Wer WireGuard im Heimnetz, auf LTE/5G oder in kleineren Büros betreibt, landet oft hinter Carrier-Grade NAT (CGNAT). Von außen greifbar ist der Dienst dann nicht mehr, klassisches Port-Forwarding greift ins Leere. Der Schlüssel liegt darin, CGNAT sauber zu erkennen und das Netzwerk so zu planen, dass alle Verbindungen von innen nach außen starten. Dazu gehören ein öffentlicher Ankerpunkt im Internet (z. B. ein kleiner VPS), Relays oder ein zentraler VPN‑Hub, kombiniert mit sauberen Routingregeln und Keepalives.