Was ist CGNAT? Geteilte IPs und Portweiterleitung

Carrier-Grade NAT (CGNAT) ist eine IPv4-Adressumsetzung im Netz des Internetanbieters. Damit teilen sich mehrere Kunden eine öffentliche IPv4-Adresse. Ausgehende Verbindungen funktionieren meist normal, eingehende Zugriffe auf einen Server zu Hause sind ohne eine vom Provider unterstützte Lösung aber oft nicht möglich.

CGNAT und Ihr Heimrouter

Ihr Heimrouter setzt Geräte wie 192.168.1.20 womöglich bereits auf seine externe Adresse um. Bei CGNAT übersetzt der Provider diese externe Adresse noch einmal in eine geteilte öffentliche IPv4-Adresse. Zwischen einem entfernten Server und Ihrem Gerät liegen dann zwei Übersetzungstabellen. Konfigurieren können Sie nur die Tabelle zu Hause; eine Portweiterleitung in Ihrem Router legt keine passende Regel in den Geräten des Providers an. Beim Surfen fällt diese zusätzliche Ebene kaum auf – sie wird aber entscheidend, sobald jemand eine Verbindung zu Ihnen nach Hause aufbauen will.

So erkennen Sie CGNAT

Suchen Sie auf der Statusseite des Routers die IPv4-Adresse seiner externen Schnittstelle. Vergleichen Sie sie mit der Adresse, die die IP-Abfrage von 2IP anzeigt. Weichen die Werte voneinander ab und erklärt weder ein VPN noch ein zweiter Heimrouter den Unterschied, ist eine Adressumsetzung beim Provider denkbar. Provider verwenden häufig 100.64.0.0/10, einen gemeinsam genutzten Adressraum von 100.64.0.0 bis 100.127.255.255. Er ist in RFC 6598 definiert und unterscheidet sich von den privaten Blöcken aus RFC 1918. Fehlt dieser Bereich, ist CGNAT damit nicht ausgeschlossen, denn Betreiber können einen anderen Adressplan verwenden.

Warum eine Portprüfung scheitern kann

Eine lokale Prüfung zeigt unter Umständen, dass Ihre Anwendung lauscht, während die Portprüfung von 2IP sie von außen nicht erreicht. Bei CGNAT landet ein eingehendes Paket zuerst an der geteilten Adresse des Providers, und der Provider braucht eine Zuordnung, um zu wissen, welcher Kunde es erhalten soll. Bevor Sie CGNAT verantwortlich machen, prüfen Sie den eigentlichen Dienst, seinen TCP- oder UDP-Port, die Firewall zu Hause und die Regel im Router. VPNs, Cloud-Proxys und zusätzliche Router können ähnliche Symptome hervorrufen. Eine Portprüfung ist nur eine einzelne Beobachtung, kein vollständiger Funktionstest der Anwendung.

Optionen, die Sie mit Ihrem Provider klären können

Fragen Sie, ob eine öffentliche IPv4-Adresse und eingehende Verbindungen verfügbar sind und ob die Adresse fest oder dynamisch ist. Unterstützen beide Seiten IPv6, können Sie den Dienst über IPv6 mit sorgfältig eingegrenzten Firewallregeln bereitstellen. Manche Anwendungen bauen stattdessen eine ausgehende, geschützte Verbindung zu einem Relay auf; das wirft zusätzliche Fragen zu Vertrauen und Sicherheit auf. Geben Sie nicht ein ganzes Gerät frei, nur um eine erfolgreiche Portprüfung zu erhalten. CGNAT bedeutet für sich genommen nicht, dass der normale Internetzugang gestört ist, und es verbirgt die Identität eines Kunden nicht vor seinem Provider.