DS-Lite & CGNAT einfach erklärt – und warum Ihr VPN-Server nicht erreichbar ist

Was bedeutet DS-Lite?

DS-Lite bedeutet Dual-Stack Lite. Ihr Router bekommt vom Anbieter eine IPv6-Verbindung mit eigener Adresse, aber keine öffentliche IPv4-Adresse. IPv4-Datenverkehr verpackt der Router in IPv6 und schickt ihn durch einen Tunnel zum Anbieter. Dort wird er ausgepackt und über eine öffentliche IPv4-Adresse ins Internet geleitet, die sich viele Kunden teilen.

Der Grund ist Knappheit: Laut AVM setzen Anbieter DS-Lite ein, wenn sie nicht genügend öffentliche IPv4-Adressen für ihre Kunden haben. Beschrieben ist das Verfahren im Internetstandard RFC 6333 der IETF aus dem Jahr 2011.

Die drei Bausteine

• B4 heißt der Teil in Ihrem Router. Er verpackt IPv4-Pakete in IPv6 (IPv4-in-IPv6-Tunnel).
• AFTR heißt die Gegenstelle beim Anbieter. Sie packt die Pakete aus und übersetzt sie per NAT auf eine öffentliche IPv4-Adresse, die viele Kunden gemeinsam nutzen.
• IPv6 läuft direkt, ohne Tunnel und ohne Übersetzung. Ihr Anschluss hat also eine echte, eigene IPv6-Adresse.

Im Alltag merken Sie davon meist nichts: Nach Angaben von AVM funktionieren fast alle IPv4-Anwendungen ohne Einschränkung. Schwierig wird es erst, wenn jemand von außen eine Verbindung zu Ihnen nach Hause aufbauen will – zum Beispiel Ihr Handy zum VPN-Server in der FRITZ!Box.

Was ist CGNAT, und was hat es mit DS-Lite zu tun?

CGNAT steht für Carrier-Grade NAT. Der Anbieter übersetzt die Adressen vieler Kunden auf wenige öffentliche IPv4-Adressen, Ihr Router bekommt nur eine nicht öffentliche IPv4-Adresse. DS-Lite nutzt genau so ein CGNAT beim Anbieter, schickt IPv4 aber zusätzlich durch einen IPv6-Tunnel. Für Verbindungen von außen ist die Wirkung dieselbe.

NAT kennen Sie von zu Hause: Ihr Router teilt eine Adresse auf alle Geräte im Heimnetz auf. Bei CGNAT passiert das ein zweites Mal beim Anbieter, diesmal für viele Anschlüsse gleichzeitig. RFC 6333 nennt die Übersetzung im AFTR ausdrücklich Carrier-Grade NAT.

Wie finde ich heraus, ob ich DS-Lite habe?

Am schnellsten im Router: In der FRITZ!Box öffnen Sie „Internet > Online-Monitor“ und sehen sich die Zeile „Internet, IPv4“ an. Steht dort ein Hinweis auf einen DS-Lite-Tunnel oder eine Adresse von 192.0.0.0 bis 192.0.0.7, haben Sie DS-Lite. Verbindlich ist die Auskunft Ihres Anbieters.

1. Öffnen Sie die Benutzeroberfläche der FRITZ!Box und klicken Sie auf „Internet“ und dann auf „Online-Monitor“.
2. Suchen Sie die Zeile „Internet, IPv4“. Sehen Sie dort keine Adresse, schalten Sie zuerst die erweiterte Ansicht ein.
3. Vergleichen Sie die angezeigte Adresse mit der Tabelle.

Die Tabelle folgt der AVM-Anleitung zum Adressbereich. Bei anderen Routern finden Sie die Internet- oder WAN-Adresse auf der Statusseite. Ein weiteres Indiz: Zeigt eine Website zur IP-Abfrage eine andere IPv4-Adresse als Ihr Router, sitzt ein NAT dazwischen.

Warum scheitert ein VPN-Server zu Hause bei DS-Lite?

Ein VPN-Server – ob in der FRITZ!Box, mit WireGuard oder mit OpenVPN – wartet auf Verbindungen von außen. Bei DS-Lite gehört die öffentliche IPv4-Adresse aber dem Anbieter und wird geteilt. Eingehende IPv4-Verbindungen enden beim Anbieter, nicht bei Ihnen. Eine Portfreigabe im eigenen Router hilft nicht, weil die Sperre beim Anbieter liegt.

Ausgehende Verbindungen sind kein Problem: Der Anbieter merkt sich, welcher Kunde angefragt hat, und die Antwort findet zurück. Bei einer eingehenden Verbindung fehlt diese Zuordnung, der AFTR kann das Paket keinem Kunden zuordnen. AVM fasst es so zusammen: Ohne öffentliche IPv4-Adresse sind Server im Heimnetz aus dem Internet nicht per IPv4 erreichbar.

Typisch ist: Die VPN-App findet den Server nicht, obwohl die Portfreigabe stimmt. Auch MyFRITZ! hilft per IPv4 nicht weiter, denn an einem DS-Lite-Anschluss ist die FRITZ!Box laut AVM nur über IPv6 erreichbar. Das betrifft nicht nur VPN, sondern jeden Fernzugriff, etwa auf ein NAS oder einen Medienserver.

„In der Regel“, weil manche Hotel- oder Firmennetze verschlüsselte Verbindungen blockieren. Welche Möglichkeiten Sie speziell mit der FRITZ!Box haben, zeigt der Vergleich FRITZ!Box-VPN oder fertiges Set.

Welche Lösungen gibt es ohne öffentliche IPv4-Adresse?

Es gibt vier Wege: Sie fragen Ihren Anbieter nach einer öffentlichen IPv4-Adresse oder Dual Stack, Sie nutzen PCP, falls der Anbieter es unterstützt, Sie greifen über IPv6 zu, oder Sie nutzen einen Tunnel- beziehungsweise Relay-Dienst, zu dem Ihr Heimnetz selbst die Verbindung aufbaut. Jeder Weg hat eigene Voraussetzungen.

Die sauberste Lösung für alle, die selbst einen Server betreiben, ist eine eigene IPv4-Adresse. Manche Anbieter stellen auf Anfrage auf Dual Stack um, andere nur in bestimmten Tarifen, gegen Aufpreis oder gar nicht.

IPv6 liegt bei DS-Lite nahe, doch laut AVM müssen beide Seiten IPv6 haben – in manchen Mobilfunknetzen und WLAN-Hotspots fehlt es. Ein Relay dreht dagegen die Richtung um: Beide Seiten verbinden sich von sich aus mit einem Server im Internet, und ausgehende Verbindungen sind bei DS-Lite und CGNAT kein Problem. Das können Sie mit eigenem Server und WireGuard selbst aufbauen oder fertig nutzen.

Wie löst ein Relay wie Homvoya das Problem?

Das Homvoya Set besteht aus zwei fertig gekoppelten Routern. Die Heim-Box hängt an Ihrem Router zu Hause, die Reise-Box nehmen Sie mit. Beide bauen ihre Verbindung von sich aus zu einem Relay-Server in der EU auf. Deshalb braucht Ihr Anschluss weder eine öffentliche IPv4-Adresse noch eine Portfreigabe.

Der Relay-Server verbindet die beiden Boxen, verschlüsselt mit WireGuard. Ihr Datenverkehr geht über Ihren Anschluss zu Hause ins Internet, Websites sehen also Ihre Heim-IP und nicht die des Hotels. Alle Geräte im WLAN der Reise-Box nutzen diese Verbindung, ohne dass Sie Software installieren. Den Ablauf zeigt die Seite So funktioniert Homvoya.

Die Grenzen

• Upload zu Hause: Er ist die Obergrenze für das Tempo unterwegs. Wir empfehlen mindestens 10 Mbit/s. Hintergründe im Ratgeber zur Upload-Geschwindigkeit.
• Hardware: Für den GL.iNet Opal nennt der Hersteller bis zu 65 Mbit/s WireGuard-Durchsatz (Labortest).
• Internet und Strom zu Hause: Fällt eines davon aus, funktioniert die Verbindung nicht.
• Zusätzliche Station: Der Relay-Server wird von Homvoya betrieben. Der Inhalt Ihres Datenverkehrs wird nicht protokolliert; Verbindungsdaten speichern wir 7 Tage für Betrieb und Missbrauchsschutz.
• Standort: Homvoya ändert nur die IP-Adresse, die Websites sehen. Andere Standortsignale wie WLAN-Ortung, Zeitzone oder GPS verbirgt es nicht.

Ob Ihr Anschluss für das Homvoya Set geeignet ist, prüfen Sie im Kompatibilitäts-Check. Haben Sie bereits eine öffentliche IPv4-Adresse und richten gern selbst ein, ist ein eigener VPN-Server oft die günstigere Wahl.