FritzBox 7590AX 5G-Fallback & WireGuard-VPN

 

1. Übersicht

Dieses Dokument beschreibt die Einrichtung einer FritzBox 7590AX als Haupt-Router mit einer FritzBox 5G (4G/5G-Mobilfunk) als automatischer Ausfallsicherung (Failover). Zusätzlich wird die WireGuard-VPN-Konfiguration dokumentiert, damit der Tunnel beide Internetverbindungen korrekt nutzt.

 

ℹ️ Hinweis LAN 1 der 7590AX wird als zweiter WAN-Port genutzt und steht danach nicht mehr als normaler Switch-Port zur Verfügung. Vorhandene Geraete an LAN 1 auf LAN 2/3/4 umstecken.

 

1. Voraussetzungen

Komponente	Anforderung
FritzBox 7590AX	FRITZ!OS 7.50 oder neuer
FritzBox 5G	Aktive SIM-Karte mit Datentarif, FRITZ!OS aktuell
WireGuard Client	Windows-Client v1.0.x
MyFRITZ!-Konto	Fuer dynamischen DNS-Hostnamen der 7590AX
Netzwerkkabel	Cat.5e oder besser zwischen beiden FritzBoxen

 

2. FritzBox 5G – IP-Client-Modus einrichten

Die 5G-FritzBox wird in den IP-Client-Modus versetzt. Dadurch deaktiviert sie ihren eigenen DHCP-Server und NAT-Router. Sie fungiert dann ausschliesslich als Mobilfunk-Modem fuer die 7590AX.

 

ℹ️ Hinweis Im IP-Client-Modus ist das eigene WLAN der 5G-Fritze weiterhin nutzbar (falls benoetigt), aber alle Routing-Funktionen sind deaktiviert.

 

2.1 Konfigurationsschritte

1. FritzBox 5G-Oberflaeche aufrufen: http://fritz.box (oder IP-Adresse, solange sie noch Router ist)
2. Navigieren: Heimnetz → Netzwerk → Reiter "Heimnetzwerk"
3. Ganz unten: "Weitere Einstellungen" ausklappen
4. Option aktivieren: "Dieses Geraet arbeitet als IP-Client"
5. IP-Adresse: Automatisch beziehen (DHCP) auswaehlen
6. Speichern – die FritzBox startet neu

 

ℹ️ Hinweis Nach dem Neustart ist die 5G-Fritze nur noch unter der von der 7590AX vergebenen IP erreichbar, nicht mehr unter fritz.box. Die neue IP in der 7590AX-Oberflaeche unter Heimnetz → Netzwerk → Netzwerkgeraete ablesen.

 

2.2 Ergebnis nach der Umstellung

Funktion	Status nach IP-Client-Modus
NAT / Routing	Deaktiviert
Eigener DHCP-Server	Deaktiviert
Doppeltes NAT	Eliminiert
WLAN (falls vorhanden)	Weiterhin aktiv (optional nutzbar)
Mobilfunk-Internetverbindung	Aktiv, wird an 7590AX weitergegeben

 

3. FritzBox 7590AX – LAN 1 als Fallback-WAN einrichten

Die 7590AX erhaelt eine zweite Internetverbindung ueber LAN 1. Bei Ausfall der Hauptverbindung (DSL/Kabel) schaltet sie automatisch auf die 5G-Verbindung um.

 

3.1 Kabel verbinden

• Netzwerkkabel: LAN-Port der FritzBox 5G → LAN 1 der FritzBox 7590AX
• Alle anderen Geraete: LAN 2, LAN 3 oder LAN 4 der 7590AX

 

3.2 Zweite Internetverbindung konfigurieren

1. 7590AX-Oberflaeche aufrufen: http://fritz.box
2. Navigieren: Internet → Zugangsdaten
3. Reiter "Internetzugang" auswaehlen
4. Abschnitt "Zweite Internetverbindung" oder "Weiterer Internetanbieter" oeffnen
5. Einstellungen wie folgt vornehmen:

 

Einstellung	Wert
Anschluss	LAN 1
Verbindungstyp	IP-Adresse automatisch beziehen (DHCP)
Verwendung	Nur bei Ausfall der Hauptverbindung (Ausfallsicherung)
IPv6	Automatisch

 

1. Speichern und bestaetigen

 

ℹ️ Hinweis Je nach FRITZ!OS-Version kann der Menuepfad leicht abweichen. Bei neueren Versionen findet sich die Option unter Internet → Zugangsdaten → "DSL-Anschluss" → Reiter "Internetzugang" mit dem Punkt "Weitere Verbindung aktivieren".

 

3.3 Funktionstest Failover

1. Im Normalbetrieb: DSL-Verbindung aktiv, 5G-Verbindung im Standby
2. Test: DSL-Kabel an der 7590AX abziehen
3. 7590AX schaltet automatisch auf 5G um (ca. 30–60 Sekunden)
4. Kontrolle: Internet → Online-Monitor – aktive Verbindung wechselt auf LAN 1
5. DSL-Kabel wieder einstecken – 7590AX schaltet zurueck auf DSL

 

4. MyFRITZ! einrichten (dynamischer DNS)

Da sich die oeffentliche IP-Adresse der 7590AX regelmaessig aendert, benoetigt WireGuard einen festen Hostnamen. MyFRITZ! von AVM stellt diesen kostenlos bereit.

 

4.1 MyFRITZ!-Konto anlegen / verknuepfen

1. 7590AX-Oberflaeche: Internet → MyFRITZ!-Konto
2. Vorhandenes Konto verknuepfen oder neues Konto erstellen
3. Hostnamen notieren: z.B. abc1234xyz.myfritz.net

 

ℹ️ Hinweis Der MyFRITZ!-Hostname bleibt bei Verbindungswechsel (DSL → 5G) bestehen und wird automatisch aktualisiert. WireGuard kann diesen Hostnamen als Endpoint verwenden.

 

4.2 DNS-Aufloesung testen

Auf einem PC im Netzwerk oder direkt am Client-Geraet:

 

nslookup abc1234xyz.myfritz.net

# Erwartetes Ergebnis:

# Server:   ...

# Name:     abc1234xyz.myfritz.net

# Address: <oeffentliche IP der 7590AX>

 

5. WireGuard-VPN auf der FritzBox 7590AX

Die WireGuard-Konfiguration wird auf der 7590AX erstellt. Die Config-Datei wird vom Windows-Client importiert.

 

5.1 WireGuard-Verbindung auf der 7590AX anlegen

1. 7590AX-Oberflaeche: Internet → Freigaben → VPN (WireGuard)
2. "Neue Verbindung" auswaehlen
3. Verbindungsname vergeben: z.B. wg_config
4. Option: "Einem einzelnen Geraet Netzwerkzugriff ermoeglichen" oder "Fernzugang fuer Mitarbeiter" je nach Bedarf
5. WireGuard-Konfiguration wird automatisch generiert
6. Config-Datei herunterladen: QR-Code scannen oder .conf-Datei speichern

 

⚠️ Wichtig Die heruntergeladene Config enthaelt bereits den MyFRITZ!-Hostnamen als Endpoint, sofern MyFRITZ! korrekt eingerichtet ist. Enthaltene IP (92.60.x.x) ist die aktuelle oeffentliche IP – diese kann sich aendern. Hostnamen bevorzugen.

 

5.2 Aufbau der WireGuard-Konfigurationsdatei

Die von der FritzBox generierte .conf-Datei hat diesen typischen Aufbau:

 

[Interface]

PrivateKey = <Client-Private-Key>

Address     = 10.0.0.2/24

DNS         = 192.168.178.1

[Peer]

PublicKey   = <FritzBox-Public-Key>

Endpoint     = abc1234xyz.myfritz.net:51820

AllowedIPs = 0.0.0.0/0, ::/0

PersistentKeepalive = 25

 

⚠️ Wichtig Falls in der Config noch eine feste IP als Endpoint steht (z.B. 92.60.214.83:51736), muss diese durch den MyFRITZ!-Hostnamen ersetzt werden, damit der Tunnel auch nach einem IP-Wechsel (z.B. Failover auf 5G) weiter funktioniert.

 

5.3 Endpoint auf MyFRITZ!-Hostnamen aendern

Falls die Config noch eine IP-Adresse als Endpoint enthaelt:

 

1. Config-Datei (.conf) in einem Texteditor oeffnen (z.B. Notepad++)
2. Zeile mit Endpoint suchen:

 

# Vorher (IP-Adresse, aendert sich bei jedem Verbindungsaufbau):

Endpoint = 92.60.214.83:51736

# Nachher (MyFRITZ!-Hostname, bleibt immer gleich):

Endpoint = abc1234xyz.myfritz.net:51820

 

1. PersistentKeepalive hinzufuegen falls nicht vorhanden:

 

PersistentKeepalive = 25

 

1. Datei speichern
2. Im WireGuard-Client: Tunnel entfernen und neu importieren

 

6. WireGuard Windows-Client einrichten

 

6.1 Tunnel importieren

1. WireGuard-App oeffnen
2. "Tunnel hinzufuegen" → "Aus Datei importieren"
3. Modifizierte .conf-Datei auswaehlen
4. Tunnel wird mit dem Namen aus der Config angelegt (z.B. wg_config)

 

6.2 Tunnel aktivieren und testen

1. Tunnel in der WireGuard-App aktivieren
2. Status "Aktiv" und "Letzter Handshake" beobachten
3. Test: Webseite aufrufen oder Ping auf interne FritzBox-IP

 

# Ping auf die FritzBox (im VPN-Netz):

ping 192.168.178.1

# Oeffentliche IP pruefen (sollte IP der FritzBox sein):

curl https://api.ipify.org

 

6.3 Autostart einrichten

1. WireGuard-App: Tunnel auswaehlen
2. "Eigenschaften bearbeiten" → Haken bei "Beim Anmelden automatisch starten"
3. Alternativ: Tunnel als Windows-Dienst einrichten ueber "Als Dienst installieren"

 

7. Routing-Loop-Warnung beheben

Im WireGuard-Log erscheint regelmaessig folgende Warnung:

 

Warning: the "Ethernet 3" interface has Forwarding/WeakHostSend

enabled, which will cause routing loops

 

Diese Warnung bedeutet, dass auf dem Client-PC die IP-Weiterleitung fuer einen Netzwerkadapter aktiv ist, was zu Routing-Schleifen fuehren kann. Behebung:

 

7.1 IP-Weiterleitung deaktivieren

1. Windows-Taste + R → ncpa.cpl → Enter
2. Rechtsklick auf "Ethernet 3" → Eigenschaften
3. "Internetprotokoll Version 4 (TCP/IPv4)" → Eigenschaften → Erweitert
4. Reiter "IP-Einstellungen": Haken bei "IP-Weiterleitung" entfernen
5. Gleiches fuer IPv6 wiederholen
6. OK – Aenderung ist sofort wirksam, kein Neustart noetig

 

ℹ️ Hinweis Alternativ per PowerShell (als Administrator): Set-NetIPInterface -InterfaceAlias "Ethernet 3" -Forwarding Disabled

 

8. Fehlerdiagnose

 

8.1 Haeufige Fehlerbilder

Fehlerbild	Ursache & Loesung
Handshake schlaegt dauerhaft fehl	Endpoint-IP/-Hostname falsch, WireGuard auf FritzBox nicht aktiv, UDP-Port blockiert
"Unable to resolve DNS hostname"	MyFRITZ! nicht eingerichtet oder Hostname falsch – nslookup-Test durchfuehren
VPN verbindet aber kein Internet	AllowedIPs pruefen (0.0.0.0/0 fuer Full-Tunnel), DNS-Einstellung in Config
Verbindung bricht regelmaessig ab	PersistentKeepalive = 25 in Config hinzufuegen
Nach Failover kein VPN	Endpoint als Hostname konfiguriert? IP-Adressen aendern sich beim Verbindungswechsel
Routing-Loop-Warnung	IP-Weiterleitung auf Ethernet-Adapter deaktivieren (siehe Kapitel 7)

 

8.2 WireGuard-Log pruefen

Das WireGuard-Log gibt detaillierte Diagnose-Informationen:

 

• WireGuard-App → Tunnel auswaehlen → "Log anzeigen"
• Oder Logdatei unter: %ProgramData%\WireGuard\log.bin

 

Log-Eintrag	Bedeutung
Sending handshake initiation	Client versucht Verbindung aufzubauen (normal)
Handshake did not complete after 5 seconds	FritzBox antwortet nicht – Erreichbarkeit pruefen
Received handshake response	Verbindung erfolgreich aufgebaut
Unable to resolve DNS hostname	DNS-Aufloesung schlaegt fehl – MyFRITZ! pruefen
Routing loops warning	IP-Weiterleitung deaktivieren (Kap. 7)

 

8.3 Diagnose-Checkliste

Pruefpunkt	Befehl / Aktion
MyFRITZ!-Hostname aufloesung	nslookup abc1234xyz.myfritz.net
FritzBox per Ping erreichbar	ping abc1234xyz.myfritz.net
WireGuard-Port offen (UDP)	Test-Tool: portchecker.co – Port 51820 UDP
Oeffentliche IP nach VPN	curl https://api.ipify.org
Aktive Internetverbindung 7590AX	FritzBox-UI → Internet → Online-Monitor
5G-Verbindung im Standby	FritzBox-UI → Internet → Zugangsdaten → Status LAN 1

 

9. Zusammenfassung

Nach Abschluss aller Schritte ist folgendes eingerichtet:

 

• FritzBox 5G im IP-Client-Modus – kein NAT, kein eigenes Routing
• FritzBox 7590AX schaltet bei DSL-Ausfall automatisch auf 5G (LAN 1) um
• WireGuard-Endpoint verwendet MyFRITZ!-Hostname – funktioniert bei beiden Verbindungen
• PersistentKeepalive haelt den VPN-Tunnel auch nach Verbindungswechsel aufrecht
• Routing-Loop-Warnung behoben durch Deaktivierung der IP-Weiterleitung

 

ℹ️ Hinweis Bei erneutem Verbindungsabbruch des WireGuard-Tunnels nach dem Failover: Tunnel im WireGuard-Client kurz deaktivieren und wieder aktivieren. Der Tunnel baut sich dann mit der neuen IP-Route neu auf.