ProxyPass vs. Portweiterleitung
Ein Gerät zu erreichen sollte nicht bedeuten, eine Tür zum Internet zu öffnen.
Portweiterleitung plus dynamisches DNS ist der klassische Trick, um eine Maschine hinter einem Router zu erreichen. Es stellt einen Dienst aber auch direkt ins öffentliche Internet — und hört klammheimlich auf zu funktionieren, sobald der Kunde hinter CGNAT sitzt.
Kurze Antwort: Portweiterleitung benötigt Router-Zugriff, eine routbare öffentliche IP und einen offenen eingehenden Port, den jeder scannen kann. ProxyPass braucht nichts davon: Die Node verbindet sich ausgehend, es gibt also keinen Port zu öffnen, es funktioniert hinter CGNAT und LTE, und nichts ist im öffentlichen Internet exponiert.
Der ehrliche Vergleich
| ProxyPass | Portweiterleitung + DDNS | |
|---|---|---|
| Offener eingehender Port | Keine | Erforderlich — öffentlich erreichbar |
| Router-/Firewall-Zugriff | Nicht nötig | Am Kundenrouter erforderlich |
| Funktioniert hinter CGNAT / LTE | Ja | Nein (kein routbarer Eingang) |
| Öffentliche IP / statische IP | Nicht nötig | Nötig, oder fragiles DDNS |
| Angriffsfläche | Nur ausgehend, nichts zu scannen | Ein exponierter Dienst im Internet |
| Erreicht mehr als ein Gerät | Ganzes LAN hinter der Node | Ein Port zu einem Dienst |
Wo Portweiterleitung weiterhin sinnvoll ist
Für ein einzelnes Gerät an einem Anschluss, den Sie kontrollieren, mit statischer IP und eigenem Router, ist ein weitergeleiteter Port einfach und kostenlos. Viele Home-Lab-Setups leben glücklich so.
Im Flottenmaßstab und in Netzwerken, die Ihnen nicht gehören, fällt das auseinander: Sie können den Router eines Kunden nicht umkonfigurieren, Sie können sich nicht darauf verlassen, dass er eine öffentliche IP hat, und jeder offene Port ist eine weitere Sache, die sein Sicherheitsteam rechtfertigen muss.
Wie ProxyPass es stattdessen macht
Die Node wählt sich über TLS zu ProxyPass aus und hält die Verbindung offen. Ihre Anfragen laufen über diese bestehende ausgehende Verbindung zurück — das Kundennetzwerk bleibt also vollständig geschlossen, ohne Listener und ohne eingehende Regel. Hinter CGNAT, an einem LTE-Router, in einem Gäste-VLAN: Es funktioniert einfach, weil nichts nach innen gelangen muss.
Sehen Sie es auf Ihren eigenen Geräten
Starten Sie einen Pilot — die typische erste Rechnung ist €0. Wir senden Ihnen Ihr Installationsskript innerhalb von 24 Stunden.