NAS IPv6 Fernzugriff: Wie konfiguriert man ONT, Firewall und DDNS?

Vor ein paar Tagen hat mich jemand gefragt: Der Heimbreitbandanschluss hat kein öffentliches IPv4, QuickConnect ist mühsam zu benutzen – bleibt mir nichts anderes übrig, als einen Relay zu kaufen?

Ich sagte, gib erst mal kein Geld aus: Schalte das mobile Datenvolumen am Handy ein, deaktiviere Wi-Fi und füge die IPv6-Adresse des NAS in den Browser ein. Nach dem Test kam die Antwort: Warum ist das so schnell?

Das ist etwas kontraintuitiv – viele machen sich noch Sorgen um die „öffentliche IP“, dabei hat der Heimbreitbandanschluss längst still und leise ein öffentliches IPv6 vergeben, nur hat es niemand am Router freigeschaltet. Dieser Artikel handelt von den drei Hürden, die nach dem Freischalten noch zu überwinden sind: ONT und Router, firewall, DDNS.

Zuerst eine Sache bestätigen: Möglicherweise hast du zu Hause bereits IPv6

Am 28. Juli 2026 wurde auf der fünften China IPv6 Innovation and Development Conference der „China IPv6 Development Report (2026)“ veröffentlicht. Zwei Zahlen aus dem Bericht sind recht aussagekräftig: Bis Dezember 2025 gab es in China 869 Millionen aktive IPv6-Nutzer, das sind 77,38 % der Internetnutzer; bis Juni 2026 lag die IPv6-Aktivierungsrate von Heim-Gateways landesweit bei 98,41 %, und die IPv6-Unterstützungsrate von operatorseitig bereitgestellten Heimroutern bei 99,12 %.

Im selben Monat hat die Zentrale Cyberspace-Kommission den „Umsetzungsplan zur Vertiefung der technologischen Innovation und integrierten Anwendung von Internet Protocol Version 6 (IPv6) (2026–2030)“ herausgegeben, in dem es heißt, man müsse „die Entwicklung hin zu IPv6-Single-Stack beschleunigen“. Für den Leser übersetzt bedeutet das: Künftig wird es nur noch schwieriger, ein öffentliches IPv4 zu bekommen; IPv6 ist die langfristige Richtung, kein vorübergehender Ersatz.

Also nicht vorschnell urteilen, sondern zuerst drei Dinge tun:

• Prüfen, ob DSM eine Adresse erhalten hat.„Systemsteuerung > Netzwerk > Netzwerkschnittstelle“, die aktuell verwendete Netzwerkkarte auswählen, auf „Bearbeiten“ klicken und zum IPv6-Tab wechseln. Wenn hier „Automatisch“ steht und darunter tatsächlich eine Adresskette angezeigt wird, ist diese Ebene bereits durchlässig.
• Einmal über mobiles Datenvolumen am Handy zugreifen.Wi-Fi deaktivieren und im Browser eingeben http://[你的IPv6地址]:5000– Achtung, die Adresse muss in eckige Klammern gesetzt werden; das ist die Schreibweise für IPv6 in URLs, ohne Klammern lässt sie sich gar nicht öffnen. Häufige Präfixe chinesischer Provider sind 240e, 2408, 2409 (jeweils überwiegend bei China Telecom, China Unicom, China Mobile); maßgeblich ist, was du selbst siehst.
• Bestätigen, dass die Adresse kein internes Segment ist.Adressen, die mit fe80 beginnen, sind Link-Local-Adressen und nur im LAN verwendbar, zählen also nicht; als öffentliche Adressen verwendbar sind globale Unicast-Adressen wie 2400::/12.

Wenn alle drei Schritte durchlaufen sind, hast du bereits einen Weg, der viel schneller ist als ein Relay – es bleibt nur noch, ihn stabil zu konfigurieren.

Erste Hürde: ONT und Router – zuerst muss jemand das Präfix in die Hand bekommen

IPv6 im Heimanschluss unterscheidet sich grundlegend von IPv4: Es gibt dir nicht eine Adresse, sondern ein Präfix, und der Router zu Hause verteilt dieses Präfix dann an jedes Gerät. Dieses Präfix heißt im Fachjargon Prefix Delegation, also PD.

Der Knackpunkt liegt bei der Frage „wer wählt sich ein". Wenn der ONT selbst wählt (Router-Modus), liegt das Präfix beim ONT, der Router ist nur ein sekundärer Router, und dann musst du praktisch zwangsläufig in den ONT hinein und die Einstellungen durchgehen; erst wenn der ONT auf Bridge umgestellt wird und der eigene Router sich einwählt, landet das Präfix bei dir. In der DSM-Hilfe von Synology steht das ganz direkt: Die Option DHCP-PD „erfordert ISP-Unterstützung und funktioniert nur im Router-Modus" – nur wenn der NAS selbst sich einwählt, kommt er überhaupt dazu, das Präfix anzufordern.

Ob sich die Bridge-Umstellung selbst lohnt, habe ich indem Artikel über die Bridge-Umstellung des ONTdurchgerechnet: Sie tauscht Kontrolle, nicht Bandbreite. Aber bei IPv6 wiegt der Punkt Kontrolle schwerer als bei IPv4, denn wer das Präfix hat, hat auch die Firewall.

Bei den Einstellungen auf der Router-Seite gibt es keine Tricks, schwierig ist nur, den richtigen Typ zu wählen. Die offizielle ASUS-FAQ listet sieben IPv6-Verbindungstypen auf, die sie unterstützt: Native, statisches IPv6, Passthrough, FLET'S IPv6 Service sowie die drei Tunnel Tunnel 6to4, 6in4 und 6rd. Bei chinesischen Heimanschlüssen ist Native in der überwiegenden Mehrheit richtig; die anderen Tunnel sind Altlasten und Lösungen, die ausschließlich für ausländische Betreiber gedacht sind – wählt man falsch, sieht es so aus, als wäre es „eingeschaltet, aber tatsächlich geht kein einziges Paket hinaus", und das ist auch noch schwer zu diagnostizieren.

Ein weiterer Punkt, der besonders leicht übersehen wird:die IPv6-Firewall des ONT selbst. Im Router-Modus trifft eingehender Verkehr zuerst auf den ONT. So schön du auf deinem eigenen Router auch freigibst – die Pakete sind nie hereingekommen. Bei diesem „ich habe es doch freigeschaltet, aber ich komme nicht rein" hängen neun von zehn Fällen an dieser Ebene.

Zweite Hürde: IPv6 hat kein NAT – am Eingang bleibt nur die Firewall als einzige Tür

Dies ist der Abschnitt des ganzen Artikels, bei dem sich das Denken am meisten ändern muss.

In der IPv4-Ära waren wir es gewohnt, dass „keine öffentliche IP = sicher" gilt – NAT blockiert nebenbei alle eingehenden Anfragen von außen, obwohl das eigentlich nicht seine Aufgabe war. In IPv6 gibt es diese Puffer-Schicht nicht: Jedes Gerät hat seine eigene öffentliche Adresse, die Aufgabe des Routers ist „weiterleiten", nicht „verstecken". Die Firewall ist also keine optionale Härtungsmaßnahme mehr, sie ist die einzige Grenze.

Die Hersteller machen das standardmäßig genauso. Der Originalwortlaut der offiziellen ASUS-FAQ lautet: Der Router erlaubt standardmäßig allen unbekannten Geräten nicht den Zugang zum LAN oder über den Router zu internen Geräten, um zu vermeiden, dass der Router und nachgelagerte Geräte angegriffen werden. Zum Freigeben ist der Pfad „Firewall > Allgemeine Einstellungen > IPv6-Firewall" (standardmäßig aktiviert), dann erstellt man in „Eingehende Firewall-Regeln" eine Regel. Diese FAQ liefert außerdem einige harte Fakten: maximal 128 Regeln; jede Regel erfordert Dienstname, Remote-IP oder CIDR, lokale IP, Kommunikations-port-Bereich, Protokoll; und außerdemunterstützt diese Funktion nur IPv6-Adressen, das Eintragen von IPv4 ist nutzlos。

Nach dieser Struktur gibt es eigentlich nur einen korrekten Ansatz: nur einen port des NAS freigeben, nicht „alle ports, alle Quellen" öffnen.

• Das Feld für die Remote-IP sollte man ausfüllen, wenn möglich. Es bedeutet „nur diese Quellen dürfen hereinkommen" und ist um eine Größenordnung sicherer als Leerlassen (jede Quelle kann anklopfen). Der Nachteil ist, dass sich die Adresse nach einem Basisstationswechsel beim Mobilfunk-Datenverkehr ändert, man muss also etwas Spielraum lassen.
• Bei der lokalen IP trägt man die IPv6-Adresse des NAS ein, beim port schreibt man nur den einen, den man wirklich braucht. Die 5000/5001 von DSM sind Verwaltungszugänge, die man möglichst nicht ins öffentliche Netz stellen sollte; üblich ist, über einen Reverse Proxy nur eine 443 zu öffnen oder einfach einen Nicht-Standard-port zu verwenden, um das Rauschen zu reduzieren.
• Wenn man „jede Quelle" freigibt, muss man die Authentifizierung auf der NAS-Seite vollständig nachrüsten: automatische Blockierung, Kontoschutz, Zwei-Faktor-Authentifizierung – diese drei sind in DSM alle vorhanden.

Auch auf der Synology-Seite gibt es eine Ebene. Die offizielle DSM-Funktionsseite beschreibt die Firewall als „IPv4/IPv6-Dualarchitektur auf Profilbasis", Regeln können nach IP oder port einschränken und festlegen, an welcher Schnittstelle sie wirksam werden. Hier gibt es ein Detail, das in der offiziellen Hilfedokumentation ausdrücklich steht und es wert ist, festgehalten zu werden:Wenn das NAS über PPPoE-Einwahl ins Internet geht, müssen die betreffenden Firewall-Regeln an der entsprechenden PPPoE-Schnittstelle erstellt werden, an der LAN-Schnittstelle erstellt werden sie nicht wirksam.

Dritte Hürde: Die Adresse ändert sich, also braucht man DDNS

Das Präfix, das der Anbieter einem gibt, hat eine Lease-Laufzeit; ein Neustart des ONT, ein erneutes Wählen der Leitung, eine Anpassung auf der Amtseite – all das kann ein anderes Präfix ergeben. Ändert sich das Präfix, ändert sich die gesamte Adresse des NAS – deshalb ist „sich einfach die IP merken" bei IPv6 unrealistischer als bei IPv4: Eine IPv4-Adresse kann man sich noch einprägen, diese IPv6-Zeichenkette merkt sich niemand.

Die gute Nachricht ist, dass Synology das selbst unterstützt. Der Originalwortlaut der offiziellen DSM-Funktionsseite: Synology bietet einen kostenlosen DDNS-Dienst an,dieser Dienst unterstützt IPv4 und IPv6; die Hilfeseite von SRM (Synology Router System) formuliert es etwas absoluter: „Nur Synology DDNS unterstützt IPv6-Dienste".

Der Pfad ist „Systemsteuerung > Externer Zugriff > DDNS", auf Hinzufügen klicken, als Dienstanbieter Synology wählen, beim Hostnamen etwas wie xxx.synology.me eintragen, nebenbei kann man das Let's Encrypt-Zertifikat und Heartbeat (Ausfallbenachrichtigung) anhaken – diese Schritte sind alle in der offiziellen Hilfeseite aufgeführt.

Eines muss ich ehrlich sagen: Die offizielle Hilfeseite listet nur ein Eingabefeld „externe Adresse", während viele Anleitungen im Netz sagen, dass der neue Dialog in IPv4 und IPv6 aufgeteilt ist. Ich kann für dich nicht bestätigen, wie deine DSM-Version aussieht; maßgeblich ist die Oberfläche auf deiner eigenen Maschine. Wenn IPv6 ausgefüllt werden kann, fülle IPv6 aus; das IPv4-Feld deaktivierst du, wenn keine öffentliche Adresse vorhanden ist.

Wenn du eine eigene Domain hast oder es häufiger prüfen lassen willst, ist das Open-Source-Tool ddns-go eine gängige Wahl. Das Repository steht unter MIT-Lizenz, die README enthält einen eigenen Abschnitt für Synology, die Schritte kann man einfach übernehmen: Package Center → Docker installieren → im Registry nach ddns-go suchen und herunterladen → im Image jeessy/ddns-go starten → in den erweiterten Einstellungen unter Netzwerk „Use the same network as Docker Host" anhaken, automatischen Neustart aktivieren → im Browser öffnen http://群晖IP:9876 konfigurieren. Auch per Kommandozeile möglich:

docker run -d --name ddns-go --restart=always --net=host -v /opt/ddns-go:/root jeessy/ddns-go

Bei seinem Standardverhalten sind zwei Zahlen zu beachten: Standardmäßig wird alle 5 Minuten synchronisiert, und auf der Seite ist standardmäßig „Zugriff aus dem öffentlichen Netz verbieten" angehakt. Den letzteren Standardwert nicht deaktivieren, denn auf dieser Webseite liegen die Schlüssel deines Domain-Anbieters.

Geh nebenbei auch die DSM-Seite durch

Die IPv6-Einstellungen von DSM findest du unter „Systemsteuerung > Netzwerk > Netzwerkschnittstelle", wähle die Netzwerkkarte und klicke auf Bearbeiten; unter dem IPv6-Tab gibt es drei Kategorien von Optionen (Originaltext der offiziellen Hilfeseite):

• Automatisch: Adresse wird gemäß den RA-Ankündigungen des Routers erzeugt, darunter kann weiter unterschieden werden in zustandslos, zustandslos plus DHCPv6, zustandsbehaftet (erfordert einen DHCPv6-Server und das Ausfüllen des Adresspools). Für den Heimanschluss reicht diese Option.
• Manuell: IPv6-Adresse, Präfixlänge und Standardgateway selbst eintragen. In Umgebungen, in denen sich das Präfix ändert, ist manuell反而 umständlicher.
• Aus, sowie die Übergangsmechanismen 6in4, 6to4, DHCP-PD und IPv6 Tunneling. Außer DHCP-PD (wird verwendet, wenn die NAS selbst wählt) dienen die übrigen im Wesentlichen als Fallback für Netzwerke ohne natives IPv6 und sind für den Heimanschluss unbrauchbar.

Drei Fallstricke, die dir niemand vorher sagt

Erstens: Die Gegenseite muss ebenfalls IPv6 haben.Das ist das häufigste „konfiguriert, aber lässt sich nicht öffnen". Das Büronetz der Firma sowie die Wi-Fi-Netze vieler Einkaufszentren und Hotels haben IPv6 deaktiviert; greift man aus diesen Netzen auf eine Domain zu, die nur eine IPv6-Adresse hat, schlägt die Anfrage direkt fehl, unabhängig von deiner Konfiguration. Mobiles Datenvolumen bringt derzeit grundsätzlich IPv6 mit, also teste bei der Fehlersuche vorrangig über Mobilfunk und ziehe keine Schlüsse aus einem bestimmten Wi-Fi.

Zwei, ändert sich das Präfix, werden Firewall-Regeln stillschweigend unwirksam.In der Regel im Router ist unter "lokale IP" eine vollständige Adresse eingetragen, deren erste Hälfte das vom Provider zugewiesene Präfix ist. Ändert sich das Präfix, zeigt diese Regel auf eine nicht existierende Adresse – sie meldet keinen Fehler, sie passt einfach nicht mehr, und dann "kannst du plötzlich keine Verbindung mehr herstellen". Das ist auch der Grund, warum die Stabilität von IPv6-Direktverbindungen einen schlechteren Ruf hat, als sie eigentlich verdient. Meine eigene Vorgehensweise: In Umgebungen mit häufig wechselndem Präfix kämpfe ich lieber nicht mit den Regeln, sondern mache die Authentifizierung solide und öffne so wenige Ports wie möglich.

Drei, sobald eine Domain ein Zertifikat erhält, ist sie praktisch öffentlich.Beim Ausstellen eines Zertifikats über Let's Encrypt landet die Domain in den Certificate Transparency Logs (CT), einem öffentlich einsehbaren Mechanismus, kein Sicherheitsleck. Kombiniert mit der leichten Erratbarkeit von DDNS-Domains (xxx.synology.me und dergleichen) bedeutet das, "ich habe ein NAS zu Hause, die Adresse ist hier" auf ein schwarzes Brett zu schreiben. Das heißt nicht, dass man es nicht nutzen darf, sondern: Ob man sich verbinden kann und ob man es öffentlich machen sollte, sind zwei verschiedene Fragen. Für den Eigengebrauch ist es für den Eigengebrauch – klebe die Adresse nicht überall hin.

Noch ein Wort zu Ports: Bei eingehendem 80 und 443 im Heimbreitband unterscheiden sich die Richtlinien der Provider je nach Region, manche blockieren direkt. Daher ist es für den Alltagszugriff realistischer, Nicht-Standard-Ports zu verwenden oder über einen Reverse Proxy zu gehen, statt auf 80/443 zu beharren. Ob konkret blockiert wird, erfährt man mit einem Test über das Mobilfunknetz – vertraue nicht auf das "bei uns geht das" anderer.

Zum Schluss die Abgrenzungsfrage: Oben geht es durchweg um den Zugriff auf die eigenen Geräte. Wenn andere über diese Adresse auf deine Website oder Dienste zugreifen sollen, ist das eine andere Sache – das öffentliche Anbieten von Internet-Informationsdiensten erfordert eine Registrierung (备案), und die Nutzungsbedingungen von Heimbreitbandanschlüssen erlauben das in der Regel ebenfalls nicht. Dieser Artikel behandelt diesen Teil nicht und empfiehlt auch nicht, Heimbreitband dafür zu verwenden.

Meine Einschätzung: Für diese drei Gruppen fällt die Antwort unterschiedlich aus

IPv6 zu Hause stabil, nur für sich selbst und die Familie– lohnt sich, und das Preis-Leistungs-Verhältnis ist absurd gut. Eine einmalige Konfiguration bringt eine Direktverbindung ohne jeden Drittanbieter-Relay, die Geschwindigkeitsobergrenze ist der Uplink deines Heimbreitbands; diese Rechnung habe ich imUplink-Artikelaufgemacht – die Obergrenze beim Dateiziehen von unterwegs ist nie das NAS, sondern die 30M Uplink.

Drei- bis fünfmal im Jahr genutzt, nur um unterwegs mal eben ein Foto anzuschauen– kein Herumgefummel, QuickConnect reicht. Sein Wert liegt nicht in der Geschwindigkeit, sondern darin, "nichts konfigurieren zu müssen und die eigene Haustür nicht offen stehen zu lassen". Warum es manchmal langsam ist, habe ich imQuickConnect-Artikelanhand von drei Verbindungsmechanismen auseinandergenommen; nach dem Lesen weißt du, ob sich ein Wechsel für deine Situation lohnt.

Den Heimanschluss für externe Dienste nutzen wollen— nicht empfehlenswert. Angriffsfläche, Registrierung, Breitband-AGB – keines davon spricht für dich. Wenn du es wirklich brauchst, miete einen richtigen Server, nimm nicht die Maschine zu Hause dafür.

Zum Schluss eine Reihenfolge-Empfehlung, das ist mein Fazit nach gemachten Fehlern:Erst auf dem NAS IPv6 zum Laufen bringen und mit Mobilfunk-Datenverkehr direkt verbinden können, dann DDNS und Firewall-Regeln angehen.Umgekehrte Reihenfolge, und du wirst gleichzeitig am ONT, am Router und bei DDNS suchen müssen, und am Ende wahrscheinlich beim zweiten Schritt aufgeben. Die drei Hürden oben sind nach „Richtung, aus der die Daten hereinkommen" sortiert, nicht nach Schwierigkeit.

Wenn du noch bei „Welche Art von Fernzugriff soll ich überhaupt wählen" stehst, lies zuerstDie Bilanz der vier Variantenjenen Artikel, er rechnet Kosten, Einstiegshürden und Angriffsfläche; dieser Artikel rechnet, wie der IPv6-Weg konkret umgesetzt wird. Die Fallback-Lösung ohne IPv6 (wie man 内网穿透 → reverse tunnel / port forwarding auswählt), ist das nächste Thema dieser Serie.

Grundlage dieses Artikels: „China IPv6 Development Report (2026)" (veröffentlicht 2026-07-28), „Umsetzungsplan zur Vertiefung der technologischen Innovation und integrierten Anwendung von Internet Protocol Version 6 (IPv6) (2026–2030)" des Zentralen Cyberspace-Komitees, die offizielle DSM-Funktionsseite von Synology und die DSM 7 Hilfedokumentation (Abschnitte DDNS, Netzwerkschnittstelle, Firewall), die offiziellen ASUS FAQ 1013638 (IPv6-Firewall) und 113990 (IPv6-Einstellungen), das README und die LICENSE des ddns-go-Repositories (gelesen am 10-26). Oberflächenpfade, Feldnamen und Betreiberrichtlinien unterscheiden sich je nach Version und Region, bitte richte dich nach der Anzeige auf deinem eigenen Gerät; „Prefix-Änderung führt zum Ungültigwerden von Regeln" und „80/443 eingehend blockiert" sind Erfahrungsurteile, keine regionalen Einzelmessungen.

Verzeichnis aller Artikel · Zurück zur Startseite