¶ Teil 1: Kundengruppen und das empfohlene Setup
| Kundengruppe | Primäres Ziel | Empfohlenes Setup | Warum dieses Setup? |
|---|---|---|---|
| Hotspot- / WLAN-Provider (Hotels, Wohnheime) | 100 % Schutz vor Abuse-Meldungen & Provider-Sperren | Szenario 1 | Es darf kein einziges Datenpaket am Tunnel vorbei ("Leaking"). Gäste dürfen nicht versehentlich die lokale IP nutzen. Die FRITZ!Box fungiert nur als dummes Modem. |
| Prosumer & Self-Hoster (DS-Lite / CGNAT Flucht) | Eigene Server betreiben, aber das teure FRITZ!Box-Mesh weiter nutzen | Szenario 2 | Der Kunde möchte seine gute WLAN-Hardware (Mesh, Repeater) behalten. Der Tunnel-Router übernimmt nur das DHCP-Routing. Das Gast-WLAN der FRITZ!Box surft weiterhin direkt (gut für Netflix & Co.). |
| Home-Office / IP-Whitelisting (B2B Remote) | Trennung von Privatsphäre und Firmennetzwerk | Szenario 1 | Absolute Trennung. Das private Hausnetz bleibt unangetastet (FRITZ!Box). Für die Arbeit wählt sich der Mitarbeiter in das "Firmen-WLAN" des Tunnel-Routers ein. Idiotensicher. |
| Event-IT & Broadcast | Volle Kontrolle, Ausfallsicherheit, dedizierte IPs | Szenario 1 | Das gesamte Produktionsnetzwerk muss zwingend über die feste IP laufen. Lokale Router (z. B. Starlink oder 5G-Modem) werden komplett entmündigt. |
| Maschinenbau / Industrie | Fernwartung für spezifische Anlagen | Szenario 1 / 2 | Der Tunnel-Router wird direkt an die Maschine geklemmt (WAN-Port an das Hallennetz). Nur die Maschine nutzt den Tunnel, das restliche Fabriknetz bleibt unberührt. |
<100 Mbit/sek
>100 Mbit/sek
¶ Szenario 1 (Der Standard-Fall): Die Kaskade (Router hinter Router)
Die klassische Hintereinanderschaltung. Die OpenWrt-Box wird an die FRITZ!Box angeschlossen und spannt dahinter ein komplett eigenes, unabhängiges Netzwerk (LAN und WLAN) auf. Jeder Datenverkehr innerhalb dieses Netzwerks wird automatisch in den L2TP-Tunnel geleitet.
- Das Konzept: Die FRITZ!Box stellt lediglich die Internetverbindung zur Verfügung. Die OpenWrt-Box erzeugt ihr eigenes WLAN (z.B. "Tunnel-WLAN") und verwaltet ihr eigenes Subnetz. Geräte, die sich mit dem Netzwerk der OpenWrt-Box verbinden, surfen verschlüsselt.
- Konfiguration FRITZ!Box:
- Bleibt im Werkszustand, keine grundlegenden Änderungen nötig.
- Optionale Variation (Der Zwangstunnel): Wenn Sie wollen, dass ausnahmslos jedes Gerät im Haus zwingend durch den Tunnel muss, schalten Sie das WLAN der FRITZ!Box komplett ab. Die FRITZ!Box agiert dann quasi nur noch als "dummes" Modem, und das einzige WLAN kommt von der OpenWrt-Box.
- Konfiguration OpenWrt:
- Der WAN-Port wird per Kabel mit einem LAN-Port der FRITZ!Box verbunden.
- Die Box nutzt auf der LAN-Seite ein eigenes, abweichendes Subnetz (z. B.
192.168.2.x, während die FRITZ!Box standardmäßig192.168.178.xnutzt). - WLAN wird an der OpenWrt-Box aktiviert und konfiguriert.
- Die L2TP-Verbindung wird auf dem WAN-Interface als Standard-Protokoll eingerichtet.
- Die Standard-Firewall von OpenWrt greift: Sie leitet automatisch allen Traffic der Clients (die mit dem OpenWrt-Router verbunden sind) in diesen Tunnel.
- Vorteile: Sehr logische und idiotensichere Trennung der Netzwerke. Die Einrichtung in OpenWrt ist der Standard-Weg und erfordert keine komplexen Firewall-Regeln. Fällt der L2TP-Server aus, kann man sich (falls das FRITZ!Box-WLAN noch aktiv ist) einfach ins normale Netz umbuchen.
- Nachteile: Die Endgeräte müssen sich in Reichweite des OpenWrt-WLANs befinden. Die WLAN-Leistung hängt allein von der Hardware des OpenWrt-Routers ab; das potenziell bessere WLAN der FRITZ!Box bleibt für den VPN-Traffic ungenutzt.
>100 Mbit/sek
¶ Szenario 2 (Für Fortgeschrittene): Die FRITZ!Box-Integration
Die OpenWrt-Box wird nicht als Trennwand zwischen zwei Netzen genutzt, sondern hängt als normaler Client im bestehenden Netz der FRITZ!Box. Sie fungiert dort aber als DHCP-Server und zwingt alle Geräte, ihren Datenverkehr durch sie hindurch zum L2TP-Tunnel zu schicken. Die FRITZ!Box kümmert sich weiterhin um das WLAN und die physische Verbindung zum Provider.
- Das Konzept: Die Endgeräte (Handys, PCs) verbinden sich weiterhin mit dem WLAN oder LAN der FRITZ!Box. Sie fordern eine IP-Adresse an, diese kommt jedoch von der OpenWrt-Box. Die OpenWrt-Box gibt sich selbst als "Ausgangstür" (Standard-Gateway) aus. Alle Daten fließen von der FRITZ!Box zur OpenWrt-Box, werden in den L2TP-Tunnel gepackt, gehen zurück zur FRITZ!Box und dann ins Internet.
- Konfiguration FRITZ!Box:
- IP-Adresse bleibt z. B.
192.168.178.1. - WLAN bleibt an und wird wie gewohnt genutzt.
- DHCP-Server (IPv4) wird ausgeschaltet.
- IPv6-Router-Advertisements und DHCPv6 werden komplett deaktiviert (damit kein lokales Gerät eine öffentliche IPv6-Adresse erhält und den Tunnel am IPv4-basierten Setup vorbei umgeht).
- IP-Adresse bleibt z. B.
- Konfiguration OpenWrt:
- Ein LAN-Port wird mit der FRITZ!Box verbunden (der WAN-Port bleibt ungenutzt).
- Erhält eine feste IP im selben Netz, z. B.
192.168.178.2. - Als eigenes Gateway und DNS-Server wird die FRITZ!Box (
192.168.178.1) eingetragen. - Baut die L2TP-Verbindung als neues virtuelles Interface (z. B.
l2tp-tun) auf. - Der DHCP-Server wird eingeschaltet und teilt den Clients als Standard-Gateway die
192.168.178.2(sich selbst) mit. - Firewall: In OpenWrt muss eine NAT-Regel (Masquerading) erstellt werden, die allen lokalen Traffic über das neue L2TP-Interface ins Internet routet.
- Vorteile: Sie nutzen die volle Sendeleistung, Mesh-Hardware und die LAN-Ports der FRITZ!Box. Es wird kein zusätzliches WLAN aufgespannt, was Interferenzen vermeidet.
- Nachteile: Die Konfiguration der OpenWrt-Firewall (da sich Ein- und Ausgang physisch auf demselben Netzwerk-Interface befinden) erfordert tiefere Kenntnisse der OpenWrt-Netzwerkarchitektur.