Ein IP-KVM nützt wenig, wenn Du nur zu Hause darauf zugreifen kannst – dann könntest Du auch gleich einen Monitor anstecken. Der Sinn liegt im Zugriff von unterwegs. Genau dort beginnt aber das Problem: Ein IP-KVM darf niemals direkt aus dem Internet erreichbar sein.
Die Lösung ist ein VPN. Diese Anleitung zeigt beide sinnvollen Wege – Tailscale für den unkomplizierten Fall, WireGuard für die selbstverwaltete Variante – und benennt, wann welcher passt. Warum das nicht verhandelbar ist, steht unter IP-KVM absichern.
Warum kein Port-Forwarding
Die naheliegende Idee – im Router einen Port auf das IP-KVM weiterleiten – ist die schlechteste aller Möglichkeiten. Ein IP-KVM erlaubt vollen Zugriff auf die Hardware: BIOS ändern, von eigenem Abbild booten, Betriebssystem neu aufsetzen. Festplattenverschlüsselung und Systemrechte greifen dagegen nicht.
Ein solches Gerät im offenen Internet wird dauerhaft und automatisiert abgeklopft. Seine Firmware ist ein kleines eingebettetes System, das selten und meist nur kurz gepflegt wird. Das ist kein Kandidat für eine Portweiterleitung.
Ein VPN dreht die Logik um: Statt das Gerät erreichbar zu machen, holst Du Dich selbst ins Netz. Von außen ist dann gar nichts sichtbar.
Tailscale oder WireGuard?
| Tailscale | WireGuard | |
|---|---|---|
| Einrichtung | sehr einfach | mittel |
| Feste IP nötig | nein | ja oder DynDNS |
| Funktioniert hinter CGNAT | ja | nein |
| Portweiterleitung nötig | nein | ja, ein UDP-Port |
| Fremder Dienst beteiligt | ja, zur Vermittlung | nein |
| Zugriff auf ganzes Netz | per Subnet-Router | standardmäßig |
| Passt zu | Mobilfunk-Anschluss, wenig Aufwand | eigener Router, volle Kontrolle |
Die dritte Zeile ist für viele der Ausschlag: Wer über Mobilfunk oder Kabelanschluss mit CGNAT ins Internet geht, hat keine eigene öffentliche IP-Adresse – klassisches WireGuard mit Portweiterleitung funktioniert dann gar nicht. Tailscale löst das, weil die Verbindung von beiden Seiten nach außen aufgebaut wird.
Die fünfte Zeile ist der Gegenpunkt: Bei Tailscale läuft die Vermittlung über die Infrastruktur des Anbieters. Der Datenverkehr selbst ist Ende-zu-Ende verschlüsselt, aber wer prinzipiell keinen Dritten in der Kette will, nimmt WireGuard.
Weg 1: Tailscale
Tailscale baut auf WireGuard auf und nimmt Dir die Schlüsselverwaltung ab. Alle Geräte, die Du anmeldest, landen in einem privaten Netz und erreichen sich direkt – unabhängig davon, wo sie stehen.
Variante A: Tailscale direkt auf dem IP-KVM
PiKVM ist ein vollwertiges Arch-Linux-System, dort lässt sich Tailscale installieren. Manche Firmware-Stände des NanoKVM bringen eine Integration bereits mit – sieh in den Netzwerkeinstellungen Deiner Version nach.
Für PiKVM:
# Dateisystem beschreibbar schalten
rw
# Tailscale installieren
pacman -Sy tailscale
# Dienst aktivieren und starten
systemctl enable --now tailscaled
# Geraet anmelden – der Befehl gibt eine URL aus,
# die Du im Browser oeffnest und dort bestaetigst
tailscale up --hostname=pikvm
# Zugewiesene Adresse anzeigen
tailscale ip -4
# Wieder schreibgeschuetzt
roDanach erreichst Du das Webinterface von jedem angemeldeten Gerät aus über die Tailscale-Adresse oder über https://pikvm, sofern die Namensauflösung aktiv ist.
Variante B: Ein Subnet-Router im Netz
Wenn Du Tailscale nicht auf dem IP-KVM selbst installieren kannst oder willst, übernimmt ein anderes Gerät im Heimnetz die Vermittlung – ein Raspberry Pi, ein NAS, eine kleine VM. Es meldet sich bei Tailscale an und gibt den Weg ins lokale Netz frei:
# Auf dem Vermittlungsgeraet: Weiterleitung dauerhaft erlauben
echo 'net.ipv4.ip_forward = 1' | sudo tee /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf
# Als Subnet-Router anmelden (eigenen Netzbereich einsetzen)
sudo tailscale up --advertise-routes=192.168.1.0/24 --hostname=homelab-routerWichtig: Die angekündigte Route muss danach in der Tailscale-Verwaltung noch freigegeben werden – ohne diesen Schritt passiert nichts. Anschließend erreichst Du alle Geräte im Heimnetz, auch solche ohne eigenen Tailscale-Zugang.
Das ist bequem und zugleich der Nachteil: Du öffnest den Weg ins ganze Netz. Wer nur das IP-KVM erreichen will, fährt mit Variante A sauberer.
Weg 2: WireGuard auf dem Router
Wenn Dein Router WireGuard mitbringt und Du eine erreichbare öffentliche IP-Adresse hast, ist das der Weg ohne jeden Dritten in der Kette. Viele Router-Oberflächen führen inzwischen mit wenigen Klicks durch die Einrichtung.
Ablauf
- WireGuard-Server auf dem Router aktivieren. Meist unter „VPN“ oder „Fernzugang“.
- Gerät anlegen. Der Router erzeugt Schlüsselpaar und Konfiguration, oft als QR-Code fürs Handy.
- Konfiguration übernehmen – auf dem Handy per QR-Code, am Rechner als Datei.
- Testen, solange Du zu Hause bist. Über Mobilfunk, nicht über das eigene WLAN – sonst testest Du nichts.
Punkt 4 klingt banal und wird ständig übersprungen. Eine VPN-Verbindung aus dem eigenen WLAN sagt nichts darüber aus, ob sie von außen funktioniert.
Ohne feste IP-Adresse
Wechselt Deine öffentliche Adresse regelmäßig, brauchst Du einen dynamischen DNS-Namen. Die meisten Router bringen dafür eine eigene Funktion mit. Bei echtem CGNAT hilft das nicht – dann bleibt nur Tailscale oder ein vergleichbarer Dienst.
Manuelle Einrichtung auf einem Linux-Gerät
Kann der Router kein WireGuard, übernimmt ein Gerät im Netz die Rolle. Die Serverkonfiguration sieht dann etwa so aus:
[Interface]
Address = 10.10.0.1/24
ListenPort = 51820
PrivateKey = SERVER_PRIVATER_SCHLUESSEL
# Weiterleitung ins lokale Netz beim Verbinden aktivieren
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
[Peer]
# Dein Notebook oder Handy
PublicKey = CLIENT_OEFFENTLICHER_SCHLUESSEL
AllowedIPs = 10.10.0.2/32Auf der Gegenseite trägst Du unter AllowedIPs den lokalen Netzbereich ein, in dem das IP-KVM steht – dann wird nur dieser Verkehr durch den Tunnel geleitet und nicht Dein gesamter Internetverkehr.
In diesem Fall brauchst Du eine Portweiterleitung auf dem Router: den UDP-Port des WireGuard-Servers. Das ist der eine Fall, in dem Port-Forwarding richtig ist – weitergeleitet wird nicht das IP-KVM, sondern der VPN-Endpunkt.
Nach der Einrichtung: prüfen, dass es dicht ist
Zwei Kontrollen, die zusammen fünf Minuten dauern:
- Von außen prüfen. Mobilfunk, VPN aus: Ist das IP-KVM über die öffentliche Adresse erreichbar? Es darf nicht sein. Dann VPN an – jetzt muss es gehen.
- Portweiterleitungen durchsehen. Im Router alle Weiterleitungen ansehen. Außer dem WireGuard-Port darf nichts zum IP-KVM oder zum Verwaltungsnetz zeigen. Alte Testregeln überleben erstaunlich lange.
Wer es genauer wissen will, prüft von einem Rechner außerhalb des eigenen Netzes gezielt die betreffenden Ports der eigenen öffentlichen Adresse. Antwortet dort etwas, das nach Weboberfläche aussieht, besteht Handlungsbedarf.
Der Fall, an den niemand denkt
Es gibt eine unangenehme Verkettung: Läuft Dein VPN-Endpunkt auf derselben Maschine, die Du per IP-KVM retten willst, dann ist bei einem Ausfall auch der Zugang weg.
Deshalb:
- VPN auf dem Router – der läuft unabhängig von Deinen Servern.
- Oder VPN auf dem IP-KVM selbst (Variante A oben) – dann trägt es sich selbst.
- Oder auf einem separaten kleinen Gerät, das nichts anderes tut.
Was Du vermeiden solltest: den VPN-Endpunkt in einer VM auf dem Server zu betreiben, den das IP-KVM überwachen soll. Das ist ein Notfallzugang, der genau im Notfall ausfällt – derselbe Denkfehler wie beim Strom über den Zielrechner, den NanoKVM einrichten beschreibt.
Für diesen Aufbau ist der NanoKVM Pro interessant, weil er mit PoE Strom und Netzwerk über ein Kabel bezieht – unabhängig vom Zielrechner. PiKVM hat den Vorteil, ein vollwertiges Linux zu sein: Tailscale läuft direkt darauf, der Zugang trägt sich selbst.
Häufige Fragen
Ist Tailscale kostenlos?
Für private Nutzung mit wenigen Geräten gibt es einen kostenlosen Tarif, der für ein Homelab in aller Regel reicht. Die aktuellen Grenzen stehen beim Anbieter.
Kann ich beides parallel betreiben?
Ja, und das ist sogar sinnvoll: WireGuard über den Router als Hauptweg, Tailscale auf dem IP-KVM als zweiter Weg, falls der Router ausfällt. Zwei unabhängige Wege sind bei einem Notfallzugang keine Verschwendung.
Was, wenn der Strom komplett ausfällt?
Dann hilft kein VPN. Wenn es darauf ankommt, brauchst Du eine unterbrechungsfreie Stromversorgung für Router und IP-KVM – zumindest lang genug, um sauber herunterzufahren.
Funktioniert Tailscale auf jedem IP-KVM?
Nein. Es braucht ein offenes System, auf dem sich Software installieren lässt – bei PiKVM ist das gegeben. Fertige Geräte müssen es entweder mitbringen oder Du nutzt den Umweg über einen Subnet-Router.
Reicht ein VPN, oder brauche ich zusätzlich ein eigenes VLAN?
Ein VPN schützt vor Zugriffen von außen, ein VLAN vor Zugriffen von innen – etwa von einem kompromittierten Gerät im eigenen Netz. Das VPN ist die wichtigere der beiden Maßnahmen; das VLAN kommt danach.
Fazit
Für den Fernzugriff auf ein IP-KVM gibt es genau zwei vertretbare Wege, und Port-Forwarding ist keiner davon.
Tailscale ist die richtige Wahl bei CGNAT, wechselnder IP-Adresse oder wenn es einfach funktionieren soll – besonders elegant direkt auf einem PiKVM installiert. WireGuard auf dem Router ist der Weg, wenn Du eine erreichbare öffentliche Adresse hast und keinen Dritten in der Kette willst.
Und unabhängig vom Weg gilt: Prüfe nach der Einrichtung einmal von außen mit abgeschaltetem VPN, dass wirklich nichts erreichbar ist. Die restlichen Härtungsschritte stehen unter IP-KVM absichern.