Bei einem Mobilfunkrouter ist CGNAT sehr wahrscheinlich, wenn seine Internet- beziehungsweise WAN-Adresse nicht mit der von außen sichtbaren IPv4-Adresse übereinstimmt. Eine Portfreigabe kann im Router dann korrekt eingerichtet sein und trotzdem unerreichbar bleiben, weil der Mobilfunkanbieter eine weitere NAT-Stufe betreibt. Der schnellste sichere Test ist der Adressvergleich; ein Werksreset hilft gegen CGNAT nicht und kann wichtige Routereinstellungen löschen.
Warum die Weiterleitung am Mobilfunkanschluss endet
Eine Portfreigabe weist den Mobilfunkrouter an, eingehenden Datenverkehr an ein bestimmtes Gerät im lokalen Netz weiterzureichen. Das funktioniert nur, wenn die Verbindung aus dem Internet überhaupt bis zur WAN-Seite des Routers gelangt.
Bei Carrier Grade NAT, kurz CGNAT, teilen sich mehrere Mobilfunkkunden eine öffentliche IPv4-Adresse. Der Anbieter übersetzt die Verbindungen seiner Kunden an einem vorgeschalteten System. Dein Router erhält dabei keine exklusiv aus dem Internet erreichbare öffentliche IPv4-Adresse. Er kann ausgehende Verbindungen aufbauen, aber eine unerwartete eingehende Verbindung lässt sich am vorgeschalteten Anbieter-NAT keinem Anschluss eindeutig zuordnen.
Die lokale Regel bleibt dabei funktionsfähig: Sie würde ein eintreffendes Paket an das richtige Heimnetzgerät senden. Das Paket erreicht den Mobilfunkrouter jedoch nicht. Änderungen am Zielport, wiederholte Neustarts oder zusätzliche Freigaben lösen diese vorgelagerte Sperre nicht.
Der belastbare Adressvergleich in drei Schritten
- WAN-Adresse im Mobilfunkrouter ablesen: Öffne die Routeroberfläche und suche im Verbindungsstatus nach IPv4-Adresse, Internet-IP, WAN-IP oder Mobilfunkstatus. Gemeint ist nicht die lokale Routeradresse, über die Du die Oberfläche aufrufst.
- Von außen sichtbare IPv4 ermitteln: Rufe über ein Gerät, das gerade mit diesem Mobilfunkrouter verbunden ist, einen Dienst zur Anzeige der öffentlichen IP-Adresse auf. Achte darauf, ausdrücklich die IPv4-Adresse zu vergleichen. Ein aktives VPN oder ein Proxy muss für diesen Test ausgeschaltet sein, weil sonst dessen Adresse angezeigt wird.
- Beide Werte auswerten: Sind die IPv4-Adressen verschieden, liegt zwischen Router und Internet mindestens eine weitere Übersetzungsstufe. Bei einem Mobilfunkanschluss ist CGNAT dafür eine naheliegende Erklärung. Stimmen sie überein, spricht das gegen CGNAT auf der IPv4-Strecke; die Portfreigabe muss dann an anderer Stelle geprüft werden.
Eine WAN-Adresse aus dem Bereich 100.64.0.0 bis 100.127.255.255 ist ein besonders deutlicher Hinweis. Dieser gemeinsam genutzte Adressraum ist für anbieterbasierte NAT-Strukturen vorgesehen und nicht öffentlich routbar. Auch die privaten Bereiche 10.0.0.0 bis 10.255.255.255, 172.16.0.0 bis 172.31.255.255 sowie 192.168.0.0 bis 192.168.255.255 sind von außen nicht direkt erreichbar.
Eine abweichende Adresse außerhalb dieser Bereiche widerlegt CGNAT nicht. Anbieter können intern andere Strukturen verwenden, und ein zusätzlicher Router vor dem Mobilfunkrouter erzeugt ebenfalls eine abweichende WAN-Adresse. Maßgeblich ist daher die Kombination aus Adressvergleich und Netzaufbau.
CGNAT oder doppelte NAT im eigenen Netz?
Eine zusätzliche NAT-Stufe kann auch zu Hause entstehen. Das ist etwa der Fall, wenn ein 5G- oder LTE-Router per WAN-Anschluss mit einem zweiten Router verbunden ist. Dann erhält der innere Router häufig eine private WAN-Adresse vom äußeren Gerät. Diese Konstellation ist nicht automatisch CGNAT.
- Zeigt der Mobilfunkrouter selbst eine andere IPv4-Adresse als ein externer IP-Anzeigedienst, liegt die zusätzliche Übersetzung im Mobilfunknetz oder in einer weiteren vorgeschalteten Anbieterstruktur.
- Stimmt die Adresse des Mobilfunkrouters mit der extern sichtbaren IPv4 überein, während der nachgeschaltete Router eine private WAN-Adresse besitzt, befindet sich die zweite NAT-Stufe im eigenen Netz.
- Bei doppelter NAT im Heimnetz müssten Freigaben auf beiden Routern eingerichtet oder die Routerrollen passend geändert werden. Bei CGNAT fehlt Dir dagegen der Zugriff auf die entscheidende vorgelagerte NAT-Stufe.
Diese Unterscheidung verhindert, dass Du den Mobilfunkanbieter kontaktierst, obwohl lediglich zwei eigene Router hintereinander arbeiten. Umgekehrt bringt eine zweite Portregel im Heimnetz nichts, wenn bereits die WAN-Adresse des Mobilfunkrouters hinter CGNAT liegt.
Den Porttest richtig durchführen
Ein Port darf erst geprüft werden, wenn auf dem Zielgerät tatsächlich ein Dienst lauscht. Eine Weiterleitungsregel allein öffnet keinen messbaren Dienst. Außerdem muss der Test über eine fremde Internetverbindung erfolgen, beispielsweise über ein Smartphone, das nicht mit dem WLAN des Mobilfunkrouters verbunden ist.
- Vergib dem Zielgerät im Heimnetz eine dauerhaft gleichbleibende lokale IP-Adresse, vorzugsweise über eine DHCP-Reservierung im Router.
- Starte den vorgesehenen Dienst und prüfe ihn zunächst von einem zweiten Gerät im selben Heimnetz über die lokale IP-Adresse.
- Kontrolliere, ob Portnummer und Transportprotokoll zusammenpassen. TCP und UDP sind getrennte Protokolle; eine TCP-Freigabe deckt UDP nicht ab.
- Prüfe die lokale Firewall des Zielgeräts. Erlaubt sie den Dienst nur im lokalen Netz oder gar nicht, wirkt das äußerlich wie eine fehlerhafte Routerregel.
- Teste den Zugriff anschließend über eine andere Internetverbindung gegen die öffentlich sichtbare Adresse.
Funktioniert der Dienst lokal, scheitert aber von außen, liefert der WAN-Vergleich die entscheidende Einordnung: Bei unterschiedlichen IPv4-Adressen blockiert wahrscheinlich die vorgelagerte NAT-Struktur. Bei identischen Adressen kommen eher eine falsche Weiterleitung, eine Gerätefirewall, ein nicht erreichbarer Dienst oder eine Filterregel des Anschlusses infrage.
Warum ein angezeigtes IPv6-Präfix die IPv4-Freigabe nicht repariert
Mobilfunkanschlüsse können IPv6 bereitstellen und IPv4 zugleich über CGNAT führen. Das Vorhandensein einer IPv6-Adresse bedeutet daher nicht, dass eingehende IPv4-Verbindungen funktionieren. Es handelt sich um zwei getrennte Protokollwege.
Ein Dienst kann über IPv6 erreichbar sein, wenn das Zielgerät eine global routbare IPv6-Adresse besitzt, Router und Tarif eingehende IPv6-Verbindungen zulassen und die IPv6-Firewall eine passende Regel enthält. Klassische IPv4-Portweiterleitungen sind dafür nicht zuständig. Das Endgerät auf der Gegenseite benötigt außerdem IPv6-Konnektivität oder einen geeigneten vermittelnden Dienst.
Gibt der Router nur eine lokale oder nicht global erreichbare IPv6-Adresse aus, reicht das für externen Zugriff ebenfalls nicht. Prüfe im Verbindungsstatus, ob ein globales IPv6-Präfix delegiert wurde und ob sich die IPv6-Firewall getrennt verwalten lässt. Sicherheitsfunktionen sollten nicht vollständig deaktiviert werden; freigegeben wird ausschließlich der benötigte Dienst.
APN und Tarif entscheiden über die erreichbare Adresse
Bei Mobilfunkzugängen kann die zugewiesene Adressart vom Tarif, vom verwendeten APN und vom Anbieterprofil abhängen. Ein APN ist der Zugangspunkt, über den der Router die Datenverbindung zum Mobilfunknetz aufbaut. Manche Angebote sehen nur geteilte IPv4-Adressen vor, andere können eine öffentliche IPv4-Adresse, Dual Stack oder besondere Unternehmensoptionen bereitstellen.
Suche im Kundenbereich oder in der Hilfe des Mobilfunkanbieters nach den Rubriken APN, öffentliche IP-Adresse, IPv4, Dual Stack und eingehende Verbindungen. Entscheidend ist nicht allein die Formulierung „Internet-Zugang“, sondern ob eine von außen erreichbare Adresse ausdrücklich unterstützt wird. Eine öffentliche Adresse kann je nach Angebot dynamisch sein und sich nach einer Neueinwahl ändern; für Fernzugriff wäre dann zusätzlich eine Namensauflösung für wechselnde Adressen nötig.
Trage keinen zufällig gefundenen APN ein. Ein ungeeignetes Profil kann die Verbindung verhindern oder andere Tarifbedingungen betreffen. Verwende nur einen APN, den Dein Anbieter für Deinen Tarif und die gewünschte Adressart nennt.
Welche Lösung zur Diagnose passt
Der nächste Schritt richtet sich danach, welches Ergebnis der Adressvergleich liefert:
- WAN-IPv4 und externe IPv4 sind verschieden: Kläre beim Mobilfunkanbieter, ob Dein Tarif beziehungsweise ein unterstützter APN eine öffentliche IPv4-Adresse oder eine passende IPv6-Erreichbarkeit bietet. Lokale Portregeln allein können das vorgelagerte NAT nicht überwinden.
- Beide IPv4-Adressen stimmen überein: Prüfe Dienst, Zieladresse, Protokoll, lokale Firewall und Portregel. Teste ausschließlich aus einem fremden Netz, damit fehlende NAT-Loopback-Unterstützung das Ergebnis nicht verfälscht.
- Der Dienst ist nur über IPv6 erreichbar: Verwende eine gezielte IPv6-Firewallregel und beschränke den Zugriff nach Möglichkeit durch Authentifizierung oder ein VPN. Eine IPv4-Portfreigabe ist für diesen Weg wirkungslos.
- Eine öffentliche Adresse ist nicht erhältlich: Nutze eine Lösung, bei der der Mobilfunkrouter oder das Zielgerät selbst eine ausgehende Verbindung aufbaut. Je nach Einsatzzweck kommen ein VPN mit extern erreichbarem Vermittlungspunkt, ein Reverse-Tunnel oder ein herstellereigener Fernzugriff infrage. Die Lösung sollte starke Authentifizierung bieten und keinen unnötig offenen Verwaltungszugang erzeugen.
Ein Zurücksetzen des Mobilfunkrouters ist nur sinnvoll, wenn eine fehlerhafte lokale Konfiguration sicher vermutet wird und zuvor Zugangsdaten, APN, WLAN-Einstellungen, DHCP-Zuordnungen sowie vorhandene Freigaben gesichert wurden. CGNAT wird vom Mobilfunknetz zugewiesen und verschwindet durch Werkseinstellungen nicht.
