Statische Route gesetzt, aber Zielnetz bleibt unerreichbar: Gateway und Subnetz prüfen

Eine statische Route erreicht das Zielnetz nur, wenn drei Angaben zusammenpassen: das Zielnetz mit seiner Maske, das erreichbare Gateway und die lokale Netzwerkkonfiguration. Prüfe deshalb zuerst, ob der Router das Gateway über eine direkt angeschlossene Schnittstelle erreichen kann und ob die Subnetzmaske das gewünschte Ziel tatsächlich beschreibt. Ein Ping auf das Gateway, ein Blick in die Routingtabelle und ein Test der Rückroute grenzen den Fehler meist schneller ein als ein Neustart oder ein Zurücksetzen der Netzwerkkonfiguration.

Besonders häufig liegt die Ursache nicht in der Route selbst, sondern in einer falschen Präfixlänge, einem Gateway außerhalb des lokalen Netzes, einer fehlenden Rückroute oder einer Firewall, die den Verkehr zwischen den Netzen verwirft. Die folgenden Schritte führen von der risikoarmen Prüfung bis zur gezielten Korrektur.

Welche drei Angaben die statische Route bestimmen

Eine Route besteht im Kern aus dem Zielnetz, der Netzmaske beziehungsweise Präfixlänge und dem nächsten Hop. Der nächste Hop ist meist die IP-Adresse eines Routers, der den Weg zum entfernten Netz kennt. Zusätzlich kann je nach System eine Schnittstelle, eine Metrik oder eine Routingtabelle ausgewählt werden.

• Zielnetz: Das Netz, das erreicht werden soll, zum Beispiel ein internes Netz hinter einem zweiten Router.
• Subnetzmaske: Sie legt fest, welche Adressen zum Zielnetz gehören. 192.168.50.0/24 umfasst andere Adressen als 192.168.50.0/25.
• Gateway: Der nächste Router, an den Pakete für das Zielnetz weitergegeben werden.
• Schnittstelle: Der lokale Anschluss, über den das Gateway erreichbar ist.
• Metrik: Ein Vergleichswert, falls mehrere Routen zum gleichen Ziel existieren.

Eine Route zu 192.168.50.0/24 darf nicht mit einer Route zu 192.168.50.0/25 verwechselt werden. Im ersten Fall gehören Adressen von 192.168.50.1 bis 192.168.50.254 zum beschriebenen Bereich. Im zweiten Fall endet der erste Bereich bereits bei 192.168.50.126. Solche Unterschiede können dazu führen, dass ein Gerät die Route zwar anzeigt, ein Ziel aber über einen anderen Eintrag oder das Standardgateway behandelt wird.

Am Anfang die betroffenen Netze sauber erfassen

Notiere vor jeder Änderung die IP-Adresse des Quellgeräts, seine Subnetzmaske, das Standardgateway und die Adresse des Zielsystems. Zusätzlich brauchst du die Adresse des Routers, der zwischen den Netzen vermittelt. Ohne diese Übersicht lässt sich kaum unterscheiden, ob ein Paket am Quellgerät, am ersten Router oder am Zielnetz verloren geht.

Ein einfaches Schema kann so aussehen:

• Quellnetz: 192.168.10.0/24
• Router im Quellnetz: 192.168.10.1
• Weiterleitender Router: 192.168.10.254
• Zielnetz: 192.168.50.0/24
• Zielsystem: zum Beispiel 192.168.50.20

Die Beispielwerte sind nur ein Modell für die Prüfung. Deine Netze können andere Bereiche verwenden. Wichtig ist, dass beide Router auf ihren jeweiligen Seiten eine Adresse aus dem direkt angeschlossenen Netz besitzen.

Gateway und lokale Schnittstelle prüfen

Das eingetragene Gateway muss aus Sicht des Routers direkt erreichbar sein. Ein Router mit der Adresse 192.168.10.1/24 kann normalerweise ein Gateway wie 192.168.10.254 im selben Netz verwenden. Eine Adresse wie 192.168.20.254 liegt dagegen in einem anderen Netz und ist ohne eine weitere Route nicht als direkter nächster Hop geeignet.

Öffne zunächst die Netzwerkeinstellungen oder die Statusseite des Routers. Suche dort nach der Schnittstelle, über die das Gateway erreicht werden soll. Prüfe:

1. Liegt die Gateway-Adresse im Subnetz der ausgewählten Schnittstelle?
2. Ist die Schnittstelle aktiv und hat sie eine gültige IP-Adresse?
3. Besteht die physische Verbindung, etwa über LAN, VLAN, ONT oder einen weiteren Switch?
4. Antwortet das Gateway auf einen Ping, sofern ICMP nicht bewusst gesperrt ist?

Wenn das Gateway nicht erreichbar ist, bringt eine Änderung am Zielnetz zunächst nichts. Prüfe dann Kabel, VLAN-Zuordnung, Portstatus und die Adressierung des Nachbarrouters. Bei einem verwalteten Switch kann ein falsches VLAN dazu führen, dass die IP-Adressen scheinbar korrekt aussehen, die Geräte aber nicht dieselbe Layer-2-Verbindung teilen.

Die Subnetzmaske auf beiden Seiten vergleichen

Die Maske bestimmt, welche Ziele ein Gerät als lokal betrachtet und welche es an sein Gateway sendet. Ein zu großes oder zu kleines Subnetz kann daher die Weiterleitung verhindern, obwohl die Route formal richtig eingetragen wurde.

Beispiel: Ein Rechner mit 192.168.10.25/24 erkennt 192.168.10.80 als lokales Ziel und sendet direkt an dieses Gerät. Ein Rechner mit 192.168.10.25/25 behandelt dagegen nur Adressen bis 192.168.10.126 als lokal. Liegt ein Kommunikationspartner bei 192.168.10.150, wird er über das Gateway angesprochen. Unterschiedliche Masken im gleichen physischen Netz können deshalb zu einseitiger Erreichbarkeit führen.

Vergleiche die Präfixlängen nicht nur in der statischen Route, sondern auch bei den beteiligten Schnittstellen. Achte besonders auf Schreibweisen wie 255.255.255.0 und /24; sie beschreiben denselben Präfix, sind aber in unterschiedlichen Oberflächen dargestellt. Eine Hostroute mit /32 betrifft genau eine IP-Adresse und ersetzt keine Route für das gesamte Zielnetz.

Routingtabelle statt Eingabemaske kontrollieren

Die Anzeige in der Konfigurationsoberfläche bestätigt nur, dass ein Eintrag gespeichert wurde. Entscheidend ist die aktive Routingtabelle. Dort siehst du, ob die Route geladen ist, welche Schnittstelle verwendet wird und ob ein anderer Eintrag Vorrang besitzt.

Auf vielen Linux-Systemen zeigt der folgende Befehl die relevanten Einträge:

ip route

Für ein bestimmtes Ziel ist diese Abfrage hilfreicher:

ip route get 192.168.50.20

Unter Windows kannst du die Routingtabelle mit folgendem Befehl anzeigen:

route print

Auch tracert 192.168.50.20 kann zeigen, an welchem Hop die Weiterleitung endet. Unter Linux und macOS wird häufig traceroute 192.168.50.20 verwendet. Ein ausbleibender Hop bedeutet allerdings nicht automatisch, dass der Verkehr dort sicher verworfen wird, weil Router ICMP-Antworten unterdrücken können.

Bei mehreren passenden Routen verwendet das System normalerweise den längsten passenden Präfix. Eine Route für 192.168.50.0/25 ist somit spezifischer als eine Route für 192.168.50.0/24. Bei gleicher Präfixlänge können Metrik oder administrative Priorität entscheiden. Entferne konkurrierende Einträge nicht blind, sondern notiere zunächst, welchen Weg sie für andere Ziele bereitstellen.

Die Weiterleitung auf dem Zwischenrouter aktivieren

Der Router, der das Paket zum Zielnetz weiterleiten soll, benötigt nicht nur eine Adresse im Quellnetz. Er muss auch wissen, wie das Zielnetz erreicht wird. Ist das Zielnetz direkt angeschlossen, entsteht die Route meist automatisch. Liegt dahinter noch ein weiterer Router, braucht der Zwischenrouter einen passenden Eintrag oder ein dynamisches Routingprotokoll.

Ein typischer Weg besteht aus drei Stationen:

1. Das Quellgerät sendet das Paket an sein Standardgateway.
2. Der erste Router nutzt die statische Route und übergibt das Paket an den nächsten Router.
3. Der Zielrouter stellt das Paket im Zielnetz zu.

Funktioniert der erste Sprung, aber nicht der zweite, untersuche die Route auf dem Zwischenrouter. Prüfe dort Zielnetz, Maske, nächsten Hop und Ausgangsschnittstelle. Bei VLANs oder mehreren WAN- und LAN-Anschlüssen muss außerdem die richtige Routingtabelle ausgewählt sein. Policy-Based Routing kann dazu führen, dass eine Route in der Haupttabelle korrekt aussieht, der betreffende Datenstrom aber eine andere Tabelle verwendet.

Die Rückroute ist ebenso wichtig wie der Hinweg

Viele Verbindungen scheitern, weil das Zielsystem oder sein Router keine Rückroute zum Quellnetz kennt. Der Hinweg kann dann vollständig funktionieren: Das Paket erreicht den Zielserver, die Antwort findet jedoch nicht zurück.

Angenommen, ein Gerät aus 192.168.10.0/24 greift auf 192.168.50.0/24 zu. Der Router im Zielnetz muss wissen, dass Antworten für 192.168.10.0/24 an den Router im Zielnetz oder an den nächsten zuständigen Hop gesendet werden. Bei einem einzelnen Internetrouter wird diese Route häufig über eine statische Route, ein VPN, ein VLAN-Design oder eine zentrale Firewall bereitgestellt.

Prüfe die Rückrichtung mit einem Test von einem System im Zielnetz zum Quellgerät. Wenn eingehende Verbindungen scheitern, ausgehende Verbindungen aber funktionieren, kommen neben der Rückroute auch Firewallregeln und Zustandsprüfungen infrage. Network Address Translation kann den Rückweg verändern, löst aber nicht jedes Routingproblem und erschwert die Fehlersuche.

Firewall, ICMP und Dienste getrennt bewerten

Ein fehlender Ping beweist nicht, dass keine Route existiert. Firewalls können ICMP blockieren, während ein Dienst wie HTTPS oder SSH erreichbar bleibt. Umgekehrt kann ein Ping funktionieren, obwohl der gewünschte TCP- oder UDP-Port gesperrt ist.

Teste deshalb mehrere Ebenen:

• Erreichbarkeit des lokalen Gateways
• Erreichbarkeit des nächsten Routers
• Route bis zur Zieladresse mit einem Traceroute
• Erreichbarkeit des benötigten Dienstes und Ports
• Firewallprotokolle auf Router, Server und Endgerät

Bei privaten Netzen müssen Regeln für die tatsächlichen Quell- und Zielsubnetze gelten. Eine Freigabe für 192.168.10.0/24 hilft nicht, wenn der Datenverkehr durch NAT mit einer anderen Quelladresse ankommt oder über eine unerwartete Schnittstelle geführt wird. Öffne nicht pauschal alle Ports und deaktiviere keine Firewall dauerhaft. Erlaube nur den erforderlichen Verkehr zwischen den benötigten Netzen und Diensten.

DNS nicht mit einem Routingfehler verwechseln

Wenn ein Zielname nicht funktioniert, die zugehörige IP-Adresse aber erreichbar ist, liegt die Ursache wahrscheinlich bei DNS und nicht bei der statischen Route. DNS übersetzt Namen in IP-Adressen; es entscheidet nicht, über welchen Router ein bereits bekanntes IP-Ziel läuft.

Teste daher zunächst die IP-Adresse des Zielsystems. Prüfe danach die Namensauflösung mit passenden Werkzeugen wie nslookup unter Windows oder dig unter Linux und macOS. Achte auf interne DNS-Zonen, Suchdomänen und DNS-Server, die nur aus einem bestimmten Netz erreichbar sind. Eine Route zum Servernetz kann vorhanden sein, während der DNS-Server oder die benötigte Zone fehlt.

MTU, VPN und IPv6 als Sonderfälle

Einige Verbindungen funktionieren teilweise, wenn die Route stimmt, aber die maximale Paketgröße nicht zur Übertragungsstrecke passt. VPN-Tunnel, PPPoE, VLANs und bestimmte Provideranschlüsse verringern die nutzbare MTU. Dann laden kleine Seiten oder kurze Tests, während größere Übertragungen abbrechen.

Prüfe bei solchen Symptomen die MTU-Einstellungen an den beteiligten Tunnel- und WAN-Schnittstellen. Verändere den Wert nicht ohne Messung und Dokumentation. Eine zu niedrige MTU kann Leistung kosten, eine zu hohe MTU verursacht Fragmentierung oder verworfene Pakete.

IPv4- und IPv6-Routing sind getrennte Bereiche. Eine funktionierende IPv4-Route sagt nichts über den IPv6-Weg aus. Wenn ein Gerät bevorzugt IPv6 nutzt, kann eine fehlende IPv6-Route wie ein allgemeiner Ausfall wirken. Prüfe die verwendete Adresse, die Routingtabelle und die Firewallregeln für das jeweilige Protokoll getrennt.

Änderung gezielt durchführen und Ergebnis sichern

Wenn die Ursache gefunden ist, ändere nur die betroffene Route oder Schnittstelle. Dokumentiere vorher den bestehenden Eintrag, damit du bei einem unerwarteten Ergebnis zurückkehren kannst. Verwende die passende Netzmaske und wähle ein Gateway, das aus dem lokalen Routernetz erreichbar ist.

Kontrolliere nach dem Speichern in dieser Reihenfolge:

1. Ist die Route in der aktiven Routingtabelle vorhanden?
2. Wählt die Zielabfrage den erwarteten nächsten Hop?
3. Antwortet das Gateway oder zeigt der Traceroute den erwarteten ersten Schritt?
4. Erreicht ein Test vom Quellnetz die Ziel-IP?
5. Funktioniert der benötigte Dienst und nicht nur ICMP?
6. Kommt eine Antwort aus dem Zielnetz zurück?

Ein Neustart kann eine Änderung laden, sollte aber nicht die erste Diagnosemethode sein. Bei professionellen Routern müssen Konfiguration und laufender Zustand möglicherweise getrennt gespeichert werden. Prüfe außerdem, ob die Route nach einem Neustart, einer WAN-Neuverbindung oder einem Firmwarewechsel erhalten bleibt.

Werkseinstellungen nur als letzte Maßnahme

Ein Zurücksetzen löscht je nach Router Zugangsdaten, Telefoniekonfiguration, WLAN-Einstellungen, Portfreigaben, VPNs, Mesh-Zuordnungen und eigene DNS- oder DHCP-Anpassungen. Bei einer einzelnen fehlerhaften Route ist ein Reset daher unverhältnismäßig.

Bevor du diese Option erwägst, sichere die Konfiguration und notiere alle benötigten Daten. Prüfe zuerst, ob ein einzelner fehlerhafter Eintrag, ein falsches Gateway, eine fehlende Rückroute oder eine Firewallregel die Ursache ist. Wenn der Anschluss selbst nicht synchronisiert, mehrere Geräte gleichzeitig betroffen sind oder das Ereignisprotokoll wiederholt Leitungsfehler zeigt, liegt der nächste Ansprechpartner möglicherweise beim Anbieter und nicht bei der lokalen Route.

Die wichtigsten Prüfungen in der richtigen Reihenfolge

• Quellnetz, Zielnetz und beide Präfixlängen notieren.
• Lokale IP-Adresse, Schnittstelle und Standardgateway kontrollieren.
• Erreichbarkeit des eingetragenen Gateways testen.
• Routingtabelle und tatsächlich gewählten nächsten Hop anzeigen.
• Weiterleitung und Zielroute auf jedem Zwischenrouter prüfen.
• Rückroute vom Zielnetz zum Quellnetz kontrollieren.
• Firewallregeln für Protokoll, Port, Quelle und Ziel auswerten.
• DNS, IPv4 und IPv6 getrennt testen.
• VPN, MTU, VLAN und Policy-Based Routing als Sonderfälle untersuchen.
• Erst danach eine gezielte Änderung, Sicherung oder Neukonfiguration durchführen.

Bleibt das Ziel trotz korrekter Hin- und Rückroute unerreichbar, sollte der Fehler anhand von Paketmitschnitten oder Firewallprotokollen weiter eingegrenzt werden. Diese Daten zeigen, ob das Paket den Router verlässt, am Ziel ankommt und ob eine Antwort zurückgesendet wird. So lässt sich die Zuständigkeit zwischen Endgerät, Router, Firewall, Zielsystem und Anschlussanbieter sauber trennen.

Fragen und Antworten zur statischen Route ins Zielnetz

Kann eine statische Route durch einen Neustart des Routers wieder funktionieren?

Ein Neustart kann eine zuvor gespeicherte Konfiguration erneut in den laufenden Zustand laden, behebt aber kein falsches Gateway und keine fehlende Rückroute. Prüfe deshalb nach dem Neustart die aktive Routingtabelle und teste den tatsächlichen Dienstzugriff, statt nur die Erreichbarkeit des Routers zu kontrollieren.

Muss ich für eine statische Route Zugangsdaten des Internetanbieters ändern?

Für eine rein interne Route zwischen zwei lokalen Netzen sind Zugangsdaten des Providers normalerweise nicht erforderlich. Ändert die Route jedoch eine WAN-, VPN- oder VLAN-Verbindung, solltest du vor Anpassungen die bestehende Anschluss- und Tunnelkonfiguration sichern.

Warum funktioniert der Zugriff auf das Zielnetz über LAN, aber nicht über WLAN?

Dann kann die Route selbst korrekt sein, während das WLAN in einem Gastnetz, einem isolierten VLAN oder einem getrennten Sicherheitsbereich liegt. Vergleiche die IP-Adresse, das Gateway und die zugewiesene Netzmaske des WLAN-Geräts mit einem funktionierenden LAN-Gerät und prüfe anschließend die Regeln zwischen den Netzen.

Kann DNS die statische Route als Fehler erscheinen lassen?

Ja, wenn die Ziel-IP erreichbar ist, der verwendete Hostname aber nicht aufgelöst wird oder auf eine falsche Adresse zeigt. Teste den Zugriff deshalb einmal direkt mit der Ziel-IP und prüfe DNS-Auflösung, Suchdomäne sowie gegebenenfalls getrennte DNS-Regeln für VPN- oder interne Netze.

Was muss ich bei einer statischen Route für IPv6 beachten?

IPv6 verwendet eigene Adressen, Präfixe, Routingtabellen und Firewallregeln; eine funktionierende IPv4-Route ersetzt keine IPv6-Konfiguration. Ermittle zunächst, welches Protokoll das Endgerät tatsächlich nutzt, und prüfe den IPv6-Nächsten-Hop sowie die Rückroute mit den dafür vorgesehenen Werkzeugen.

Ist eine statische Route ein Sicherheitsrisiko?

Die Route selbst öffnet normalerweise keinen Port, sie ermöglicht aber einen zusätzlichen Kommunikationsweg zwischen Netzen. Begrenze deshalb mit Firewallregeln, welche Quellen, Ziele, Protokolle und Ports diesen Weg nutzen dürfen, und vermeide eine pauschale Freigabe kompletter interner Netze.

Kann ein einzelnes Gerät die Route trotz korrekter Routerkonfiguration nicht nutzen?

Ja, ein falsches Standardgateway, eine lokale Firewall, eine manuelle IP-Konfiguration oder eine abweichende Subnetzmaske kann nur dieses Gerät betreffen. Vergleiche seine Netzparameter mit einem funktionierenden Endgerät und teste zusätzlich, ob nur ein Dienst oder das gesamte Zielnetz unerreichbar ist.