NAT-Konfigurationsprobleme beheben Sie, indem Sie zuerst den NAT-Typ des Routers prüfen, ein mögliches Doppel-NAT durch Bridging des vorgelagerten Geräts auflösen, überlappende IP-Subnetze anpassen und Portweiterleitungsregeln auf die interne IP des Zielhosts korrigieren. Bei CGNAT-Einschränkungen kontaktieren Sie den Provider für eine öffentliche IPv4-Adresse.
Symptome
- VoIP-Anrufe brechen ab oder haben nur einseitigen Ton trotz stabiler Internetleitung.
- Online-Spiele melden „Strict NAT
- , „Type 3
- oder finden keine Mitspieler.
- Portweiterleitung wird konfiguriert, externe Portscans zeigen den Port aber weiterhin als geschlossen.
- VPN-Verbindungen (IPsec, WireGuard) scheitern mit Timeouts oder tauschen keine Schlüssel aus.
- Zwei interne Netze erreichen sich gegenseitig nicht, obwohl das Routing korrekt scheint.
Häufige Ursachen
Doppel-NAT durch kaskadierte Router
Der ISP-Router und ein eigener Router führen jeweils NAT aus. Eingehende Verbindungen werden am äußeren Gerät verworfen, da dort keine passende Weiterleitung existiert.
Carrier-Grade NAT (CGNAT) beim Provider
Der ISP vergibt keine öffentliche IPv4 mehr, sondern eine geteilte Adresse aus 100.64.0.0/10. Portweiterleitung und eingehende Verbindungen sind damit prinzipbedingt nicht möglich.
Falsche oder inaktive Portweiterleitung
Regeln zeigen auf eine veraltete interne IP, das falsche Protokoll (TCP statt UDP), einen inaktiven Host oder einen Port, den der Dienst intern gar nicht bindet.
Überlappende private Subnetze
LAN und Remote-Netz (VPN, Site-to-Site) nutzen denselben Bereich, etwa 192.168.1.0/24. Der Router kann nicht entscheiden, welches Ziel er ansprechen soll, Pakete werden lokal zugestellt.
Firewall- oder ALG-Regeln blockieren übersetzten Verkehr
SIP-, FTP- oder H.323-ALGs manipulieren Header fehlerhaft. Strikte Firewall-Policies verwerfen zudem RELATED/ESTABLISHED-Zustände nach kurzen NAT-Timeouts.
Schritt-für-Schritt-Lösung
- Aktuelle NAT-Situation und WAN-Adresse feststellen
Melden Sie sich am Router an und notieren Sie die WAN-IP. Vergleichen Sie diese mit der von außen sichtbaren Adresse (z. B. über einen What-is-my-IP-Dienst). Liegt die WAN-IP im Bereich 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 oder 100.64.0.0/10, haben Sie Doppel-NAT oder CGNAT. - Pfad mit traceroute analysieren
Führen Sie unter Windows `tracert 1.1.1.1` bzw. unter Linux/macOS `traceroute 1.1.1.1` aus. Erscheinen mehrere private Hops vor dem ersten öffentlichen Router, bestätigt das Doppel-NAT. Ein einzelner Hop im 100.64.x.x-Bereich weist auf CGNAT hin. - Doppel-NAT auflösen
Setzen Sie das vorgelagerte Gerät (meist der ISP-Router) in den Bridge- oder Modem-Modus, sodass nur Ihr Hauptrouter NAT übernimmt. Ist Bridging nicht möglich, tragen Sie den internen Router als DMZ-Host im ISP-Gerät ein und deaktivieren dort UPnP. - Überlappende Subnetze bereinigen
Ändern Sie das LAN-Subnetz auf einen weniger üblichen Bereich, etwa 192.168.87.0/24 oder 10.42.10.0/24. Passen Sie DHCP-Pool, statische Reservierungen und VPN-Routen entsprechend an. Prüfen Sie danach mit `ipconfig` bzw. `ip a`, dass Clients neue Adressen beziehen. - Portweiterleitung sauber neu anlegen
Vergeben Sie dem Zielhost eine DHCP-Reservierung. Legen Sie die Regel exakt mit externem Port, internem Port, korrektem Protokoll (TCP, UDP oder beide) und interner IP an. Testen Sie den Port von außen, etwa mit `nmap -Pn -p <Port> <WAN-IP>` von einer fremden Leitung. - Firewall, ALG und NAT-Timeouts prüfen
Deaktivieren Sie versuchsweise SIP-ALG, wenn VoIP betroffen ist. Erhöhen Sie UDP-NAT-Timeouts für Anwendungen mit langen Idle-Phasen (WireGuard, MQTT). Kontrollieren Sie, dass die Firewall-Zone des internen Ports eingehenden Verkehr aus WAN erlaubt. - CGNAT-Beschränkungen umgehen
Fordern Sie beim Provider eine öffentliche IPv4 an, sofern verfügbar. Alternativ nutzen Sie IPv6 für eingehende Dienste, einen Reverse-Tunnel (WireGuard, SSH-Remote-Forward) auf einen VPS oder Dienste wie Tailscale Funnel bzw. Cloudflare Tunnel. - Ergebnis validieren und dokumentieren
Testen Sie NAT-Typ (Xbox: Einstellungen › Netzwerk › NAT-Typ; Konsolen erwarten „Offen
Symptom, wahrscheinliche Ursache und erste Maßnahme
| Symptom | Wahrscheinliche Ursache | Erste Maßnahme |
|---|---|---|
| Strict NAT auf Konsole | Doppel-NAT oder UPnP blockiert | ISP-Router bridgen, UPnP auf einem Gerät aktivieren |
| Port extern geschlossen | Regel zeigt auf falsche IP oder Protokoll | DHCP-Reservierung setzen, Regel neu anlegen |
| Einseitiger VoIP-Ton | SIP-ALG manipuliert Header | SIP-ALG im Router deaktivieren |
| WAN-IP im 100.64.x.x-Bereich | Carrier-Grade NAT beim Provider | Öffentliche IPv4 anfordern oder Reverse-Tunnel nutzen |
| Site-to-Site-VPN erreicht Gegenstelle nicht | Überlappende Subnetze | LAN-Subnetz ändern, Routen anpassen |
| VPN-Tunnel bricht nach Minuten ab | Zu kurzer UDP-NAT-Timeout | Keepalive setzen, NAT-Timeout im Router erhöhen |
So beugen Sie vor
- Nur ein Gerät im Pfad soll NAT ausführen. Alle weiteren als Bridge oder Access Point betreiben.
- Ungewöhnliche private Subnetze wählen, um Konflikte mit VPN-Gegenstellen zu vermeiden.
- Portweiterleitungen dokumentieren und an DHCP-Reservierungen koppeln.
- IPv6 aktivieren, um von CGNAT-Beschränkungen bei eingehenden Diensten unabhängig zu werden.
Häufige Fragen
Wie erkenne ich zuverlässig, ob mein Anschluss hinter CGNAT liegt?
Vergleichen Sie die WAN-IP im Router mit der über einen externen Dienst sichtbaren öffentlichen Adresse. Weichen beide ab und liegt die WAN-IP im Bereich 100.64.0.0 bis 100.127.255.255, handelt es sich um Carrier-Grade NAT. Ein `traceroute` zeigt zusätzlich mindestens einen Hop in diesem Bereich, bevor die erste öffentliche Adresse erscheint.
Warum funktioniert meine Portweiterleitung, obwohl die Regel korrekt aussieht, trotzdem nicht?
Häufigste Ursache ist ein zweites NAT vor Ihrem Router oder eine geänderte interne IP des Zielhosts nach einem DHCP-Lease-Wechsel. Prüfen Sie außerdem, ob der Dienst intern tatsächlich auf dem angegebenen Port lauscht (`netstat -tlnp` bzw. `Get-NetTCPConnection`) und ob eine Host-Firewall den Zugriff blockiert.
Sollte ich SIP-ALG dauerhaft deaktivieren?
In den meisten Umgebungen mit modernen VoIP-Anlagen und -Clients ja. SIP-ALG-Implementierungen in Consumer-Routern greifen oft fehlerhaft in Header ein und verursachen einseitigen Ton oder Registrierungsabbrüche. Deaktivieren Sie ALG und überlassen Sie NAT-Traversal dem SIP-Client oder einem SBC des Anbieters.