Doppel-NAT erkennen und beheben: Router hinter Router, CGNAT und Ports

Doppel-NAT bedeutet, dass zwei Geräte hintereinander IPv4-Adressen übersetzen, etwa ein eigener Router hinter dem Provider-Router. Für normale Webnutzung fällt das oft nicht auf. Bei eingehenden Verbindungen, Portfreigaben oder bestimmten Peer-to-Peer-Spielen kann jedoch die zweite Übersetzung den Verbindungsweg komplizieren.

Doppel-NAT von CGNAT unterscheiden

Prüfe zuerst die WAN-Adresse deines eigenen Routers. Ist sie eine private IPv4-Adresse wie aus 192.168.0.0/16, 10.0.0.0/8 oder 172.16.0.0/12, sitzt sehr wahrscheinlich noch ein Router davor. Vergleiche danach mit der WAN-Adresse des vorgeschalteten Geräts und der von extern sichtbaren IPv4-Adresse. Prüfe gegebenenfalls auch die Carrier-Grade-NAT-Adressierung im Bereich 100.64.0.0/10.

Zwei Heimrouter lassen sich meistens lokal konfigurieren. CGNAT findet dagegen beim Provider statt; dort kann deine eigene Portfreigabe nicht die öffentliche IPv4-Adresse übernehmen. Die Grundlagen stehen bei DS-Lite vs. CGNAT.

Woran du das Problem bemerkst

Ein typisches Symptom ist, dass eine Weiterleitung im inneren Router eingerichtet wurde, die Gegenstelle von außerhalb aber nicht erreichbar ist. Das ist kein Beweis für Doppel-NAT: eine lokale Firewall, falsche Ziel-IP oder ein nicht laufender Dienst erzeugt denselben Eindruck. Teste erst, ob der Dienst lokal auf der richtigen Adresse und dem erwarteten Protokoll lauscht.

NAT beeinflusst in diesem Zusammenhang Erreichbarkeit, nicht automatisch die Latenz. Ein Ping-Problem allein lässt sich deshalb nicht durch das Umstellen des Routers auf Bridge-Modus erklären.

Drei vernünftige Lösungswege

1. Eigenen Router als Access Point betreiben, wenn seine Routerfunktionen nicht gebraucht werden.
2. Provider-Gerät in einen unterstützten Bridge-/Modem-Modus versetzen, wenn Verbindung und Vertrag das zulassen.
3. Bewusst zwei Router behalten und die notwendigen Weiterleitungen durch beide Stufen planen.

Welche Variante möglich ist, hängt von Provideranschluss, Telefonie, IPTV, VLAN und verwendeten Geräten ab. Bei Änderungen können Internet und interne Dienste zeitweise ausfallen. Vorher Konfiguration sichern und administrative Zugänge prüfen.

Anschließend wirklich extern testen

Ein erfolgreicher LAN-Test oder ein Verbindungsversuch auf die öffentliche IP aus demselben Heimnetz ist nicht immer aussagekräftig. Prüfe mit einem zweiten Netz, ob der gewünschte Dienst erreichbar ist. Nutze bei einem Gameserver die passende UDP-/TCP-Portliste und sichere Managementports getrennt.

Die vollständige Reihenfolge findest du unter Portfreigabe funktioniert nicht. Für Server gilt: Erreichbarkeit so eng wie nötig gestalten; einen Admin-Port nicht nur deshalb ins Internet öffnen, weil der Game-Port offen sein muss.