Eine Portfreigabe im O2-Router kann trotz korrekter Einstellung von außen unerreichbar bleiben, wenn der Anschluss keine direkt erreichbare öffentliche IPv4-Adresse erhält. Besonders bei O2 Mobilfunk, Homespot sowie LTE- und 5G-Routern ist CGNAT eine häufige Ursache. Prüfe deshalb zuerst die WAN-IP des Routers und vergleiche sie mit der von außen sichtbaren IPv4-Adresse, bevor du Regeln löschst oder den Router zurücksetzt.
Der schnellste sichere Test besteht aus drei Schritten: Anschlussart feststellen, WAN-Adresse im Router ablesen und die Weiterleitung aus einem fremden Internetzugang prüfen. Eine private WAN-Adresse kann auf CGNAT, DS-Lite, doppeltes NAT oder einen vorgeschalteten Router hinweisen. Erst wenn diese Netzebene geklärt ist, lohnt sich die Fehlersuche bei Zielgerät, Firewall und Portregel.
Warum eine Portfreigabe im Router nicht ausreicht
Eine Portfreigabe weist den Router an, eingehende Verbindungen an ein bestimmtes Gerät im Heimnetz weiterzuleiten. Das funktioniert nur, wenn die Anfrage den Router überhaupt erreicht. Befindet sich der Router hinter einer weiteren NAT-Instanz im O2-Netz, wird die Verbindung bereits vorher beendet.
Bei CGNAT teilen sich mehrere Anschlüsse eine öffentliche IPv4-Adresse. Dein Router erhält dabei nur eine interne Adresse. Die Portregel ist lokal zwar vorhanden, aber aus dem Internet gibt es keinen direkten Weg bis zu deinem Router. Eine zusätzliche Freigabe im eigenen Menü kann diese Provider-NAT nicht überwinden.
Bei O2 hängt die Einordnung stark vom Anschluss ab:
- Bei Mobilfunk, Homespot und vielen LTE- oder 5G-Zugängen ist CGNAT typisch.
- Bei DSL wird üblicherweise eine öffentliche IPv4 bereitgestellt; CGNAT ist dort nicht die naheliegendste Erklärung.
- Bei Glasfaser sind öffentliche IPv4 und Dual-Stack grundsätzlich möglich, wobei Anschluss- und Vorleisterbedingungen berücksichtigt werden müssen.
- Bei Kabelanschlüssen kommt häufig DS-Lite zum Einsatz. Eingehende IPv4-Verbindungen sind dann nicht auf dem herkömmlichen Weg erreichbar.
Eine öffentliche IPv6-Adresse ändert daran nur teilweise etwas. IPv6 und IPv4 sind unterschiedliche Protokolle. Ein Dienst, der ausschließlich über IPv4 erreichbar ist, benötigt weiterhin eine öffentliche IPv4 oder eine alternative Zugangslösung.
CGNAT am O2-Router zuverlässig erkennen
Öffne die Status- oder Internetseite des Routers und suche nach Begriffen wie WAN-IP, Internet-IP, öffentliche IP-Adresse oder IPv4-Adresse. Die Bezeichnung hängt vom Modell ab. Entscheidend ist nicht die genaue Menübezeichnung, sondern die Adresse, die der Router auf seiner Internetseite erhält.
Auf CGNAT oder eine andere vorgelagerte NAT-Schicht deutet insbesondere eine Adresse aus einem dieser Bereiche hin:
10.0.0.0/8, zum Beispiel10.24.8.15100.64.0.0/10bis100.127.255.255, ein typischer Bereich für Carrier-Grade-NAT172.16.0.0/12, also Adressen von172.16.0.0bis172.31.255.255192.168.0.0/16, häufig bei einem weiteren Router im eigenen Haushalt
Vergleiche die WAN-IP anschließend mit der IPv4-Adresse, die ein externer IP-Prüfdienst anzeigt. Stimmen beide Werte nicht überein, liegt zwischen Router und Internet wahrscheinlich eine weitere Übersetzungsschicht. Eine Abweichung beweist allerdings noch nicht, dass ausschließlich O2-CGNAT verantwortlich ist. Auch ein zweiter Router, ein 5G-Modem im Routerbetrieb oder ein falsch eingesetztes Mesh-System kann doppeltes NAT verursachen.
WAN-IP prüfen: Eine private Adresse im Router und eine andere öffentliche IPv4 außerhalb des Heimnetzes sprechen für CGNAT oder doppeltes NAT. Notiere beide Werte, bevor du Einstellungen änderst.
Die Portfreigabe im eigenen Netzwerk ausschließen
Erst wenn der Anschluss grundsätzlich von außen erreichbar ist, solltest du die lokale Weiterleitung prüfen. Das Zielgerät muss im Heimnetz eine gleichbleibende IP-Adresse erhalten. Am zuverlässigsten ist eine DHCP-Reservierung im Router. Dabei ordnet der Router der MAC-Adresse des Zielgeräts dauerhaft dieselbe lokale IPv4 zu.
Suche im Router nach Menüpunkten wie Heimnetz, Netzwerk, DHCP, verbundene Geräte oder Adressreservierung. Wähle das Zielgerät aus und reserviere seine aktuelle Adresse. Eine manuell am Gerät eingetragene feste IP kann ebenfalls funktionieren, darf aber nicht im DHCP-Pool des Routers liegen.
Prüfe danach die eigentliche Regel:
- Stimmt die Ziel-IP mit dem gewünschten Gerät überein?
- Ist der externe Port richtig eingetragen?
- Wird an den richtigen internen Port weitergeleitet?
- Verwendet der Dienst TCP, UDP oder beide Protokolle?
- Ist die Regel aktiviert und wird sie vom Router gespeichert?
TCP und UDP sind nicht austauschbar. Ein Dienst, der UDP benötigt, funktioniert nicht automatisch mit einer reinen TCP-Freigabe. Wenn eine Anwendung mehrere Ports verwendet, müssen ihre Anforderungen anhand der Dokumentation des Dienstes geprüft werden. Öffne dabei nur die Ports, die wirklich benötigt werden.
Warum Tests aus dem eigenen WLAN oft falsch ausfallen
Teste eine Portfreigabe nicht ausschließlich aus dem eigenen WLAN. Viele Router unterstützen NAT-Loopback, auch Hairpin-NAT genannt, nicht oder nur eingeschränkt. Dann kann ein Dienst über die öffentliche Adresse im Heimnetz scheitern, obwohl er von außen erreichbar wäre.
Nutze stattdessen einen zweiten Internetzugang. Ein Smartphone mit deaktiviertem WLAN und Mobilfunkverbindung eignet sich für einen einfachen Test. Noch aussagekräftiger ist ein Gerät in einem anderen Anschluss. Der Dienst auf dem Zielgerät muss während der Prüfung aktiv sein und tatsächlich auf dem gewählten Port lauschen.
Eine geschlossene Portprüfung bedeutet nicht immer, dass die Weiterleitung falsch ist. Das Zielprogramm kann beendet sein, die lokale Firewall kann den Zugriff blockieren oder der Dienst bindet nur an eine lokale Adresse. Prüfe deshalb auf dem Zielgerät, ob der Dienst gestartet ist und auf dem erwarteten Port wartet. Verwaltungsoberflächen, Remote Desktop und NAS-Anmeldeseiten sollten nicht ungeschützt ins Internet gestellt werden.
Öffentliche IPv4 bei O2 Mobilfunk oder Homespot
Bei bestimmten O2-Mobilfunkanschlüssen lässt sich eine öffentliche IPv4 als zusätzliche Option freischalten. Ob das für deinen Tarif, deine SIM-Karte und dein Routermodell möglich ist, muss vorab beim Anbieter geprüft werden. Ein häufig genannter Richtwert für die einmalige Gebühr liegt bei 49,99 Euro; Tarif- und Produktbedingungen können davon abweichen.
Nach der Freischaltung reicht es bei Mobilfunkzugängen meist nicht, den Router nur neu zu starten. Im Mobilfunkprofil muss der APN angepasst werden. Der APN ist der Zugangspunkt, über den das Gerät die Datenverbindung aufbaut. Für die öffentliche IPv4 wird häufig netpublic verwendet. Der Standard-APN internet führt dagegen weiterhin über die gewöhnliche private beziehungsweise CGNAT-Verbindung.
APN im Mobilfunkrouter ändern
- Öffne die Routeroberfläche über die lokale Verwaltungsadresse.
- Suche nach Internetzugang, Mobilfunk, Profil, APN oder Zugangspunkt.
- Lege ein neues Profil an oder bearbeite das vorhandene Mobilfunkprofil.
- Trage als APN exakt
netpublicein. - Speichere das Profil und baue die Datenverbindung neu auf.
- Prüfe anschließend die WAN-IPv4 und vergleiche sie erneut mit der extern sichtbaren Adresse.
Die Menünamen unterscheiden sich je nach Router. Verändere Benutzername, Passwort, Authentifizierung oder weitere Felder nicht ohne Anlass. Wenn das Gerät nach dem Speichern keine Verbindung aufbaut, stelle das vorherige Profil wieder her oder wähle den ursprünglichen Zugangspunkt aus.
Die Freischaltung kann je nach SIM-Variante unterschiedlich behandelt werden. Haupt-SIM, Multicard und Datacard sind nicht automatisch gleichgestellt. Auch eine aktive 5G-Plus-Option kann in einzelnen Produktkonstellationen mit der Nutzung von netpublic kollidieren. Diese Einschränkung ist nicht pauschal auf alle 5G-Tarife übertragbar, sollte bei der Bestellung aber ausdrücklich geklärt werden.
Was nach der Aktivierung geprüft werden muss
Eine öffentliche IPv4 ist normalerweise dynamisch. Sie kann sich nach einem Neustart oder einer neuen Mobilfunkverbindung ändern. Für einen dauerhaft erreichbaren Dienst brauchst du daher gegebenenfalls einen dynamischen DNS-Dienst, der die wechselnde Adresse aktualisiert.
Prüfe nach der Umstellung in dieser Reihenfolge:
- Zeigt der Router eine neue WAN-IPv4 an?
- Stimmt diese Adresse mit der extern sichtbaren IPv4 überein?
- Ist der APN weiterhin
netpublicund nicht wieder aufinternetzurückgefallen? - Hat das Zielgerät noch dieselbe lokale IP-Adresse?
- Ist der Dienst gestartet und aus einem fremden Netz erreichbar?
Bleibt die WAN-Adresse bei 10.x.x.x, 100.64.x.x oder einem anderen privaten Bereich, ist die Umstellung nicht wirksam oder für den verwendeten Zugang nicht freigeschaltet. Prüfe dann SIM-Karte, Tarif, Profil und Aktivierungsstatus, bevor du weitere Portregeln anlegst.
DS-Lite bei O2 Kabel richtig einordnen
Bei DS-Lite erhält der Anschluss häufig eine öffentliche IPv6, während IPv4-Verbindungen über eine gemeinsame Provider-Infrastruktur laufen. Eine klassische IPv4-Portfreigabe am Heimrouter kann dann von außen nicht funktionieren, weil keine eigene öffentliche IPv4 bis zum Anschluss durchgereicht wird.
Eine IPv6-Freigabe ist unter Umständen möglich, wenn der Dienst, das Zielgerät und der zugreifende Anschluss IPv6 unterstützen. Zusätzlich muss die IPv6-Firewall des Routers den gewünschten Zugriff erlauben. Eine Freigabe sollte niemals allein deshalb aktiviert werden, weil das Gerät eine IPv6-Adresse besitzt. Prüfe, ob die Adresse stabil erreichbar ist und ob das Zielgerät tatsächlich über IPv6 lauscht.
Wenn du zwingend IPv4-Eingänge benötigst, sind die Möglichkeiten bei DS-Lite eingeschränkt. Je nach Anwendung kommen ein VPN-Anbieter mit Portweiterleitung, ein eigener Server mit öffentlicher Adresse, ein abgesicherter Tunnel oder ein Overlay-Netz infrage. Für Webdienste kann ein Reverse Proxy beziehungsweise Tunnel geeigneter sein als eine direkte Routerfreigabe.
Doppeltes NAT und vorgeschaltete Geräte prüfen
Eine private WAN-IP bedeutet nicht automatisch CGNAT. Wenn vor dem O2-Router ein separates Modem, ein eigener Router oder ein 5G-Gerät steht, kann die zusätzliche NAT-Schicht im eigenen Haushalt liegen. Dann zeigt der O2-Router beispielsweise eine Adresse aus 192.168.x.x, während das vorgeschaltete Gerät die eigentliche Internetverbindung hält.
Prüfe, welches Gerät die öffentliche Verbindung aufbaut. Wenn möglich, betreibe das vorgeschaltete Gerät im Bridge- oder Modem-Modus. Alternativ kann der nachgeschaltete Router als Access Point arbeiten. Diese Änderungen beeinflussen jedoch WLAN, DHCP, Telefonie und vorhandene Portregeln. Sichere die Konfiguration und ändere nur die Betriebsart, deren Folgen du nachvollziehen kannst.
Ein DMZ-Eintrag für den eigenen Router kann doppeltes NAT in manchen Szenarien umgehen, ersetzt aber keine öffentliche IPv4 beim Provider. Außerdem vergrößert eine falsch konfigurierte DMZ die Angriffsfläche. Für normale Heimnetze ist ein sauberer Bridge- oder Access-Point-Betrieb meist die bessere Lösung.
Sicherheit vor dem Öffnen eines Ports
Jede öffentliche Portfreigabe macht einen Dienst aus dem Internet erreichbar. Das gilt auch dann, wenn der Dienst bisher nur im Heimnetz verwendet wurde. Aktualisiere das Zielgerät, verwende starke individuelle Zugangsdaten und beschränke die Freigabe auf den benötigten Port.
- Routerverwaltung und Fernzugriff des Routers nicht über eine beliebige Internetfreigabe veröffentlichen.
- Remote Desktop möglichst über VPN oder einen abgesicherten Tunnel nutzen.
- UPnP nur aktiviert lassen, wenn die automatische Portöffnung wirklich benötigt wird.
- WPS und Fernadministration bei fehlendem Bedarf deaktivieren.
- Protokolle und Anmeldeversuche regelmäßig kontrollieren.
Für NAS, Kameras und Verwaltungsdienste ist ein VPN meist sicherer als eine direkte Freigabe. Eine öffentliche IPv4 löst zwar das Erreichbarkeitsproblem, ersetzt aber keine Zugriffskontrolle. Auch eine erfolgreiche Portprüfung sagt nichts darüber aus, ob der veröffentlichte Dienst ausreichend geschützt ist.
Wenn eine öffentliche IPv4 nicht verfügbar ist
Kann O2 für deinen Anschluss keine öffentliche IPv4 bereitstellen, musst du die Zugriffsart anpassen. Für IPv6-fähige Anwendungen kann eine sauber konfigurierte IPv6-Freigabe genügen. Für gemischte Netze sind VPN- oder Overlay-Lösungen oft einfacher, weil sie keine eingehende IPv4-Verbindung am O2-Router voraussetzen.
Overlay-Netze verbinden die beteiligten Geräte über einen verschlüsselten virtuellen Zugang. Sie eignen sich beispielsweise für den Zugriff auf einen Heimserver von eigenen Geräten aus. Für öffentlich erreichbare Webseiten oder Dienste kann ein Reverse Proxy beziehungsweise Tunnel sinnvoller sein. Welche Variante passt, hängt davon ab, ob nur du selbst zugreifen möchtest oder ob beliebige Besucher den Dienst erreichen sollen.
Wenn ein Anschluss dauerhaft eine erreichbare IPv4 benötigt, kann auch ein anderer Zugang in Betracht kommen. DSL, Glasfaser oder ein anderer Anbieter können eine geeignetere Anschlussart bieten. Vor einem Wechsel solltest du prüfen, ob die benötigte IPv4 tatsächlich Bestandteil des Angebots ist und ob sie dynamisch oder statisch zugeteilt wird.
Die sinnvolle Prüf-Reihenfolge
Arbeite die folgenden Punkte ab, ohne mehrere Änderungen gleichzeitig vorzunehmen. So bleibt erkennbar, welche Maßnahme das Ergebnis verändert hat.
- Notiere Anschlussart, betroffene Anwendung, Zielgerät und Zeitpunkt des Problems.
- Prüfe Stromversorgung, Mobilfunkempfang, Kabel und Statusanzeigen des Routers.
- Teste den Dienst zuerst im lokalen Netz und stelle fest, ob das Zielgerät erreichbar ist.
- Vergleiche die WAN-IP des Routers mit der extern sichtbaren IPv4.
- Schließe doppeltes NAT, eine falsche DHCP-Zuordnung und eine blockierende Firewall aus.
- Prüfe Protokoll, externe und interne Ports sowie den Dienststatus.
- Teste aus einem fremden Internetzugang und nicht aus dem eigenen WLAN.
- Kläre bei Mobilfunk die Option für eine öffentliche IPv4 und verwende anschließend den passenden APN.
- Bei DS-Lite: Entscheide zwischen IPv6-Freigabe, VPN, Tunnel oder einem anderen Anschluss.
- Setze den Router erst zurück, wenn Zugangsdaten, Telefonie, Mesh-Zuordnungen, DNS-Einstellungen und Portregeln gesichert sind.
Der zentrale Prüfpunkt bleibt die WAN-Adresse. Ist sie nicht direkt erreichbar, kann eine lokale Portregel die Provider-NAT nicht beseitigen. Zeigt der Router dagegen eine öffentliche IPv4 und bleibt der Dienst trotzdem geschlossen, liegt die Ursache meist bei Ziel-IP, Protokoll, Firewall, Dienststatus oder einer weiteren lokalen Netzkomponente.
Häufige Fragen zur öffentlichen IPv4 bei O2
Warum funktioniert die O2-Portfreigabe trotz öffentlicher IPv4 weiterhin nicht?
Eine öffentliche IPv4 allein reicht nicht aus, wenn die Ziel-IP, der externe oder interne Port, das Protokoll oder die Firewall nicht korrekt eingerichtet sind. Prüfe außerdem, ob der Dienst auf dem Zielgerät tatsächlich läuft und die Verbindung aus einem fremden Internetzugang getestet wird.
Was kann ich tun, wenn der Router trotz Freischaltung weiterhin eine 10.x.x.x-Adresse anzeigt?
Baue die Mobilfunkverbindung nach der Freischaltung erneut auf und prüfe, ob im Router-Profil der APN netpublic eingetragen ist. Bleibt die WAN-Adresse privat, solltest du die Aktivierung für deinen konkreten Tarif, deine SIM-Karte und den verwendeten 5G-Modus beim Anbieter klären.
Ist die öffentliche IPv4 bei O2 dauerhaft gleich?
Eine öffentliche IPv4 bei Mobilfunk ist in der Regel dynamisch und daher nicht zwingend dauerhaft identisch. Für wechselnde Adressen kann ein geeigneter dynamischer DNS-Dienst erforderlich sein, sofern der Router oder der betroffene Server dies unterstützt.
Gilt die öffentliche IPv4 automatisch für Multicards und Datacards?
Nein, die Behandlung kann sich je nach Haupt-SIM, Multicard oder Datacard unterscheiden. Lass dir deshalb vor der Einrichtung bestätigen, für welche Karte und welchen Router die Option aktiviert wird.
Kann eine öffentliche IPv4 den NAT-Typ einer Spielekonsole verbessern?
Eine direkt erreichbare IPv4 kann bestimmte NAT-Einschränkungen bei Konsolen, Remote Play oder Peer-to-Peer-Anwendungen verringern. Sie garantiert jedoch keinen bestimmten NAT-Typ, weil zusätzlich Routerregeln, Konsoleneinstellungen und die Vorgaben des jeweiligen Spieledienstes entscheidend sind.
Warum ist eine öffentliche IPv6 keine vollständige Alternative zur öffentlichen IPv4?
IPv6 und IPv4 sind getrennte Protokolle, sodass ein ausschließlich über IPv4 erreichbarer Dienst eine öffentliche IPv4 oder eine geeignete Vermittlungslösung benötigt. Eine IPv6-Freigabe kann funktionieren, wenn alle beteiligten Geräte IPv6 unterstützen und die Firewall den Zugriff gezielt erlaubt.
Wie sichere ich einen Dienst nach der Freischaltung der öffentlichen IPv4 ab?
Öffne nur die tatsächlich benötigten Ports, halte das Zielgerät aktuell und verwende starke, individuelle Zugangsdaten. Für Routerverwaltung, NAS-Administration und Remote Desktop ist ein VPN oder ein abgesicherter Tunnel meist sicherer als eine direkt erreichbare Portfreigabe.
