Portfreigabe geht nicht: DS-Lite, CGNAT, Firewall

So sieht die Meldung aus

Der Server oder die Kamera ist von außen nicht erreichbar, obwohl im Router eine Portfreigabe eingetragen ist.

Häufige Ursachen

• DS-Lite oder CGNAT: Mehrere Kunden teilen sich eine öffentliche IPv4-Adresse, deshalb gibt es kein klassisches Port-Forwarding über IPv4.
• Das Zielgerät hat nicht mehr dieselbe interne Adresse, weil der Router ihm eine neue vergeben hat.
• Die Firewall des Zielgeräts oder des Routers blockiert den Port.
• Falscher Port, falsches Protokoll (TCP oder UDP) oder auf dem Zielgerät lauscht kein Programm auf dem Port.
• Zwei Router hintereinander: Die Freigabe ist nur im zweiten Router eingetragen, der erste blockiert.

Prüfen

1. Welche Adresse hat das Zielgerät? (Windows)
   ipconfig /allKopieren
2. Welche Geräte kennt der Router im Netz?
   arp -aKopieren
3. Wie läuft der Weg ins Internet? (Windows: tracert example.com) Mehrere private Adressen am Anfang deuten auf zwei Router oder CGNAT
   traceroute example.comKopieren
4. Lauscht das Programm auf dem Zielgerät auf dem Port? (Linux)
   ss -ltnKopieren

Lösung

• Vergleichen Sie die öffentliche IPv4-Adresse, die der Router im Menü anzeigt, mit der Adresse, die eine Webseite zur eigenen IP anzeigt. Sind sie verschieden oder beginnt die Router-Adresse mit 100.64 bis 100.127, liegt DS-Lite oder CGNAT vor.
• Bei DS-Lite oder CGNAT gibt es keine öffentliche IPv4-Adresse für Sie allein, ein klassisches Port-Forwarding ist darum nicht möglich. Fragen Sie beim Anbieter nach einer öffentlichen IPv4-Adresse oder nutzen Sie IPv6 mit Firewall-Freigabe oder einen VPN-/Tunnel-Dienst.
• Geben Sie dem Zielgerät eine feste Adresse oder eine feste Reservierung im Router, damit die Freigabe nicht ins Leere zeigt.
• Prüfen Sie Port und Protokoll in der Freigabe. Prüfen Sie auch die Firewall des Zielgeräts und lassen Sie den Port zu.
• Testen Sie von außen, nicht aus dem eigenen WLAN: z. B. mit dem Mobilfunk-Internet des Smartphones.
• Geben Sie nur Ports frei, die Sie wirklich brauchen, und sichern Sie den Dienst mit Passwort und Updates ab.

Häufige Fragen

Wie erkenne ich DS-Lite oder CGNAT?

Die öffentliche Adresse im Router weicht von der auf einer Adressanzeige-Webseite ab, oder sie beginnt mit 100.64 bis 100.127. Auch der Anbieter kann es bestätigen.

Ist eine Portfreigabe sicher?

Jede geöffnete Tür ist ein Risiko. Geben Sie nur das Nötige frei, halten Sie Software aktuell und nutzen Sie starke Passwörter. Für Fernzugriff ist ein VPN meist die sicherere Wahl.