DS-Lite, CGNAT und Dual Stack einfach erklärt

Das typische Fehlerbild ist verwirrend: Die Internetleitung ist schnell, Webseiten funktionieren, Streaming läuft und auch Videokonferenzen machen keine Probleme. Sobald jedoch von unterwegs auf einen Heimserver, eine Kamera, ein NAS oder einen VPN-Server zugegriffen werden soll, ist der Anschluss plötzlich „nicht erreichbar“.

Viele Nutzer suchen dann zuerst bei Firewall, Portfreigabe oder DynDNS. Das kann richtig sein – aber vorher sollte eine grundlegendere Frage geklärt werden:

Genau hier unterscheiden sich Dual Stack, DS-Lite und CGNAT.

IPv4 und IPv6: Warum gibt es überhaupt diese verschiedenen Anschlussarten?

Das klassische Internetprotokoll IPv4 verwendet 32-Bit-Adressen. Die Zahl öffentlich nutzbarer IPv4-Adressen ist begrenzt. Internetanbieter mussten deshalb Verfahren entwickeln, mit denen vorhandene IPv4-Adressen effizienter genutzt werden können, während gleichzeitig IPv6 eingeführt wird.

IPv6 besitzt einen wesentlich größeren Adressraum. Moderne Anschlüsse können Endgeräten beziehungsweise Heimnetzen globale IPv6-Adressen bereitstellen, ohne dass sich mehrere Haushalte eine einzelne IPv6-Adresse teilen müssen.

Dual Stack: IPv4 und IPv6 parallel

Bei echtem beziehungsweise nativem Dual Stack stehen dem Anschluss IPv4 und IPv6 gleichzeitig zur Verfügung. Der Router kann IPv4-Ziele direkt über IPv4 und IPv6-Ziele direkt über IPv6 erreichen.

Für einen Privathaushalt ist besonders relevant, ob die zugewiesene IPv4-Adresse öffentlich erreichbar ist. Ist das der Fall, können klassische IPv4-Portfreigaben auf dem Router funktionieren – vorausgesetzt Firewall, Zielgerät und Dienst sind richtig eingerichtet.

Dual Stack ist deshalb für selbst gehostete Dienste meist die unkomplizierteste Variante: ältere IPv4-Gegenstellen und moderne IPv6-Gegenstellen können das Heimnetz erreichen, wenn entsprechende Freigaben eingerichtet sind.

CGNAT: NAT findet zusätzlich beim Internetanbieter statt

Carrier-Grade NAT, kurz CGNAT oder CGN, verschiebt eine weitere Übersetzungsstufe in das Netz des Internetanbieters.

Mehrere Kunden können dadurch dieselbe öffentliche IPv4-Adresse verwenden. Die Unterscheidung erfolgt zusätzlich über Portnummern und Zustandsinformationen in der NAT-Tabelle des Providers.

Die IETF hat für solche Provider-Szenarien den IPv4-Bereich 100.64.0.0 bis 100.127.255.255 beziehungsweise 100.64.0.0/10 als Shared Address Space reserviert.

DS-Lite: IPv4 wird durch ein IPv6-Netz transportiert

Dual-Stack Lite wurde von der IETF in RFC 6333 beschrieben. Der Anschluss erhält natives IPv6. Für Ziele, die weiterhin nur IPv4 sprechen, verpackt ein sogenanntes B4-Element im Kundenrouter die IPv4-Pakete in IPv6.

Im Providernetz nimmt ein AFTR – Address Family Transition Router – diese Pakete entgegen. Dort erfolgt die IPv4-Adress- und Portübersetzung gemeinsam für viele Anschlüsse.

Für normale ausgehende Internetnutzung ist das transparent. Das Problem entsteht bei eingehenden IPv4-Verbindungen: Die öffentliche IPv4 liegt am AFTR des Providers und gehört nicht exklusiv Ihrem Router.

DS-Lite und CGNAT sind verwandt – aber nicht dasselbe

Warum funktioniert normales Internet trotzdem?

Die meisten Alltagsverbindungen werden von innen nach außen aufgebaut.

Beispiele:

• Browser öffnet eine Webseite,
• Smart-TV startet einen Stream,
• Smartphone verbindet sich mit einem Messenger,
• Notebook baut einen Firmen-VPN-Tunnel auf,
• Konsole verbindet sich mit Matchmaking-Servern.

Der NAT-Router beziehungsweise CGNAT-Gateway merkt sich diese ausgehende Verbindung und kann die Antwortpakete wieder dem richtigen Anschluss zuordnen.

Schwieriger wird es, wenn eine fremde Gegenstelle im Internet ohne vorherige ausgehende Verbindung einen neuen Verbindungsaufbau zu Ihrem Heimnetz starten soll.

Warum funktioniert eine Portfreigabe bei CGNAT nicht?

Eine Portfreigabe im Heimrouter kontrolliert nur das NAT beziehungsweise die Firewall auf Ihrem Router.

Bei CGNAT existiert davor eine weitere NAT-Stufe:

Sie können in Ihrem Router zwar Port 443 an ein NAS weiterleiten. Der Router des Internetanbieters weiß dadurch aber noch nicht, dass eingehender Port 443 der gemeinsam genutzten öffentlichen IPv4 ausgerechnet zu Ihrem Anschluss gehören soll.

Ohne eine Portzuweisung auf der Provider-Ebene erreicht das Paket Ihren Router deshalb gar nicht.

Warum hilft DynDNS allein nicht?

DynDNS löst ein anderes Problem: Ein Hostname wird automatisch auf eine sich ändernde IP-Adresse aktualisiert.

Das ist praktisch, wenn Ihr Anschluss eine dynamische, aber öffentliche Adresse besitzt. Hinter CGNAT kann der DynDNS-Dienst jedoch nur auf eine Provideradresse oder auf IPv6 zeigen.

So erkennen Sie, ob Ihr Anschluss hinter CGNAT oder DS-Lite läuft

1. Router-Verbindungsdetails öffnen.
   Suchen Sie nach „Internet IPv4“, „WAN IPv4“, „DS-Lite“, „AFTR“, „IPv6-Präfix“ oder ähnlichen Angaben.
2. WAN-IPv4 notieren.
   Bei FRITZ!Box finden Sie diese Informationen im Online-Monitor beziehungsweise unter den Verbindungsdetails.
3. Öffentlich sichtbare IPv4 vergleichen.
   Rufen Sie einen Dienst auf, der Ihre öffentliche IPv4 anzeigt.
4. Adressen vergleichen.
   Ist die Router-WAN-Adresse eine andere als die öffentlich sichtbare IPv4, liegt mindestens eine weitere NAT-Stufe vor.
5. Auf 100.64.0.0/10 achten.
   Adressen von 100.64.0.0 bis 100.127.255.255 sind speziell für Shared Address Space vorgesehen.
6. DS-Lite-Hinweis prüfen.
   Viele Router zeigen einen aktiven DS-Lite-Tunnel und die AFTR-Adresse direkt an.
7. IPv6 prüfen.
   Ein globales IPv6-Präfix kann trotz fehlender öffentlicher IPv4 einen direkten Fernzugriff über IPv6 ermöglichen.

FRITZ!Box: Welche Adressen sind ein Warnsignal?

FRITZ nennt in seiner aktuellen Erreichbarkeitsprüfung mehrere IPv4-Bereiche, bei denen die FRITZ!Box nicht direkt über eine öffentliche IPv4 erreichbar ist. Dazu gehören unter anderem:

• 10.0.0.0/8,
• 100.64.0.0/10 für Carrier-Grade NAT,
• 172.16.0.0/12,
• 192.168.0.0/16,
• sowie ein für DS-Lite verwendeter Bereich um 192.0.0.0/29.

Eine private Adresse kann allerdings auch entstehen, wenn vor Ihrer FRITZ!Box ein eigener zweiter Router arbeitet. Deshalb anschließend immer die Netzstruktur prüfen.

Was bedeutet Double NAT?

Double NAT bedeutet lediglich, dass zwei NAT-Router hintereinander arbeiten. Das kann auch vollständig innerhalb des eigenen Hauses passieren.

Beispiel:

Wenn der Providerrouter selbst eine öffentliche IPv4 besitzt, lassen sich Portfreigaben theoretisch auf beiden Geräten korrekt einrichten oder der erste Router in einen Bridge-/Modemmodus versetzen, sofern unterstützt.

Bei CGNAT liegt die zusätzliche NAT-Stufe dagegen außerhalb Ihres direkten Zugriffs im Providernetz.

NAS von unterwegs: Warum der direkte Zugriff scheitert

Ein NAS kann zuhause einwandfrei funktionieren und trotzdem von außen unerreichbar sein. Für klassischen IPv4-Direktzugriff braucht der Internetanschluss einen erreichbaren Weg bis zum NAS.

Bei DS-Lite oder CGNAT bestehen mehrere mögliche Alternativen:

• direkter Zugriff über IPv6,
• Hersteller-Relay beziehungsweise Cloud-Vermittlung,
• ausgehender VPN-/Overlay-Tunnel zu einem Vermittlungsserver,
• Provideroption mit öffentlicher IPv4 beziehungsweise geeignetem Dual Stack,
• PCP, wenn Router und Provider dies unterstützen.

VPN: Client und Server nicht verwechseln

„VPN funktioniert nicht mit DS-Lite“ ist zu pauschal.

VPN-Client zum Arbeitgeber

Wenn Ihr Notebook von zuhause eine Verbindung zu einem Firmen-VPN aufbaut, startet die Verbindung aus Ihrem Heimnetz. Solche ausgehenden Verbindungen funktionieren hinter NAT und CGNAT grundsätzlich häufig problemlos.

Probleme können trotzdem durch einzelne VPN-Protokolle, NAT-Verhalten, MTU, Firewalls oder Unternehmensrichtlinien auftreten. DS-Lite allein ist deshalb nicht automatisch die Ursache jedes Homeoffice-VPN-Problems.

Eigener VPN-Server zuhause

Wenn Sie von unterwegs einen VPN-Tunnel zu Ihrem Router zuhause aufbauen möchten, muss Ihr Anschluss von außen erreichbar sein.

Hier wird fehlende öffentliche IPv4 relevant. Ein moderner VPN-Aufbau kann stattdessen IPv6 verwenden oder mit ausgehenden Vermittlungs-/Relay-Verbindungen arbeiten.

IPv6 als Lösung für Fernzugriff

DS-Lite ist nicht „Internet ohne öffentliche Adresse“. Der Anschluss erhält gerade eine native IPv6-Anbindung.

Wenn das Zielgerät eine globale IPv6-Adresse besitzt und der Router die passende Firewallfreigabe erlaubt, kann ein anderer IPv6-fähiger Internetanschluss das Gerät direkt erreichen.

Der Haken: Auch die Gegenstelle muss IPv6 nutzen können. Ein fremdes WLAN, Unternehmensnetz oder Mobilfunkzugang ohne passende IPv6-Erreichbarkeit kann den direkten Zugriff verhindern.

IPv6-Portfreigabe ist eigentlich eine Firewallfreigabe

Bei klassischem IPv4-NAT übersetzt der Router zusätzlich Adressen und Ports. Bei IPv6 besitzt das Endgerät normalerweise selbst eine globale Adresse.

Wenn Routeroberflächen trotzdem von „IPv6-Portfreigabe“ sprechen, geht es im Kern darum, eingehenden Verkehr in der Firewall für ein bestimmtes Gerät und einen bestimmten Port zu erlauben.

FRITZ bietet dafür eigene IPv6-Freigaben. Eine vollständige Freigabe eines Geräts sollte wegen der Sicherheitsrisiken nur bewusst und in Ausnahmefällen erfolgen.

PCP: Die wichtige Ausnahme bei DS-Lite

Port Control Protocol (PCP) wurde von der IETF dafür entwickelt, Portzuweisungen auch über NAT- und Firewall-Grenzen kontrolliert anzufordern.

FRITZ erklärt aktuell, dass eine FRITZ!Box bei einem DS-Lite-Tunnel mit PCP beim Internetanbieter Portfreigaben für sich einrichten kann. Dann kann IPv4-Erreichbarkeit über bestimmte vom Provider bereitgestellte Ports möglich sein, obwohl keine eigene öffentliche IPv4 am Router liegt.

Gaming: Warum NAT-Typen Probleme machen können

Online-Gaming besteht häufig aus einer Mischung aus zentralen Serververbindungen, Matchmaking und direkter Kommunikation zwischen Teilnehmern.

Die IETF weist in ihren NAT-Verhaltensanforderungen ausdrücklich darauf hin, dass NAT-Eigenschaften Auswirkungen auf Anwendungen wie Multimedia und Online-Gaming haben.

In der Praxis können auftreten:

• „Strict“ beziehungsweise eingeschränkte NAT-Anzeigen,
• Probleme beim Hosten von Sitzungen,
• bestimmte Peer-to-Peer-Verbindungen funktionieren nicht,
• Sprachchat oder Matchmaking verhalten sich inkonsistent.

Die genaue Bezeichnung unterscheidet sich zwischen Konsolen und Spielen. Ein CGNAT-Anschluss bedeutet nicht automatisch, dass Online-Gaming generell unmöglich ist. Viele moderne Spiele arbeiten über zentrale Server oder NAT-Traversal-Verfahren.

UPnP löst kein Provider-CGNAT

UPnP beziehungsweise automatische Portfreigaben können dem eigenen Heimrouter erlauben, Ports dynamisch für eine Konsole oder Anwendung zu öffnen.

Das löst aber grundsätzlich nur die lokale Routerebene. Befindet sich davor ein CGNAT, müsste zusätzlich die Provider-NAT-Stufe koordiniert werden.

Genau hier unterscheiden sich normales UPnP im Heimnetz und Protokolle beziehungsweise Providerfunktionen wie PCP.

IP-Kameras und Smart Home

Viele moderne Kameras und Smart-Home-Systeme benötigen keine direkte Portfreigabe mehr. Sie bauen selbst eine ausgehende Verbindung zum Herstellerdienst auf; die Smartphone-App kommuniziert anschließend über diesen Dienst.

Das funktioniert häufig auch hinter CGNAT.

Wer dagegen eine Kamera oder Smart-Home-Zentrale ausschließlich direkt per eigener IP-Adresse erreichen möchte, stößt auf dieselben Erreichbarkeitsprobleme wie bei NAS und Heimservern.

Eigener Web-, Mail- oder Gameserver zuhause

Für öffentlich erreichbare Serverdienste ist ein Anschluss mit kontrollierbarer Adressierung deutlich angenehmer.

Prüfen Sie:

• öffentliche IPv4 vorhanden?
• stabiles IPv6-Präfix beziehungsweise geeignetes DynDNS?
• Portfreigaben erlaubt?
• Providerbedingungen für Serverbetrieb?
• Upload ausreichend?
• Strom- und Ausfallsicherheit?
• Firewall und Updates?

Ein Heimanschluss ist technisch nicht automatisch ein Hostinganschluss.

Warum ein „Exposed Host“ bei CGNAT nicht hilft

Ein Exposed Host bedeutet, dass der Heimrouter nahezu alle eingehenden IPv4-Verbindungen an ein bestimmtes lokales Gerät weiterleitet.

Bei Carrier-NAT löst das dasselbe Problem wie eine einzelne Portfreigabe nicht: Der Verkehr erreicht den Heimrouter von außen möglicherweise gar nicht.

Zudem erhöht ein Exposed Host das Sicherheitsrisiko erheblich und sollte nicht als pauschaler Troubleshooting-Schritt verwendet werden.

Öffentliche IPv4 beim Anbieter anfragen

Manche Internetanbieter oder Tarifarten stellen eine öffentliche IPv4 bereit, andere verwenden DS-Lite oder CGNAT. Teilweise unterscheiden sich Privat- und Geschäftskundentarife sowie Anschlussarten.

Fragen Sie bei Bedarf konkret nach:

• „Erhalte ich eine öffentliche IPv4-Adresse?“
• „Ist echtes/natives Dual Stack verfügbar?“
• „Unterstützt der Anschluss PCP?“
• „Gibt es eine feste beziehungsweise statische IPv4?“
• „Ist die Option Bestandteil meines Tarifs oder kostenpflichtig?“

Verlassen Sie sich nicht auf eine pauschale Aussage zu einem ganzen Anbieter. Anschlussart, Tarifgeneration und Region können unterschiedlich behandelt werden.

Öffentliche IPv4 und statische IPv4 sind nicht dasselbe

Eine öffentliche IPv4 kann dynamisch sein und sich nach einer Neueinwahl ändern. DynDNS kann diese Änderung verfolgen.

Eine statische IPv4 bleibt dagegen fest zugeordnet. Das kann für Server, Unternehmens-VPNs oder Whitelisting wichtig sein, ist für einen normalen NAS-Fernzugriff aber nicht zwingend erforderlich.

Reverse Tunnel und Relay: Fernzugriff ohne eingehenden Port

Eine weitere Lösung besteht darin, die Richtung umzudrehen. Statt dass die Gegenstelle von außen eine neue Verbindung zum Heimanschluss startet, baut ein Gerät zuhause selbst eine dauerhafte ausgehende Verbindung zu einem Vermittlungsserver auf.

Da ausgehende Verbindungen hinter CGNAT funktionieren, kann der Vermittlungsserver beide Seiten zusammenbringen oder Verkehr weiterleiten.

Dieses Prinzip nutzen verschiedene Overlay-VPN-, Remote-Access- und Cloud-Relay-Systeme. Dabei sollte geprüft werden, ob Verkehr direkt zwischen den Endpunkten oder über einen fremden Relay-Server läuft und welche Datenschutz-, Leistungs- und Sicherheitsanforderungen bestehen.

VPS als eigene Vermittlungsstelle – eher für Fortgeschrittene

Technisch versierte Nutzer können einen externen Server mit öffentlicher IP als Gegenstelle für einen ausgehenden Tunnel aus dem Heimnetz verwenden.

Das bietet Kontrolle, bedeutet aber auch Verantwortung für:

• Serverhärtung,
• Firewall,
• Updates,
• Schlüsselmanagement,
• Routing,
• Monitoring und Kosten.

Für normale Verbraucher ist eine vom Router- oder NAS-Hersteller unterstützte sichere Fernzugriffslösung häufig einfacher.

Mobilfunk und 5G: CGNAT besonders genau prüfen

Bei Mobilfunkanschlüssen sind eingehende Verbindungen häufig stärker eingeschränkt. FRITZ weist in seiner aktuellen Erreichbarkeitsdokumentation darauf hin, dass Mobilfunkanbieter eingehende Verbindungen üblicherweise blockieren.

Wenn Sie einen LTE-/5G-Anschluss als vollständigen Festnetzersatz verwenden möchten und NAS, VPN-Server oder Kameras direkt erreichbar sein müssen, sollte die IP- und APN-Situation vor dem Wechsel getestet werden.

Mehr dazu: 5G zuhause als DSL-Ersatz.

Kabel, DSL und Glasfaser: Die Zugangstechnik verrät nicht automatisch den IP-Modus

DS-Lite wird oft mit Kabelinternet verbunden, ist aber grundsätzlich eine IP-Übergangstechnik und nicht an ein bestimmtes physisches Medium gebunden.

Deshalb sollte aus „Kabel“, „DSL“ oder „Glasfaser“ allein nicht geschlossen werden, ob Sie Dual Stack, DS-Lite oder eine andere IPv4-Übergangslösung erhalten.

Entscheidend sind die tatsächlichen Verbindungsdaten des Routers und die Bedingungen des konkreten Tarifs.

Portfreigabe funktioniert nicht: Diagnose in der richtigen Reihenfolge

1. Dienst lokal testen.
   Ist NAS, Server oder VPN innerhalb des Heimnetzes erreichbar?
2. Zielgerät prüfen.
   Läuft der Dienst und erlaubt dessen eigene Firewall den Port?
3. Router-Freigabe kontrollieren.
   Richtiger Port, Protokoll und Ziel-IP?
4. WAN-Adresse prüfen.
   Öffentliche IPv4, CGNAT, DS-Lite oder IPv6?
5. Von einem echten Fremdnetz testen.
   Nicht aus demselben WLAN testen; Mobilfunk oder externes Netz verwenden.
6. IPv6 separat testen.
   IPv4- und IPv6-Erreichbarkeit nicht vermischen.
7. PCP/Provideroption prüfen.
   Stehen externe Ports zur Verfügung?
8. Erst danach Alternative wählen.
   Öffentliche IPv4, IPv6, VPN-Relay oder Reverse Tunnel.

Die richtige Lösung nach Anwendungsfall

Was ist besser: Dual Stack oder DS-Lite?

Für normales Surfen, Streaming und Cloud-Anwendungen muss Dual Stack keinen spürbaren Geschwindigkeitsvorteil bieten.

Für technisch anspruchsvolle Heimnetze ist echtes Dual Stack aber flexibler, weil sowohl klassische IPv4-Erreichbarkeit als auch IPv6 zur Verfügung stehen.

DS-Lite ist kein „schlechter Internetanschluss“, sondern eine Übergangsarchitektur zur IPv4-Knappheit. Einschränkungen werden hauptsächlich sichtbar, wenn Sie selbst Dienste aus Ihrem Heimnetz heraus im Internet bereitstellen möchten.

Ist DS-Lite langsamer?

DS-Lite muss nicht automatisch zu einer merklich niedrigeren Internetgeschwindigkeit führen. Zusätzliche Tunnel- und NAT-Verarbeitung existiert zwar, ein ordentlich dimensioniertes Providernetz kann diese aber ohne für den Nutzer auffälligen Engpass abwickeln.

Wenn ein Anschluss langsam ist, sollten deshalb zuerst Leitung, WLAN, Servergegenstelle und Auslastung geprüft werden. DS-Lite allein ist kein Beweis für ein Geschwindigkeitsproblem.

Für die systematische Messung lesen Sie Internetgeschwindigkeit richtig messen.

Ändert ein eigener Router DS-Lite automatisch?

Nein. Ein eigener Router ändert nicht automatisch, welche IPv4-/IPv6-Anschlussart der Provider bereitstellt.

Ein eigenes Gerät kann mehr Funktionen, bessere Diagnose oder PCP-Unterstützung bieten. Ob der Anschluss aber eine öffentliche IPv4, DS-Lite, MAP-T oder CGNAT erhält, hängt letztlich von der Netz- und Tarifkonfiguration des Anbieters ab.

Mehr zur Routerentscheidung: Router mieten oder kaufen?.

Sicherheitscheck vor jeder Portfreigabe

Eine funktionierende öffentliche IP ist nicht automatisch etwas Positives. Sie ermöglicht eingehende Verbindungen – und damit auch Angriffsversuche.

Vor einer Freigabe:

• Gerät und Software aktualisieren,
• nur benötigte Ports freigeben,
• starke Authentisierung nutzen,
• wenn möglich VPN statt Verwaltungsoberfläche verwenden,
• Standardpasswörter ersetzen,
• Logs und Sicherheitsmeldungen prüfen,
• nicht benötigte Freigaben wieder entfernen.

Fazit: Erst die Anschlussart diagnostizieren, dann Ports konfigurieren