DS-Lite, CGNAT und Dual Stack: welches Adressmodell dein Anschluss wirklich hat

Kabelanschlüsse in Deutschland werden bei Neuverträgen überwiegend als DS-Lite geschaltet, bekannt vor allem von Vodafone Kabel: Der Anschluss läuft nativ über IPv6, IPv4 fährt in einem Tunnel zum Provider. Eine eigene öffentliche IPv4-Adresse gibt es dann nicht. Im Mobilfunk teilen sich ohnehin viele Kunden eine Adresse. Auf DSL- und Glasfaseranschlüssen der Telekom ist Dual Stack mit eigener öffentlicher IPv4 dagegen weiterhin verbreitet.

Vieles, was Nutzer ihrem Router, ihrer Tunnelsoftware oder dem Anbieter zuschreiben, folgt aus dem Adressmodell des Anschlusses. Hier steht, wie du dein Modell in wenigen Minuten bestimmst, welche Symptome zwingend daraus folgen und welche nicht, und wie du die MTU-Kette rechnest, statt zu raten.

Die Adressmodelle im Überblick

• Dual Stack: eigene öffentliche IPv4 am WAN-Interface plus delegiertes IPv6-Präfix. Eingehende Verbindungen sind auf beiden Protokollen möglich, sofern die Firewall des Routers sie zulässt.
• DS-Lite (RFC 6333): nativ nur IPv6. Der Router kapselt IPv4-Pakete in IPv6, beim Provider packt ein AFTR sie wieder aus und übersetzt sie auf eine öffentliche IPv4, die sich viele Kunden teilen. Der Anschluss selbst hat keine eigene IPv4.
• CGNAT: Der Router bekommt eine Adresse aus 100.64.0.0/10 (RFC 6598) und sitzt hinter einem zweiten NAT beim Provider. Typisch im Mobilfunk, im Festnetz je nach Anbieter.
• IPv6-only mit Übersetzung: im Mobilfunk verbreitet. Das Gerät bekommt nur IPv6, IPv4-Ziele werden über NAT64/DNS64 oder 464XLAT erreicht.

In fünf Minuten feststellen, was du hast

1. 1Router-Oberfläche öffnen und die WAN-Adressen ablesen. Eine FRITZ!Box führt die genutzten Adressen unter Internet > Online-Monitor auf; in den Zugangsdaten ist zusätzlich sichtbar, ob ein DS-Lite-Tunnel eingerichtet ist.
2. 2Die im Router angezeigte IPv4 mit der Absenderadresse vergleichen, die eine beliebige Webseite meldet. Sind beide gleich, hast du eine eigene öffentliche IPv4.
3. 3Liegt die WAN-Adresse zwischen 100.64.0.0 und 100.127.255.255, sitzt du hinter CGNAT. Eine private Adresse am WAN (10.x, 172.16.x bis 172.31.x, 192.168.x) bedeutet dagegen ein vorgeschaltetes Modem oder einen zweiten Router.
4. 4Zeigt der Router überhaupt keine öffentliche IPv4, aber ein IPv6-Präfix, spricht das für DS-Lite. Ein traceroute auf ein IPv4-Ziel läuft dann über den AFTR des Providers, der nicht am eigenen Standort stehen muss.
5. 5Gegenprobe auf IPv6: die delegierte Präfixlänge notieren. Für Privatanschlüsse ist ein /56 verbreitet, aus dem der Router je ein /64 pro Netz bildet; manche Anbieter delegieren nur ein einzelnes /64.

Entscheidend ist die Unterscheidung zwischen keine eingehenden Verbindungen möglich und defekt. Ausgehende Verbindungen funktionieren unter DS-Lite und CGNAT normal. Wer einen Tunnel von innen nach außen aufbaut, ist kaum betroffen. Wer einen Dienst zu Hause von außen erreichbar machen will, ist es vollständig.

Was DS-Lite und CGNAT technisch kosten

• Eingehende IPv4-Verbindungen sind ausgeschlossen. Portfreigaben wirken nur noch über IPv6, und nur wenn die Gegenstelle IPv6 spricht. Ein DynDNS-Name liefert dann ausschließlich einen AAAA-Eintrag.
• Die öffentliche IPv4 teilen sich viele Haushalte. Deshalb häufen sich Sicherheitsabfragen, CAPTCHAs und Sperren, ohne dass am eigenen Gerät etwas falsch konfiguriert wäre.
• Der Weg über den AFTR ist ein Umweg. Licht legt in Glasfaser rund 200.000 km pro Sekunde zurück, 100 km Umweg kosten hin und zurück also etwa 1 ms.
• Die IPv4-MTU sinkt: Der IPv6-Header der Kapselung kostet 40 Byte, aus 1500 werden typisch 1460.

Die MTU-Kette rechnen statt raten

Jede Kapselung kostet Platz im Paket. Ethernet liefert 1500 Byte, DS-Lite zieht 40 Byte ab, ein UDP-basierter Tunnel je nach Protokoll und Adressfamilie noch einmal etwa 50 bis 90 Byte. Damit landet die nutzbare MTU typisch bei rund 1400 Byte oder darunter. Das klassische Symptom einer zu großen MTU: Der Handshake gelingt, kleine Anfragen laufen, große Antworten und Uploads bleiben hängen. Ursache ist meist gefiltertes ICMP, denn ohne die Meldung Packet Too Big (IPv6) beziehungsweise Fragmentation Needed (IPv4) kann die Pfad-MTU-Erkennung nicht arbeiten.

1. 1Windows: ping -f -l 1372 ziel. Meldet das System, das Paket müsse fragmentiert werden, die Nutzlast in Schritten von 10 senken.
2. 2Linux: ping -M do -s 1372 ziel, macOS: ping -D -s 1372 ziel. Nutzlast plus 28 Byte (20 Byte IP-Header, 8 Byte ICMP) ergibt die getestete MTU.
3. 3Die größte Nutzlast, die ohne Fragmentierungsfehler durchkommt, plus 28 Byte ist die Pfad-MTU. Die Tunnel-MTU auf diesen Wert minus Transport-Overhead setzen; im Zweifel bei 1380 beginnen und schrittweise erhöhen, solange große Übertragungen sauber durchlaufen.

IPv6 ist der eigentliche Anschluss

In vielen deutschen Haushalten ist IPv6 der voll ausgebaute Pfad, während IPv4 nur noch getunnelt existiert. Für Tunnelsoftware heißt das: Transportiert der Tunnel ausschließlich IPv4, ist das Ziel aber per AAAA erreichbar, wählt das Betriebssystem nach den Regeln von RFC 6724 in der Regel IPv6. Die Verbindung geht dann am Tunnel vorbei, mit dem echten Präfix des Anschlusses als Absender. Das ist kein Softwarefehler, sondern dokumentierte Adressauswahl. Sauber ist deshalb nur ein Client, der IPv6 entweder mitführt oder auf dem Gerät abschaltet. Wie stark dieses Präfix identifiziert, steht in IPv6-Präfix als Hausnummer. Wie sich das Bild in fremden Netzen verschiebt, behandelt Captive Portals eingrenzen.

Häufige Fragen