Ausgangspunkt war ein typisches Homelab-Problem: Der Internetanschluss nutzt DS-Lite. Damit ist ein klassischer eingehender IPv4-Portforward ins Heimnetz nicht zuverlässig möglich. Für Dienste wie Nextcloud, Bitwarden oder ein internes Dashboard braucht man deshalb einen anderen Weg.Die naheliegende Lösung ist ein externer Einstiegspunkt, zum Beispiel ein kleiner VPS, der öffentlich erreichbar ist. Von dort kann eine WireGuard-Verbindung ins Heimnetz aufgebaut werden. Externe Anfragen landen zuerst beim VPS und werden dann über den Tunnel an interne Dienste weitergeleitet.
Wichtig ist dabei die Trennung der Rollen:
- Der öffentliche Server ist nur Reverse Proxy und VPN-Endpunkt.
- Die eigentlichen Dienste bleiben intern im Homelab.
- Firewall-Regeln erlauben nur die wirklich nötigen Ports.
- Interne Management-Oberflächen bleiben lokal.
Besonders bei UniFi ist es wichtig, Routing und Firewall-Zonen sauber zu planen. Nur weil ein Gerät im Heimnetz erreichbar ist, heißt das nicht automatisch, dass ein Reverse Proxy über WireGuard den gleichen Pfad nehmen darf.
Fazit: Bei DS-Lite ist ein externer VPS mit WireGuard und Reverse Proxy oft stabiler und klarer als komplizierte IPv6-/NAT-Workarounds. Entscheidend ist, dass der öffentliche Server möglichst wenig macht und das Heimnetz nicht unnötig öffnet.