Glasfaseranschluss mit CGNAT: Warum Portfreigaben und Fernzugriff nicht funktionieren

Bei einem Glasfaseranschluss mit CGNAT teilt der Provider eine öffentliche IPv4-Adresse unter mehreren Anschlüssen. Dein Router erhält dann keine eigene öffentlich erreichbare IPv4-Adresse. Eine lokale Portfreigabe kann korrekt eingerichtet sein und bleibt aus dem Internet trotzdem wirkungslos, weil die vorgelagerte Provider-NAT keine eingehende Verbindung an deinen Anschluss weiterleitet. Der schnellste Nachweis ist ein Vergleich der IPv4-Adresse im Router mit der von einem externen Dienst angezeigten Adresse.

Ein Werksreset, andere Portnummern oder eine erneute Freigabe lösen diese Zugangshürde nicht. Für den Fernzugriff brauchst du stattdessen eine öffentliche Adresse, einen brauchbaren IPv6-Zugang oder eine Verbindung, die von innen nach außen aufgebaut wird. Welche Variante passt, hängt vor allem vom Anschlussprotokoll und vom entfernten Netzwerk ab.

Warum die Portweiterleitung am Router nicht ausreicht

Eine klassische Portweiterleitung ordnet einen Port der öffentlichen Routeradresse einem Gerät im Heimnetz zu. Sie funktioniert nur, wenn eingehende Pakete den Router überhaupt erreichen. Bei Carrier Grade NAT, kurz CGNAT, liegt zwischen Internet und Router jedoch eine weitere Übersetzungsstufe im Netz des Providers.

Der Weg einer eingehenden IPv4-Verbindung sieht vereinfacht so aus:

1. Ein entferntes Gerät versucht, die vermeintliche öffentliche IPv4-Adresse und einen bestimmten Port zu erreichen.
2. Die Verbindung trifft zuerst auf das CGNAT-System des Providers.
3. Dieses System kann die unverlangt eingehende Verbindung keinem einzelnen Kundenanschluss eindeutig zuordnen.
4. Das Paket gelangt nicht bis zu deinem Router. Dessen Portregel kommt daher gar nicht zum Einsatz.

Ausgehende Verbindungen funktionieren dennoch. Beim Aufruf einer Webseite erzeugt das Provider-System selbst eine vorübergehende Zuordnung und kann die Antwortpakete zurückleiten. Das erklärt das typische Fehlerbild: Internetzugriff ist vorhanden, ein NAS, Heimserver, eine Kamera oder ein eigener VPN-Server lässt sich über IPv4 von außen aber nicht direkt erreichen.

CGNAT am Glasfaseranschluss sicher von anderen Fehlern trennen

Die Diagnose sollte nicht mit einem offenen Porttest beginnen. Ein geschlossener Port kann ebenso durch eine Geräte-Firewall, einen falschen Zielport oder einen nicht laufenden Dienst entstehen. Aussagekräftiger ist zuerst die Adresslage am Internetanschluss.

1. WAN-Adresse im Router ermitteln: Öffne die Status- oder Internetübersicht und suche nach der IPv4-Adresse des Internetzugangs. Gemeint ist nicht die lokale Routeradresse wie 192.168.1.1.
2. Extern sichtbare IPv4-Adresse feststellen: Rufe über denselben Anschluss einen Dienst auf, der die öffentliche IP-Adresse anzeigt. Nutze dafür kein VPN und kein Mobilfunknetz.
3. Beide Adressen vergleichen: Stimmen sie nicht überein, befindet sich mindestens eine weitere NAT-Stufe vor deinem Router. CGNAT ist dann wahrscheinlich, aber ein zweiter eigener Router kann denselben Befund verursachen.
4. Netzaufbau kontrollieren: Prüfe, ob zwischen Glasfaserabschluss und Hauptrouter noch ein Provider-Router mit eigener Routingfunktion arbeitet. Ein reines ONT wandelt üblicherweise das Glasfasersignal in Ethernet um; ein kombiniertes Providergerät kann dagegen selbst routen.

Adressen aus 100.64.0.0/10, also von 100.64.0.0 bis 100.127.255.255, sind für gemeinsam genutzte Adressräume vorgesehen und ein starkes CGNAT-Indiz. Auch private Bereiche wie 10.0.0.0/8, 172.16.0.0/12 oder 192.168.0.0/16 können auf eine vorgelagerte Übersetzung hinweisen. Eine abweichende WAN-Adresse außerhalb dieser Bereiche schließt CGNAT nicht zuverlässig aus, weil Provider andere interne Konstruktionen einsetzen können.

CGNAT oder doppelte NAT im eigenen Heimnetz?

Bei doppelter NAT hinter zwei eigenen Routern kannst du die erste Routerstufe meist selbst konfigurieren. Führt die WAN-Adresse des zweiten Routers zur lokalen Oberfläche des ersten Geräts, liegt das Hindernis wahrscheinlich im Heimnetz. Dann müssen Portregeln auf beiden Stufen eingerichtet oder eines der Geräte in einen passenden Bridge- beziehungsweise Modembetrieb versetzt werden, sofern die Geräte und der Anschluss das unterstützen.

Ist die abweichende Adressstufe nicht über deine Netzwerkgeräte erreichbar, liegt sie wahrscheinlich beim Provider. Dort kannst du keine eigene Weiterleitungsregel anlegen. Änderungen an DHCP, WLAN, DNS oder der lokalen Firewall beseitigen diese vorgelagerte Grenze nicht.

DS-Lite und CGNAT sind verwandt, aber nicht identisch

Bei DS-Lite erhält der Anschluss typischerweise eine native IPv6-Anbindung, während IPv4-Verkehr über ein System des Providers getunnelt und übersetzt wird. Eine klassische eingehende IPv4-Portfreigabe steht damit ebenfalls nicht zur Verfügung. CGNAT kann dagegen auch in anderen Anschlussarchitekturen vorkommen. Für die Lösungswahl ist die Bezeichnung weniger wichtig als die Frage, welche öffentliche Erreichbarkeit tatsächlich vorhanden ist.

Anleitung

1Ein entferntes Gerät versucht, die vermeintliche öffentliche IPv4-Adresse und einen bestimmten Port zu erreichen.

2Die Verbindung trifft zuerst auf das CGNAT-System des Providers.

3Dieses System kann die unverlangt eingehende Verbindung keinem einzelnen Kundenanschluss eindeutig zuordnen.

4Das Paket gelangt nicht bis zu deinem Router. Dessen Portregel kommt daher gar nicht zum Einsatz.

• Eine eigene öffentliche IPv4-Adresse ermöglicht klassische IPv4-Portweiterleitungen.
• Ein öffentlich geroutetes IPv6-Präfix kann direkten Zugriff über IPv6 ermöglichen, wenn Router-Firewall und Zielgerät passend eingerichtet sind.
• Nur eine geteilte IPv4-Adresse ohne brauchbare IPv6-Erreichbarkeit erfordert meist einen vermittelten Zugang oder eine vom Provider angebotene Adressoption.

Ein dynamischer DNS-Name ändert an dieser Einordnung nichts. DynDNS ordnet einem Namen eine wechselnde Adresse zu, schafft aber keine öffentliche IPv4-Adresse und durchdringt keine Provider-NAT.

Der passende Fernzugriff hängt von beiden Netzseiten ab

Es gibt nicht eine einzige Umgehung, die für jedes Endgerät und jeden Dienst geeignet ist. Wähle den Zugangsweg anhand der verfügbaren Protokolle und des gewünschten Zugriffsumfangs.

Öffentliche IPv4-Adresse beim Provider

Eine eigene öffentliche IPv4-Adresse ist der direkte Weg für Dienste, die zwingend über IPv4 erreichbar sein müssen. Frage den Provider nach einer öffentlichen, von außen erreichbaren IPv4-Adresse und nicht nur nach einer festen IP. Eine dynamische öffentliche IPv4-Adresse reicht zusammen mit DynDNS häufig aus; eine statische Adresse ist nur nötig, wenn der Anwendungsfall sie verlangt.

Ob eine solche Option bereitsteht und unter welchen Vertragsbedingungen, ist provider- und tarifabhängig. Suche im Kundenkonto oder in der Anschlusshilfe nach Begriffen wie öffentliche IPv4, Dual Stack, feste IP oder eingehende Verbindungen. Nach einer Umstellung muss die WAN-Adresse des Routers mit der extern sichtbaren IPv4-Adresse übereinstimmen. Erst danach lohnt sich die weitere Prüfung der Portfreigabe.

Direkter Zugriff über IPv6

IPv6 benötigt in der Regel keine Portübersetzung wie NAT bei IPv4. Das Zielgerät kann eine global geroutete IPv6-Adresse erhalten. Der Router muss eingehende Verbindungen jedoch weiterhin durch seine Firewall lassen. Eine IPv4-Portfreigabe darf nicht mit einer IPv6-Firewallfreigabe verwechselt werden.

IPv6 ist geeignet, wenn das Zielgerät den gewünschten Dienst über IPv6 anbietet und das entfernte Netzwerk ebenfalls IPv6 unterstützt. Ein Zugriff aus einem reinen IPv4-Netz scheitert trotz korrekter IPv6-Freigabe. Außerdem kann sich das vom Provider zugeteilte Präfix ändern, weshalb ein IPv6-fähiger DynDNS-Dienst oder eine vergleichbare Namensauflösung hilfreich sein kann.

Prüfe den Zugriff über ein wirklich externes IPv6-Netz. Ein Test aus demselben WLAN kann durch lokale Namensauflösung oder interne Wege ein irreführendes Ergebnis liefern. Gib nur den benötigten Dienst frei und sichere ihn mit starker Authentifizierung und aktueller Software.

Overlay-VPN oder Hersteller-Relay

Ein Overlay-VPN baut von den beteiligten Geräten ausgehende Verbindungen zu einem Vermittlungs- oder Koordinationsdienst auf. Lösungen wie Tailscale oder ZeroTier können dadurch auch hinter CGNAT funktionieren, ohne einen eingehenden Routerport zu öffnen. Ob die Daten direkt zwischen den Geräten fließen oder über einen Relay-Server vermittelt werden, hängt von der erreichbaren Verbindung ab.

Dieser Ansatz eignet sich besonders für den Zugriff auf eigene Geräte von Laptop oder Smartphone, sofern auf den beteiligten Systemen passende Software installiert werden kann. Manche NAS-, Kamera- und Smart-Home-Anbieter verwenden ein ähnliches Prinzip für ihren Cloud- oder Relay-Zugriff. Dabei solltest du berücksichtigen, welche Daten über fremde Infrastruktur laufen und wie das Konto abgesichert ist.

Eigener Server als Vermittlungsstelle

Für selbst verwaltete Dienste kann ein öffentlich erreichbarer Server als Gegenstelle dienen. Der Router oder ein Gerät im Heimnetz baut einen dauerhaften VPN- beziehungsweise Reverse-Tunnel zum Server auf. Externe Verbindungen erreichen zuerst den Server und werden durch den bestehenden Tunnel ins Heimnetz geführt.

Diese Variante bietet viel Kontrolle, verlangt aber sichere Serveradministration, regelmäßige Aktualisierungen und eine durchdachte Zugriffsbeschränkung. Eine pauschale Weiterleitung des gesamten Heimnetzes ist unnötig riskant. Für einen einfachen privaten Dateizugriff ist ein Overlay-VPN meist leichter zu pflegen.

Prüfroute von der Adresslage bis zum funktionierenden Zugriff

Die folgende Reihenfolge verhindert, dass du lokale Einstellungen änderst, obwohl der Datenweg bereits beim Provider endet:

1. Nur Fernzugriff gestört, Internet funktioniert: Ermittle WAN-IPv4, extern sichtbare IPv4 und den IPv6-Status.
2. IPv4-Adressen stimmen nicht überein: Schließe einen zweiten Router als Ursache aus. Liegt die zusätzliche NAT-Stufe beim Provider, entscheide zwischen öffentlicher IPv4, IPv6 und einem von innen aufgebauten Tunnel.
3. IPv4-Adressen stimmen überein: CGNAT ist für diesen IPv4-Weg unwahrscheinlich. Prüfe nun, ob der Dienst lokal läuft, die Regel auf die richtige interne IP zeigt und die Firewall des Zielgeräts den Port zulässt.
4. IPv6 ist auf beiden Seiten verfügbar: Richte statt einer IPv4-Weiterleitung eine eng begrenzte IPv6-Firewallfreigabe ein und teste sie aus einem fremden IPv6-Netz.
5. Das entfernte Netz unterstützt nur IPv4: Nutze eine öffentliche IPv4-Option oder einen vermittelten Zugang, der auch über IPv4 erreichbar ist.

Ein Porttest ist erst aussagekräftig, wenn auf dem Zielgerät tatsächlich ein Dienst lauscht und der Test über die richtige Adressfamilie erfolgt. Ein IPv4-Portprüfer kann keine IPv6-Freigabe bewerten. Ebenso sagt ein erfolgreicher lokaler Zugriff lediglich aus, dass Dienst und Heimnetz grundsätzlich funktionieren; die Erreichbarkeit aus dem Internet bleibt eine getrennte Prüfung.

Welche Änderungen keinen Durchgang durch CGNAT schaffen

Mehrere naheliegende Maßnahmen verändern nur das Heimnetz und können eine fehlende öffentliche IPv4-Zuordnung nicht ersetzen:

• UPnP kann am Router automatisch eine lokale Portregel erzeugen, aber keine Freigabe im Providernetz anlegen.
• Ein anderer interner oder externer Port bleibt hinter derselben vorgelagerten NAT-Stufe verborgen.
• Die DMZ- beziehungsweise Exposed-Host-Funktion reicht eingehende Pakete des Routers weiter, sofern diese ihn erreichen. CGNAT liegt jedoch davor.
• Ein Routerneustart kann eine Adresse erneuern, ändert aber nicht zuverlässig die Anschlussart des Providers.
• Ein Werksreset löscht möglicherweise Zugangsdaten, Telefonieeinstellungen, WLAN-Konfiguration und eigene Freigaben, ohne CGNAT zu beseitigen.

Auch das Abschalten der Router-Firewall ist keine sinnvolle Gegenprobe. Es erhöht die Angriffsfläche und behebt die fehlende Weiterleitung beim Provider nicht. Für Tests genügt eine zeitlich begrenzte, auf den benötigten Port und das richtige Zielgerät beschränkte Regel.

Sicherer Abschluss der Einrichtung

Ein funktionierender Fernzugriff sollte nicht daran gemessen werden, dass irgendein Port offen erscheint. Das Ziel ist ein authentifizierter Zugriff auf genau den benötigten Dienst. Bevorzuge nach Möglichkeit ein VPN gegenüber der direkten Veröffentlichung von Administrationsoberflächen, Dateifreigaben oder Kamerazugängen.

Wenn dein Glasfaseranschluss unter CGNAT läuft, fällt die Entscheidung meist klar aus: Für klassische IPv4-Portweiterleitungen benötigst du eine eigene öffentliche IPv4-Adresse. Steht auf beiden Seiten IPv6 bereit, kann eine gezielte IPv6-Freigabe den direkten Weg ermöglichen. In allen anderen Fällen ist ein aus dem Heimnetz aufgebauter Tunnel oder Relay-Zugang die praktikable Lösung. Die Portkonfiguration am Router wird erst relevant, wenn der gewählte Verbindungsweg deinen Anschluss tatsächlich erreicht.