Inhalt dieses Guides
Bei Carrier-Grade NAT teilen sich mehrere Kunden eine öffentliche IPv4-Adresse. Dann endet deine Portfreigabe am eigenen Router und eingehende IPv4-Verbindungen können trotzdem scheitern.
Arbeitsmodus
Nutze den Guide als reproduzierbaren Arbeitsablauf statt mehrere Änderungen gleichzeitig auszuprobieren.
Carrier-Grade NAT (CGNAT) bedeutet, dass nicht nur dein eigener Router Adressen übersetzt. Zusätzlich betreibt der Internetanbieter ein NAT-System, hinter dem sich mehrere Kunden eine öffentliche IPv4-Adresse teilen. Für normale ausgehende Verbindungen funktioniert das meist unauffällig. Eigene öffentlich erreichbare Dienste werden dadurch aber schwieriger.
Warum Anbieter CGNAT einsetzen
Öffentliche IPv4-Adressen sind knapp. CGNAT erlaubt es einem Provider, eine öffentliche IPv4-Adresse für mehrere Kunden zu verwenden. RFC 6598 reserviert dafür den Bereich 100.64.0.0/10 als sogenannten Shared Address Space.
Der einfachste Erkennungstest
- Öffne die Internet-/WAN-Statusseite deines Routers.
- Notiere die dort zugewiesene IPv4-Adresse.
- Vergleiche sie mit der öffentlichen IPv4, die ein externer Dienst im Internet sieht.
Wenn beide Adressen deutlich voneinander abweichen, befindet sich mindestens eine weitere Übersetzungsschicht vor deinem Router. Das kann CGNAT sein.
100.64.0.0/10 ist ein starkes Indiz
Liegt die WAN-Adresse deines Routers zwischen 100.64.0.0 und 100.127.255.255, verwendest du den von RFC 6598 für Shared Address Space reservierten Bereich. Diese Adressen sind nicht global routbar.
Auch private WAN-Adressen sind verdächtig
Wenn dein Router am WAN beispielsweise eine Adresse aus 10.0.0.0/8, 172.16.0.0/12 oder 192.168.0.0/16 erhält, befindet sich ebenfalls ein privates Netz vor deinem Router. Das kann ein zweiter eigener Router sein – klassisches Double NAT – oder Infrastruktur des Providers.
Warum eine Portfreigabe dann nicht reicht
Dein Router kann eingehenden Traffic nur weiterleiten, den er selbst erhält. Bei CGNAT endet eine Verbindung zur öffentlichen IPv4 zunächst am NAT-System des Providers. Dort existiert in der Regel keine individuelle Portweiterleitung zu deinem Anschluss.
Deshalb kann die Regel im Heimrouter vollkommen korrekt aussehen und ein Portscanner trotzdem „geschlossen“ melden.
Welche Lösungen gibt es?
- Öffentliche IPv4 beim Provider: manche Tarife oder Provider bieten sie auf Anfrage oder gegen Aufpreis.
- IPv6: wenn Spiel, Server, Clients und Firewall damit umgehen können, lässt sich die NAT-Problematik für IPv6 vermeiden.
- Externer Server/VPS: der Dienst läuft direkt in einem Rechenzentrum.
- Tunnel/VPN mit Portweiterleitung: technisch möglich, aber Dienstbedingungen und Sicherheitsmodell genau prüfen.
CGNAT ist nicht dasselbe wie Double NAT
Double NAT bedeutet nur, dass zwei NAT-Router hintereinander stehen. Wenn beide dir gehören, kannst du oft beide konfigurieren oder einen in einen Bridge-/Access-Point-Modus versetzen. Bei CGNAT gehört die äußere NAT-Schicht dem Provider und du hast normalerweise keinen administrativen Zugriff.
Was bedeutet das für Gameserver?
Ein Minecraft-, Valheim- oder anderer Gameserver im Heimnetz kann ausgehend problemlos Updates laden und Verbindungen initiieren. Eingehende IPv4-Verbindungen von Spielern scheitern jedoch, wenn der Provider sie nicht bis zu deinem Anschluss weiterleitet.
Für Minecraft erklären wir die komplette Kette unter Port 25565, Firewall und Router.