Search for answers or browse our knowledge base.
Warum Mail & DeepL im „DE-WLAN“ ausfallen – obwohl der VPN „verbunden“ ist
JumpIT UNIFI Infografik, die erklärt, warum Mail und DeepL in UniFi DE-VLAN scheitern. Sie zeigt den Netzwerkfluss von Geräten durch UniFi Cloud Gateway, unter Verwendung von DE WireGuard Tunnel und Stateful NAT, was zu unterbrochenen Mail- und DeepL-Verbindungen führt.
Ich habe in den letzten Tagen ein Problem gehabt, das auf den ersten Blick komplett unlogisch wirkt:
Der VPN ist verbunden, Speedtests sind gut, Webseiten gehen – aber ausgerechnet wichtige Dinge wie iCloud-Mail, GMX, teilweise App-Stores oder die DeepL-App, Samsung TV APP Store und LG APP Store verbinden sich nicht mehr oder brechen irgendwann einfach ab.
Das Schaubild oben zeigt genau das: Warum „VPN an“ nicht automatisch bedeutet, dass alles sauber läuft.
Und warum solche Probleme oft nicht durch „noch ein bisschen MTU drehen“ oder „noch ein paar Regeln“ wirklich verschwinden.
Ich erkläre das hier bewusst für Laien verständlich – ohne Buzzwords und ohne dass man Netzwerktechnik studiert haben muss.
1) Was ich eigentlich erreichen will
Mein Ziel ist simpel:
- Ich lebe/arbeite auf Mallorca (Starlink als Internet)
- Ich brauche im Haus ein WLAN, das sich wie Deutschland anfühlt
- Also: Geräte sollen nach außen mit deutscher IP auftreten (Streaming, Geoblocking, bestimmte Dienste, etc.)
- Gleichzeitig darf das Ganze nicht wackeln – E-Mails müssen einfach gehen, Apps auch.
Technisch mache ich das über WireGuard:
Der Datenverkehr geht über einen Tunnel zu einem Server in Deutschland (Rechenzentrum/VPS) und geht von dort ins Internet.
So weit – so gut.
2) Warum das Schaubild überhaupt nötig ist
Weil das Problem nicht „VPN kaputt“ ist.
Der Tunnel steht. Handshake ok. Daten fließen.
Und trotzdem gibt es diese nervigen Fälle:
- Browser geht, aber Mail hängt
- Speedtest super, aber Apps „keine Verbindung“
- Es geht abends, und morgens ist es wieder kaputt
- Ein Neustart hilft manchmal – und manchmal nicht
Das ist das klassische Muster von Session-Problemen.
3) Die wichtigste Unterscheidung: „kurze“ vs. „lange“ Verbindungen
Browser / Speedtest
Browser öffnen ständig neue Verbindungen.
Wenn eine davon kurz stockt: egal – die nächste klappt.
E-Mail / iCloud / DeepL / Banking / App-Dienste
Diese Dienste arbeiten oft mit langen Sessions:
- E-Mail (IMAP/SMTP) hält Verbindungen offen
- iCloud macht dauernde Hintergrund-Syncs
- Apps nutzen „lange HTTPS-Verbindungen“ und erwarten, dass sie stabil bleiben
Wenn so eine Session unterbrochen wird, passiert oft nichts Sichtbares, außer:
- es lädt nicht
- es synchronisiert nicht
- es wirkt „tot“
Genau das zeigt das Schaubild.
4) Was im Hintergrund schief läuft (Laien-Version)
Im Schaubild steht „Session startet via DE“ – also:
Die Verbindung beginnt sauber über den deutschen VPN-Tunnel. ✅
Dann passiert irgendwann etwas wie:
- Route kippt kurzfristig
- NAT/Session-Tracking verliert den Zustand
- oder die Verbindung kommt nicht so zurück, wie sie raus ging
Und dann ist für die Session Schluss. ❌
Neue Sessions können wieder gehen – aber die bestehenden hängen.
Das fühlt sich für den Nutzer an wie „Internet spinnt“, obwohl es eigentlich ein Routing-/State-Problem ist.
5) Was bedeutet „Stateful NAT verliert“?
Ganz einfach:
Der Router merkt sich intern, welche Verbindung zu welcher Rückroute gehört.
Das nennt man „State“ (Zustand).
Wenn dieser Zustand verloren geht (z. B. durch Provisioning, Tabellen neu aufgebaut, Timeouts, Wechsel des Pfades), dann kann die Antwort nicht mehr sauber zugeordnet werden.
Ergebnis:
- Verbindung bricht ab
- Apps hängen
- Mail geht nicht
Im Bild ist das der Moment mit dem roten Ausrufezeichen.
6) Warum passiert das gerade bei „Deutschland-WLAN“ über ein Gateway?
Weil hier ein Gerät (Gateway/Router) versucht, für ein ganzes Netzwerk VPN-Gateway zu spielen:
- Clients (Mac, iPhone, Apple TV) können kein WireGuard selbst
- Also muss das Gateway „die Arbeit übernehmen“
- Und zwar dauerhaft – für viele parallele Sessions
Das ist eine andere Belastung als „VPN nur für einen Laptop“.
Und genau hier merkt man:
Nicht jedes Gateway ist ein „echtes VPN-Gateway“, auch wenn es VPN „kann“.
7) Warum MTU/MSS nicht die Wunderwaffe ist
Viele kennen MTU-Probleme:
Wenn MTU zu hoch ist, gehen große Pakete nicht durch → Webseiten laden halb → komische Fehler.
MTU/MSS korrekt zu setzen ist wichtig.
Aber:
👉 MTU löst Fragmentierung, nicht Session-Stabilität.
Wenn die Session wegen Routing/State kippt, hilft auch die perfekte MTU nicht mehr.
Das ist im Schaubild genau der Punkt:
Die Session startet gut, aber später bricht sie – nicht wegen Paketgröße, sondern wegen „Zustand/Routing“.
8) Warum das nach Neustarts/Updates gerne wiederkommt
Ein Punkt, den viele unterschätzen:
Wenn ein Gateway rebootet, updated oder „provisioniert“ wird, dann werden intern oft Tabellen neu aufgebaut:
- Firewall-Chains
- NAT-Tabellen
- Route-Entscheidungen
Das kann dazu führen, dass sich das Verhalten ändert – obwohl man „nichts geändert“ hat.
Für ein normales Heimnetz: egal.
Für ein „alles über DE“-VPN: kann genau die Session-Probleme triggern.
9) Was ich daraus gelernt habe (und was wirklich hilft)
Lösung, die manchmal hilft, aber nie 100% garantiert:
- MTU/MSS clampen
- Keepalive drehen
- DNS anpassen
- Routen nachziehen
Das kann Symptome reduzieren.
Aber ehrlich: das ist Gefrickel, weil man versucht, Stabilität zu erzwingen, die das Setup nicht zuverlässig liefert.
Lösung, die in der Praxis wirklich stabil ist:
Ein dediziertes VPN-Gateway.
Heißt:
- Ein kleiner Router (z. B. MikroTik/pfSense/OPNsense) baut WireGuard auf
- Dieses Gerät macht das stateful Routing und hält die Sessions stabil
- UniFi (oder jedes andere WLAN-System) macht danach nur noch WLAN/VLAN – und ist raus aus dem VPN-Stress
Das ist sauber und funktioniert auch mit Geräten, die kein VPN können (Apple TV, TVs, IoT).
10) Fazit
Das Schaubild fasst das Problem in einem Satz zusammen:
Der VPN ist zwar verbunden, aber einzelne lange Sessions verlieren ihren stabilen Rückweg – und genau dann sterben Mail & Apps.
Wenn du „Deutschland-IP im ganzen Haus“ willst, ist die entscheidende Frage nicht:
- „Ist der VPN verbunden?“
sondern:
- Bleiben Sessions über Stunden stabil – auch nach Idle, auch nach Neustarts, auch wenn im Hintergrund irgendwas neu provisioniert wird?
Wenn die Antwort „nicht immer“ ist, wird es irgendwann wieder passieren – meist genau dann, wenn man es nicht gebrauchen kann.
Wenn du so ein Setup bei dir zuhause oder auf einer Finca brauchst (inkl. Apple TV, Smart TVs, Kameras, IoT):
Ich kann dir das sauber bauen – so, dass es stabil ist und nicht nur „meistens geht“.
