CGNAT – Carrier-grade NAT

Abkürzung: CGNAT

Bei CGNAT teilen sich mehrere Anschlüsse eine öffentliche IPv4-Adresse. Der Anschluss ist dann von außen nicht mehr über IPv4 erreichbar.

Definition

Carrier-grade NAT bezeichnet Adressübersetzung im Netz des Anbieters statt im Router des Kunden. Der Anschluss erhält keine öffentliche IPv4-Adresse mehr, sondern eine aus einem Bereich, den sich viele Kunden teilen. Erst ein zentrales Gerät beim Anbieter setzt diese auf eine öffentliche Adresse um, die gleichzeitig von hunderten anderen Anschlüssen genutzt wird.

Daraus entsteht eine doppelte Übersetzung: einmal im Router des Kunden, einmal beim Anbieter. Die Anordnung wird deshalb auch NAT444 genannt, nach den drei beteiligten IPv4-Bereichen.

Der Grund ist die Erschöpfung der IPv4-Adressvorräte. Neue Anschlüsse lassen sich seit Ende der 2010er-Jahre nicht mehr in beliebiger Zahl mit eigenen öffentlichen Adressen versorgen.

Wie erkennt man CGNAT

Der sicherste Hinweis ist die Adresse, die der Router auf der WAN-Seite nutzt. Liegt sie im Bereich 100.64.0.0 bis 100.127.255.255, handelt es sich um Shared Address Space nach RFC 6598. Dieser Bereich wurde eigens für CGNAT reserviert und kommt sonst nirgends vor.

Der zweite Hinweis ist ein Vergleich. Zeigt eine Website zur Anzeige der eigenen IP-Adresse eine andere Adresse an, als der Router als WAN-Adresse führt, liegt eine Übersetzung dazwischen: Wie ist meine IP-Adresse?

Einzelne Anbieter verwenden statt des reservierten Bereichs private Adressen nach RFC 1918. Das Ergebnis ist dasselbe.

Auswirkungen von CGNAT

Keine eingehenden Verbindungen. Portweiterleitungen im eigenen Router bleiben wirkungslos, weil der Verkehr das Übersetzungsgerät des Anbieters gar nicht erst passiert. Betroffen sind alle Anwendungen, die von außen erreichbar sein müssen: eigene Server, Kameras, Fernzugriff auf das Heimnetz, VPN-Einwahl.

DynDNS hilft nicht. Der Dienst trägt eine Adresse ein, die dem Anschluss nicht allein gehört. Ein Aufruf landet beim NAT-Router des Providers, das die Verbindung mangels Zuordnung verwirft.

VPN-Einwahl ins Firmennetz. Ausgehende Verbindungen funktionieren meist. Einzelne Clients verlangen jedoch ausdrücklich eine routbare IPv4-Adresse auf dem Netzwerkadapter und verweigern den Aufbau, wenn sie eine Adresse aus dem geteilten Bereich vorfinden.

Spielkonsolen. Die Anzeige des NAT-Typs bleibt auf der mittleren Stufe. Direkte Verbindungen zwischen Spielern kommen seltener zustande, der Verkehr läuft häufiger über Vermittlungsserver, was die Latenz (den Ping) erhöht.

Geteilte Reputation. Die öffentliche Adresse gehört vielen. Verhält sich einer der Teilnehmer auffällig, trifft eine Sperre alle anderen mit. In der Praxis zeigt sich das als Häufung von Sicherheitsabfragen, als Ratenbegrenzung oder als vollständige Sperre bei einzelnen Diensten. Das Fehlerbild ist charakteristisch: Eine Seite lädt über das Mobilfunknetz einwandfrei, im heimischen WLAN nicht.

Fehlersuche wird schwer. Bei Missbrauchsmeldungen lässt sich der Verursacher nur über die Protokolle des Anbieters ermitteln, weil die Adresse allein keine Zuordnung erlaubt.

Was hilft

IPv6 nutzen. Anschlüsse mit CGNAT haben in aller Regel vollwertiges IPv6. Wer von außen zugreift und auf beiden Seiten IPv6 hat, umgeht das Problem vollständig. Die Einschränkung liegt beim Gegenüber: Ein Firmennetz oder ein Hotel-WLAN ohne IPv6 bleibt außen vor.

Öffentliche IPv4 buchen. Mehrere Anbieter führen Dual Stack als Option, teils kostenpflichtig, teils auf Anfrage. Der Weg ist der einfachste, wenn er angeboten wird.

Vermittlung über einen Server. Ein günstiger Server mit öffentlicher Adresse dient als Treffpunkt. Der heimische Router baut von innen eine dauerhafte Verbindung dorthin auf, der Zugriff von unterwegs geht an den Server und wird durchgereicht. Funktioniert unabhängig davon, ob die Gegenseite IPv6 hat.

VPN-Dienste mit Vermittlung. Einige VPN-Lösungen bringen diese Funktion mit und vermitteln Verbindungen zwischen zwei Anschlüssen, die beide hinter NAT liegen.

Was nicht hilft: Portfreigaben im eigenen Router, UPnP, ein anderer Router oder ein Neustart. Die Übersetzung findet nicht im eigenen Netz statt.

Abgrenzung

Gewöhnliches NAT findet im Router des Kunden statt. Der Anschluss hat eine öffentliche Adresse, eingehende Verbindungen lassen sich per Portweiterleitung zustellen.

DS-Lite ist ein verwandtes, aber anderes Verfahren. Dort bekommt der Anschluss ausschließlich IPv6, und IPv4 wird durch einen Tunnel zum Anbieter geführt. Die Auswirkungen für den Nutzer sind nahezu identisch.

MAP-E und MAP-T weisen dem Anschluss einen festen Portbereich einer geteilten Adresse zu. Eingehende Verbindungen sind dadurch eingeschränkt möglich, sofern der Anbieter es vorsieht.

Quellen

• RFC 6598: IANA-Reserved IPv4 Prefix for Shared Address Space
• RFC 6888: Common Requirements for Carrier-Grade NATs (CGNs)
• RFC 6264: An Incremental Carrier-Grade NAT (CGN) for IPv6 Transition
• RFC 7021: Assessing the Impact of Carrier-Grade NAT on Network Applications
• Cloudflare: Veröffentlichung zur Erkennung von CGN und zur Vermeidung von Kollateralwirkungen bei Reputationsbewertungen