NAT und Portweiterleitung: Wie private Netze ins Internet kommen

NAT (Network Address Translation) ist der Grund, warum in Ihrem Heimnetz mehrere Geräte mit nur einer öffentlichen IP-Adresse gleichzeitig ins Internet kommen. Der Router schreibt dabei die Absender- oder Zieladresse in den Paketen um.

Warum es NAT gibt

IPv4 kennt rund 4,3 Milliarden Adressen – zu wenig für die Zahl der Geräte. Drei Adressbereiche sind deshalb für private Netze reserviert (RFC 1918) und werden im Internet nicht geroutet:

  • 10.0.0.0/8
  • 172.16.0.0/12
  • 192.168.0.0/16

Ein Router mit NAT verbindet dieses private Netz mit einer einzigen öffentlichen Adresse. Langfristig löst IPv6 das Platzproblem – NAT verschwindet dadurch aber nicht, weil es auch als Sicherheits- und Strukturmittel genutzt wird.

Die drei Spielarten

  • SNAT / Source NAT: Die Absenderadresse wird ersetzt – der Standardfall beim Surfen. Alle internen Geräte erscheinen nach außen als dieselbe öffentliche Adresse.
  • DNAT / Destination NAT: Die Zieladresse wird ersetzt – die Grundlage der Portweiterleitung.
  • PAT / NAPT: Zusätzlich zur Adresse wird der Port übersetzt. Erst dadurch können viele Geräte dieselbe öffentliche Adresse nutzen: Der Router merkt sich, welche interne IP zu welchem Port gehört.

Portweiterleitung in der Praxis

Von außen ist ein interner Dienst nicht erreichbar, solange keine Weiterleitung existiert – das ist Absicht. Wer etwa einen Webserver betreiben will, richtet eine Regel ein, die eingehende Verbindungen auf Port 443 an eine feste interne Adresse übergibt.

# Beispiel mit iptables: Port 443 an 192.168.1.10 weiterleiten
iptables -t nat -A PREROUTING -p tcp --dport 443 \
  -j DNAT --to-destination 192.168.1.10:443

iptables -A FORWARD -p tcp -d 192.168.1.10 --dport 443 -j ACCEPT

# Maskierung für ausgehende Verbindungen
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Im Heimrouter genügt meist ein Eintrag im Webinterface: externer Port, interne IP, interner Port, Protokoll. Dabei gilt: so wenig wie möglich freigeben, und nur auf Geräte mit fest vergebener Adresse.

Typische Stolperfallen

  • Doppeltes NAT: Router hinter Router – Portweiterleitungen müssen auf beiden Geräten eingerichtet werden, sonst greifen sie nicht.
  • Wechselnde IP: Ein DHCP-Lease kann die interne Adresse ändern; dann zeigt die Weiterleitung ins Leere. Feste Adresse oder Reservierung im DHCP einrichten.
  • Sicherheit: Eine Weiterleitung öffnet einen Dienst für das ganze Internet. Erreichbarkeit stets prüfen und den Dienst aktuell halten.
  • Hairpin: Manche Router leiten Verbindungen aus dem eigenen Netz auf die externe Adresse nicht korrekt zurück.
  • Shared Address Space: Viele Kabelanbieter nutzen für Kunden 100.64.0.0/10 (CGNAT); echte Portweiterleitung ist dort ohne Zusatzoption nicht möglich.

Siehe auch