Portfreigabe korrekt gesetzt, aber von außen nichts erreichbar? Oft steckt man hinter dem CGNAT des Anbieters — ohne eigene öffentliche IP.
Aufwand:
ca. 25 Min.
Voraussetzung:
Zugang zur Router-Oberfläche
Das Symptom
Die Portfreigabe im Router ist exakt nach Anleitung eingerichtet — richtiger Port,
richtiges Zielgerät, Dienst läuft —, aber von außen ist nichts erreichbar. Aus dem
eigenen Netz funktioniert alles, sobald man es aber von unterwegs oder über das
Mobilfunknetz testet, kommt keine Verbindung zustande.
Die „Layer 8“-Wahrheit
Öffentliche IPv4-Adressen sind knapp geworden. Viele Anbieter geben ihren Kunden
deshalb keine eigene mehr, sondern teilen eine öffentliche Adresse über eine
zusätzliche Vermittlungsschicht unter vielen Haushalten auf — das nennt sich
Carrier-Grade NAT, kurz CGNAT. Der eigene Router bekommt dann nur noch eine Adresse
aus einem internen Anbieter-Bereich, erkennbar am Start mit 100.64.
Damit läuft jede Portfreigabe im eigenen Router ins Leere: Die entscheidende Weiche
steht beim Anbieter, nicht bei dir, und die öffentliche Adresse gehört dir nicht
allein. Es ist also kein Konfigurationsfehler, sondern eine Eigenschaft des
Anschlusses. Die sauberste Lösung ist, beim Anbieter eine echte öffentliche IPv4
anzufragen. Oft übersehen wird der zweite Weg: Über IPv6 hat jedes Gerät wieder
eine eigene erreichbare Adresse — vorausgesetzt, auch die Gegenseite spricht IPv6.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Die öffentliche Adresse mit der Router-WAN-Adresse vergleichen
Auf einer Webseite die eigene öffentliche IP-Adresse anzeigen lassen und mit der WAN-Adresse im Router vergleichen. Stimmen sie nicht überein und beginnt die Router-Adresse mit 100.64 bis 100.127, steckt man hinter einem CGNAT — der Anbieter teilt eine öffentliche IP unter vielen Kunden auf.
2.
Verstehen, warum die Freigabe wirkungslos ist
Bei CGNAT endet die Portweiterleitung des Anbieters, nicht bei dir. Eine Freigabe im eigenen Router zeigt ins Leere, weil die entscheidende Adresse — die öffentliche — gar nicht mehr dir gehört. Deshalb ist die Einstellung korrekt und trotzdem wirkungslos.
3.
Eine echte öffentliche IPv4 beim Anbieter anfragen
Viele Anbieter vergeben auf Nachfrage — teils kostenlos, teils gegen Aufpreis — eine echte öffentliche IPv4-Adresse. Das ist die direkteste Lösung, wenn ein Dienst von außen dauerhaft per IPv4 erreichbar sein muss.
4.
IPv6 nutzen, wenn beide Seiten es können
CGNAT betrifft nur IPv4. Über IPv6 hat oft jedes Gerät wieder eine eigene, weltweit erreichbare Adresse. Wenn der Zugreifende ebenfalls IPv6 hat, lässt sich der Dienst darüber direkt erreichen — hier die Firewall gezielt freigeben.
5.
Ansonsten einen Umweg über einen Vermittler nutzen
Geht beides nicht, hilft ein Dienst, der die Verbindung von innen nach außen aufbaut und so den fehlenden Eingang umgeht — etwa ein Tunnel- oder Relay-Dienst oder ein eigener kleiner Server mit öffentlicher IP als Vermittler.
Häufige Fragen (FAQ)
?Die Portfreigabe ist korrekt eingerichtet und funktioniert trotzdem nicht. Warum?
Weil Ihr Anschluss vermutlich gar keine eigene öffentliche IPv4-Adresse hat. Bei CGNAT teilen sich viele Kunden eine Adresse beim Anbieter. Ihr Router gibt dann einen Port frei, der aus dem Internet nie erreicht wird – die Freigabe ist technisch korrekt und trotzdem wirkungslos. Ein Vergleich der WAN-Adresse im Router mit der von außen sichtbaren IP beweist es in einer Minute.
?Was kann ich dagegen tun?
Drei Wege. Erstens: beim Anbieter eine echte öffentliche IPv4 anfragen – manche liefern sie kostenlos, andere gegen Aufpreis. Zweitens: IPv6 nutzen, wo jedes Gerät ohnehin eine eigene öffentliche Adresse hat, sofern die Gegenstelle IPv6 kann. Drittens: einen Vermittlungsdienst oder ein VPN mit fester Adresse verwenden, der die Verbindung von außen entgegennimmt.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.
Seiten hängen erst und laden dann doch? Oft ist IPv6 halb konfiguriert: Der Rechner versucht es zuerst, wartet ins Leere und fällt spät auf IPv4 zurück.
Das Netzwerk ist verbunden, doch nichts lädt per Namen? Oft ist der DNS-Server des Anbieters gestört — ein zuverlässiger Ersatz-DNS bringt das Web zurück.
Der eigene Mailserver kann nicht senden, empfangen geht? Viele Anbieter sperren den ausgehenden Port 25 gegen Spam — der Versand braucht einen anderen Weg.
Port ist freigegeben, Firewall offen, Dienst läuft – und von außen kommt nichts an? Dann lauscht er nur auf 127.0.0.1. Ein Unterschied, den niemand sieht.