Zusammenfassung

  • Ein am 24. August unter APNICs Namen verbreiteter Heimrouter-Ratgeber behauptet, eine private IPv4-Adresse am WAN-Port bedeute ausnahmslos CGNAT. Der Messwert trägt diesen Schluss nicht.
  • RFC-1918-Netze, der Bereich 100.64/10, ein zweiter Router im Haus und DS-Lite erzeugen ähnliche Symptome an unterschiedlichen Kontrollgrenzen. Für eine Diagnose braucht es mehrere zeitgleich erhobene Beobachtungen.

Eine Anzeige ist noch kein Netzplan

Die von PublicNow archivierte Gastveröffentlichung erklärt MikroTik-Nutzern, wie sie den WAN-Status ihres Routers lesen. Die zugewiesene Adresse anzusehen und mit der von einem externen Dienst erkannten Adresse zu vergleichen, ist ein sinnvoller Anfang. Zu weit geht der Text dort, wo eine private WAN-Adresse „immer“ zum Beweis für Carrier-Grade NAT wird.

Der Router kennt zunächst nur seinen direkten Nachbarn. Liegt die Adresse in einem privaten Bereich, kann sie nicht unverändert im öffentlichen IPv4-Internet geroutet werden. Vor dem Ausgang muss also eine Übersetzung oder Kapselung stattfinden. Die Anzeige verrät aber weder deren Betreiber noch den Ort oder die Zahl der beteiligten Stufen.

Schon ein übliches Heimnetz widerlegt die Absolutheit. Das vom Anbieter gelieferte Gateway bleibt im Routerbetrieb, hält selbst eine öffentliche IPv4-Adresse und vergibt 192.168.1.2 an den Kundenrouter. Dessen WAN-Seite ist privat, doch nachgewiesen ist lediglich doppeltes NAT im Gebäude. Ein Wechsel des ersten Geräts in den Bridge-Modus kann das Problem beheben, ohne dass der Anbieter CGNAT abschaltet.

Welche Aussage die Adressbereiche zulassen

RFC 1918 reserviert 10/8, 172.16/12 und 192.168/16 für private Netze. Diese Bereiche werden in Haushalten, Unternehmen und verwalteten Zugangsnetzen wiederverwendet. Sie zeigen fehlende globale Eindeutigkeit, nicht die Identität des Übersetzers.

RFC 6598 weist 100.64/10 als Shared Address Space für Schnittstellen bei großen NAT-Systemen aus. Das ist ein spezifischeres Indiz. Dennoch fehlen auf einer Statusseite die öffentliche Zuordnung, das Portverhalten, Aufbewahrungsfristen und die Gewissheit, dass die betrachtete Schnittstelle tatsächlich die Übergabe des Zugangsdienstes ist.

Bei DS-Lite verschiebt sich die Grenze erneut. Nach RFC 6333 wird IPv4 über IPv6 zu einem AFTR transportiert. Eingehende IPv4-Verbindungen können für den Nutzer ähnlich eingeschränkt sein, obwohl Steuerung und Abhilfe nicht denen zweier gewöhnlicher IPv4-NAT-Stufen entsprechen.

Ein belastbarer Diagnosebeleg umfasst daher: exakte WAN-Adresse und Adressklasse, gleichzeitig extern beobachtete öffentliche IPv4, vorgeschaltete Gateways, IPv6- und AFTR-Status, einen kontrollierten Eingangstest mit Protokoll, Port und Zeit sowie eine an Vertrag oder Ticket gebundene Leistungsbeschreibung. RFC 6888 beschreibt CGN auch über Mapping- und Filtereigenschaften. Eine einzelne Zahl auf dem Bildschirm erfasst dieses Verhalten nicht.

Der Veröffentlichungsort verstärkt Gewissheit

Das unabhängige Archiv kennzeichnet den Beitrag als Gasttext und ordnet die Ansichten dem Autor zu. Das klärt die Zuschreibung, behebt aber nicht den technischen Fehlschluss. Im Informationsumfeld einer regionalen Internet Registry erhält die kategorische Formulierung mehr Gewicht als im ursprünglichen persönlichen Blog.

Heng Lus Ansatz einer minimalen Anfangsspezifikation bietet die passende Korrektur: Nur die kleinste belegte Aussage festhalten und den nächsten Entscheidungstest sichtbar machen. Der Vorrang von laufendem Code und beobachtbarem Verhalten macht aus dem WAN-Wert einen Ausgangspunkt, keinen Endpunkt.

Die praktische Warnung bleibt richtig: Viele Anschlüsse hinter geteilter Adressierung können keine gewöhnliche eingehende IPv4-Verbindung annehmen. Ungeklärt ist die Ursache. Präzise hieße es: Eine private WAN-Adresse zeigt eine weitere Grenze; CGNAT ist eine von mehreren zu prüfenden Erklärungen.

Quellen