Hannert CGNAT: esou kritt Dir eng ëffentlech IP op Ären eegene Router

Firwat Port-Forwarding op enger gedeelter IPv4-Adress net méi geet, wéi Dir gesitt, ob Är Verbindung esou eng huet, an déi véier Weeër dolaanscht, mat hire Grenzen.

6 Min. Liesen · Aktualiséiert de(n) 19.10.2026

Dir riicht Port-Forwarding um Router an, maacht de Port an der Firewall op, a vu baussen kënnt ni eppes un. Op ville Privat- a Mobil-Verbindungen zu Lëtzebuerg an an der Belsch ass dat kee Feeler an der Konfiguratioun. D'Adress, déi Äre Router vum Provider kritt, ass keng ëffentlech.

Wat CGNAT ass

IPv4-Adresse sinn zënter Joren op. Fir weider nei Clienten unzeschléissen, setzen d'Provider der vill hannert eng gemeinsam ëffentlech Adress an iwwersetzen dertëschent: Carrier-Grade NAT, kuerz CGNAT. Äre Router mécht fir Äert Netz doheem nach ëmmer säin eegent NAT, et leien also zwou Schichten Iwwersetzung tëscht Äre Geräter an dem Internet. Verbindungen no baussen lafe problemlos. Verbindungen no bannen hu keen Zil: e Pak, dat op der gedeelter Adress ukënnt, kéint zu jiddwerengem vun den Honnerte Clienten dohannert gehéieren, an den Iwwersetzer vum Provider weess net, datt Ären et wëll.

Port-Forwarding, dynameschen DNS, e VPN-Server doheem, e Game- oder Media-Server, op dee Frënn sech verbannen, Zougang vu bausse op eng Kamera oder en NAS: alles dat brauch eng Verbindung no bannen, an alles dat schléit hannert CGNAT feel.

Esou kontrolléiert Dir, ob Dir dohannert sidd

1. Adresse vergläichen.Loggt Iech um Router an an notéiert d'WAN- oder Internetadress, déi en uweist. Maacht dann op engem Gerät am Netz iergendeng „Wat ass meng IP“-Säit op. Sinn déi zwou verschidden, läit nach eng NAT-Schicht tëscht Iech an dem Internet.
2. D'WAN-Adress vum Router kucken.Eng Adress, déi mat 100.64 bis 100.127 ufänkt, kënnt aus dem Beräich, dee fir Carrier-Grade NAT reservéiert ass (RFC 6598). 10.x, 172.16 bis 172.31 an 192.168.x op der WAN-Säit bedeiten dat selwecht.
3. Vu bausse testen.Leet e Port weider a probéiert, en vun engem Handy iwwer mobil Daten z'erreechen, net iwwer Äert eegent WLAN. Mellt de Router, datt d'Weiderleedung aktiv ass, mee et kënnt trotzdeem näischt un, dann ass de Wee no banne virun Ärem Router blockéiert.

Eng dynamesch ëffentlech Adress ass en anere Problem. Si ass ëffentlech an z'erreechen; si ännert just. Dynameschen DNS léist dat. CGNAT léist en net, well et keng eegen Adress gëtt, op déi den Numm kéint weisen.

Déi véier Weeër dolaanscht

1. Beim Provider eng ëffentlech Adress froen. E puer Provider huelen e Client op Ufro aus dem CGNAT eraus, heiansdo géint en Opschlag am Mount, heiansdo just an engem Abonnement fir Betriber. Dat ass déi propperst Léisung, wou et se gëtt: un Ärer Installatioun ännert näischt. Frot dat als éischt.

2. IPv6 benotzen. Déi meescht Provider, déi bei IPv4 CGNAT benotzen, verginn och en ëffentlechen IPv6-Prefix, an IPv6 kennt guer keen NAT. Wann all déi, déi Iech mussen erreechen, IPv6 hunn (déi meescht Netzer vun de Mobil-Operateuren hunn et), kënnt Dir Servicer nëmmen iwwer IPv6 ubidden. D'Grenz läit op der anerer Säit: e Visiteur an engem rengen IPv4-Netz erreecht e rengen IPv6-Service net.

3. De Service soss anzwousch hosten. Muss de Service net doheem lafen, loosst en op engem Server mat enger ëffentlecher Adress lafen an hält d'Netz doheem privat. E klengen VPS kënnt mat enger ëffentlecher IPv4- an IPv6-Adress an ass déi richteg Äntwert fir eng Websäit, e Mail-Server oder e VPN-Endpoint.

4. En Tunnel vun engem Ubidder mat ëffentlechen Adressen. Äre Router mécht eng VPN-Verbindung no baussen op e Server op, deen ëffentlech Adressen huet, an den Ubidder routéiert eng ëffentlech Adress duerch déi Verbindung zréck bei Iech. Verbindungen no bausse funktionéieren hannert CGNAT, also kënnt den Tunnel op; steet en, leeft den Trafic fir d'ëffentlech Adress duerch en op Äre Router, dee wéi gewinnt Ports weiderleet. D'Hardware bleift doheem a kritt eng richteg Adress.

Wat en Tunnel mécht a wat net

Den IP Tunnel vun NovaNode ass d'Optioun 4: e WireGuard-Tunnel aus eisem Netz zu Lëtzebuerg, deen eng fest IPv4-Adress an en IPv6-Prefix op Äre Router oder Server routéiert. Wat Dir wësse sollt, ier Dir dëse Wee wielt, bei eis wéi bei all aneren:

• Är Säit baut op.Et ass just UDP no baussen op den Endpoint néideg, dofir geet et hannert CGNAT. Blockéiert oder brems Äre Provider UDP, kënnt den Tunnel net op oder leeft schlecht; dat ass eng Saach tëscht Iech an Ärem Provider.
• De ganzen Trafic fir d'ëffentlech Adress leeft duerch den Tunnel, a béid Richtungen. Ären Upload doheem gëtt den Download vun deem, dee sech mat Iech verbënnt.
• D'Adress gehéiert dem Ubidder.D'Geolokalisatioun seet Lëtzebuerg, den Abuse-Kontakt ass dee vum Ubidder, a bei der Kënnegung geet d'Adress zréck un hien. Reverse DNS gëtt op Ufro gesat.
• Et ass een eenzege Wee.Eisen Tunnel leeft iwwer een Endpoint, Best Effort, ouni SLA; en redundanten Opbau mat engem zweeten Endpoint ass op Ufro als Zousaz méiglech. Ass den Tunnel ewech, ass d'ëffentlech Adress ewech.
• Mail ass ageschränkt.De Port 25 no baussen ass par défaut zou a gëtt no enger Iwwerpréiwung opgemaach. Déi meescht aner Ports gi wéi se sinn weidergeleet.
• Fair Use gëllt.D'Kapazitéit ass gedeelt; wat als Fair Use zielt, steet an de Produit-Bedingungen, an eng Bandbreet nëmme fir Iech kann offréiert ginn.
• Kee BGP, keng AS-Nummer néideg.D'Adress gëtt statesch op den Tunnel routéiert. Wëllt Dir eege Prefixen ukënnegen, ass dat en anert Produit: kuckt Wat e Sponsoring LIR mécht.

Wéi eng WireGuard-Konfiguratioun dofir ausgesäit a wéi eng Offer leeft, steet op der Säit IP Tunnel. Fir en Opbau, deen Dir selwer op engem VPS bedreift, funktionéiert déi selwecht Iddi mat all Router, dee WireGuard kann, an der eegener Adress vum VPS.

Wéi eng Optioun, an der Praxis

• Een oder zwee Ports musse vu bausse z'erreeche sinn, de Provider bitt eng ëffentlech IP géint e klengen Opschlag: Optioun 1.
• Just Dir an Är eege Geräter musse eran, all iwwer Mobil oder modern Verbindungen: Optioun 2, nëmmen IPv6, gratis.
• De Service muss net doheem stoen: Optioun 3, e VPS.
• D'Hardware muss bleiwen, wou se ass, an IPv4-Visiteure mussen se erreechen: Optioun 4, en Tunnel.

Huet dat net gehollef? Maacht en Ticket op a sot eis, wat Dir probéiert hutt.