Protokolle & Technik · VPN-Wissen

Was ist NAT – und warum ärgert es VPN-Nutzer?

Auch: Network Address Translation · CGNAT · DS-Lite

CGNAT & DS-Lite: Wenn der Provider selbst noch einmal übersetzt

Weil IPv4-Adressen knapp sind, schalten viele Provider – besonders Kabelnetze – eine zweite NAT-Ebene im eigenen Netz dazwischen (Carrier-Grade NAT, bei DS-Lite-Anschlüssen Standard). Die Folge: Der Anschluss hat gar keine eigene öffentliche IPv4-Adresse mehr, und eingehende IPv4-Verbindungen zur heimischen FRITZ!Box laufen ins Leere – das WireGuard-Heim-VPN scheitert scheinbar grundlos. Die Auswege: das Heim-VPN über IPv6 aufbauen (MyFRITZ! unterstützt das, das Gerät unterwegs braucht dann IPv6), beim Provider eine echte öffentliche IPv4 beantragen (oft als „Dual Stack“ auf Anfrage) oder einen kleinen VPS als fest erreichbaren Vermittler dazwischenschalten.

Kurz-Fakten

• NAT ist der Alltagsstandard jedes Heimrouters – geboren aus dem IPv4-Adressmangel.
• Ausgehende VPNs meistern NAT problemlos (NAT-Traversal, z. B. UDP 4500 bei IPsec).
• CGNAT/DS-Lite = zweite NAT-Ebene beim Provider: keine eigene öffentliche IPv4.
• Heim-VPN hinter DS-Lite: über IPv6 lösen, Dual Stack beantragen oder VPS-Umweg nehmen.
• Kommerzielle VPN-Server setzen selbst NAT ein – viele Kunden teilen sich eine Ausgangs-IP.

Für die Praxis

NAT ist die stille Grundannahme hinter dem halben VPN-Alltag: Es erklärt, warum ausgehende Tunnel überall funktionieren, warum das Heim-VPN am Kabelanschluss streikt und warum sich beim Anbieter hunderte Nutzer eine IP teilen. Wer vor dem FRITZ!Box-Projekt einmal prüft, ob der Anschluss DS-Lite fährt, spart sich einen Abend Fehlersuche.

Verwandte Fragen

• VPN auf der FRITZ!Box einrichten
• IPv6-Leak
• Port & Firewall
• VPN selbst hosten

Stand: Juli 2026 · Geprüft von SEO NW