CGNAT verständlich erklärt: Probleme mit Ports, Games und Heimservern

CGNAT ist eine Technologie, mit der Internetanbieter mehreren Kunden gleichzeitig eine einzige öffentliche IPv4-Adresse zur Verfügung stellen. Für alltägliches Surfen, Videostreaming und App-Nutzung bemerkt der Nutzer in der Regel keinen Unterschied. Probleme treten jedoch auf, sobald eingehende Verbindungen aus dem Internet benötigt werden: etwa beim Öffnen von Ports, dem Betrieb eines Heimservers, dem direkten Zugriff auf ein NAS oder dem Hosting eines Gameservers.

Was macht CGNAT besonders?

Das Besondere an CGNAT (Carrier Grade NAT) ist, dass die Adressübersetzung nicht nur vom Heimrouter erledigt wird, sondern zusätzlich im Netz des Providers. Der Nutzer kann deshalb die öffentliche externe IP nicht mehr direkt steuern, und klassisches Port Forwarding am Router löst das Problem nicht mehr.

Was bedeutet Carrier Grade NAT?

Hinter CGNAT verbirgt sich ein NAT-Verfahren auf Provider-Ebene, das ähnlich funktioniert wie das klassische NAT im Heimrouter, aber nicht nur für Geräte in einer Wohnung, sondern für hunderttausende Kunden eines Internetanbieters.

Beispiel: Heimnetz ohne und mit CGNAT

• Ohne CGNAT: Geräte wie Computer, Smartphone und Konsole bekommen interne IPs (z.B. 192.168.1.x). Der Router übersetzt den Datenverkehr auf eine öffentliche IPv4, die direkt dem Nutzer zugeordnet ist.
• Mit CGNAT: Der Heimrouter bekommt statt einer öffentlichen nur eine interne IP aus dem Providernetz. Erst die Hardware des Anbieters übersetzt dann auf eine gemeinsame öffentliche Adresse, die wiederum von vielen Kunden gleichzeitig genutzt wird.

Wie funktioniert CGNAT technisch?

Mit CGNAT entsteht ein zweistufiges NAT-Prinzip: Erst führt der Heimrouter die Adressübersetzung für das lokale Netzwerk durch, dann folgt eine weitere Übersetzung beim Provider. Der Nutzer kann nur die erste Stufe selbst konfigurieren, die zweite bleibt außerhalb seiner Kontrolle.

Solange Verbindungen aus dem eigenen Netz heraus initiiert werden, läuft alles problemlos: Die Provider-Hardware merkt sich jede gestartete Verbindung und leitet Antworten korrekt zurück. Bei eingehenden Verbindungen sieht das anders aus: Kommt eine Anfrage aus dem Internet an die CGNAT-geteilte IP, muss der Anbieter wissen, an welchen Kunden sie gehen soll - eine Regel, die der Nutzer nicht selbst einrichten kann.

Warum setzen Provider auf CGNAT?

Der Hauptgrund für den Einsatz von CGNAT ist die Knappheit an IPv4-Adressen. Das IPv4-Adressfeld ist mit rund 4,3 Milliarden Adressen begrenzt - viele davon sind bereits vergeben oder reserviert. Die Zahl der Geräte steigt aber weiter. Ein einzelner Provider kann Millionen Kunden haben, aber nicht jedem eine eigene öffentliche IPv4 zuweisen.

Durch CGNAT kann ein einziger externer IPv4 für viele Kunden verwendet werden. Die Unterscheidung erfolgt nicht nur über die IP, sondern auch über die TCP/UDP-Ports jedes Nutzers.

Langfristig gilt IPv6 als Lösung, da das Adressfeld riesig ist. Da aber IPv4 weiterhin weit verbreitet ist, bleibt CGNAT für viele Anbieter elementar.

Wie läuft eine Verbindung mit CGNAT ab?

1. Gerät → Heimrouter → Providernetz → CGNAT → Internet

Der Heimrouter erhält z.B. die interne Adresse 100.70.15.24 vom Provider, doch von außen ist ein ganz anderer öffentlicher IPv4 sichtbar - der von CGNAT verwaltet wird. Die Provider-Hardware führt Buch, welcher interne IP/Port zu welchem externen IP/Port gehört.

Solange die Verbindung vom Heimnetz ausgeht, funktioniert alles reibungslos. Problematisch wird es, wenn jemand aus dem Internet von außen initiieren möchte: Ohne Eintrag in der CGNAT-Tabelle weiß die Provider-Hardware nicht, an welchen Kunden sie das Paket schicken soll.

Öffentliche ("weiße") und interne ("graue") IPs bei CGNAT

Eine öffentliche (weiße) IP ist aus dem Internet direkt erreichbar. Erhält der Heimrouter eine solche Adresse, kann der Nutzer selbst Regeln für eingehende Verbindungen festlegen. Eine graue IP ist intern und nicht direkt aus dem Internet erreichbar.

• Für CGNAT gibt es den reservierten Bereich: 100.64.0.0 - 100.127.255.255
• Oft werden auch private Bereiche genutzt: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16

Ein Hinweis auf CGNAT ist, wenn die WAN-IP des Routers nicht mit der IP übereinstimmt, die ein externer Dienst anzeigt.

Mehr Details zur Funktionsweise von NAT und warum es bei Online-Games und P2P zu Problemen führt, finden Sie im Artikel NAT einfach erklärt: Warum Online-Games und P2P manchmal Probleme machen.

Warum funktionieren Port-Weiterleitung, Games und P2P bei CGNAT nicht?

Das zentrale Problem bei CGNAT sind eingehende Verbindungen. Solange der Nutzer selbst eine Verbindung zu einem Server aufbaut, kann CGNAT die Antwort zuordnen. Möchte aber jemand aus dem Internet auf ein Gerät im Heimnetz zugreifen, fehlt CGNAT die Information, an wen das Paket gehen soll.

Warum hilft Port Forwarding nicht?

Mit einem öffentlichen IPv4 kann man am Router Ports weiterleiten (z.B. für einen Minecraft-Server oder Webdienst). Ist der Router jedoch hinter CGNAT, kommt die Anfrage gar nicht beim Heimnetz an - sie bleibt am CGNAT-Gateway des Providers "stecken". Der Nutzer kann nur die erste NAT-Stufe steuern, nicht aber die Provider-Seite.

Deshalb zeigen viele Port-Checker-Tools an, dass Ports geschlossen sind, obwohl lokal alles richtig konfiguriert ist.

Probleme bei Online-Games und P2P-Anwendungen

Viele moderne Games nutzen zentrale Server - CGNAT ist hier meist kein Hindernis. Schwierig wird es bei Peer-to-Peer-Verbindungen, alten Multiplayer-Spielen, Sprachchats oder wenn ein Spieler als Host fungiert. Dann erscheinen oft Begriffe wie Strict NAT oder NAT-Typ 3; das bedeutet, das Gerät ist schlecht erreichbar für eingehende Verbindungen.

Oft helfen hier NAT-Traversal oder Relais-Server. Doch wenn beide Teilnehmer hinter strengem CGNAT sitzen, ist eine direkte Verbindung unmöglich - die Kommunikation läuft über Umwege und kann dadurch verzögert oder eingeschränkt sein.

Heimserver & NAS hinter CGNAT

Besonders einschränkend ist CGNAT für Heimserver: Ob Minecraft-Server, NAS, Überwachung, FTP oder Fernzugriff - ein Zugriff von außen über die öffentliche IPv4 ist nicht möglich, solange CGNAT dazwischen sitzt. Die Anfrage bleibt schon vor dem Heimrouter im Providernetz hängen.

Gerade beim eigenen NAS wird das deutlich. Mehr über die Einrichtung und Vorteile von NAS-Systemen erfahren Sie im Beitrag NAS-Server für Zuhause: Die beste Cloud-Alternative.

Ein Heimserver ist mit CGNAT nicht grundsätzlich unmöglich, doch klassische Wege wie Port-Weiterleitung funktionieren nicht mehr. Alternativen sind ein öffentlicher IPv4, IPv6 oder Tunnel-Verbindungen über externe Server.

CGNAT erkennen: So finden Sie heraus, ob Sie betroffen sind

Vergleich von WAN-IP und externer IP

Öffnen Sie das Router-Menü und suchen Sie die WAN-IP (Internet IP). Vergleichen Sie diese mit der öffentlichen IP, die ein Dienst im Internet anzeigt:

• Stimmen die Adressen überein: Wahrscheinlich kein NAT durch den Provider - Sie haben eine echte öffentliche IPv4.
• Unterschiedliche Adressen: Ihr Anschluss läuft über ein zusätzliches NAT im Providernetz.

Wenn die WAN-IP im Bereich 100.64.0.0 - 100.127.255.255 liegt oder eine der privaten Adressbereiche nutzt, ist CGNAT sehr wahrscheinlich beteiligt. Noch deutlicher wird es, wenn Port-Weiterleitungen nicht von außen erreichbar sind.

Im Zweifel kann auch die Support-Hotline des Anbieters Auskunft geben, ob öffentliche IPv4-Adressen vergeben werden oder CGNAT aktiv ist.

CGNAT umgehen: So bekommen Sie Zugriff auf Ihr Heimnetz

CGNAT lässt sich nicht durch Einstellungen am Router deaktivieren - die Adressübersetzung findet auf Provider-Seite statt. Für den Zugriff von außen gibt es folgende Möglichkeiten:

1. Öffentliche IPv4 vom Anbieter

Am einfachsten ist es, den Provider um eine öffentliche IPv4-Adresse zu bitten (oft "weißes IP", "öffentliches IPv4" oder "statische IP" genannt). Nach Freischaltung ist Ihr Router direkt aus dem Internet erreichbar und klassisches Port Forwarding funktioniert wieder. Für Server, die dauerhaft erreichbar sein sollen, empfiehlt sich eine statische IP. Dynamische öffentliche IPv4 sind ebenfalls brauchbar, können sich aber ändern - hier hilft DDNS.

2. IPv6 nutzen

Mit IPv6 entfällt die Notwendigkeit für CGNAT, da das Adressfeld nahezu unbegrenzt ist. Wenn Ihr Provider natives IPv6 anbietet, können Geräte weltweit eindeutig adressiert werden. Allerdings müssen Firewall-Regeln angepasst werden, um Dienste sicher erreichbar zu machen. Auch der Client muss IPv6 unterstützen.

Mehr zu den Unterschieden und Vorteilen von IPv6 lesen Sie im Artikel IPv4 vs. IPv6: Die echten Unterschiede und was Nutzer wissen sollten.

3. Tunnel & Umleitungs-Server

Wenn kein öffentlicher IP verfügbar ist, kann ein ausgehender Tunnel zu einem externen Server mit öffentlicher IP helfen (z. B. ein günstiger VPS). Der Heimserver baut eine Dauerverbindung zu diesem Server auf, sodass externe Anfragen über den Tunnel ins Heimnetz weitergeleitet werden. Auch spezielle Remote-Access-Services oder Reverse Tunnels funktionieren so.

Für die meisten Nutzer gilt: Wenn der Provider günstig einen öffentlichen IPv4 anbietet, ist dies der direkteste Weg. Gibt es nur IPv6, können moderne Dienste damit umgehen. Bleibt nur der Tunnel, wenn beides nicht zur Verfügung steht.

Fazit

CGNAT ermöglicht Internetanbietern, mit wenigen öffentlichen IPv4-Adressen viele Kunden zu versorgen. Für Surfen, Streaming und den Großteil der Apps ist das unproblematisch, da Verbindungen vom Nutzer ausgehen und automatisch korrekt zurückgeführt werden.

Erst bei eingehenden Verbindungen wird die Einschränkung sichtbar: Port-Weiterleitung funktioniert nicht mehr, P2P-Dienste, manche Games und Heimserver sind von außen nicht erreichbar. Wer NAS, Gameserver oder andere Dienste zuhause hosten möchte, sollte die WAN-IP des Routers prüfen und mit der externen öffentlichen IP vergleichen. Bestätigt sich CGNAT, hilft meist nur ein öffentlicher IPv4 beim Provider, ein IPv6-Anschluss oder ein Tunnel über einen externen Server.

CGNAT ist kein Internet-Fehler, sondern ein Kompromiss, der die knappen IPv4-Adressen effizient nutzt - aber den Nutzern, die volle Kontrolle und Erreichbarkeit wünschen, Grenzen setzt.