Kurz gesagt: Double NAT zuerst lokalisieren, dann beheben.

Wenn Portfreigaben, Fernzugriff auf NAS oder Heimserver oder einzelne Online-Anwendungen nicht funktionieren, ist „Double NAT“ schnell als Ursache genannt. Der wichtige Schritt kommt aber davor: Du musst zuerst herausfinden, wer die zusätzliche Übersetzung überhaupt durchführt.

Stehen wirklich zwei Router hintereinander und beide arbeiten als NAT-Gateway, liegt lokales Double NAT vor. Carrier-Grade NAT beim Internetanbieter und DS-Lite sind andere Fälle. Die Symptome können sich ähneln – etwa wenn eingehende IPv4-Verbindungen nicht funktionieren –, aber der richtige Lösungsweg hängt davon ab, wo die zusätzliche Übersetzung sitzt.

Die sinnvolle Reihenfolge ist deshalb: Topologie prüfen, WAN-/Internetstatus lesen, den Fall einordnen – und erst dann Einstellungen ändern. Bridge-Modus oder Access-Point-Betrieb können eine lokale Router-Kaskade bereinigen. Eine NAT-Schicht im Netz deines Providers verschwindet dadurch nicht.

Was Double NAT tatsächlich bedeutet

NAT übersetzt Adressen zwischen einem internen und einem externen Adressraum. In typischen Heimnetzen kommt zusätzlich die Übersetzung von TCP- oder UDP-Ports dazu. So können mehrere Geräte im lokalen Netz über einen Router nach außen kommunizieren.

Von lokalem Double NAT sprechen wir hier, wenn zwei hintereinander geschaltete Routinggeräte jeweils NAT ausführen. Ein typischer Aufbau sieht so aus:

Internet → Provider-Gateway → eigener Router → Endgeräte

Wenn sowohl das Providergerät als auch dein eigener Router als Router arbeiten, entstehen zwei getrennte private Netze und zwei NAT-Schichten. Genau diese Kaskade kann Portweiterleitungen, UPnP, bestimmte Online-Spiele oder die Kommunikation zwischen den getrennten Netzen komplizierter machen.

Wichtig: Double NAT verursacht nicht automatisch langsames Internet, hohen Ping oder sichtbare Probleme. Viele normale ausgehende Verbindungen funktionieren auch durch zwei NAT-Schichten. Auffällig wird die Konstruktion vor allem dort, wo eine Anwendung eingehende Verbindungen, Port-Mappings oder eine bestimmte Erreichbarkeit erwartet.

CGNAT und DS-Lite sind keine Synonyme für Double NAT

Carrier-Grade NAT, kurz CGNAT oder CGN, sitzt im Netz des Internetanbieters. Dort können mehrere Teilnehmer eine öffentliche IPv4-Adresse gemeinsam nutzen. Diese NAT-Funktion gehört nicht zu deinem Heimrouter und wird auch nicht von dir verwaltet.

Der für Provider-CGN reservierte Shared Address Space ist 100.64.0.0/10. Siehst du eine Adresse aus diesem Bereich am providerseitigen WAN-/Internetstatus, ist das ein starker Hinweis auf CGN. Es ist aber kein Beweis für DS-Lite.

DS-Lite ist eine eigene Übergangsarchitektur. Dabei wird IPv4 über eine IPv6-Verbindung zum Provider transportiert. Der IPv4-Tunnel endet am AFTR des Providers, der dort auch die IPv4-NAT-Funktion übernimmt. Deshalb solltest du DS-Lite nicht aus einer einzelnen IP-Adresse ableiten. Ein expliziter DS-Lite-, B4-, AFTR- oder Tunnelstatus im Router ist wesentlich aussagekräftiger.

Auch private Adressen im Heimnetz widersprechen DS-Lite nicht. Dein Router kann seinen Geräten weiterhin private IPv4-Adressen geben, obwohl der eigentliche IPv4-Weg zum Provider über DS-Lite läuft.

Bevor du suchst: Funktioniert dein lokales Netz grundsätzlich?

Dieser Artikel setzt voraus, dass dein Gerät bereits eine funktionierende lokale IP-Konfiguration und grundsätzlich Internetzugriff hat.

Wenn dein PC schon keine brauchbare lokale IP-Adresse oder kein Gateway erhält, bist du noch nicht beim Double-NAT-Problem. Dann musst du zuerst den vorgelagerten DHCP-/Ethernet-Zweig lösen.

Schritt 1: Deine Netzwerktopologie aufzeichnen

Bevor du irgendeinen Bridge-Modus aktivierst oder Ports öffnest, notiere die tatsächliche Reihenfolge der Geräte zwischen Internetanschluss und Endgerät.

Typische Bausteine sind:

  • Provider-Modem oder Provider-Gateway
  • eigener Router
  • Mesh-Router oder weiterer Router
  • Access Point
  • Endgerät

Entscheidend ist nicht, wie das Gerät genannt wird, sondern welche Funktion es gerade übernimmt.

Ein Gerät kann beispielsweise nur als Modem oder Bridge arbeiten. Dann führt es nicht dieselbe Routerrolle aus wie ein vollwertiges Gateway. Ein zweiter Router kann wiederum im Access-Point- oder IP-Client-Modus laufen und damit die Routing-/NAT-Funktion des ersten Routers nutzen.

Ein häufiger Denkfehler: WLAN am Providergerät ausschalten bedeutet noch lange nicht, dass das Gerät im Bridge-Modus arbeitet. Es kann weiterhin routen, Adressen vergeben und NAT durchführen.

Schritt 2: WAN- oder Internetstatus des zuständigen Routers prüfen

Als Nächstes brauchst du den Router, der den eigentlichen Internet- beziehungsweise WAN-Uplink hält. Dort prüfst du den Verbindungsstatus und – soweit die Oberfläche es zeigt – die WAN-/Internet-IPv4, IPv6 und einen möglichen DS-Lite- oder Tunnelstatus.

Die WAN-Adresse ist ein Diagnosehinweis, aber kein Alleinbeweis.

Eine normale öffentliche IPv4 am zuständigen Internetrouter spricht gegen providerseitiges CGN oder DS-Lite auf diesem IPv4-Pfad. Trotzdem kann innerhalb deines Heimnetzes weiterhin Double NAT entstehen, wenn hinter diesem Router noch ein zweiter Router als NAT-Gateway arbeitet.

Eine RFC-1918-Adresse am WAN-Port deines zweiten Routers zeigt dagegen eine vorgelagerte private Routingebene. Die privaten IPv4-Bereiche sind 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Jetzt musst du prüfen, wem diese vorgelagerte Ebene gehört.

Eine Adresse aus 100.64.0.0/10 priorisiert den CGN-Zweig. Sie ist Shared Address Space für Provider-Netze und kein normaler RFC-1918-Bereich.

Bei einem expliziten DS-Lite-/Tunnelstatus, einer IPv6-Provideranbindung und fehlender eigener öffentlicher IPv4 wird der DS-Lite-Zweig plausibler.

Diagnosepfad für Double NAT, CGNAT und DS-Lite mit Topologie, WAN-Status und vier ErgebniszweigenKI-generierte Abbildung
Der Diagnosepfad verbindet Topologie und WAN-Status, bevor zwischen lokalem Double NAT, CGNAT, DS-Lite oder einem unklaren Fall unterschieden wird.

Schritt 3: WAN-Status und Topologie gemeinsam auswerten

Jetzt kommt der entscheidende Teil. Eine einzelne IP-Zahl reicht nicht.

Fall A: Zwei eigene Router führen NAT aus

Dein Providergerät routet und führt NAT aus. Dahinter hängt dein eigener Router ebenfalls im Routermodus und erzeugt ein zweites privates Netz. Das ist der klassische lokale Double-NAT-Fall.

Fall B: Die zusätzliche Übersetzung sitzt beim Provider

Am zuständigen Internetrouter liegt keine normale öffentliche IPv4 vor, und es gibt keine selbst kontrollierte vorgelagerte Routerstufe, die diese private oder geteilte Adresse erklärt. Dann musst du Richtung Provider-NAT weiterprüfen.

Der Bereich 100.64.0.0/10 ist dabei ein besonders starker Hinweis auf CGN. Trotzdem bleibt die Diagnose mehrstufig: Routerstatus und Providerinformationen gehören dazu.

Fall C: Der Router zeigt DS-Lite

Ein expliziter DS-Lite-, B4-, AFTR- oder Tunnelstatus ist der klarere Hinweis als eine einzelne IPv4-Zahl. Bei DS-Lite läuft der IPv4-Verkehr über die IPv6-Anbindung zum AFTR des Providers. Das ist technisch ein anderer Aufbau als zwei eigene Heimrouter mit NAT.

Fall D: Die Adresse ist nicht öffentlich, aber der Fall bleibt unklar

Dann nicht raten. Wenn du weder eine eigene vorgelagerte NAT-Stufe noch einen eindeutigen CGN- oder DS-Lite-Status identifizieren kannst, ist der Providerstatus oder Support der nächste sinnvolle Prüfpunkt.

Lokales Double NAT beheben: Entscheide, welcher Router Router bleiben soll

Wenn du lokales Double NAT bestätigt hast, gibt es zwei saubere Grundrichtungen. Du entfernst eine Router-/NAT-Schicht, statt nur weitere Regeln daraufzusetzen.

Lösungsweg 1: Vorgelagertes Gateway in Bridge- oder Bypass-Betrieb

Wenn dein Providergerät beziehungsweise vorgelagertes Gateway einen offiziell unterstützten Bridge- oder Bypass-Modus besitzt, kann dessen Routing-/NAT-Funktion entfallen. Dein eigener Router übernimmt dann die Routerrolle.

Das ist besonders sinnvoll, wenn du die Router-, Firewall-, WLAN- oder Mesh-Funktionen deines eigenen Routers bewusst nutzen möchtest.

Aber: Bridge-Modus ist geräte- und providerabhängig. Je nach Gerät können Funktionen entfallen. Deshalb solltest du keine allgemeine Menüanleitung aus einem fremden Routermodell übertragen.

Lösungsweg 2: Zweiten Router als Access Point oder IP-Client betreiben

Wenn das Providergerät Router bleiben soll, kannst du den nachgelagerten Router – sofern unterstützt – als Access Point beziehungsweise IP-Client betreiben.

Dann bleibt das vorgelagerte Gerät die Routing-/NAT-Instanz. Der zweite Router stellt beispielsweise WLAN oder zusätzliche Netzwerkanschlüsse bereit, ohne ein zweites eigenständiges NAT-Netz aufzubauen.

Auch hier gibt es eine Grenze: Im AP-/IP-Client-Modus können Funktionen des zweiten Routers wegfallen. Bei einer FRITZ!Box im IP-Client-Modus erhalten angeschlossene Geräte ihre IP-Konfiguration beispielsweise vom vorhandenen Router, während mehrere Routerfunktionen nicht zur Verfügung stehen.

Welche Richtung besser ist, hängt deshalb nicht von „Bridge ist immer besser“ oder „AP ist immer besser“ ab. Entscheidend ist, welche Routerfunktionen du behalten willst.

Warum eine Portfreigabe nur am inneren Router nicht reicht

Bei zwei NAT-Schichten endet eine eingehende Verbindung nicht automatisch am zweiten Router, nur weil dort eine Portweiterleitung eingerichtet wurde.

Jede relevante NAT- beziehungsweise Firewall-Schicht im Pfad muss die Verbindung passend weiterreichen oder einen geeigneten Mapping-Mechanismus unterstützen. Genau deshalb kann eine korrekt aussehende Portregel am inneren Router wirkungslos bleiben, wenn davor noch ein weiteres Gateway übersetzt und blockiert.

Das bedeutet nicht, dass doppelte Portweiterleitungen technisch nie funktionieren können. Als bevorzugte Dauerlösung sind sie aber unnötig komplex. Wenn du die Router-Kaskade nicht bewusst benötigst, ist eine eindeutige Topologie mit nur einer lokalen NAT-Schicht leichter zu verstehen und zu warten.

Warum Exposed Host oder „DMZ“ kein Universalfix ist

Verlockend ist auch die Abkürzung, den zweiten Router oder ein Endgerät einfach als Exposed Host einzutragen.

Das kann für bestimmte Tests hilfreich sein, ist aber keine saubere Standardreparatur für Double NAT. Bei einem Exposed Host werden eingehende Verbindungen sehr weitgehend an das Zielgerät weitergereicht. Bei einer FRITZ!Box ist dieses Gerät dann nicht mehr durch die FRITZ!Box-Firewall geschützt.

Darum gehört Exposed Host nicht an den Anfang der Diagnose. Erst die NAT-Schicht lokalisieren, dann die Topologie bereinigen oder gezielte Freigaben verwenden.

Was du bei CGNAT selbst ändern kannst – und was nicht

Wenn die zusätzliche NAT-Funktion im Providernetz sitzt, bringt es nichts, nur den eigenen zweiten Router in einen anderen Modus zu versetzen. Damit kannst du lokales Double NAT entfernen, aber nicht das CGN des Internetanbieters.

Bei CGN teilen sich mehrere Teilnehmer eine öffentliche IPv4-Adresse. Das kann Anwendungen einschränken, die eine eigene von außen erreichbare IPv4-Adresse oder eingehende Port-Mappings erwarten.

Welche Alternative für deinen Anschluss existiert, ist providerspezifisch. Möglich sind je nach tatsächlicher Unterstützung beispielsweise andere Anschlussoptionen oder Port Control Protocol, kurz PCP. PCP kann explizite Port-Mappings durch vorgelagerte NAT-/Firewall-Systeme ermöglichen. Daraus folgt aber keine Garantie: Provider und Geräte müssen den Mechanismus tatsächlich unterstützen.

Darum gibt es hier keine Pauschalaussage wie „Provider X schaltet kostenlos eine öffentliche IPv4 frei“. Solche Angaben müssen immer aktuell für den konkreten Anbieter geprüft werden.

Was bei DS-Lite anders ist

DS-Lite ist kein anderes Wort für CGNAT. Es ist eine konkrete Architektur, bei der IPv4 über IPv6 zum Provider transportiert wird und dort am AFTR die IPv4-NAT-Funktion stattfindet.

Für normale eingehende IPv4-Verbindungen fehlt damit die eigene öffentliche IPv4, wie du sie von klassischem Dual Stack kennen würdest. Eine gewöhnliche IPv4-Portfreigabe im Heimrouter reicht deshalb nicht automatisch.

PCP kann bei tatsächlicher Unterstützung ein möglicher Mechanismus sein. Außerdem kann IPv6 einen direkten Fernzugriffsweg eröffnen. Dafür müssen aber Zielgerät beziehungsweise Router passend konfiguriert sein und die Gegenstelle muss IPv6 erreichen können.

„IPv6 löst Fernzugriff automatisch“ wäre also genauso falsch wie „DS-Lite macht Fernzugriff unmöglich“. Entscheidend ist der konkrete Zugriffsweg.

Vergleichsmatrix zu lokalem Double NAT, CGNAT und DS-Lite mit Übersetzungsort, eigener Eingriffsmöglichkeit und nächstem SchrittKI-generierte Abbildung
Die Matrix zeigt, welche NAT-Schicht im Heimnetz oder beim Provider sitzt und welche nächsten Schritte jeweils sinnvoll sind.

Portfreigaben, NAS, Heimserver und Gaming: Was sich je nach Fall ändert

Bei lokalem Double NAT liegt die zusätzliche Schicht in deinem eigenen Netz. Hier kannst du die Topologie in vielen Fällen selbst vereinfachen, indem nur noch eines der Geräte als Router/NAT-Gateway arbeitet.

Bei CGNAT liegt die relevante zusätzliche Übersetzung beim Provider. Eine neue Regel auf deinem Heimrouter allein kann diese Schicht nicht beseitigen.

Bei DS-Lite liegt der IPv4-Übergang ebenfalls im Providernetz, allerdings in der beschriebenen IPv4-over-IPv6-Architektur. Für Fernzugriff können je nach Umgebung PCP oder ein IPv6-Weg relevant sein.

Gaming ist dabei nur ein Beispiel. Double NAT kann Online-Gaming und NAT-sensitive Anwendungen beeinflussen, aber es garantiert weder Lag noch einen bestimmten Konsolen-NAT-Typ. Deshalb wird in diesem Artikel auch kein VPN oder Gaming-Private-Network als Universalfix empfohlen.

Retest: Nach jeder Änderung nur eine Sache prüfen

Ändere nicht gleichzeitig Bridge-Modus, Portfreigaben, Routermodus und Firewallregeln.

Nach genau einer Topologieänderung prüfst du zuerst erneut den WAN-/Internetstatus. Danach testest du das ursprüngliche Problem – etwa den Fernzugriff oder die konkrete Portfreigabe.

So weißt du, ob die gewünschte NAT-Schicht tatsächlich verschwunden ist und ob die Änderung das eigentliche Problem beeinflusst hat.

Wenn du den zweiten Router zum Access Point machst und danach immer noch keine öffentliche IPv4 vorhanden ist, hast du zwar lokales Double NAT beseitigt, aber möglicherweise weiterhin eine providerseitige Einschränkung. Genau deshalb ist der Retest Teil der Diagnose und nicht nur ein abschließender Funktionstest.

Wann du Provider, Administrator oder Gerätehersteller einschalten solltest

Den Provider brauchst du, wenn die WAN-/Internetadresse nicht öffentlich ist und du keine eigene vorgelagerte NAT-Stufe identifizieren kannst oder wenn der Router eindeutig CGNAT beziehungsweise DS-Lite anzeigt und du eine bestimmte Erreichbarkeit benötigst.

Den Gerätehersteller beziehungsweise dessen Dokumentation brauchst du, wenn unklar ist, ob dein Gerät Bridge-, AP-, Bypass- oder IP-Client-Betrieb unterstützt und welche Funktionen dabei entfallen.

In verwalteten Netzen, Firmenumgebungen oder bewusst komplexen Router-/Firewall-Strukturen solltest du die Topologie nicht auf Verdacht ändern. Dort kann eine zweite Routingebene absichtlich vorhanden sein.

Dexters Einordnung

Double NAT ist weniger ein „Portproblem“ als ein Topologieproblem.

Wenn zwei eigene Router NAT ausführen, ist die sauberste Frage nicht: „Welche zusätzlichen Ports muss ich noch öffnen?“ Sondern: „Welches Gerät soll am Ende wirklich Router sein?“

Und wenn die zusätzliche Übersetzung gar nicht in deinem Heimnetz sitzt, ist dieselbe Bridge-/AP-Anleitung die falsche Baustelle.

Darum bringt dir ein einfacher Diagnosepfad mehr als eine Sammlung von Routertricks: Topologie erfassen, WAN-/Internetstatus lesen, lokalen Double-NAT-Zweig von CGNAT und DS-Lite trennen, genau eine Änderung durchführen und anschließend neu testen.

FAQ

Ist eine private WAN-Adresse immer Double NAT?

Nein. Eine nicht öffentliche WAN-/Internetadresse zeigt zunächst nur, dass der betreffende Router nicht selbst über eine normale öffentliche IPv4 erreichbar ist. Erst wenn du eine eigene vorgelagerte Router-/NAT-Stufe bestätigst, ist der lokale Double-NAT-Zweig sauber belegt.

Bedeutet 100.64.x.x automatisch DS-Lite?

Nein. 100.64.0.0/10 ist der reservierte Shared Address Space für Provider-CGN. Für DS-Lite sind der Verbindungsmodus und ein expliziter B4-/AFTR-/Tunnelstatus aussagekräftiger.

Kann Double NAT meinen Ping verschlechtern?

Double NAT verursacht nicht zwangsläufig hohen Ping oder langsames Internet. Die typischen Probleme betreffen eher Portweiterleitungen, UPnP, bestimmte Online-Anwendungen oder die Kommunikation zwischen getrennten privaten Netzen.

Kann ich Double NAT mit einem VPN beheben?

Ein VPN wird hier nicht als allgemeiner Double-NAT-Fix behandelt. Zuerst muss klar sein, ob die zusätzliche Übersetzung lokal oder beim Provider sitzt. Eine lokale Router-Kaskade wird durch die passende Routertopologie bereinigt, nicht durch ein pauschales VPN-Versprechen.

Was ist besser: Bridge-Modus oder Access-Point-Modus?

Das hängt davon ab, welches Gerät Router bleiben soll. Im Bridge-/Bypass-Szenario übernimmt der nachgelagerte Router die Routerrolle. Im AP-/IP-Client-Szenario bleibt das vorgelagerte Gerät Router. In beiden Fällen können geräteabhängig Funktionen entfallen.

Kann ich bei DS-Lite trotzdem von außen auf mein Heimnetz zugreifen?

Möglicherweise, aber nicht automatisch über eine normale eingehende IPv4-Portfreigabe. Je nach Anschluss können PCP oder ein passend konfigurierter IPv6-Zugriffsweg relevant sein. Beide Varianten hängen von tatsächlicher Unterstützung und Konfiguration ab.

Quellen