Was ist CGNAT und wie umgeht man es

Carrier-Grade NAT (CGNAT) ist, wie ISPs mit der Erschöpfung von IPv4-Adressen umgehen. Anstatt jedem Kunden eine einzigartige öffentliche IP zu geben, platziert der ISP Hunderte oder Tausende von Abonnenten hinter einer einzigen gemeinsamen öffentlichen Adresse und übersetzt ihre Verbindungen an einem großen Carrier-Grade-Router. Es ist dasselbe Konzept wie das NAT in Ihrem Heimrouter, aber eine Ebene höher und über viele Haushalte hinweg geteilt. Beim normalen Surfen bemerken Sie es nie – ausgehende Verbindungen funktionieren einwandfrei. Das Problem liegt bei eingehenden Verbindungen.

Da Sie eine öffentliche IP mit Fremden teilen, besitzen Sie keine wirklich erreichbare Adresse. Sie können keinen Port zu Ihrem Gerät öffnen, da der Router des ISPs, nicht Sie, entscheidet, was diese gemeinsame IP mit eingehenden Paketen macht – und er hat keine Ahnung, für welchen Abonnenten eine zufällige eingehende Verbindung bestimmt ist.

Es gibt einen schnellen Test. Finde deine öffentliche IP auf einer "Was ist meine IP"-Seite und schaue dir die IP an, die auf der WAN-Statusseite deines Routers angezeigt wird. Wenn sie unterschiedlich sind — dein Router denkt, seine WAN-IP ist privat, während die Welt eine andere sieht — bist du hinter CGNAT. Ein eindeutiger Hinweis ist eine WAN-Adresse im Bereich 100.64.0.0/10, die speziell für CGNAT reserviert ist, oder eine privat aussehende WAN-IP (10.x, 172.16–31.x, 192.168.x), wenn du eine öffentliche erwartet hast.

Die Symptome sind alle eingehend: Portweiterleitung in deinem Router hat keine Wirkung, Freunde können nicht an einem Spiel teilnehmen, das du hostest, selbst gehostete Dienste sind von außen nicht erreichbar, und BitTorrent läuft langsam ohne eingehende Peers. Alles, was du versuchst zu hosten, schlägt fehl, obwohl alles, was du besuchst, funktioniert.

Du kannst CGNAT nicht alleine von deiner Seite aus besiegen, denn das fehlende Stück — eine öffentliche IP, die dir gehört — befindet sich beim ISP. Die ehrlichen Optionen: 1) Frage deinen ISP nach einer öffentlichen/statischen IP; viele bieten eine an, manchmal gegen eine kleine Gebühr. 2) Miete einen VPS und betreibe deinen Dienst dort, oder tunnle zu ihm mit WireGuard, sodass die öffentliche IP des VPS deinen Heimdienst vorgibt — die Standardlösung für Selbsthoster. 3) Verwende eine dedizierte / persönliche IP: eine Adresse, die für dich reserviert ist und, im Gegensatz zu einer CGNAT-geteilten, tatsächlich auf deinen Dienst gerichtet und whitelisted werden kann.

Der gemeinsame Nenner ist derselbe wie beim Port-Forwarding: Das Heilmittel für "Ich habe keine echte öffentliche IP" ist, eine zu bekommen, die du kontrollierst. Ein gemeinsamer VPN-Ausgang bietet das nicht für eingehendes Hosting, aber ein VPS plus eine dedizierte IP schon — eine stabile Adresse mit Ports, die dir gehören. Das ist der direkte, ehrliche Weg von "hinter CGNAT" zu "erreichbar".