Im Router steht eine WAN-IP-Adresse, auf einer Webseite wie „Wie ist meine IP?“ erscheint aber eine andere. Oder eine Portfreigabe für NAS, Kamera, Spieleserver oder VPN ist eingerichtet, von außen bleibt das Gerät trotzdem unerreichbar. Genau an dieser Stelle wird sichtbar, dass nicht jede IP-Adresse dieselbe Rolle hat.
Private IP-Adressen dienen der Kommunikation innerhalb eines Heimnetzes, Büros oder internen Netzes. Öffentliche IP-Adressen sind dagegen die Adressen, die im Internet geroutet werden können. Dazwischen steht meist der Router mit NAT, manchmal zusätzlich der Provider mit CGNAT oder DS-Lite. Wer diese Ebenen verwechselt, sucht Fehler oft an der falschen Stelle.
Warum PC, Router und Internet unterschiedliche IP-Adressen zeigen
In einem Heimnetz haben mehrere Ebenen eigene Adressen. Das Notebook im WLAN, das Smartphone, die Kamera oder das NAS verwenden interne Geräteadressen. Der Router hat eine Adresse im lokalen Netz und zusätzlich eine Adresse auf seiner Außenseite, die häufig als WAN-IP angezeigt wird. Eine externe IP-Webseite zeigt wiederum die Adresse, unter der die Verbindung im Internet erscheint.
Die interne Geräte-IP ist meist eine private IPv4-Adresse. Typische Bereiche sind 192.168.x.x, 10.x.x.x sowie 172.16.x.x bis 172.31.x.x. Solche Adressen werden in Heimnetzen, Büro-WLANs, Laborumgebungen, internen Servernetzen und vielen anderen lokalen Netzen verwendet.
Der entscheidende Punkt: Private IPv4-Adressen sind im öffentlichen Internet nicht eindeutig. Ein Laptop kann zu Hause die Adresse 192.168.178.25 haben, während in unzähligen anderen Netzen ebenfalls Geräte mit sehr ähnlichen Adressen existieren. Das funktioniert, weil diese Adressen nur innerhalb des jeweiligen lokalen Netzes gelten und nicht direkt im öffentlichen Internet geroutet werden.
Eine öffentliche IP-Adresse hat eine andere Rolle. Sie wird einem Anschluss, einem Server oder einer übergeordneten Netzstruktur durch den Internetanbieter oder eine andere Netzinstanz zugewiesen und kann grundsätzlich im Internet geroutet werden. Für die Erreichbarkeit von außen ist jedoch wichtig, wo diese öffentliche Adresse tatsächlich anliegt: direkt am eigenen Router oder erst in einer Providerstruktur davor.
Die WAN-IP ist deshalb vorsichtig zu lesen. Sie bezeichnet die Adresse auf der Außenseite des Routers in Richtung Anbieter oder vorgeschaltetem Netz. Das kann eine direkt nutzbare öffentliche IPv4-Adresse sein, muss es aber nicht. Gerade bei CGNAT, DS-Lite, Mobilfunkanschlüssen, Gebäudenetzen oder vorgeschalteten Routern kann auf der WAN-Seite auch eine private oder providerinterne Adresse stehen.
Ein einfaches Beispiel zeigt die Trennung: Das Notebook im WLAN hat 192.168.178.34, das NAS 192.168.178.40, der Router intern 192.168.178.1. Nach außen erscheint der Anschluss aber unter einer anderen Adresse. Diese Trennung ist normal und kein Fehler. Problematisch wird sie erst, wenn ein Dienst von außen erreichbar sein soll und unklar ist, welche Adresse dafür überhaupt zuständig ist.
Was NAT leistet und warum eingehende Verbindungen eine Sonderrolle haben
NAT, kurz für Network Address Translation, verbindet im typischen Heimnetz die privaten Adressen der Geräte mit der Adresse auf der Außenseite des Routers. Wenn Notebook, Smartphone, Konsole und NAS gleichzeitig Webseiten aufrufen oder Updates laden, verwenden sie intern unterschiedliche private IP-Adressen. Nach außen laufen diese Verbindungen aber über denselben Internetanschluss.
Bei ausgehenden Verbindungen ist das vergleichsweise einfach. Ein Gerät im Heimnetz startet eine Verbindung ins Internet. Der Router merkt sich, welches interne Gerät diese Verbindung begonnen hat, übersetzt die Adressangaben und kann die Antwortpakete wieder dem richtigen Gerät zuordnen. Deshalb können viele Geräte gleichzeitig online sein, obwohl der Anschluss nach außen nur unter einer oder wenigen Adressen erscheint.
Neue eingehende Verbindungen sind anders. Kommt aus dem Internet eine Anfrage an, etwa für einen Webdienst, eine Kameraoberfläche, einen Spieleserver oder einen VPN-Dienst, trifft sie zunächst auf die Außenseite des Routers. Ohne bestehende Verbindung und ohne Regel weiß der Router nicht, an welches interne Gerät diese Anfrage weitergeleitet werden soll.
Eine Portfreigabe schafft genau diese Zuordnung. Sie sagt sinngemäß: Eine Anfrage an einen bestimmten externen Port soll an eine bestimmte interne IP-Adresse und dort an einen bestimmten Dienst beziehungsweise Port weitergeleitet werden. Für eine funktionierende Freigabe müssen daher mindestens drei Dinge zusammenpassen: der externe Port, die interne Ziel-IP und der Dienst auf dem Zielgerät.
Damit ist eine Portfreigabe aber noch keine Garantie für Erreichbarkeit. Der Dienst muss laufen, die interne Zieladresse muss stimmen, Router- und Gerätefirewalls dürfen den Zugriff nicht blockieren, und der Anschluss muss eingehende Verbindungen überhaupt bis zum eigenen Router durchlassen. Außerdem sollte nicht jeder Dienst direkt ins Internet geöffnet werden. Gerade bei NAS-Systemen, Kameras und Verwaltungsoberflächen ist ein abgesicherter VPN-Zugang oft sinnvoller als eine offen erreichbare Einzeloberfläche.
CGNAT, DS-Lite und IPv6 als Grenzen der klassischen IPv4-Portfreigabe
Bei CGNAT betreibt nicht nur der Heimrouter NAT, sondern zusätzlich der Provider. Der Kundenrouter erhält dann möglicherweise keine eigene direkt nutzbare öffentliche IPv4-Adresse. Ausgehende Verbindungen funktionieren trotzdem, weil auch die Providerstruktur übersetzt. Eingehende IPv4-Verbindungen erreichen den eigenen Router aber nicht so, wie es eine klassische Portfreigabe voraussetzt.
DS-Lite ist eine weitere Konstellation, die häufig zu Missverständnissen führt. Je nach Anschluss steht IPv6 nativ zur Verfügung, während IPv4-Verbindungen über eine Providerstruktur abgewickelt werden. Das bedeutet nicht, dass der Anschluss „kein Internet“ hat. Es bedeutet aber, dass klassische eingehende IPv4-Portfreigaben oft nicht wie bei einem Anschluss mit eigener öffentlicher IPv4 funktionieren.
IPv6 muss getrennt von IPv4 betrachtet werden. Bei IPv6 kann ein Gerät grundsätzlich direkt adressierbar sein, wenn Adresse, Präfix, Firewallregeln und Gegenstelle passen. Das ist jedoch keine IPv4-Portfreigabe mit anderem Namen. IPv6 folgt eigenen Adress- und Firewallregeln, und auch der zugreifende Anschluss muss IPv6 unterstützen.
So prüfen Sie, warum Portfreigabe oder Fernzugriff nicht funktionieren
Der typische Ausgangspunkt ist eindeutig, aber die Ursache ist es nicht: Im Router ist eine Portfreigabe eingerichtet, der NAS-Zugriff, die Kamera, der Spieleserver oder der VPN-Dienst ist aus dem Mobilfunknetz trotzdem nicht erreichbar. Oder die WAN-IP im Router sieht anders aus als die IPv4-Adresse, die eine externe IP-Webseite anzeigt. Genau hier lohnt sich eine feste Prüfreihenfolge, damit nicht an Firewallregeln gesucht wird, obwohl bereits auf Anschlussebene keine klassische Erreichbarkeit besteht.
Eine klassische IPv4-Portfreigabe hat grundsätzlich nur dann eine Chance, wenn am eigenen Router eine direkt nutzbare öffentliche IPv4-Adresse anliegt und der Router eingehende Verbindungen tatsächlich an ein internes Gerät weiterleiten kann. Fehlt diese Voraussetzung wegen CGNAT, DS-Lite oder einer vorgeschalteten Netzstruktur, kann die Portfreigabe im Heimrouter korrekt aussehen und dennoch wirkungslos bleiben.
Diagnoseworkflow: von der WAN-IP bis zum Zielgerät
Beginnen Sie mit den Angaben, die direkt beobachtbar sind: der WAN-IP im Router, der extern angezeigten IPv4-Adresse und dem Verhalten des Dienstes von außen. Wichtig ist dabei, wirklich von außen zu testen, etwa über Mobilfunk oder einen fremden Anschluss. Ein Test aus dem eigenen WLAN zeigt oft nicht dasselbe Verhalten, weil manche Router interne Rückverbindungen anders behandeln.
| Prüfschritt | Was Sie sehen | Worauf das hindeutet | Was Sie als Nächstes prüfen |
|---|---|---|---|
| 1. WAN-IP im Router ablesen | In der Routeroberfläche steht eine Adresse auf der Internet-, WAN- oder Anschlussseite. | Diese Adresse ist die Außenseite des Routers. Sie ist aber nicht automatisch eine direkt erreichbare öffentliche IPv4-Adresse. | Prüfen Sie zuerst den Adressbereich dieser WAN-IP, bevor Sie Portfreigaben oder DynDNS bewerten. |
| 2. Private WAN-IP erkennen | Die WAN-IP liegt in 192.168.x.x, 10.x.x.x oder 172.16.x.x bis 172.31.x.x. |
Dann liegt am Router sehr wahrscheinlich keine direkt nutzbare öffentliche IPv4-Adresse an. Der Router befindet sich hinter einem weiteren privaten Netz. | Eine klassische Portfreigabe am eigenen Router scheitert dann meist bereits vor dem Router. Prüfen Sie, ob der Provider eine öffentliche IPv4 oder eine passende Tarifoption anbietet. |
| 3. Providerinternen IPv4-Bereich beachten | Die WAN-IP sieht nicht wie eine typische Heimnetzadresse aus, liegt aber beispielsweise im Bereich 100.64.0.0 bis 100.127.255.255. |
Das kann auf Carrier Grade NAT hindeuten. Dieser Bereich wird häufig für Provider-NAT-Strukturen genutzt. | Vergleichen Sie die WAN-IP mit der extern angezeigten IPv4-Adresse und prüfen Sie Anschlussunterlagen oder Routerhinweise auf CGNAT, DS-Lite oder geteilte IPv4. |
| 4. WAN-IP mit externer IPv4-Anzeige vergleichen | Die Router-WAN-IP und die auf einer externen IP-Webseite angezeigte IPv4-Adresse sind unterschiedlich. | Das spricht eher für CGNAT, DS-Lite oder eine vorgeschaltete Netzstruktur. Es ist noch keine vollständige Ferndiagnose, aber ein starkes Indiz. | Prüfen Sie, ob der Router überhaupt eine öffentliche IPv4 meldet. Wenn nicht, hilft eine Portfreigabe im Heimrouter für IPv4 in der Regel nicht. |
| 5. Öffentliche IPv4 vorhanden, aber Dienst nicht erreichbar | WAN-IP und externe IPv4-Anzeige stimmen überein, der freigegebene Dienst antwortet von außen trotzdem nicht. | Dann ist der Anschluss grundsätzlich ein besserer Kandidat für klassische Portfreigaben. Der Fehler liegt eher in Weiterleitung, Zielgerät, Dienst oder Firewall. | Prüfen Sie externe Portnummer, interne Ziel-IP, internen Dienstport und ob der Dienst auf dem Zielgerät wirklich läuft. |
| 6. DS-Lite und IPv6-Hinweise prüfen | Der Router zeigt IPv6-Adressen an, aber keine klassische öffentliche IPv4 am WAN. In den Anschlussdaten kann DS-Lite, AFTR oder IPv4 über Providerstruktur erwähnt sein. | Bei DS-Lite ist IPv6 oft nativ vorhanden, während IPv4-Verkehr über eine Providerkomponente läuft. IPv4-Portfreigaben funktionieren dann häufig nicht wie bei einem Anschluss mit eigener öffentlicher IPv4. | Trennen Sie die Prüfung sauber: IPv4-Portfreigabe ist eine andere Baustelle als IPv6-Erreichbarkeit. Prüfen Sie anschließend gezielt, ob der gewünschte Dienst über IPv6 erreichbar sein soll. |
| 7. IPv6-Erreichbarkeit separat bewerten | Das Zielgerät hat eine IPv6-Adresse oder ein IPv6-Präfix, dennoch ist der Dienst von außen nicht erreichbar. | IPv6 benötigt keine klassische IPv4-Portweiterleitung, aber eingehende Verbindungen müssen durch Router-Firewall und Geräte-Firewall erlaubt sein. Außerdem muss der zugreifende Anschluss IPv6 unterstützen. | Prüfen Sie, ob das Zielgerät eine stabile IPv6-Adresse hat, ob der Router eingehende IPv6-Verbindungen für diesen Dienst erlaubt und ob der externe Testanschluss IPv6 nutzen kann. |
| 8. Interne Ziel-IP kontrollieren | Die Portfreigabe zeigt auf eine interne Adresse, etwa ein NAS, eine Kamera, einen Mini-PC oder eine Konsole. | Wenn das Gerät per DHCP inzwischen eine andere interne IP erhalten hat, zeigt die Freigabe ins Leere oder auf das falsche Gerät. | Richten Sie für das Zielgerät eine feste DHCP-Zuordnung oder eine stabile interne Adresse ein und aktualisieren Sie die Portfreigabe entsprechend. |
| 9. Dienst und Port auf dem Zielgerät prüfen | Die Freigabe existiert, aber der Dienst antwortet auch im lokalen Netz nicht zuverlässig oder nicht auf dem erwarteten Port. | Dann ist nicht der Internetzugang das Hauptproblem, sondern der Dienst selbst: Er läuft nicht, lauscht nur lokal, verwendet einen anderen Port oder ist falsch konfiguriert. | Testen Sie den Dienst zuerst aus dem LAN. Erst wenn er intern erreichbar ist, lohnt die Prüfung der externen Weiterleitung. |
| 10. Firewall nicht vorschnell ausschalten | Der Dienst läuft lokal, wird von außen aber blockiert oder antwortet nur unter bestimmten Bedingungen. | Eine Geräte-Firewall, Router-Firewall oder Dienstregel kann eingehende Verbindungen verhindern. Das ist nicht automatisch ein Fehler, sondern oft ein gewünschter Schutz. | Prüfen Sie gezielt die Regel für genau diesen Dienst und Port. Öffnen Sie nicht pauschal große Portbereiche und deaktivieren Sie Firewalls nicht dauerhaft als vermeintliche Lösung. |
| 11. Dynamische öffentliche IP einordnen | Der Zugriff funktionierte zeitweise, später zeigt der Domainname oder die gespeicherte Adresse ins Leere. | Viele Anschlüsse erhalten wechselnde öffentliche IP-Adressen. Nach einer Trennung oder Zwangserneuerung kann sich die Adresse ändern. | Wenn grundsätzlich öffentliche Erreichbarkeit vorhanden ist, kann DynDNS helfen, den Namen auf die aktuelle Adresse zu aktualisieren. Es ersetzt aber keine öffentliche IPv4 und beseitigt kein CGNAT. |
| 12. Externen Test sauber durchführen | Der Dienst scheint im Heimnetz erreichbar, von außen aber nicht. Tests aus demselben WLAN liefern widersprüchliche Ergebnisse. | Interne Tests können durch NAT-Loopback, lokale Namensauflösung oder Routerverhalten verfälscht werden. | Testen Sie über Mobilfunk oder einen anderen Internetanschluss. Prüfen Sie dabei dieselbe Adresse, denselben Port und dasselbe Protokoll, das später tatsächlich genutzt werden soll. |
Die wichtigste Abzweigung in diesem Ablauf liegt ganz vorn: Wenn die WAN-IP privat oder providerintern wirkt, ist eine fehlerfreie Portfreigabe im Heimrouter noch kein Beleg für Erreichbarkeit. Der eingehende Datenverkehr kommt dann gar nicht in der Form bei Ihrem Router an, die eine klassische Weiterleitung voraussetzt. Stimmen WAN-IP und externe IPv4 dagegen überein, ist die Anschlussseite plausibler; dann rücken interne Ziel-IP, Dienstport und Firewall in den Vordergrund.
Typische Irrtümer bei Portfreigaben
Viele Fehlersuchen drehen sich im Kreis, weil mehrere Themen gleich aussehen, aber technisch unterschiedliche Ursachen haben. Besonders häufig ist die falsche interne Ziel-IP: Das NAS hatte gestern 192.168.178.35, heute aber eine andere Adresse. Die Freigabe zeigt dann noch auf die alte Adresse, obwohl der Router äußerlich keine Warnung anzeigt.
Ebenso verbreitet ist ein falsch verstandenes DynDNS. DynDNS sorgt nur dafür, dass ein Name wie ein eigener Hostname auf die aktuelle öffentliche Adresse zeigt. Es schafft keine öffentliche IPv4, tunnelt keine Verbindungen durch CGNAT und öffnet auch keine Firewall. Wenn der Anschluss hinter CGNAT oder DS-Lite keine eingehende IPv4-Verbindung annehmen kann, löst ein korrekt aktualisierter DynDNS-Name dieses Grundproblem nicht.
Auch IPv6 wird häufig mit einer IPv4-Portfreigabe verwechselt. Ein Anschluss kann sehr wohl moderne IPv6-Konnektivität besitzen, während klassische IPv4-Freigaben nicht funktionieren. Umgekehrt bedeutet eine vorhandene IPv6-Adresse am Gerät nicht automatisch, dass der Dienst von außen erreichbar ist. Bei IPv6 entscheiden unter anderem die Router-Firewall, die Geräte-Firewall, die Stabilität der Adresse und die IPv6-Fähigkeit des zugreifenden Netzes.
Wenn trotz passender öffentlicher IPv4 nichts erreichbar ist, liegt die Ursache oft näher am Zielgerät als am Provider. Der Dienst läuft möglicherweise nicht, lauscht nur auf der lokalen Schnittstelle, verwendet TCP statt UDP oder umgekehrt, oder eine Sicherheitssoftware blockiert eingehende Anfragen. Gerade bei Kameras, NAS-Systemen und kleinen Heimservern sollte außerdem geprüft werden, ob der Dienst überhaupt dafür gedacht und ausreichend abgesichert ist, direkt aus dem Internet erreichbar zu sein.
Realistische Alternativen, wenn klassische Portfreigaben nicht passen
Wenn der Anschluss keine direkt nutzbare öffentliche IPv4 bereitstellt, gibt es nicht die eine Ersatzlösung, die in jedem Fall gleichwertig ist. Eine öffentliche IPv4 beim Provider kann die sauberste Lösung sein, ist aber je nach Anbieter, Tarif und Anschlussart nicht immer verfügbar oder nicht im Standard enthalten. Bei geschäftlichen oder dauerhaft betriebenen Diensten lohnt sich eine gezielte Nachfrage nach einer öffentlichen IPv4-Adresse oder einer passenden Tarifoption.
Für privaten Fernzugriff auf NAS, Heimserver oder Verwaltungsoberflächen ist häufig eine VPN-Lösung sinnvoller als eine offen erreichbare Einzelfreigabe. Je nach System kann das ein VPN zum Heimnetz, ein vermittelter Cloud-Zugriff des Herstellers oder eine Lösung mit ausgehender Verbindung zu einem externen Server sein. Solche Varianten unterscheiden sich deutlich bei Komfort, Kontrolle, Datenschutz, Abhängigkeit vom Anbieter und technischer Wartung.
Native IPv6-Erreichbarkeit kann ebenfalls eine gute Lösung sein, wenn beide Seiten IPv6 unterstützen und die Firewallregeln sauber gesetzt sind. Sie ist aber keine IPv4-Portfreigabe mit anderem Namen. Wer von beliebigen Netzen aus zugreifen möchte, muss berücksichtigen, dass nicht jeder Anschluss, jedes Mobilfunknetz oder jedes Firmennetz IPv6 gleich gut unterstützt.
FAQ: kurze Antworten zu den häufigsten Fragen
Was ist eine private IP-Adresse?
Eine private IP-Adresse wird innerhalb lokaler Netze verwendet, etwa im Heimnetz, Büro oder WLAN. Typische IPv4-Bereiche sind 192.168.x.x, 10.x.x.x und 172.16.x.x bis 172.31.x.x. Solche Adressen sind im öffentlichen Internet nicht eindeutig geroutet.
Was ist eine öffentliche IP-Adresse?
Eine öffentliche IP-Adresse ist eine Adresse, die im Internet geroutet werden kann. Sie wird einem Anschluss, Server oder einer Netzstruktur vom Anbieter oder einer übergeordneten Stelle zugewiesen. Bei Heimanschlüssen bedeutet das nicht automatisch, dass jeder Dienst erreichbar ist; Router- und Firewallregeln bleiben weiterhin entscheidend.
Warum hat mein PC eine andere IP als mein Internetanschluss?
Der PC nutzt im Heimnetz meist eine private Adresse, zum Beispiel aus dem Bereich 192.168.x.x. Der Internetanschluss erscheint nach außen unter der WAN- beziehungsweise öffentlichen Adresse des Routers oder, bei CGNAT und ähnlichen Strukturen, unter einer Adresse des Providers.
Was macht NAT?
NAT übersetzt Verbindungen zwischen privaten internen Adressen und der Adresse auf der Außenseite des Routers. Dadurch können mehrere Geräte im Heimnetz über denselben Anschluss nach außen kommunizieren. Für neue eingehende Verbindungen braucht der Router jedoch eine passende Zuordnung, etwa eine Portfreigabe.
Warum funktioniert Portfreigabe nicht bei CGNAT?
Bei CGNAT betreibt der Provider selbst eine NAT-Schicht vor dem Kundenrouter. Der Router erhält dann möglicherweise keine eigene direkt nutzbare öffentliche IPv4-Adresse. Eine Portfreigabe im Heimrouter kann nur weiterleiten, was ihn erreicht; eingehende IPv4-Verbindungen bleiben bei CGNAT häufig bereits in der Providerstruktur hängen.
Kann eine private IP im Internet erreicht werden?
Eine private IPv4-Adresse ist aus dem öffentlichen Internet nicht direkt erreichbar. Sie kann nur innerhalb des jeweiligen lokalen oder internen Netzes verwendet werden. Für Zugriff von außen braucht es eine passende öffentliche Erreichbarkeit, eine Weiterleitung, VPN, Cloud-Vermittlung oder eine andere geeignete Zugriffsarchitektur.
Was bedeutet WAN-IP?
Die WAN-IP ist die Adresse auf der Außenseite des Routers, also auf der Seite zum Internetanbieter oder zum vorgelagerten Netz. Sie kann eine öffentliche IPv4-Adresse sein, muss es aber nicht. Gerade bei CGNAT, DS-Lite oder vorgeschalteten Netzen kann dort auch eine nicht direkt aus dem Internet erreichbare Adresse stehen.
Warum ändert sich meine öffentliche IP-Adresse?
Viele Internetanbieter vergeben öffentliche IP-Adressen dynamisch. Nach einer Neuverbindung, einem Routerneustart oder einer providerseitigen Erneuerung kann der Anschluss eine andere Adresse erhalten. DynDNS kann einen Namen auf die jeweils aktuelle Adresse zeigen lassen, setzt aber voraus, dass der Anschluss grundsätzlich von außen erreichbar ist.
Der wichtigste Unterschied ist einfach, hat aber weitreichende Folgen: Private IP-Adressen funktionieren im lokalen Netz, öffentliche IP-Adressen können im Internet geroutet werden. NAT verbindet beide Welten für ausgehende Verbindungen, löst aber nicht automatisch die Erreichbarkeit von außen.
Wenn Portfreigaben, NAS-Zugriff, Kamera-Fernzugriff oder ein Spieleserver nicht erreichbar sind, lohnt sich deshalb zuerst der Blick auf WAN-IP, externe IP-Anzeige, CGNAT, DS-Lite und IPv6. Erst wenn diese Grundlage stimmt, sind interne Ziel-IP, Dienst und Firewall die nächsten sinnvollen Prüfstellen.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten