Immich lässt sich lokal öffnen, schlägt aber nach einem Routerwechsel remote fehl

Wenn Immich nach einem Routerwechsel in deinem Heim-WLAN weiterhin geöffnet wird, über mobile Daten jedoch nicht funktioniert, ist der Server wahrscheinlich intakt und die geänderte Ebene liegt im externen Zugriffsweg.

Ein Ersatz- oder zurückgesetzter Router kann die LAN-Adresse des Servers ändern, Portweiterleitungsregeln löschen, eine andere öffentliche IP-Adresse beziehen, das DNS-Verhalten ändern oder die Verbindung hinter einen anderen NAT-Modus setzen. Beginne mit einem echten Test aus einem externen Netzwerk und arbeite dich vom Server nach außen vor. Ändere jeweils nur eine Ebene. Zusätzliche Ports zu öffnen, bevor du weißt, welcher Abschnitt fehlschlägt, kann die Angriffsfläche vergrößern, ohne den Zugriff wiederherzustellen.

Nachweisen, dass der Fehler nur aus externen Netzwerken auftritt

Teste Immich zunächst von einem Gerät im selben LAN über die aktuelle lokale Adresse des Servers. Schalte dann auf einem Smartphone das WLAN aus und wiederhole den externen Test über das Mobilfunknetz. Wenn der lokale Zugriff ebenfalls fehlschlägt, behandle das Problem nicht länger als Router-Edge-Problem, sondern repariere zuerst den Server oder das lokale Netzwerk.

Wenn der lokale Zugriff funktioniert, der externe Zugriff jedoch fehlschlägt, notiere den genauen externen Hostnamen, das Protokoll und den angezeigten Fehler. Ein Timeout weist auf etwas anderes hin als eine Zertifikatswarnung oder eine Fehlerseite des Proxys. Notiere außerdem, ob du direkte Portweiterleitung, einen Reverse-Proxy, ein Mesh-VPN oder einen Tunnel verwendest, da ein Routerwechsel diese Modelle unterschiedlich beeinflusst.

Verwende nicht dasselbe Heim-WLAN als einzigen externen Test. Einige Router unterstützen interne Anfragen an den öffentlichen Hostnamen über Hairpin-NAT, andere nicht. Ein LAN-Test kann daher einen falschen Fehler oder einen falschen Erfolg liefern. Am Ende dieses Abschnitts sollte ein eindeutiges Fehlerbild vorliegen: Immich funktioniert lokal, während ein bestimmter externer Zugriffsweg fehlschlägt.

Prüfen, ob der Router den Datenverkehr weiterhin an dasselbe LAN-Ziel sendet

Ein neuer Router weist dem Immich-Host häufig eine andere private IP-Adresse zu. Vergleiche die aktuelle LAN-Adresse des Servers mit dem Ziel, das in einer Portweiterleitung, einem Reverse-Proxy-Upstream, einem Firewall-Objekt oder einer DHCP-Reservierung gespeichert ist. Wenn die Regel noch auf die alte Adresse zeigt, korrigiere diese Zuordnung, bevor du Immich anfasst.

Richte nur die eingehende Regel neu ein, die dein gewähltes Zugriffskonzept tatsächlich benötigt. Überprüfe externen Port, internes Ziel, internen Port und Protokoll als zusammengehörige Einheit. Wenn du einen Reverse-Proxy verwendest, leitet der Router normalerweise an den Proxy statt direkt an Immich weiter. Eine Weiterleitung an beide Ziele kann einen zweiten, unnötigen öffentlichen Zugriffsweg schaffen.

Teste nach der Korrektur des Ziels erneut über das Mobilfunknetz und prüfe, ob der Proxy oder der Server die Anfrage in den Protokollen erkennt. Wenn die Protokolle weiterhin vollständig leer bleiben, scheitert der Datenverkehr noch vor der Anwendung. Erreicht die Anfrage nun den Proxy oder Host, gibt aber einen Anwendungsfehler zurück, ist die Router-Ebene wahrscheinlich repariert. Der nächste Abschnitt sollte sich dann auf die öffentliche Adressierung oder die Namensauflösung konzentrieren.

Öffentliche IP-Adresse, DNS-Eintrag und NAT-Modus vergleichen

Ein Routerwechsel kann mit einer neuen WAN-Adresse einhergehen. Löse den für Immich verwendeten Hostnamen auf und vergleiche das Ergebnis mit der öffentlichen IP-Adresse, die deiner Heimverbindung aktuell zugewiesen ist. Stimmen die Werte nicht überein, leitet der Name Clients an den alten Endpunkt weiter, obwohl alle lokalen Dienste funktionieren.

Dynamic DNS hält einen Hostnamen mit einer sich ändernden öffentlichen Adresse synchron. Wenn der Hostname weiterhin auf die alte WAN-Adresse zeigt, erreichen externe Clients weiterhin das falsche Ziel, bis der Eintrag und die relevanten Caches aktualisiert wurden. Sieh nach, wie Dynamic DNS sich ändernde IP-Adressen verfolgt, korrigiere den Aktualisierungsdienst oder den Eintrag und teste anschließend erneut über einen externen Resolver und das Mobilfunknetz.

Wenn die WAN-Adresse des Routers nicht mit der im Internet sichtbaren öffentlichen Adresse übereinstimmt, befindet sich die neue Verbindung möglicherweise hinter Carrier-Grade-NAT oder einer anderen vorgelagerten NAT-Schicht. Bei NAT zwischen Peers und dem öffentlichen Internet kann eine Änderung der Portweiterleitung am Heimrouter den Dienst möglicherweise nie erreichbar machen. Verwende in diesem Fall eine öffentliche Adresse, einen VPN-/Overlay-Zugriff oder eine andere Zugriffsmethode, die nicht auf unaufgeforderte eingehende Weiterleitungen angewiesen ist.

-15% OFF

ZimaBoard 2 – Mini-Heimserver für Ihre große Idee

Single board computer zimaboard2

$339.00 - $519.00

Buy Now

Status von Reverse-Proxy, TLS und Firewall nach der Netzwerkänderung prüfen

Wenn externer Datenverkehr den Host erreicht, Immich sich aber weiterhin nicht öffnen lässt, überprüfe die Identitätsebenen, die der Router nicht verwaltet. Bestätige, dass der Reverse-Proxy weiterhin auf die aktuelle Immich-Adresse und den richtigen Port zeigt, der Hostname zur Proxy-Route passt und die Server-Firewall den vorgesehenen Zugriff aus dem neuen LAN-Subnetz erlaubt.

Wenn eine Domain die falsche Proxy-Site erreicht, durch Weiterleitungen in einer Schleife landet oder einen Zertifikatsfehler wegen eines falschen Namens anzeigt, handelt es sich nicht mehr um ein einfaches Portweiterleitungsproblem. Halte den funktionierenden IP-Zugriff und den fehlschlagenden Hostnamen-Zugriff getrennt, während du DNS, SNI, Host-Routing und eine konfigurierte öffentliche URL überprüfst. Stelle Zertifikate nicht blind neu aus, solange der Hostname noch auf die falsche öffentliche Adresse zeigt.

Für einen umfassenderen Entscheidungsbaum solltest du lokale Erreichbarkeit von Fehlern im öffentlichen Zugriffsweg trennen, bevor du serverseitige Lösungen wiederholst. Sobald bestätigt ist, dass Immich lokal funktioniert, beschränkt ein Routerwechsel die Untersuchung auf Adressierung, NAT, DNS, Firewall, Proxy und TLS.

Von außerhalb erneut testen und den kleinsten sicheren Zugriffsweg wählen

Nachdem du eine Ursache behoben hast, wiederhole den ursprünglichen Test über das Mobilfunknetz mit demselben Hostnamen und Client. Starte anschließend den Router einmal neu und fahre den Immich-Host einmal neu hoch. Die Lösung ist nur dann dauerhaft, wenn der Server das erwartete LAN-Ziel behält, DNS weiterhin korrekt auflöst und der externe Zugriff ohne manuelles Eingreifen wieder funktioniert.

Wenn du auf direkten eingehenden Zugriff setzt, überprüfe, dass nur der vorgesehene HTTPS-Zugriffsweg öffentlich ist und alte temporäre Regeln entfernt wurden. Für den Zugriff ausschließlich durch Familienmitglieder kann ein Mesh-VPN oder ein authentifizierter Tunnel die Abhängigkeit von Portweiterleitungen und wechselnden öffentlichen Adressen verringern, insbesondere wenn sich der neue Router oder der ISP-Zugriffsweg nur schwer kontrollieren lässt.

Beende weitere Netzwerkänderungen, sobald Anfragen zuverlässig den richtigen Proxy oder Immich-Endpunkt erreichen und der ursprüngliche Client wieder funktioniert. Wenn der lokale Zugriff weiterhin funktioniert, aber trotz korrektem öffentlichen Pfad und korrektem DNS niemals externe Pakete deinen Router erreichen, wende dich an den ISP oder wechsle das Zugriffsmodell. Das ist ein Problem an der Netzwerkgrenze und kein Grund, Immich neu aufzusetzen.