Eine ehrliche Post-Mortem: Was funktioniert, was nicht — und warum Container-Umgebungen klassische VPNs unmöglich machen.
Ich habe einen VPS bei Alibaba Cloud (Standort: China/Hongkong-Region). Mein Ziel war simpel:
Klingt nach einem Standard-Problem mit einer Standard-Lösung, oder? Falsch.
Der erste Versuch: WireGuard. Installation lief, Config erstellt, QR-Code generiert. Der iPhone-Client verband sich — aber kein Traffic floss. Warum?
Der zweite Versuch: OpenVPN. Noch schlimmer. Die Installation schlug fehl, weil iptables keine NAT-Regeln setzen konnte. Das tun-Interface wurde zwar erstellt, aber Pakete wurden einfach verworfen.
Der Alibaba Cloud VPS läuft in einer Container-Virtualisierung (KVM/OpenVZ/LXC) — nicht auf Bare Metal. Das bedeutet:
Kurz: Alibaba Cloud bietet einen virtuellen Server ohne virtuelle Netzwerk-Freiheit. Das ist wie ein Apartment, in dem dir der Vermieter erlaubt hat, Möbel zu stellen — aber nicht, die Wände zu versetzen.
Dann kam Tailscale ins Spiel. Tailscale ist clever — es nutzt WireGuard, aber als Userspace-Implementation. Kein Kernel-Modul nötig. Es routet über Relay-Server (DERP), wenn Direct-Connections nicht möglich sind. Perfekt für Container, dachte ich.
Und tatsächlich: Die Installation lief. Der VPS bekam eine Tailscale-IP (100.117.214.45). Das iPhone verband sich. SSH funktionierte — sogar ohne Passwort, dank Tailscale SSH.
Aber dann kam der Showstopper: Exit Node.
Der Exit Node ist Tailsacles Killer-Feature: Der VPS routet den gesamten Internet-Traffic deines iPhones. Die Welt sieht die IP des VPS. Perfekt für Geo-Unblocking oder einfach nur, um "aus China" zu surfen.
Ich habe --advertise-exit-node gesetzt. Tailscale zeigte keine Fehler. Aber die Admin Console zeigte den VPS nicht als Exit Node. Das iPhone konnte nur sich selbst als Exit Node wählen.
Exit Node benötigt NAT/Masquerading — genau das, was der Alibaba-Container nicht erlaubt. Ohne iptables/nftables kann der VPS den Traffic nicht für das iPhone "maskieren". Die Pakete kommen an, aber sie können nicht zurück.
Ich habe ~15 Minuten debuggt. iptables war installiert, aber Regeln wurden nicht angewendet. nftables war vorhanden, aber der Kernel akzeptierte keine neuen Chains. Es war ein fundamentales Limit der Umgebung — nicht ein Konfigurationsfehler.
Okay, dachte ich, wenn Exit Node nicht geht, vielleicht ein simpler HTTP-Proxy? tinyproxy installieren, Port öffnen, im iPhone-Browser konfigurieren. Fertig.
Die Installation von tinyproxy schlug fehl — dpkg-Lock, weil ein vorheriger Prozess noch lief. Aber selbst wenn es installiert worden wäre: Ein Proxy in einem Container ohne echte Netzwerk-Freiheit ist nutzlos. Die Pakete können das Interface nicht verlassen, ohne von der Host-Firewall blockiert zu werden.
Proxy- und VPN-Lösungen auf Alibaba Cloud sind theoretisch möglich, praktisch nutzlos. Die Container-Virtualisierung blockiert alles, was NAT, Routing oder Kernel-Module erfordert.
Am Ende blieb nur eine wirklich funktionierende Lösung: Tailscale für SSH-Zugriff. Nicht mehr, nicht weniger.
| Lösung | Status | Grund |
|---|---|---|
| WireGuard | ❌ Fehlgeschlagen | Braucht Kernel-Modul |
| OpenVPN | ❌ Fehlgeschlagen | Braucht iptables NAT |
| Tailscale SSH | ✅ Funktioniert | Userspace, Relay-basiert |
| Tailscale Exit Node | ❌ Fehlgeschlagen | Braucht NAT/Masquerading |
| HTTP-Proxy | ❌ Fehlgeschlagen | Netzwerk-Capabilities fehlen |
Wenn du einen VPS für VPN-Zwecke suchst:
Reicht völlig aus. Günstig, schnell, funktioniert. Aber akzeptiere die Limitierungen.
Nimm Hetzner, DigitalOcean oder Vultr. Dort läuft Tailscale Exit Node mit einem Befehl:
sudo tailscale up --advertise-exit-node
Fertig. Kein Drama.
Du brauchst einen VPS in einer chinesischen Region (Mainland China, nicht Hongkong). Anbieter: Alibaba Cloud China, Tencent Cloud, Huawei Cloud. Aber: ICP-Lizenz erforderlich, strengere Regulierung, oft nur mit chinesischer Geschäftsregistrierung.
VPS-Specs:
Fehlende Capabilities:
Erfolgreiche Tailscale-Konfiguration:
# Installieren curl -fsSL https://tailscale.com/install.sh | sh # Starten (ohne Exit Node, nur SSH) sudo tailscale up --ssh --accept-dns # Authentifizieren # → Link öffnen, mit Google einloggen # Status prüfen sudo tailscale status # Ausgabe: 100.117.214.45 izt4nfpqes4mzk503l9r9az linux -
Container-Virtualisierung ist günstig und skalierbar — aber sie hat Grenzen. Wer VPNs, Routing oder Netzwerk-Experimente betreiben will, braucht einen Server mit echten Netzwerk-Rechten. Manchmal ist "günstig" teurer als gedacht.
Geschrieben von Alex M & JackyChan · 2026