CGNAT: Wenn der Provider keine eigene IP-Adresse gibt

Kurz: Beim Carrier-Grade NAT teilen sich viele Kunden eine öffentliche IPv4-Adresse, sodass sich Server zu Hause aus dem Internet nicht erreichen lassen.

Genauer: Öffentliche IPv4-Adressen sind knapp. Viele Provider setzen deshalb CGNAT (Carrier-Grade NAT, auch „DS-Lite“ bei manchen Kabel- und Glasfaseranschlüssen) ein: Der Router des Kunden bekommt nur eine private Adresse des Providers (oft aus 100.64.0.0/10), und der Provider übersetzt viele Kunden auf wenige öffentliche Adressen.

Im Detail

Unterschied zum normalen NAT

Zu Hause übersetzt dein Router ohnehin private Adressen (192.168.x.x) auf eine öffentliche. Mit CGNAT passiert das noch einmal beim Provider („doppeltes NAT“). Von außen ist dein Anschluss damit nicht direkt ansprechbar, eine Portfreigabe im eigenen Router wirkt nicht, weil der Provider-Router dazwischen die Verbindung nicht weiterleitet.

Woran man es erkennt

Vergleiche die WAN-Adresse im Router mit der Adresse, die eine Webseite („Wie ist meine IP?“) zeigt. Weichen sie ab oder liegt die WAN-Adresse im Bereich 100.64.0.0 bis 100.127.255.255, steckst du hinter CGNAT. Bei DS-Lite erhält der Anschluss nur eine IPv6-Adresse, IPv4-Verkehr wird über einen Tunnel zum Provider geführt.

Folgen

• Heimserver, Spielehosting, Fernzugriff auf Kameras oder NAS per Portfreigabe gehen nicht.
• Manche Peer-to-Peer-Programme und Spiele haben Verbindungsprobleme.
• Mehr Kunden hinter einer Adresse: Mitgenutzte Adressen können bei Missbrauch anderer gesperrt werden.
• Auskunft über „wer war es?“ ist für Provider aufwendiger.

Auswege

• IPv6 nutzen: Mit einem IPv6-Präfix ist jedes Gerät direkt erreichbar (mit passenden Firewall-Regeln).
• Beim Provider eine öffentliche IPv4-Adresse buchen oder auf einen Tarif ohne CGNAT wechseln.
• VPN-Tunnel (zum Beispiel WireGuard zu einem gemieteten Server) oder Dienste wie Tailscale oder Cloudflare Tunnel, die ausgehende Verbindungen nutzen und deshalb keine Portfreigabe brauchen.

Siehe auch: NAT, IPv6, WireGuard, IP-Adressen