Strikte of gemiddelde NAT op je pc: UPnP, dubbele NAT en CGNAT

"Mijn vrienden kunnen mijn lobby niet in." "Partychat verbindt bij iedereen behalve bij mij." "De game zegt NAT-type: strikt, en de router herstarten veranderde niets." Alle drie kunnen uit één mechanisme komen: iets tussen het internet en je pc laat je verkeer naar buiten, maar houdt een verbinding tegen die een andere speler naar jou opzet.

Wat NAT doet, en wat het label beoordeelt

Je router heeft aan de internetkant één IPv4-adres en geeft je apparaten privéadressen. Network address translation (NAT) herschrijft je pakketten op weg naar buiten en onthoudt elk gesprek, zodat de antwoorden de weg terug vinden. RFC 3022 benoemt het gevolg: bij traditionele NAT zijn sessies "uni-directional, outbound from the private network", en een sessie die van buitenaf begint, komt alleen binnen via een koppeling die vooraf voor die host is ingesteld.

Daarom werkt meedoen op een server zelfs met een slecht label: je pc begint dat gesprek. Het NAT-type beoordeelt hoe goed een gesprek dat iemand anders begint erdoorheen komt. Xbox Support definieert de typen:

• Open NAT: je kunt spelen en hosten met mensen met elk NAT-type.
• Gemiddeld NAT: met sommige mensen kun je misschien niet spelen, en normaal gesproken word je niet gekozen als host.
• Strikte NAT: je kunt alleen spelen met mensen van wie de NAT Open is, en je kunt niet gekozen worden als host.
• Niet-beschikbare NAT: geen partychat, en geen multiplayer in sommige Xbox-titels.

De ontwikkelaarsdocumentatie van Microsoft hanteert dezelfde regel: Gemiddeld verbindt alleen met Gemiddeld of Open, Strikt alleen met Open. Volgens die regel kunnen twee spelers met Strikt geen verbinding met elkaar maken.

Wanneer het uitmaakt, en wanneer nauwelijks

Het label doet ertoe wanneer iemand anders jou moet bereiken:

• Peer-to-peermatches. De documentatie van Microsofts Game Development Kit vertelt ontwikkelaars dat peer-to-peergames die erop gebouwd zijn "are still expected to provide their own public IP address and port discovery along with a NAT punching solution for clients that have moderate or strict NAT types".
• Hosten. Een lobby die je host, of een listen- of dedicated server op je pc, wacht tot anderen verbinding maken. Voor dedicated of listen servers noemt Steam Support van Valve UDP 27015 als de standaardpoort voor gameverkeer.
• Voicechat en partychat, die Xbox Support naast multiplayer aan het NAT-type koppelt.

Het maakt nauwelijks uit wanneer de game elke match op zijn eigen servers of via een relay laat lopen, want dan opent je pc zelf elke verbinding. Steam Datagram Relay van Valve vervoert gameverkeer over Valves backbone en relays, volgens Valve voor zowel peer-to-peerverkeer als dedicated servers, en IP-adressen worden daarbij nooit onthuld. De release notes van Counter-Strike 2 bijvoorbeeld onderscheiden verbindingen "relayed over SDR" van "direct UDP connections to community servers" (Valve, 9 september 2024). Een Strikt-label in een andere app zegt weinig over een game die nooit iemand nodig heeft die jou bereikt.

Waar Windows het laat zien

Op Windows 10 toont Instellingen > Gamen > Xbox-netwerk het NAT-type en de serverconnectiviteit van het Xbox-netwerk. Teredo kan niet kwalificeren betekent daar dat je pc geen Teredo-adres kon krijgen. Teredo is het tunnelprotocol dat bepaalde games, waaronder Forza Horizon 3 en 4, gebruiken voor multiplayer op het Xbox-netwerk (Xbox Support). Hetzelfde scherm heeft een knop Herstellen. Xbox Support documenteert dat scherm alleen voor Windows 10; de instructies voor Windows 11 bij dezelfde fout gaan in plaats daarvan naar Instellingen > Netwerk en internet > Geavanceerde netwerkinstellingen > Netwerk opnieuw instellen.

Teredo heeft ook de service IP Helper nodig, op Automatisch en actief, en de Windows-firewall aan met zijn standaardbeleid. Xbox Support voegt eraan toe dat sommige apps die Windows herconfigureren om te proberen de prestaties te optimaliseren IP Helper uitschakelen, dat sommige thuisrouters Teredo blokkeren wanneer ze IPv6 aan hun internetkant zien, en dat sommige VPN-clients het blokkeren zolang ze verbonden zijn. Waar een tool die instellingen heeft veranderd, zet de kaart Xbox-netwerk en IPv6 op de pagina Fix van w0a de service IP Helper en de Teredo/IPv6-overgangsinstellingen terug op de standaard van Windows (hoe de kaart werkt).

Zoek uit achter welke NAT je zit

1. Meld je aan bij je router en noteer het WAN- of internetadres op de statuspagina.
2. Vergelijk het met je openbare adres, het adres dat elke "wat is mijn IP"-pagina toont.
3. Komen de twee overeen, dan is je router de enige vertaler, en kunnen UPnP of port forwarding op de router de weg openen.
4. Komen ze niet overeen, dan geldt wat Xbox Support zegt: in dat geval "zal open NAT niet mogelijk zijn met de huidige instellingen". Kijk naar het WAN-adres. Ligt het in 10.x.x.x, 172.16.x.x tot 172.31.x.x of 192.168.x.x, kijk dan eerst of er nog een kastje van jezelf voor zit: een gateway van de provider plus je eigen router is dubbele NAT. Ligt het tussen 100.64.0.0 en 100.127.255.255, dan is het de gedeelde adresruimte die gereserveerd is voor de verbinding tussen de carrier-grade NAT van een provider en je router (RFC 6598).

Oplossingen, per oorzaak

UPnP op je eigen router

Met UPnP kan een game je router vragen verkeer van buitenaf toe te laten, zonder dat jij iets hoeft in te typen. Xbox Support zegt dat als je router het ondersteunt, deze optie "waarschijnlijk standaard ingeschakeld" is, en stelt voor de NAT-tabel van de router te vernieuwen: zet UPnP uit, sla op, herstart de router, zet UPnP dan weer aan en sla opnieuw op. Het waarschuwt ook: "Gebruik geen combinatie van instellingen voor port forwarding, UPnP en perimeternetwerk (ook bekend als DMZ)."

Dubbele NAT: zet de gateway in brugmodus

Met een gateway van de provider en je eigen router geldt volgens Xbox Support: "beide apparaten voeren mogelijk NAT uit", en de oplossing van Xbox Support is de gateway in brugmodus te zetten, zodat alleen je router vertaalt. De stappen hangen af van de gateway; de documentatie ervan of je provider heeft ze.

Port forwarding, als je host

Een forward stuurt één poort rechtstreeks naar één apparaat, dus dat apparaat heeft een adres nodig dat niet verandert. De methode van Xbox Support: voeg in het gedeelte DHCP of LAN van de router het MAC-adres van het apparaat toe aan de lijst met reserveringen. Stuur daarna alleen de poorten en protocollen door die de uitgever van de game noemt, zoals UDP 27015 in de lijst van Valve voor dedicated of listen servers. De optie perimeternetwerk (DMZ) gaat veel verder: volgens Xbox Support verplaatst die je apparaat "naar een gebied buiten de netwerkfirewall".

Carrier-grade NAT: alleen je provider kan het veranderen

Een carrier-grade NAT deelt één IPv4-adres tussen meerdere abonnees, en RFC 6888 voegt eraan toe dat die "is not managed by the subscribers": geen enkele instelling op je router reikt ertoe. Een testrapport van CableLabs en twee kabelaanbieders, gepubliceerd als RFC 7021, vond in tests uit 2010 dat achter zo'n NAT "IPv6 transition technologies such as 6to4 and Teredo fail outright or are subject to severe service degradation". Het advies van Xbox Support is je provider om een openbaar IP-adres te vragen en, als die je er geen kan geven, van provider te wisselen.

IPv6, waar de game het gebruikt

RFC 7021 noemt IPv6 "the solution to the IPv4 depletion problem". De aanbevelingen van de IETF voor IPv6-thuisrouters (RFC 6092) verwachten dat NAT daar onwaarschijnlijk is, maar behouden de gewoonte om alleen verkeer toe te laten dat van binnenuit is begonnen, en vragen om een manier waarop applicaties inkomende stromen kunnen openen, of om een "transparent mode". IPv6 helpt dus alleen waar je provider, je router en de game het allemaal gebruiken; de documentatie van Microsofts Game Development Kit vraagt games hun multiplayerpoort aan zowel IPv4 als IPv6 te binden. Laat de IPv6-onderdelen van Windows op hun standaardwaarden staan: onder de oorzaken van Teredo-fouten noemt Xbox Support Teredo dat in het register is uitgeschakeld, door een programma of met de hand.

Wat je NAT-type niet verandert

• Netwerkinstellingen van Windows. TCP-opties en DNS raken de vertaling niet, die in je router of bij je provider gebeurt. Netwerk-tweaks behandelt wat die vakjes doen.
• De firewall uitzetten. Xbox Support zegt dat Teredo de Windows-firewall nodig heeft, actief en met zijn standaardbeleid, en dat Teredo met een inkomend beleid van "AllowInbound" zijn IPsec-verbinding niet kan opzetten.
• Een DMZ bovenop UPnP of port forwarding. Xbox Support zegt ze niet te combineren.
• Een VPN. Sommige VPN-clients blokkeren Teredo, en sommige laten een firewallregel achter die het blijft blokkeren nadat ze verwijderd zijn. Of een VPN je ping helpt, is een aparte vraag: kan een VPN je ping verlagen?

Gerelateerd

• Hoge ping en lagpieken: wat je er echt aan kunt doen
• Xbox-netwerk en IPv6
• Kan een VPN je ping verlagen?
• Wifi voor gaming
• Netwerk-tweaks