{"id":424,"date":"2026-08-29T12:20:00","date_gmt":"2026-08-29T10:20:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/?p=424"},"modified":"2026-10-24T00:58:25","modified_gmt":"2026-10-23T22:58:25","slug":"wireguard-tailscale-dmz-sicherer-externer-zugriff-auf-home-assistant","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/smart-home-de\/wireguard-tailscale-dmz-sicherer-externer-zugriff-auf-home-assistant\/","title":{"rendered":"WireGuard & Tailscale DMZ: Sicherer externer Zugriff auf Home Assistant und eigene Server"},"content":{"rendered":"

Ein privater VPN-Zugang kann Home Assistant und Verwaltungsoberfl\u00e4chen aus dem \u00f6ffentlich erreichbaren Web nehmen. Der Fernzugriff erfolgt dann \u00fcber zugelassene Ger\u00e4te und einen verschl\u00fcsselten Tunnel. Das verkleinert die Angriffsfl\u00e4che, ersetzt aber keine Updates, Anwendungsanmeldung oder sorgf\u00e4ltige Zugriffsregeln.<\/p>\n

Was sich gegen\u00fcber einer Webfreigabe \u00e4ndert<\/h2>\n

Eine \u00f6ffentliche HTTPS-Oberfl\u00e4che bleibt aus dem Internet ansprechbar. TLS sch\u00fctzt die \u00dcbertragung, behebt jedoch keine Schwachstellen der Anwendung. Ein VPN beschr\u00e4nkt den Zugang auf berechtigte Gegenstellen. \u00d6ffentlich betriebene Webdienste k\u00f6nnen trotzdem eine begr\u00fcndete Architekturentscheidung sein; entscheidend sind Zweck, Schutz und Betrieb.<\/p>\n

Ein Tunnel sch\u00fctzt nicht automatisch vor der \u00dcberlastung der Internetleitung. Auch der VPN-Endpunkt und die \u00fcbrigen Dienste brauchen Schutz. Die Aussage \u201ekeine Webfreigabe\u201c bedeutet weder \u201eunsichtbarer Rechner\u201c noch \u201evollst\u00e4ndiges Zero Trust\u201c.<\/p>\n

\"Vergleich
Ein VPN begrenzt Fernzugriffe; Endpunkt-Erreichbarkeit, Ger\u00e4teberechtigungen und Segmentierung bleiben zu konfigurieren.<\/figcaption><\/figure>\n

WireGuard und Tailscale im Vergleich<\/h2>\n

WireGuard<\/strong> verschl\u00fcsselt IP-Verkehr \u00fcber UDP und authentifiziert Gegenstellen mit Schl\u00fcsseln. Linux bietet eine Kernel-Implementierung; andere Plattformen nutzen andere Implementierungen. Das zur\u00fcckhaltende Antwortverhalten erschwert einfache Dienstscans, macht aber nicht den gesamten Host unsichtbar. F\u00fcr einen typischen direkt erreichbaren Server muss ein UDP-Endpunkt erreichbar sein. L\u00e4uft WireGuard auf dem Router, gen\u00fcgt eine passende Firewallfreigabe; hinter dem Router kann zus\u00e4tzlich eine Portweiterleitung n\u00f6tig sein. CGNAT kann eine direkte eingehende Verbindung verhindern.<\/p>\n

Tailscale<\/strong> erg\u00e4nzt WireGuard um Ger\u00e4teverwaltung, Verbindungsaufbau und Zugriffsregeln. Meist ist keine manuelle eingehende Portweiterleitung n\u00f6tig. Ausgehende Verbindungen und deren Antwortverkehr m\u00fcssen dennoch erlaubt sein. Direkte UDP-Verbindungen sind nicht immer m\u00f6glich; dann kommen Relays zum Einsatz. DERP leitet verschl\u00fcsselte Daten weiter, und aktuelle Versionen unterst\u00fctzen zus\u00e4tzlich Peer-Relays. Eine restriktive Firewall kann auch diese Wege verhindern.<\/p>\n

DMZ, VLAN und Zugriffsrechte<\/h2>\n

Eine DMZ ist ein abgegrenztes Netzsegment mit kontrollierten Verbindungen zu anderen Netzen. Ein VLAN kann diese Trennung unterst\u00fctzen; die Firewallregeln schaffen die eigentliche Zugriffsbeschr\u00e4nkung. Ein VPN-Gateway in einer solchen Zone ist eine M\u00f6glichkeit. Ein direkt auf dem Zielserver betriebener Client kann ebenfalls eng begrenzt werden. Die \u201eDMZ-Host\u201c-Funktion vieler Heimrouter, die eingehenden Verkehr breit weiterleitet, ist keine solche Segmentierung.<\/p>\n

Ein konkretes Ziel ist beispielsweise: ein bestimmtes Mobilger\u00e4t darf nur den Home-Assistant-Server auf TCP 8123 erreichen. SSH, NAS und andere Subnetze bleiben gesperrt. Der tats\u00e4chlich konfigurierte Dienstport ist ma\u00dfgeblich. Das funktioniert nur mit passenden Routen und wirksamen Regeln auf dem gesamten Weg.<\/p>\n

Tailscale verwaltet Regeln zentral und verteilt die Durchsetzung auf die Ger\u00e4te. Eine neue Tailnet-Standardrichtlinie erlaubt zun\u00e4chst die Kommunikation aller Ger\u00e4te; eingeschr\u00e4nkter Zugriff entsteht erst durch eine passende Policy. Grants oder ACLs ersetzen nicht die Firewall f\u00fcr gew\u00f6hnlichen LAN-Verkehr. Bei einem Subnet-Router ver\u00e4ndert standardm\u00e4\u00dfiges SNAT die sichtbare Quelladresse; eine nachgelagerte Firewall sieht daher m\u00f6glicherweise nur den Router.<\/p>\n

Umstellung kontrolliert durchf\u00fchren<\/h2>\n

Vor dem Entfernen alter Webfreigaben muss der VPN-Zugang von einem externen Netz getestet sein. Zus\u00e4tzlich sind unerlaubte Ziele, IPv6-Freigaben, Namensaufl\u00f6sung und der Zugang nach einem Neustart zu pr\u00fcfen. Ein R\u00fcckweg \u00fcber lokale Verwaltung verhindert eine Aussperrung. \u00d6ffentliche Webhooks oder andere externe Integrationen ben\u00f6tigen gegebenenfalls weiterhin einen gesonderten Zugangsweg.<\/p>\n

\n

Fragen und Antworten<\/h2>\n

Warum funktionieren IP-Adressen, aber interne Namen nicht?<\/h3>\n

Routing und DNS sind getrennte Aufgaben. WireGuard selbst verteilt keine DNS-Konfiguration; Werkzeuge wie wg-quick unterst\u00fctzen daf\u00fcr eine DNS-Option. Der Resolver muss erreichbar sein, einschlie\u00dflich erforderlicher UDP-\/TCP-Verbindungen auf Port 53. Tailscale unterst\u00fctzt Split-DNS f\u00fcr einzelne interne Domains. Vollst\u00e4ndige Internetumleitung und Zugriff nur auf interne Netze sind getrennte Routingentscheidungen.<\/p>\n

Was passiert bei einem verlorenen Ger\u00e4t?<\/h3>\n

Bei eigenst\u00e4ndig verwaltetem WireGuard muss der zugeh\u00f6rige Peer-Schl\u00fcssel aus allen betroffenen Gegenstellen entfernt und die wirksame Konfiguration aktualisiert werden. Bei Tailscale erfolgt die Entfernung \u00fcber die Ger\u00e4teverwaltung. Die Sperre und bestehende Sitzungen sind anschlie\u00dfend zu pr\u00fcfen. Eigene Schl\u00fcssel je Ger\u00e4t erleichtern den Entzug einzelner Zug\u00e4nge.<\/p>\n

Wie l\u00e4sst sich eine Relay-Verbindung erkennen?<\/h3>\n

tailscale status<\/code> zeigt unter anderem direct, relay oder peer-relay. Relays k\u00f6nnen Durchsatz und Latenz beeinflussen. Eine UDP-Freigabe kann direkte Verbindungen erm\u00f6glichen, garantiert diese bei schwierigen NAT-Verh\u00e4ltnissen jedoch nicht.<\/p>\n<\/div>\n

\n

Quellen<\/h2>\n