Hinter CGNAT: so bekommen Sie eine öffentliche IP auf den eigenen Router

Warum Portweiterleitung auf einer geteilten IPv4-Adresse nicht mehr funktioniert, wie Sie erkennen, ob Ihr Anschluss eine hat, und die vier Wege darum herum, mit ihren Grenzen.

6 Min. Lesezeit · Aktualisiert am 19.10.2026

Sie richten eine Portweiterleitung auf dem Router ein, öffnen den Port in der Firewall, und von außen kommt nie etwas an. Auf vielen Privat- und Mobilfunkanschlüssen in Luxemburg und Belgien ist das kein Konfigurationsfehler. Die Adresse, die Ihr Router vom Provider bekommt, ist keine öffentliche.

Was CGNAT ist

IPv4-Adressen sind seit Jahren aufgebraucht. Um weiter neue Kunden anzuschließen, setzen Provider viele davon hinter eine gemeinsame öffentliche Adresse und übersetzen dazwischen: Carrier-Grade NAT, kurz CGNAT. Ihr Router macht für Ihr Heimnetz weiterhin sein eigenes NAT, es liegen also zwei Übersetzungsschichten zwischen Ihren Geräten und dem Internet. Ausgehende Verbindungen laufen problemlos. Eingehende haben kein Ziel: Ein Paket, das an der geteilten Adresse ankommt, könnte zu jedem der hunderten Kunden dahinter gehören, und der Übersetzer des Providers weiß nicht, dass Ihrer es haben will.

Portweiterleitung, dynamisches DNS, ein VPN-Server zu Hause, ein Spiele- oder Medienserver für Freunde, Fernzugriff auf eine Kamera oder ein NAS: Alles davon braucht eine eingehende Verbindung, und alles davon scheitert hinter CGNAT.

So prüfen Sie, ob Sie dahinter sind

1. Adressen vergleichen.Melden Sie sich am Router an und notieren Sie die WAN- oder Internetadresse, die er anzeigt. Öffnen Sie dann von einem Gerät im Netz eine beliebige „Wie ist meine IP"-Seite. Unterscheiden sich die beiden, liegt eine weitere NAT-Schicht zwischen Ihnen und dem Internet.
2. Die WAN-Adresse des Routers ansehen.Eine Adresse, die mit 100.64 bis 100.127 beginnt, stammt aus dem für Carrier-Grade NAT reservierten Bereich (RFC 6598). 10.x, 172.16 bis 172.31 und 192.168.x auf der WAN-Seite bedeuten dasselbe.
3. Von außen testen.Leiten Sie einen Port weiter und versuchen Sie ihn von einem Handy über Mobilfunkdaten zu erreichen, nicht über Ihr eigenes WLAN. Meldet der Router die Weiterleitung als aktiv und es kommt trotzdem nichts an, ist der eingehende Weg vor Ihrem Router blockiert.

Eine dynamische öffentliche Adresse ist ein anderes Problem. Sie ist öffentlich und erreichbar; sie ändert sich nur. Dynamisches DNS löst das. CGNAT löst es nicht, weil es keine eigene Adresse gibt, auf die der Name zeigen könnte.

Die vier Wege darum herum

1. Beim Provider eine öffentliche Adresse verlangen. Manche Provider nehmen einen Kunden auf Wunsch aus dem CGNAT, manchmal gegen Aufpreis, manchmal nur im Geschäftstarif. Das ist die sauberste Lösung, wo es sie gibt: An Ihrer Einrichtung ändert sich nichts. Fragen Sie zuerst danach.

2. IPv6 nutzen. Die meisten Provider, die bei IPv4 CGNAT einsetzen, vergeben auch ein öffentliches IPv6-Präfix, und IPv6 kennt kein NAT. Wenn alle, die Sie erreichen müssen, IPv6 haben (die meisten Mobilfunknetze haben es), können Sie Dienste nur über IPv6 anbieten. Die Grenze liegt auf der anderen Seite: Ein Besucher in einem reinen IPv4-Netz erreicht einen reinen IPv6-Dienst nicht.

3. Den Dienst woanders betreiben. Muss der Dienst nicht zu Hause laufen, betreiben Sie ihn auf einem Server mit öffentlicher Adresse und lassen das Heimnetz privat. Ein kleiner VPS kommt mit öffentlicher IPv4- und IPv6-Adresse und ist die richtige Antwort für eine Website, einen Mailserver oder einen VPN-Endpunkt.

4. Ein Tunnel von einem Anbieter mit öffentlichen Adressen. Ihr Router baut eine ausgehende VPN-Verbindung zu einem Server auf, der öffentlichen Adressraum hat, und der Anbieter routet eine öffentliche Adresse durch diese Verbindung zu Ihnen zurück. Ausgehende Verbindungen funktionieren hinter CGNAT, also kommt der Tunnel zustande; steht er, fließt der Verkehr für die öffentliche Adresse durch ihn zu Ihrem Router, der dann wie gewohnt Ports weiterleitet. Die Hardware bleibt zu Hause und bekommt eine echte Adresse.

Was ein Tunnel kann und was nicht

Der IP Tunnel von NovaNode ist Option 4: ein WireGuard-Tunnel aus unserem Netz in Luxemburg, der eine feste IPv4-Adresse und ein IPv6-Präfix zu Ihrem Router oder Server routet. Was Sie vor diesem Weg wissen sollten, bei uns wie bei jedem anderen:

• Ihre Seite baut auf.Es ist nur ausgehendes UDP zum Endpunkt nötig, deshalb funktioniert es hinter CGNAT. Blockiert oder drosselt Ihr Provider UDP, kommt der Tunnel nicht zustande oder läuft schlecht; das ist eine Sache zwischen Ihnen und Ihrem Provider.
• Der gesamte Verkehr der öffentlichen Adresse läuft durch den Tunnel, in beide Richtungen. Ihr Upload zu Hause wird zum Download dessen, der sich mit Ihnen verbindet.
• Die Adresse gehört dem Anbieter.Die Geolokalisierung sagt Luxemburg, der Abuse-Kontakt ist der des Anbieters, und bei Kündigung geht die Adresse an ihn zurück. Reverse DNS wird auf Anfrage gesetzt.
• Es ist ein einziger Weg.Unser Tunnel läuft über einen Endpunkt, Best Effort, ohne SLA; ein redundanter Aufbau mit zweitem Endpunkt ist auf Anfrage als Zusatz möglich. Ist der Tunnel unten, ist die öffentliche Adresse unten.
• Mail ist eingeschränkt.Ausgehender Port 25 ist standardmäßig geschlossen und wird nach Prüfung geöffnet. Die meisten anderen Ports werden unverändert weitergeleitet.
• Fair Use gilt.Die Kapazität ist geteilt; was als Fair Use gilt, steht in den Produktbedingungen, und eine dedizierte Bandbreite kann angeboten werden.
• Kein BGP, keine AS-Nummer nötig.Die Adresse wird statisch zum Tunnel geroutet. Wer eigene Präfixe ankündigen will, braucht ein anderes Produkt: siehe Was ein Sponsoring LIR macht.

Wie eine WireGuard-Konfiguration dafür aussieht und wie ein Angebot zustande kommt, steht auf der Seite IP Tunnel. Für einen Aufbau, den Sie selbst auf einem VPS betreiben, funktioniert dieselbe Idee mit jedem WireGuard-fähigen Router und der eigenen Adresse des VPS.

Welche Option, in der Praxis

• Ein oder zwei Ports müssen von außen erreichbar sein, der Provider bietet eine öffentliche IP gegen kleinen Aufpreis: Option 1.
• Nur Sie und Ihre eigenen Geräte müssen hinein, alle über Mobilfunk oder moderne Anschlüsse: Option 2, nur IPv6, kostenlos.
• Der Dienst muss nicht zu Hause stehen: Option 3, ein VPS.
• Die Hardware muss bleiben, wo sie ist, und IPv4-Besucher müssen sie erreichen: Option 4, ein Tunnel.

Hat das nicht geholfen? Ticket eröffnen und sagen Sie uns, was Sie versucht haben.