Irgendwann will jede:r von unterwegs an die eigenen Dienste: Fotos zeigen, ein Passwort nachschlagen, die Proxmox-Oberfläche öffnen. Drei Lösungen tauchen dabei immer wieder auf – und sie funktionieren grundverschieden.

Die drei Ansätze in einem Satz

  • WireGuard (selbst betrieben): Dein Router ist der VPN-Server, deine Geräte verbinden sich direkt mit ihm.
  • Tailscale: Baut auf WireGuard auf, aber ein Dienst im Hintergrund vermittelt die Verbindungen – auch ohne Portfreigabe.
  • Cloudflare Tunnel: Dein Server baut von sich aus eine Verbindung zu Cloudflare auf, und Cloudflare stellt deine Dienste öffentlich unter deiner Domain bereit.

Der Vergleich

WireGuard selbst Tailscale Cloudflare Tunnel
Wer kann zugreifen? nur deine Geräte mit Schlüssel nur deine Geräte im Tailnet jede:r im Internet (optional mit Login davor)
Portfreigabe nötig? ja (1 UDP-Port) nein nein
Klappt bei DS-Lite/CGNAT? nein (über IPv4) ja ja
Eigene Domain nötig? nein (DynDNS reicht) nein ja, bei Cloudflare verwaltet
Abhängigkeit von Firma keine Koordinationsdienst von Tailscale komplett von Cloudflare
Wer sieht den Datenverkehr? niemand niemand (Ende-zu-Ende verschlüsselt) Cloudflare (entschlüsselt dort HTTPS)
App auf jedem Gerät? ja ja nein, normaler Browser reicht
Kosten kostenlos kostenloser Plan für Privatnutzung kostenloser Plan
Einrichtung mittel sehr einfach einfach bis mittel

WireGuard selbst betreiben

Stärken: Volle Kontrolle, keine Drittfirma, sehr schnell. Das VPN läuft auf deinem Router, und nur Geräte mit passendem Schlüssel kommen rein. Genau so bauen wir es im Kurs auf – die Anleitung für OpenWrt zeigt jeden Schritt.

Schwächen: Du brauchst eine echte öffentliche IPv4-Adresse (oder eine funktionierende IPv6-Einrichtung) und eine Portfreigabe – bei Double NAT sogar zwei. Hinter DS-Lite oder CGNAT kommst du so nicht weiter.

Passt zu dir, wenn du eine öffentliche IP hast und maximale Unabhängigkeit willst.

Tailscale

Stärken: Installieren, anmelden, fertig. Tailscale findet selbst einen Weg zwischen deinen Geräten – auch durch CGNAT und doppelte Router hindurch. Die Daten selbst sind Ende-zu-Ende mit WireGuard verschlüsselt; im Notfall laufen sie verschlüsselt über Relay-Server von Tailscale.

Schwächen: Die Anmeldung und die Verwaltung deiner Geräte laufen über Tailscale. Fällt der Dienst aus oder ändern sich die Bedingungen, bist du betroffen. Wer das nicht möchte, kann mit Headscale den Koordinationsdienst selbst hosten – das ist allerdings deutlich aufwendiger.

Passt zu dir, wenn du keine öffentliche IP hast oder einfach schnell ans Ziel willst.

Cloudflare Tunnel

Stärken: Dienste werden unter deiner Domain öffentlich erreichbar, ohne dass du einen einzigen Port öffnest. Ideal, um etwas mit Menschen zu teilen, die keine App installieren sollen.

Schwächen: Das ist kein VPN – deine Dienste stehen öffentlich im Internet (absichern lässt sich das mit Cloudflare Access als Login-Schranke). Cloudflare entschlüsselt den gesamten Verkehr auf seinen Servern und kann ihn damit einsehen. Für große Datenmengen wie Medien-Streaming lohnt ein Blick in die Nutzungsbedingungen. Und: Deine Domain muss bei Cloudflare verwaltet werden.

Passt zu dir, wenn du einen Dienst öffentlich teilen willst und mit Cloudflare als Mittelsmann einverstanden bist.

Was ist mit ganz normal öffentlich machen?

Portfreigabe plus Reverse Proxy mit HTTPS ist die vierte Option: öffentlich wie Cloudflare Tunnel, aber ohne Mittelsmann – dafür mit eigener Verantwortung für die Sicherheit.

Unsere Empfehlung

  1. Für alles, was nur du nutzt (Proxmox, Router, Server-Verwaltung): VPN – WireGuard selbst oder Tailscale. Diese Oberflächen gehören nie öffentlich ins Internet.
  2. Öffentliche IP vorhanden? Dann WireGuard auf dem Router. Keine öffentliche IP? Dann Tailscale.
  3. Für Dienste, die auch andere nutzen (Fotos mit der Familie teilen, Passwort-Manager auf allen Geräten ohne VPN): Reverse Proxy mit HTTPS oder Cloudflare Tunnel – bewusst und nur für genau diese Dienste.

Wenn der Zugriff grundsätzlich nicht klappt, hilft die Checkliste "Server von außen nicht erreichbar".