Feste öffentliche IP trotz CGNAT und DS-Lite
Ihr Anbieter teilt eine öffentliche IPv4-Adresse unter vielen Kunden auf, deshalb kann niemand aus dem Internet eine Verbindung zu Ihrem Server aufbauen. GetPublicIP leitet eine feste öffentliche IPv4- und IPv6-Adresse zu diesem Server. Keine Portfreigabe im Router, kein anderer Tarif, und jeder Port, den Sie freigeben, ist weltweit erreichbar.
Warum die Portfreigabe hinter CGNAT nicht funktioniert
Bei Carrier-Grade NAT ist die Adresse am WAN-Anschluss Ihres Routers keine öffentliche Adresse. Sie liegt in 100.64.0.0/10, dem Bereich, den RFC 6598 für Anbieter reserviert, und Ihr Anbieter übersetzt sie ein zweites Mal auf eine öffentliche IPv4-Adresse, die Sie sich mit anderen Kunden teilen. Bei DS-Lite gilt dasselbe für IPv4.
Eine Portfreigabe im Router wirkt nur für Datenverkehr, der Ihren Router erreicht. Bei CGNAT enden eingehende Verbindungen am NAT Ihres Anbieters, das nicht weiß, für welchen Kunden sie bestimmt sind. Keine Einstellung an Ihren eigenen Geräten kann daran etwas ändern.
Die ausführliche Erklärung, auch wie Sie CGNAT erkennen, finden Sie in unserer Anleitung zum eigenen Server hinter CGNAT.
So umgeht eine feste öffentliche IP CGNAT
Der Trick ist die Richtung. Das NAT Ihres Anbieters blockiert eingehende Verbindungen, lässt Ihren Server aber nach außen verbinden. Ihr Server baut einen verschlüsselten WireGuard-Tunnel zu einem unserer Standorte auf, und Ihre öffentliche Adresse wird durch diesen Tunnel geleitet. Besucher verbinden sich mit der Adresse, und der Datenverkehr kommt bei Ihrem Server an, als wäre die Adresse direkt an ihn angeschlossen.
- Standort wählen. Wählen Sie aus 32 Standorten auf 6 Kontinenten den, der den Nutzern Ihres Servers am nächsten liegt.
- Server verbinden. Importieren Sie die WireGuard-Konfiguration unter Linux, nutzen Sie den Windows-Client oder starten Sie das Docker-Image neben Ihren Containern.
- Ports freigeben. Geben Sie im Dashboard einzelne Ports oder Portbereiche frei, auf Wunsch mit Regeln für die Quell-IP. Die Adresse ist innerhalb von Minuten aktiv.
Wir prüfen und verändern Ihre Pakete nie und terminieren Ihr TLS nicht. Ihre Zertifikate, Protokolle und Logs sehen den echten Datenverkehr Ihrer Clients.
Was Sie hinter CGNAT betreiben können
Alles, was eine erreichbare Adresse braucht, über TCP oder UDP, mit IPv4 und IPv6. Einige gängige Beispiele mit ihren Standardports:
| Dienst | Standardports |
|---|---|
| Minecraft (Java / Bedrock) | 25565/tcp · 19132/udp |
| Valheim und andere UDP-Gameserver | 2456-2458/udp |
| Plex / Jellyfin | 32400/tcp · 8096/tcp |
| Home Assistant | 8123/tcp |
| Mailserver, mit Reverse DNS | 25/tcp · 587/tcp |
| Websites und Reverse Proxies | 80/tcp · 443/tcp |
| SSH | 22/tcp |
Wege um CGNAT im Vergleich
Eine eigene öffentliche IP ist nicht der einzige Weg um CGNAT herum. So unterscheiden sich die gängigen Möglichkeiten in dem, was sie tatsächlich leisten.
| Möglichkeit | Protokolle | Wer kann sich verbinden | Haken |
|---|---|---|---|
| Feste IP vom Anbieter | Alle | Jeder | Nur, wenn Ihr Anbieter eine anbietet; viele Privatkundentarife tun das nicht, und sie bleibt an diesen Anschluss gebunden. Kein Failover und oft eine schlechte Reputation. |
| Cloudflare Tunnel | HTTP und HTTPS | Jeder | Kostenlos für Websites. Cloudflare terminiert Ihr TLS, der Datenverkehr liegt auf deren Infrastruktur also im Klartext vor. Spiele, Mail oder reiner TCP/UDP-Verkehr sind nicht vorgesehen. |
| Tailscale oder ein anderes Mesh-VPN | Alle | Ihre eigenen Geräte | Hervorragend für den privaten Zugriff, aber kein Weg, Dienste öffentlich anzubieten. |
| GetPublicIP | Alle: TCP, UDP, ICMP | Jeder | 8,99 USD pro Monat und IP. Nichts zu warten, die Adresse gehört Ihnen. |
Mehr dazu in GetPublicIP vs. Cloudflare Tunnel vs. Tailscale.
Ein Preis, alles inklusive
8,99 USD pro IP und Monat
- Feste öffentliche IPv4 und IPv6
- Alle Ports und Protokolle, auch Portbereiche
- Reverse DNS für Mailserver
- 32 Standorte auf 6 Kontinenten
- 99,9 % Verfügbarkeit, abgesichert durch unser Service Level Agreement
- Keine Vertragsbindung, jederzeit kündbar
Fragen zu CGNAT, DS-Lite und fester IP
Funktioniert das mit DS-Lite, etwa bei Kabel- oder Glasfaseranschlüssen?
Ja. Bei DS-Lite hat Ihr Anschluss eine eigene IPv6, aber für IPv4 teilen Sie sich eine Adresse bei Ihrem Anbieter (CGNAT). Deshalb lässt sich IPv4 nicht freigeben. Der WireGuard-Tunnel ist eine ausgehende Verbindung Ihres Servers, die DS-Lite problemlos durchlässt, und Ihre feste öffentliche IPv4 und IPv6 kommen durch diesen Tunnel an.
Muss ich in meiner FRITZ!Box eine Portfreigabe einrichten?
Nein. Sie brauchen keine Portfreigabe, keine DMZ und kein UPnP. Der Tunnel geht von Ihrem Server aus, Ihr Router und Ihr Anbieter sehen nur eine gewöhnliche ausgehende Verbindung. Das gilt für die FRITZ!Box genauso wie für jeden anderen Router.
Funktioniert es mit Starlink und T-Mobile Home Internet?
Ja. Wir haben GetPublicIP mit beiden getestet. Beide setzen ihre Kunden standardmäßig hinter CGNAT, und weil der Tunnel eine ausgehende WireGuard-Verbindung Ihres Servers ist, muss das NAT Ihres Anbieters nie eine eingehende Verbindung annehmen. Andere Funk-, 5G- und Mobilfunkanschlüsse funktionieren genauso, solange sie ausgehendes UDP erlauben.
Ist die IP-Adresse wirklich fest?
Ja. Ihre Adresse bleibt gleich, solange Sie sie behalten, auch wenn Sie den Anbieter wechseln, umziehen oder den Server auf einen anderen Rechner verlegen. DNS-Einträge, die auf sie zeigen, funktionieren also weiter.
Kann ich hinter CGNAT einen Mailserver betreiben?
Ja. Im Dashboard können Sie einen Reverse-DNS-Eintrag für Ihre Adresse setzen, den die meisten empfangenden Mailserver prüfen. Private Mailserver werden unterstützt; Massenversand ist nach unserer Richtlinie zur zulässigen Nutzung nicht erlaubt.
Bekomme ich auch IPv6?
Ja. Jede IP umfasst eine öffentliche IPv4- und eine öffentliche IPv6-Adresse, beide über denselben Tunnel.
Wird meine Verbindung dadurch langsamer?
Der Datenverkehr zu Ihrer öffentlichen Adresse nimmt einen zusätzlichen Weg über den gewählten Standort, die Latenz hängt also vor allem von dieser Wahl ab. Wählen Sie den Standort, der den Nutzern Ihres Servers am nächsten liegt.
Kann ich jederzeit kündigen?
Ja. GetPublicIP wird monatlich mit 8,99 USD pro IP abgerechnet, ohne Vertragsbindung und ohne Mindestlaufzeit.