Cloud Router as a Service: öffentliche IP trotz DS-Lite und CGNAT

Der Cloud Router von IPv64.net ist ein virtueller Router in deutschen Rechenzentren, mit dem du dein Heimnetz per WireGuard verbindest. Dienste hinter DS-Lite, CGNAT oder Mobilfunk werden darüber von außen erreichbar – über IPv4 und IPv6. Hier steht, wie er funktioniert, was er kostet und wie du ihn Schritt für Schritt einrichtest.

Wofür: Portfreigabe trotz DS-Lite, CGNAT und Mobilfunk

Bei DS-Lite, CGNAT und vielen Mobilfunk- oder Glasfasertarifen hast du keine eigene öffentliche IPv4-Adresse. Du teilst sie mit anderen Kunden deines Anbieters, eine klassische Portfreigabe im Router ist dann nicht möglich. Von außen bist du oft nur noch per IPv6 erreichbar.

Der Cloud Router löst das: Dein Gerät baut von innen eine WireGuard-Verbindung zu einem Server von IPv64.net auf. Ausgehende Verbindungen funktionieren auch hinter CGNAT. Über diesen Tunnel leitet der Cloud Router Anfragen aus dem Internet an deinen Dienst weiter. Typische Einsätze:

• Homelab, NAS, Smart Home oder Spieleserver per IPv4 erreichbar machen, obwohl dein Anschluss nur DS-Lite hat.
• Mehrere Standorte per Site-to-Site-VPN verbinden und alle Netze gegenseitig erreichen.
• Den Cloud Router wie einen normalen VPN-Anbieter nutzen: Ein Client verbindet sich und geht über den Server ins Internet.

Die WireGuard-Zugänge selbst (Clients, Konfiguration, Install-Skript) beschreibt die Seite VPN Gateway.

So funktioniert der Cloud Router

Ein Cloud Router ist ein Router, der komplett in der Umgebung von IPv64.net läuft – mit eigener Routing-Tabelle und eigenen Firewall-Regeln. In einem Cloud Router laufen ein oder mehrere VPN Gateways. Ein VPN Gateway ist ein WireGuard-Server mit eigenem Port auf einem VPN-Server von IPv64.net. Mit ihm verbinden sich deine Peers: Router, Server, Smartphones oder Laptops.

 Internet                 IPv64.net (Rechenzentrum in Deutschland)              dein Anschluss (DS-Lite/CGNAT)
 ─────────                ─────────────────────────────────────────              ──────────────────────────────
 Besucher ──► öffentliche IP:Port ──► Cloud Router ──► VPN Gateway ══WireGuard══► Peer (Router/Server) ──► Dienst
                (Portmapping)        (Routing, Firewall)                 ▲
                                                                         └── Tunnel wird von innen aufgebaut

• Alle Server für die VPN Gateways stehen in deutschen Rechenzentren, sowohl die Cloud-Gateways als auch die Hardware-Gateways. Die Liste mit Status steht unter VPN Gateway Server.
• Der Dienst ist durchgehend IPv4- und IPv6-fähig.
• Den Cloud Router verwaltest du komplett über die Webseite. Änderungen überträgt IPv64.net automatisch auf den Server, meist innerhalb weniger Sekunden.

Bestellung, Kontoklassen und Preise

Der Cloud Router as a Service gehört zu jedem Konto bei IPv64.net, auch zum kostenlosen. Du musst ihn nicht extra bestellen, sondern legst ihn im Menü Cloud Router an. Was du nutzen darfst, hängt von deiner Kontoklasse ab (Stand der Seite Pricing):

Wie viele Cloud Router, VPN Gateways und Peers du anlegen kannst, wie schnell der Gateway ist (Mbit/s bzw. Gbit/s, kurzzeitig mit Burst) und wie viel Traffic pro Monat (ein- und ausgehend zusammen) enthalten ist, steht je Kontoklasse unter Pricing. Laut Hinweis im Portal bekommst du ab Home / Supporter mindestens 50 Mbit/s.

• Die Jahrespreise sind eine Einmalzahlung für 365 Tage, kein Abo. Verlängern musst du selbst. Mehr zu den Klassen unter Konto & Limits.
• Eine eigene öffentliche IPv4-Adresse kostet 6,99 € / Monat (inkl. MwSt.). Sie gehört genau zu einem Cloud Router. Buchung per E-Mail an info@ipv64.net.
• Brauchst du einen Router nur für dich, gibt es den Managed Cloud Router.

Mit jedem angelegten Cloud Router und Gateway gelten die AGB und die Datenschutzerklärung von IPv64.net.

Einrichtung Schritt für Schritt

1. Cloud Router mit VPN Gateway anlegen
   Öffne Cloud Router und klicke auf Quick add Cloud Router + VPN Gateway. Ab Home / Supporter kannst du vorher unter Choose a favorite Server einen Server wählen und mit Add Cloud Router + VPN Gateway anlegen. Der Router bekommt automatisch einen Namen wie „Router …“; mit dem Stift-Symbol änderst du ihn.
2. Warten, bis der Gateway bereit ist
   Solange ein Ladekreis zu sehen ist, richtet IPv64.net den Gateway ein; die Seite lädt sich selbst neu. Ist noch kein Server zugewiesen, steht in der Spalte Server „pending..“. Danach siehst du dort Servername und WireGuard-Port des Gateways.
3. Peer anlegen
   Wähle beim Gateway Gateway Options → Quick new WG Peer. Der Peer erscheint unter Show WG Peers.
4. Peer anpassen
   Unter Peer options → Edit Peer setzt du Name, Tunnel-Adressen (IPv4 und/oder IPv6 in CIDR-Schreibweise, z. B. 10.7.0.2/32 und fd64::2/128), DNS-Server und Keepalive im Format hh:mm:ss. Hinter DS-Lite oder CGNAT setzt du einen Keepalive, z. B. 00:00:25, damit der Tunnel offen bleibt. Endpoint und Endpoint Port lässt du leer („dynamic“).
5. Konfiguration auf das Gerät bringen
   Peer options → Show WG Config zeigt die fertige Datei wg0.conf mit QR-Code, Copy to Clipboard, Download as file, einer Direkt-Download-URL und dem One-Step-Installer für Linux. Details unter VPN Gateway.
6. Verbindung prüfen
   Ein grünes Netzwerk-Symbol in der Peer-Liste zeigt einen aktuellen Handshake. Danach richtest du die Portfreigabe ein.

Welche Tunnel-Adressen Gateway und Peer beim Anlegen automatisch bekommen, siehst du unter Edit Gateway bzw. Edit Peer.

WireGuard-Clients und Router

Mit dem Gateway verbindet sich jedes Gerät, das WireGuard spricht – laut IPv64.net etwa FRITZ!Box, OPNsense oder UniFi, dazu Linux-Server und die WireGuard-Apps für Windows, macOS, Android und iOS.

• Linux-Server: am schnellsten mit dem One-Step-Installer wg-install.sh aus der Konfigurationsansicht.
• Smartphone: in der WireGuard-App den QR-Code scannen.
• Router und Firewall: die Datei wg0.conf importieren oder die Werte von Hand übernehmen.

Für eine Portfreigabe muss der Peer das Gerät sein, auf dem der Dienst läuft, oder ein Router, der die Anfragen ins Heimnetz weiterleitet (siehe Routing).

Portfreigabe mit dem Portmapper

Mit dem Portmapper leitest du einen Port eines IPv64-Servers durch den Tunnel an deinen Dienst weiter – die Portfreigabe für DS-Lite und CGNAT. Du findest ihn beim Gateway unter Gateway Options → Portmapping.

1. Name
   Ein frei wählbarer Name, z. B. „Nextcloud“.
2. Public IP
   Default nutzt die Adresse des VPN-Servers. Hast du eigene öffentliche IPs (siehe IPv4 und IPv6), kannst du eine davon wählen. Der IP-Typ muss zum Ziel passen.
3. Destination (IP-Address)
   Die IP-Adresse deines Dienstes, wie der Gateway sie erreicht – meist die Tunnel-Adresse des Peers, z. B. 10.7.0.2. Ein Hostname ist nicht erlaubt.
4. Map Port / Protocol
   Der Port deines Dienstes (1 bis 65499) und das Protokoll TCP oder UDP. Klicke auf Add Portmap.

Das System wählt einen zufälligen öffentlichen Port. Die Tabelle zeigt danach die Zuordnung Server:Port → Ziel:Port; unter dieser Adresse erreichst du deinen Dienst aus dem Internet. Mit dem Schalter On/Off pausierst du eine Weiterleitung, mit dem Papierkorb löschst du sie.

Öffentliche IPv4 und IPv6

Unter Actions Cloud Router → Manage Public IPs siehst du die Adressen deines Cloud Routers:

• System-Adressen: Jeder Cloud Router nutzt standardmäßig die IPv4- und IPv6-Adresse seines VPN-Servers. Diese Adressen teilen sich alle Router auf dem Server; deshalb vergibt der Portmapper zufällige Ports.
• Eigene IPv6 (kostenlos): Mit Add IPv6 to this Router erzeugt IPv64.net eine eigene öffentliche IPv6-Adresse für deinen Router. Möglich ist eine eigene IPv6 je Cloud Router.
• Eigene IPv4 (6,99 € / Monat): Eine öffentliche IPv4, die nur dein Cloud Router nutzt. Buchung per E-Mail an info@ipv64.net.

Eigene Adressen kannst du mit dem Schalter deaktivieren oder löschen. Gelöschte Adressen stehen danach in der Liste Used IP-Addresses („Deleted and saved“). Mit einer eigenen IPv4 kannst du einen A-Record deiner DynDNS-Domain auf diese Adresse setzen.

Routing, Site-to-Site, Firewall und OSPF

Routing-Tabelle

Unter Actions Cloud Router → Routing table legst du statische Routen an: Destination (CIDR), Gateway (IP-Adresse), den Peer, über den der Verkehr läuft, und die Distance (Standard 1). So erreicht der Cloud Router ganze Netze hinter einem Peer, z. B. dein Heimnetz 192.168.178.0/24 über die Tunnel-Adresse deines Routers. System-Routen („System“) kannst du nicht löschen. Mit Get live routing table rufst du die aktuelle IPv4- und IPv6-Routing-Tabelle direkt vom Router ab.

Allowed IPs: Client Site und Server Site

Unter Edit Peer gibt es zwei Listen:

• Client Site: Die Einträge unter AllowedIPs in der Konfiguration deines Geräts – also die Netze, die dein Gerät in den Tunnel schickt. Du fügst IP-Adressen oder Netze hinzu (einzelne Adressen werden zu /32 bzw. /128).
• Server Site: Die Netze, die IPv64.net auf der Serverseite an diesen Peer weiterleitet. Diese Liste wird automatisch gepflegt.

Site-to-Site-VPN

Weil der Gateway ein Router ist, verbindest du mehrere Standorte oder Homelabs und erreichst alle Netze untereinander. Markiere die Verbindung dazu unter Peer options mit Mark as S2S VPN connection; in der Liste steht dann „S2S“.

Firewall

Unter Edit Router Firewall legst du Regeln mit Chain (Forward, Input, Output), Source und Destination (IP oder CIDR, leer = Any) und Action (Accept oder Drop) an. Quelle und Ziel müssen beide IPv4 oder beide IPv6 sein. Standardmäßig gilt eine Regel „Any → Any: Accept“. Meist ist Forward die richtige Chain, weil deine Pakete aus dem WireGuard-Tunnel zum nächsten Ziel weitergeleitet werden.

OSPF

Für dynamisches Routing aktivierst du je Gateway Enable OSPF. Unter OSPF Settings stellst du die OSPF Area ID (Format wie 0.0.0.0), die Version (2 = nur IPv4, Standard; 3 = IPv6 und IPv4) und die Interface cost (1 bis 256, Standard 1) ein. Get live OSPF instance data zeigt die Nachbarn und ihren Status.

Verwaltung

• Delete Gateway entfernt den Gateway mit allen seinen Peers.
• Reset Traffic Counter setzt nur den Zähler des Gateways zurück, nicht das Traffic-Kontingent deines Kontos.
• Show Connections listet die letzten 30 Verbindungen eines Peers mit IP-Adresse, Port und Zeitpunkt.

Grenzen und rechtliche Hinweise

• Anzahl der Router, Gateways und Peers, Bandbreite und Monats-Traffic sind je Kontoklasse begrenzt (siehe oben). Im kostenlosen Konto ist der Internetzugang über den Gateway eingeschränkt.
• Ist das Traffic-Limit erreicht, färbt sich die Traffic-Anzeige rot und als Bandbreite steht „2M“.
• Der Portmapper vergibt zufällige Ports, übersetzt nicht zwischen IPv4 und IPv6 und ist noch im Testbetrieb.
• Ohne gebuchte eigene IPv4 teilst du dir die IPv4-Adresse des Servers mit anderen Kunden.

Fehlersuche

Weitere Antworten stehen in den FAQ, Hilfe gibt es im v64.tech-Forum.

Fehler gefunden oder etwas fehlt? Schreibt uns im v64.tech-Forum. · Stand: 2026-10-26