Komme nicht auf meinen Raspberry Pi (IPv6, FritzBox, Kabel)

Mein RPi hat einen HTTPS-Server mit nginx, auf den ich aus dem lokalen 
Netz problemlos raufkomme, also z.b. https://raspberrypi/:

1

server {

2

 server_name sub.example.com;

3

4

 location / { try_files $uri @app; }

5

 location @app {

6

  include uwsgi_params;

7

  uwsgi_pass unix:/tmp/flaskapp.sock;

8

 }

9

10

    listen [::]:443 ssl ipv6only=on; # managed by Certbot

11

    listen 443 ssl; # managed by Certbot

12

    ssl_certificate /etc/letsencrypt/live/sub.example.com/fullchain.pem; # managed by Certbot

13

    ssl_certificate_key /etc/letsencrypt/live/sub.example.com/privkey.pem; # managed by Certbot

14

    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot

15

    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

16

}

17

18

server {

19

    if ($host = sub.example.com) {

20

        return 301 https://$host$request_uri;

21

    } # managed by Certbot

22

23

 listen *:80;

24

 listen [::]:80;

25

 server_name sub.example.com;

26

    return 404; # managed by Certbot

27

}

Ich habe auch einen DNS der auf die korrekte IPv6 verweist.
Sie stimmt mit ifconfig bzw. curl ifconfig.co überein.
Über diese komme ich ebenfalls (aus meinem Netz) auf den Server, z.B. 
https://[x.x.x.x.x.x.x.x]/

Von einem anderen Server funktioniert auch ein curl 
https://sub.example.com/.
Traceroute von dort endet an der Fritzbox mit !X, obwohl Ping6 in der FB 
für das Gerät erlaubt ist.
Der Let'sEncrypt certbot konnte auch drauf zugreifen (Freigabe auch für 
http auf Port 80).

Aus meinem Netz funktioniert aber der Zugriff via Domain 
(https://sub.example.com/) nicht: Server / Seite nicht gefunden.
Ich habe die DNS von Vodafone und Google ausprobiert.
Ich habe den DNS Cache von Windows 10 geleert.
nslookup -d2 guckt beim richtigen DNS nach.
Aber:

    nslookup sub.example.com
    Server:  fritz.box
    Address:  192.168.178.1

    Name:    sub.example.com

spuckt keine globale IP aus, und auch nicht die vom RPi.
Hier liegt wohl der Hund begraben.

    nslookup sub.example.com 8.8.8.8

löst korrekt auf.

Die FritzBox macht:

- Unique Local Addresses (ULA) zuweisen, solange keine 
IPv6-Internetverbindung besteht (empfohlen)
- Diese FRITZ!Box stellt den Standard-Internetzugang zur Verfügung
- DNSv6-Server auch über Router Advertisement bekanntgeben (RFC 5006)
- DNS-Server und IPv6-Präfix (IA_PD) zuweisen


Wo genau liegt das Problem bzw. wie finde ich das raus?