Inhalt dieses Guides
Checkliste für nicht funktionierende Portfreigaben: Dienst lauscht, Host-Firewall, richtige interne IP, TCP/UDP, Doppel-NAT, CGNAT, DS-Lite und externer Test.
Wie eine Verbindung wirklich durch dein Heimnetz läuft
Vom externen Client über die WAN-Adresse bis zum Dienst: Warum eine Portregel allein nicht genügt.
- WAN-Adresse und CGNAT unterscheiden
- Dienst, Ziel-IP und Firewall prüfen
- Über Mobilfunk extern gegenprüfen
Die vier Prüfstationen einer Portfreigabe
Bei CGNAT oder DS-Lite reicht eine klassische IPv4-Portregel am Heimrouter oft nicht.
- WAN-Adresse kontrollieren
- Host-Dienst und Firewall prüfen
- Externe Gegenprobe ausführen
Prüfe die Stationen nacheinander.
Hier werden keine Messwerte erhoben. Du prüfst lokal und dokumentierst die Ergebnisse selbst.
WAN & Provider
Ohne öffentlich erreichbare Zieladresse kommt eingehender IPv4-Verkehr häufig gar nicht bis zum Router.
WAN-IPv4 im Router mit der extern angezeigten IPv4 vergleichen. Zusätzlich DS-Lite / CGNAT beim Anschluss prüfen.
Adressen weichen ab oder die WAN-Adresse liegt in einem privaten/CGNAT-Bereich? Dann zuerst Anschlussart bzw. IPv6-Zugriff klären.
Dienst & Firewall
Eine Portregel hilft nicht, wenn kein Prozess lauscht oder die Host-Firewall blockiert.
Auf dem Server den tatsächlich gebundenen Port und das Protokoll prüfen; im LAN von einem zweiten Gerät testen.
Lokal nicht erreichbar? Erst Dienst, lokale Bindung, Firewall und Ziel-IP korrigieren.
Externe Gegenprobe
Ein Test aus demselben WLAN kann durch fehlendes NAT-Loopback täuschen.
Mit einer anderen Internetverbindung und einem echten Client die Verbindung zum öffentlichen Ziel testen.
Nur extern scheitert es? NAT-Regel, Zielgerät, IPv4/IPv6 und Providerbedingungen erneut abgleichen.
Fortschritt bleibt auf diesem Gerät und wird nicht übertragen.
Gameserver: Wo stoppt der externe Zugriff?
Ein erreichbarer lokaler Dienst garantiert keinen offenen WAN-Pfad. Vergleiche öffentliche Adresse, vorgeschaltetes NAT und Host-Firewall.
Referenz: Dienst lokal und anschließend aus einem fremden Netz testen.
Verdacht: CGNAT bzw. fehlende öffentliche IPv4 prüfen. Auch Host-Firewall und Serverprozess kommen infrage.
Jetzt selbst gegenprüfen.
- Lauschenden Dienst und Protokoll auf dem Server prüfen.
- WAN-Adresse des Routers und extern sichtbare IPv4 vergleichen.
- Von Mobilfunk oder einem fremden Anschluss testen.
Eigene Vektorgrafiken · schematische Referenz und mögliche Störung · kein Live-Test, keine echten Messwerte, keine Aussage über dein konkretes Gerät.
Netzwerk-Arbeitsmodus
Miss von innen nach außen: Gerät → LAN/WLAN → Router → Provider → Ziel.
Wo zeigt sich der Fehler?
Wenn Ethernet sauber läuft, beginne bei WLAN-Signal, Kanal und Position statt beim Provider.
Jetzt sind lokale Funkprobleme unwahrscheinlicher. Trenne Gateway, Internetpfad und Lastzustand.
Portfreigaben benötigen eine passende öffentliche Erreichbarkeit und einen lokal lauschenden Dienst.
Wenn eine Portfreigabe „offen“ sein soll, aber niemand den Dienst erreicht, wird häufig sofort am Router weitergeklickt. Das ist ineffizient. Eine Portweiterleitung kann nur funktionieren, wenn am Zielrechner tatsächlich ein Dienst auf dem erwarteten Port lauscht und die gesamte Kette bis ins Internet stimmt.
1. Lauscht der Dienst überhaupt?
Starte den Gameserver oder Dienst und prüfe lokal, ob er läuft. Ein Portscanner von außen kann keinen gestoppten Prozess sichtbar machen. Unter Windows helfen je nach Anwendung netstat, PowerShell oder die Serverlogs. Prüfe außerdem, ob der Dienst nur an 127.0.0.1 statt an der LAN-Adresse beziehungsweise allen Interfaces gebunden ist.
2. Funktioniert der Zugriff im LAN?
Teste von einem zweiten Gerät im selben Netz auf die interne IP des Servers. Scheitert bereits dieser Test, ist die Router-Portfreigabe noch nicht relevant. Prüfe Host-Firewall, Prozess, Bind-Adresse und den richtigen TCP-/UDP-Port.
3. Ist die Ziel-IP stabil?
Eine Weiterleitung auf 192.168.x.50 hilft nicht, wenn DHCP dem Server morgen .73 gibt. Nutze eine DHCP-Reservierung oder eine bewusst geplante statische Adresse. Dokumentiere dabei Gateway und DNS, damit du keine Inselkonfiguration erzeugst.
4. TCP und UDP nicht verwechseln
Viele Gameserver nutzen UDP, manche zusätzlich TCP. „Port 7777“ ist ohne Protokoll unvollständig. Öffne nur die laut aktueller Serverdokumentation benötigten Protokolle und Ports.
5. Doppel-NAT und Provider-NAT prüfen
Wenn dein eigener Router hinter einem zweiten Router arbeitet, muss der Pfad durch beide Geräte stimmen oder eines davon als Bridge/Modem arbeiten. Bei CGNAT beziehungsweise DS-Lite liegt die zusätzliche Übersetzung beim Provider; dort kannst du keine lokale Weiterleitung konfigurieren.
6. Wirklich von außen testen
Ein Test aus demselben LAN auf die öffentliche Adresse kann durch fehlendes NAT Loopback/Hairpin scheitern, obwohl der Dienst extern erreichbar ist. Nutze einen Mobilfunkzugang oder einen anderen externen Anschluss. Beachte: UDP lässt sich mit simplen Web-Portcheckern oft schlecht beurteilen, weil nicht jeder Dienst auf beliebige Pakete antwortet.
7. Keine „Alles freigeben“-Abkürzung
Exposed Host, DMZ oder das Abschalten der Host-Firewall sollten keine Dauerlösung sein. Wenn ein kurzer, kontrollierter Test damit einen Fehler eingrenzt, stelle anschließend die minimale Regel wieder her. Managementports wie RCON, SSH oder Admin-UIs gehören nicht ungefiltert ins Internet.
Vertiefung: NAT-Typen, DS-Lite vs. CGNAT und Gameserver-Portübersicht.
