigentlich nur zwei Schritte erforderlich: Zuerst registrieren Sie den Router an einem DynDNSDienst, so dass dieser von außen (internetseitig) immer unter derselben URL zu erreichen ist. Denn öffentliche IPv4-Adressen werden in der Regel dynamisch vergeben und wechseln meist täglich. Für den kostenlosen DynDNS-Dienst von AVM melden Sie sich im Webmenü der Fritzbox unter „Internet –› MyFritz-Konto“ an.

In einem zweiten Schritt legen Sie sich im Fritzbox-Menü unter „System“ einen neuen Fritzbox-Benutzer mit besonders starkem Zugangspasswort an („Benutzer hinzufügen“). Diesem Benutzer erlauben Sie den „Zugang aus dem Internet“ und erteilen ihm die Berechtigungen auf die „Fritzbox Einstellungen“ und für „VPN“.

VPN-Client über die Fritzbox

Sobald die Synology-NAS über Quickconnect registriert ist, werden Dateien automatisiert synchronisiert.

Ist der VPN-Nutzer angelegt und per Telefoncode oder durch Drücken einer Fritzbox-Taste bestätigt, können Sie sich von der Fritzbox die Zugangsdaten in einem extra Browserfenster anzeigen lassen. Diese Angaben benötigen Sie zum Einrichten der VPN-Verbindung, sie lassen sich aber auch später jederzeit in den Kontoeinstellungen des VPN-Fritzbox-Nutzers abrufen. Wer möchte, kann damit bereits jetzt den VPN-Zugang am Smartphone (Android oder iOS) einrichten, da alle hierzu erforderlichen Anweisungen enthalten sind.

Natürlich lassen sich VPN-Fernzugriffe auch am Windows-Notebook oder Apple-Macbook realisieren. Ausführliche Anweisungen inklusive Download-Links zu kostenlosen VPN-Client-Tools liefert AVM auf dem VPN-Service-Portal unter https://avm.de/service/vpn/uebersicht .

Für den VPN-Fernzugriff legen Sie in der Fritzbox-Bedienoberfläche einen Benutzer an, der ein sehr starkes Passwort besitzen muss und natürlich über die „VPN“-Berechtigung verfügen sollte.

Eine VPN-Verbindung ins Heimnetz hat noch einen Vorteil: Sie erhalten einen sicheren Fernzugriff auf Geräte, deren Webmenüs nur über das unverschlüsselte HTTP-Protokoll erreichbar sind und sich deshalb nicht über eine einfache Portweiterleitung im Router ins Internet stellen lassen.

Zugang durch die Hintertür

Als Notlösung für den Netzwerkzugang aus der Ferne erhalten Sie mit Teamviewer 14 auch auf einen gesicherten Windows-Rechner im Anmeldefenster Zugriff.

Was aber, wenn der Provider grundsätzlich keinen Dual-Stack-Zugang für Privatanschlüsse bereitstellt, Sie aber den vollen Zugang ins Heimnetz benötigen? In diesem Fall gibt es die Möglichkeit, sich mit Hilfe eines Remote-Access-Tools, wie etwa Team Viewer 14 , an einem eingeschalteten Rechner im Heimnetz anzumelden. Als Notlösung funktioniert diese Methode durchaus. Wenn Sie Teamviewer installieren, erhalten Sie mit der Option „Unbeaufsichtigter Zugriff“ selbst im Windows-Anmeldefenster Fernzugriff. Auch dieser Zugang wird letztendlich über einen Relayserver des Softwareherstellers realisiert.