IPv6, DS-Lite und CGNAT erklärt: Portfreigabe geht nicht

Du richtest eine Portfreigabe für den Heimserver oder die Spielehost-Funktion ein, und von außen kommt trotzdem niemand durch. Häufig liegt das nicht am Router, sondern am Anschluss: Dein Provider vergibt keine eigene öffentliche IPv4-Adresse. Dieser Ratgeber erklärt IPv4 und IPv6, DS-Lite und CGNAT, zeigt, wie du deinen Anschluss prüfst, und nennt Wege, trotzdem erreichbar zu sein.

IPv4 und IPv6 im Überblick

Weil IPv4-Adressen nicht ausreichen, führen Provider IPv6 ein. Beide Protokolle laufen oft gleichzeitig, das nennt man Dual-Stack. Dein PC nutzt IPv6, wenn Anschluss und Webseite es unterstützen, sonst fällt er auf IPv4 zurück. Du merkst davon im Alltag meist nichts.

Was ist NAT?

Dein Router besitzt eine öffentliche IPv4-Adresse und verteilt im Heimnetz private Adressen wie 192.168.x.x. Er übersetzt ausgehende Verbindungen und merkt sich, welches Gerät sie angefordert hat. Diese Übersetzung heißt NAT. Eingehende Verbindungen blockiert er, solange du keine Portfreigabe einrichtest, die sie an ein Gerät weiterleitet.

DS-Lite und CGNAT

Bei manchen Anschlüssen, besonders im Kabel- und Glasfaserbereich, erhältst du keine eigene öffentliche IPv4-Adresse. Der Provider übersetzt zentral, ein sogenanntes Carrier-Grade NAT, kurz CGNAT. DS-Lite ist eine Technik, bei der du IPv6 normal nutzt und IPv4-Verkehr durch den Provider getunnelt und zentral übersetzt wird. Mehrere Kunden teilen sich dann dieselbe IPv4-Adresse.

• Folge: Eine Portfreigabe im eigenen Router läuft ins Leere, weil die Verbindung schon beim Provider endet.
• Betroffen sind Heimserver, Kameras, Spielehosting, Fernzugriff und Dienste, die eingehende IPv4-Verbindungen brauchen.
• Ausgehende Verbindungen wie Surfen, Streaming und Online-Spiele funktionieren normal.

So prüfst du deinen Anschluss

1. Öffne die Weboberfläche deines Routers und suche die Internetverbindung. Dort steht die IPv4-Adresse, die der Router vom Provider erhält.
2. Rufe in einem Browser eine Seite auf, die deine öffentliche IP anzeigt, und vergleiche beide Adressen.
3. Sind sie gleich, besitzt du eine eigene öffentliche IPv4-Adresse. Weichen sie ab, steckt CGNAT dahinter.
4. Beginnt die Router-Adresse mit 100.64 bis 100.127, ist das ein klarer Hinweis auf CGNAT. Dieser Bereich ist für Provider-Netze reserviert.
5. Steht in der Router-Oberfläche kein IPv4 und nur IPv6, ist das ein typisches Zeichen für DS-Lite.

Auf dem PC siehst du in der Eingabeaufforderung mit „ipconfig“, ob dein Adapter eine IPv6-Adresse besitzt. Adressen, die mit „fe80“ beginnen, sind nur lokal. Eine globale Adresse beginnt oft mit 2 oder 3.

Lösungen, wenn Portfreigaben nicht gehen

Wer einen eigenen Server betreiben will, sollte die Alternativen prüfen. Eine Einordnung liefert der Beitrag NAS und Heimserver.

IPv6 sicher nutzen

• Jedes Gerät mit IPv6 ist grundsätzlich von außen adressierbar. Geschützt wirst du durch die Firewall deines Routers, die eingehende Verbindungen standardmäßig blockiert. Lass sie aktiv.
• Gib IPv6-Freigaben nur gezielt für einzelne Geräte und Ports frei.
• Windows verwendet Datenschutzadressen, die sich ändern, damit du schwerer verfolgbar bist. Das ist die Standardeinstellung.
• Deaktiviere IPv6 nicht pauschal, um Probleme zu beheben. Viele Windows-Funktionen setzen darauf. Führe stattdessen eine gezielte Fehlersuche durch.

Probleme mit IPv6 beheben

Wenn einzelne Seiten langsam laden oder Verbindungen abbrechen, liegt es manchmal an fehlerhaftem IPv6 beim Provider oder im Router. Prüfe zuerst, ob ein Router-Update verfügbar ist, starte den Router neu und teste mit einem anderen Gerät. Bei Verdacht auf Netzwerkprobleme hilft das Zurücksetzen des Netzwerks unter Windows. Schritte zur Fehlersuche im Netzwerk zeigt der Beitrag Gaming-Netzwerk: LAN statt WLAN und Router-Einstellungen. Erst wenn alle Maßnahmen versagen, ist das Abschalten von IPv6 am Adapter eine Zwischenlösung zum Testen.

Checkliste

1. Router-IPv4 mit öffentlicher IP verglichen?
2. CGNAT oder DS-Lite erkannt?
3. Anbieter wegen öffentlicher IPv4 befragt?
4. IPv6-Firewall aktiv gelassen?
5. Alternative zur Portfreigabe geprüft?
6. Nur gezielte Freigaben eingerichtet?

Beispiel: Heimserver trotz DS-Lite erreichen

Du betreibst eine kleine Cloud auf einem NAS und möchtest unterwegs auf deine Dateien zugreifen. Dein Router zeigt keine öffentliche IPv4-Adresse, eine Portfreigabe bleibt wirkungslos. Statt weiter an Einstellungen zu drehen, prüfst du zuerst, ob dein Anschluss IPv6 bietet und dein Handynetz ebenfalls IPv6 nutzt. Dann kannst du das NAS über die IPv6-Adresse mit einer gezielten Freigabe erreichbar machen. Alternativ richtest du eine VPN-Verbindung ein, die du von unterwegs aufbaust und die das Problem umgeht.

Wichtig ist bei jeder Lösung der Schutz der Dienste: starke Passwörter, Zwei-Faktor-Anmeldung und aktuelle Software. Wer einen Dienst ins Internet stellt, ist ständig Angriffen ausgesetzt, und ungepflegte Systeme sind das häufigste Einfallstor.

Dynamische Adressen und Namen

Auch mit öffentlicher IPv4-Adresse ändert sie sich bei vielen Anschlüssen regelmäßig. Damit du dein Gerät trotzdem unter einem festen Namen erreichst, nutzt du einen DynDNS-Dienst oder die entsprechende Funktion deines Routers. Dabei meldet der Router die aktuelle Adresse an einen Namensdienst. Bei IPv6 gilt Ähnliches: Das Präfix kann wechseln, deshalb brauchst du auch hier einen dynamischen Namen.

Häufige Fragen

Muss ich IPv6 selbst einrichten?

In der Regel nicht. Router und Windows aktivieren es automatisch, wenn der Anbieter es bereitstellt.

Ist IPv6 unsicherer?

Nicht grundsätzlich. Entscheidend ist die Firewall des Routers. Mit Standardeinstellungen sind eingehende Verbindungen blockiert.

Warum geht meine Portfreigabe nicht, obwohl alles richtig eingestellt ist?

Häufig liegt CGNAT oder DS-Lite vor. Vergleiche die Router-IP mit deiner öffentlichen IP.

Kann ich bei DS-Lite nur IPv6 nutzen?

Für den Zugriff von außen ja, sofern die Gegenstelle IPv6 unterstützt. Für Zugriffe aus IPv4-Netzen brauchst du Alternativen.