Strikter oder moderater NAT-Typ am PC: UPnP, doppeltes NAT und CGNAT

„Meine Freunde können meiner Lobby nicht beitreten.“ „Der Party-Chat verbindet sich bei allen außer bei mir.“ „Das Spiel zeigt NAT-Typ: Strikt, und ein Neustart des Routers hat nichts geändert.“ Alle drei können von einem Mechanismus kommen: Etwas zwischen dem Internet und deinem PC lässt deinen Verkehr hinaus, stoppt aber eine Verbindung, die ein anderer Spieler zu dir aufbaut.

Was NAT tut und was die Einstufung bewertet

Dein Router hat zum Internet hin eine IPv4-Adresse und gibt deinen Geräten private Adressen. Network Address Translation (NAT) schreibt deine Pakete auf dem Weg nach draußen um und merkt sich jede Unterhaltung, damit die Antworten zurückfinden. RFC 3022 benennt die Folge: Beim traditionellen NAT seien Sitzungen unidirektional, ausgehend vom privaten Netz, und eine von außen begonnene Sitzung kommt nur über eine Zuordnung hinein, die vorab für diesen Host eingerichtet wurde.

Deshalb klappt das Beitreten zu einem Server auch mit einer schlechten Einstufung: Dein PC beginnt diese Unterhaltung. Der NAT-Typ bewertet, wie gut eine Unterhaltung durchkommt, die jemand anderes begonnen hat. Xbox Support definiert die Stufen:

• Offene NAT: Du kannst mit Leuten mit jedem NAT-Typ spielen und hosten.
• Moderate NAT: Mit manchen Leuten kannst du möglicherweise nicht spielen, und normalerweise wirst du nicht als Host gewählt.
• Striktes NAT: Du kannst nur mit Leuten spielen, deren NAT offen ist, und du kannst nicht als Host gewählt werden.
• Nicht verfügbare NAT: kein Party-Chat und in manchen Xbox-Titeln kein Multiplayer.

Microsofts Entwicklerdokumentation nennt dieselbe Regel: Moderat verbindet sich nur mit Moderat oder Offen, Strikt nur mit Offen. Nach dieser Regel können sich zwei Spieler mit striktem NAT nicht miteinander verbinden.

Wann es zählt und wann kaum

Die Einstufung zählt, wenn jemand anderes dich erreichen muss:

• Peer-to-Peer-Partien. Microsofts Dokumentation zum Game Development Kit sagt Entwicklern, dass Peer-to-Peer-Spiele, die darauf aufbauen, weiterhin selbst für die Ermittlung der öffentlichen IP-Adresse und des Ports sorgen sollen, zusammen mit einer NAT-Punching-Lösung für Clients mit moderatem oder striktem NAT-Typ.
• Hosten. Eine Lobby, die du hostest, oder ein Listen- oder dedizierter Server auf deinem PC wartet darauf, dass sich andere verbinden. Für dedizierte oder Listen-Server nennt Valves Steam-Support UDP 27015 als Standardport für den Spielverkehr.
• Sprach- und Party-Chat, den Xbox Support neben dem Multiplayer an den NAT-Typ knüpft.

Kaum eine Rolle spielt sie, wenn das Spiel jede Partie auf seine eigenen Server legt oder über ein Relay leitet, denn dann öffnet dein PC jede Verbindung selbst. Valves Steam Datagram Relay transportiert Spielverkehr über Valves Backbone und Relays, laut Valve sowohl für Peer-to-Peer-Verkehr als auch für dedizierte Server, und IP-Adressen würden dabei nie offengelegt. Die Release Notes von Counter-Strike 2 zum Beispiel unterscheiden Verbindungen, die über SDR weitergeleitet werden, von direkten UDP-Verbindungen zu Community-Servern (Valve, 9. September 2024). Eine strikte Einstufung in einer anderen App sagt wenig über ein Spiel, bei dem dich nie jemand erreichen muss.

Wo Windows es anzeigt

Unter Windows 10 zeigt Einstellungen > Gaming > XBOX Netzwerk den NAT-Typ und die Serververbindung des Xbox-Netzwerks. Teredo-IP-Adresse kann nicht erhalten werden bedeutet dort, dass dein PC keine Teredo-Adresse bekommen hat. Teredo ist das Tunnelprotokoll, das ausgewählte Spiele, darunter Forza Horizon 3 und 4, für Multiplayer im Xbox-Netzwerk nutzen (Xbox Support). Derselbe Bildschirm hat eine Schaltfläche Reparieren. Xbox Support dokumentiert diesen Bildschirm nur für Windows 10; seine Anleitung für Windows 11 zum selben Fehler führt stattdessen zu Einstellungen > Netzwerk & Internet > Erweiterte Netzwerkeinstellungen > Netzwerk zurücksetzen.

Teredo braucht außerdem den IP-Hilfsdienst auf Automatisch und gestartet sowie die Windows-Firewall eingeschaltet mit ihrer Standardrichtlinie. Xbox Support ergänzt, dass manche Apps, die Windows umkonfigurieren, um zu versuchen, die Leistung zu optimieren, den IP-Hilfsdienst abschalten, dass manche Heimrouter Teredo blockieren, wenn sie zum Internet hin IPv6 sehen, und dass manche VPN-Clients es blockieren, solange sie verbunden sind. Wo ein Tool diese Einstellungen geändert hat, setzt die Karte Xbox-Netzwerk und IPv6 auf der Seite Fix in w0a den IP-Hilfsdienst und die Teredo/IPv6-Übergangseinstellungen auf ihre Windows-Standards zurück (wie die Karte funktioniert).

Herausfinden, hinter welchem NAT du sitzt

1. Melde dich an deinem Router an und notier die WAN- oder Internetadresse auf seiner Statusseite.
2. Vergleich sie mit deiner öffentlichen Adresse, der, die dir jede „Wie ist meine IP“-Seite zeigt.
3. Stimmen beide überein, ist dein Router der einzige Übersetzer, und UPnP oder Portweiterleitung an ihm kann den Weg öffnen.
4. Stimmen sie nicht überein, gilt das Urteil von Xbox Support: Eine offene NAT sei unter der aktuellen Konfiguration nicht möglich. Sieh dir die WAN-Adresse an. Liegt sie in 10.x.x.x, 172.16.x.x bis 172.31.x.x oder 192.168.x.x, prüf zuerst, ob ein zweites Gerät von dir davor sitzt: Ein Gateway des Anbieters plus dein eigener Router ist doppeltes NAT. Liegt sie zwischen 100.64.0.0 und 100.127.255.255, ist es der gemeinsam genutzte Adressraum, der für die Verbindung zwischen dem Carrier-Grade-NAT eines Anbieters und deinem Router reserviert ist (RFC 6598).

Lösungen, nach Ursache

UPnP an deinem eigenen Router

Mit UPnP kann ein Spiel deinen Router bitten, Verkehr von außen anzunehmen, ohne dass du etwas eintippen musst. Xbox Support sagt, dass UPnP, wenn dein Router es unterstützt, wahrscheinlich standardmäßig eingeschaltet ist, und schlägt vor, die NAT-Tabelle des Routers aufzufrischen: UPnP ausschalten, speichern, den Router neu starten, dann UPnP wieder einschalten und erneut speichern. Außerdem warnt Xbox Support davor, Einstellungen für Portweiterleitung, UPnP und Umkreisnetzwerk (auch DMZ genannt) zu kombinieren.

Doppeltes NAT: das Gateway in den Brückenmodus schalten

Mit einem Gateway des Anbieters und deinem eigenen Router führen laut Xbox Support möglicherweise beide Geräte NAT aus, und die Lösung von Xbox Support ist, das Gateway in den Brückenmodus zu schalten, sodass nur dein Router übersetzt. Die Schritte hängen vom Gateway ab; seine Dokumentation oder dein Anbieter hat sie.

Portweiterleitung, wenn du hostest

Eine Weiterleitung schickt einen Port direkt an ein Gerät, also braucht dieses Gerät eine Adresse, die sich nicht ändert. Die Methode von Xbox Support: Trag im DHCP- oder LAN-Bereich des Routers die MAC-Adresse des Geräts in die Liste der Reservierungen ein. Leite dann nur die Ports und Protokolle weiter, die der Publisher des Spiels nennt, etwa UDP 27015 in Valves Liste für dedizierte oder Listen-Server. Die Option Umkreisnetzwerk (DMZ) geht viel weiter: Xbox Support beschreibt sie so, dass sie dein Gerät in einen Bereich außerhalb deiner Netzwerkfirewall verschiebt.

Carrier-Grade-NAT: Nur dein Anbieter kann es ändern

Ein Carrier-Grade-NAT teilt eine IPv4-Adresse unter mehreren Kunden auf, und RFC 6888 ergänzt, dass es nicht von den Kunden verwaltet wird: Keine Einstellung an deinem Router reicht bis dorthin. Ein Testbericht von CableLabs und zwei Kabelnetzbetreibern, veröffentlicht als RFC 7021, stellte in Tests von 2010 fest, dass IPv6-Übergangstechniken wie 6to4 und Teredo dahinter komplett scheitern oder einer starken Beeinträchtigung des Dienstes unterliegen. Xbox Support rät, deinen Anbieter um eine öffentliche IP-Adresse zu bitten und, falls er dir keine geben kann, den Anbieter zu wechseln.

IPv6, wo das Spiel es nutzt

RFC 7021 nennt IPv6 die Lösung für das Problem der erschöpften IPv4-Adressen. Die Empfehlungen der IETF für IPv6-Heimrouter (RFC 6092) halten NAT dort für unwahrscheinlich, behalten aber die Gewohnheit bei, nur von innen begonnenen Verkehr hereinzulassen, und verlangen eine Möglichkeit für Anwendungen, eingehende Verbindungen zu öffnen, oder einen "transparent mode". IPv6 hilft also nur dort, wo dein Anbieter, dein Router und das Spiel es alle nutzen; Microsofts Dokumentation zum Game Development Kit verlangt von Spielen, ihren Multiplayer-Port sowohl an IPv4 als auch an IPv6 zu binden. Lass die IPv6-Komponenten von Windows auf ihren Standardwerten: Unter den Ursachen für Teredo-Fehler nennt Xbox Support ein in der Registrierung abgeschaltetes Teredo, durch ein Programm oder von Hand.

Was deinen NAT-Typ nicht ändert

• Windows-Netzwerkeinstellungen. TCP-Optionen und DNS berühren die Übersetzung nicht, die in deinem Router oder bei deinem Anbieter passiert. Netzwerk-Tweaks erklärt, was diese Kästchen tun.
• Die Firewall ausschalten. Xbox Support sagt, dass Teredo die Windows-Firewall mit ihrer Standardrichtlinie braucht und dass Teredo mit einer eingehenden Richtlinie "AllowInbound" seine IPsec-Verbindung nicht aufbauen kann.
• Eine DMZ zusätzlich zu UPnP oder Portweiterleitung. Xbox Support sagt, man solle sie nicht kombinieren.
• Ein VPN. Manche VPN-Clients blockieren Teredo, und manche hinterlassen eine Firewall-Regel, die es auch nach ihrer Deinstallation weiter blockiert. Ob ein VPN deinen Ping senkt, ist eine andere Frage: Senkt ein VPN deinen Ping?

Verwandt

• Hoher Ping und Lag-Spitzen: was du wirklich beheben kannst
• Xbox-Netzwerk und IPv6
• Senkt ein VPN deinen Ping?
• WLAN fürs Gaming
• Netzwerk-Tweaks