Bei einem NAS hinter zwei Routern liegt die Störung meist auf der Ebene von Routing und NAT, nicht am Speicherpool, Volume oder Dateisystem. Für die gespeicherten Daten besteht dadurch normalerweise keine unmittelbare Gefahr; Fernzugriff, VPN-Verbindungen und eingehende Dienste können jedoch scheitern. Prüfe zuerst die WAN-Adresse des inneren Routers und vergleiche sie mit der öffentlichen Adresse des Internetanschlusses. Ändere vorerst weder NAS-Netzwerkeinstellungen noch Portfreigaben, bis klar ist, welches Gerät routet und an welcher Stelle die Adressübersetzung stattfindet.
Die entscheidende Gegenprobe: WAN-Adresse und öffentliche Adresse vergleichen
Doppeltes NAT entsteht, wenn zwei hintereinander geschaltete Geräte jeweils als Router arbeiten. Der äußere Router übersetzt zwischen Internet und seinem lokalen Netz. Der innere Router erhält auf seiner WAN-Seite eine Adresse aus diesem ersten lokalen Netz und übersetzt ein zweites Mal in sein eigenes LAN, in dem sich das NAS befindet.
Ein typischer Aufbau sieht so aus:
- Internetanschluss oder Modem-Router: LAN-Netz 192.168.1.0/24
- Innerer Router: WAN-Adresse 192.168.1.20
- Inneres LAN: 192.168.2.0/24
- NAS: 192.168.2.50
In diesem Beispiel liegen zwischen Internet und NAS zwei IPv4-Adressübersetzungen. Die unterschiedlichen lokalen Netze sind dabei sinnvoll und sogar notwendig, solange beide Geräte tatsächlich routen. Problematisch wird die Konstruktion vor allem bei eingehenden Verbindungen.
- Öffne die Status- oder Internetübersicht des inneren Routers und notiere dessen IPv4-WAN-Adresse. Entscheidend ist die Adresse der Internet- beziehungsweise WAN-Schnittstelle, nicht die LAN-Adresse des Routers.
- Ermittle von einem Gerät im inneren Heimnetz die öffentlich sichtbare IPv4-Adresse. Viele Router zeigen sie ebenfalls in ihrer Anschlussübersicht an.
- Vergleiche beide Werte. Ist die WAN-Adresse des inneren Routers privat, arbeitet davor ein weiterer Router oder eine vergleichbare NAT-Instanz.
Private IPv4-Adressen stammen üblicherweise aus 10.0.0.0 bis 10.255.255.255, 172.16.0.0 bis 172.31.255.255 oder 192.168.0.0 bis 192.168.255.255. Eine WAN-Adresse aus 100.64.0.0 bis 100.127.255.255 weist dagegen häufig auf Carrier-Grade NAT beim Internetanbieter hin. Dieser Fall ähnelt beim Fernzugriff einem doppelten NAT, lässt sich aber nicht allein durch eine Änderung an den eigenen Routern beseitigen.
Eine zusätzliche Bestätigung liefert die Verkabelung: Führt ein LAN-Anschluss des äußeren Routers zum WAN-Anschluss des inneren Routers und verteilt der innere Router ein eigenes IP-Netz, handelt es sich um eine Routerkaskade. Ein Traceroute kann ebenfalls zwei lokale Routingstationen zeigen, ist aber nur ein ergänzender Hinweis, weil Geräte solche Antworten filtern können.
Welche NAS-Funktionen tatsächlich betroffen sind
Der Zugriff innerhalb des inneren Netzes funktioniert trotz doppeltem NAT meist normal. Ein Computer im selben LAN erreicht die lokale NAS-Adresse direkt. Schwierigkeiten treten dort auf, wo eine Verbindung von außen den Weg bis zum NAS finden muss.
- Manuelle Portfreigaben müssen beide Router korrekt durchlaufen.
- Ein VPN-Server auf dem NAS oder inneren Router ist von außen möglicherweise nicht erreichbar.
- Automatische Routerkonfiguration per UPnP erreicht in der Regel nur den direkt benachbarten Router und kann die äußere NAT-Stufe nicht zuverlässig konfigurieren.
- Herstellervermittelte Fernzugriffsdienste können weiterhin funktionieren, weil das NAS die Verbindung nach außen aufbaut. Leistung und unterstützte Protokolle hängen jedoch vom jeweiligen Dienst ab.
- Ausgehende Aufgaben wie Backup-Ziele im Internet, Updates oder Zeitsynchronisation funktionieren üblicherweise, sofern keine Firewall-Regel sie blockiert.
Eine nicht erreichbare Freigabe beweist deshalb noch kein NAT-Problem. Funktioniert der Zugriff bereits im lokalen Netz nicht, prüfe zuerst NAS-Dienst, Freigaberechte, Benutzerkonto und lokale Firewall. NAT ist erst für den Übergang zwischen unterschiedlichen Netzen beziehungsweise für Zugriffe aus dem Internet relevant.
Die sauberste Lösung hängt von der Rolle beider Geräte ab
Es gibt nicht eine passende Änderung für alle Anschlüsse. Entscheidend ist, ob der äußere Router nur den Internetzugang bereitstellen soll, ob er Telefonie oder Zugangsdaten verwaltet und welches Gerät künftig DHCP, Firewall und Portregeln übernehmen soll.
Inneren Router als Access Point betreiben
Diese Variante eignet sich, wenn der äußere Router die zentrale Netzwerkverwaltung übernehmen soll und der zweite Router hauptsächlich für WLAN oder zusätzliche LAN-Anschlüsse benötigt wird. Im Access-Point- oder Bridge-Modus entfallen am inneren Gerät Routing, NAT und meist auch dessen DHCP-Server.
Nach der Umstellung befinden sich NAS und Clients im Netz des äußeren Routers. Das NAS erhält daher möglicherweise eine neue IP-Adresse. Reserviere die gewünschte Adresse anschließend im DHCP-Bereich des verbleibenden Routers oder richte eine zum Netz passende feste Konfiguration ein. Veraltete Lesezeichen, Netzlaufwerke, Backup-Ziele und Firewall-Regeln müssen gegebenenfalls auf die neue Adresse angepasst werden.
Falls das Gerät keinen ausgewiesenen Access-Point-Modus besitzt, ist eine manuelle LAN-zu-LAN-Konfiguration möglich, aber fehleranfälliger. Dabei müssen unter anderem DHCP und Routing am zweiten Gerät passend deaktiviert werden. Eine Verbindung vom äußeren LAN zum WAN-Port des zweiten Geräts wäre dann weiterhin die falsche Topologie.
Äußeres Gerät in den Bridge- oder Modemmodus versetzen
Diese Lösung passt, wenn der innere Router alle Netzwerkaufgaben übernehmen soll. Das äußere Gerät reicht die Verbindung dann möglichst ohne eigene IPv4-NAT-Stufe weiter, und der innere Router erhält die öffentliche Adresse.
Vor der Umstellung müssen Zugangsdaten, Anschlussart und Zusatzfunktionen geklärt sein. Telefonie, IPTV oder providerspezifische Funktionen können an den bisherigen Router gebunden sein. Außerdem ist zu prüfen, ob der innere Router die benötigte Einwahl, VLAN-Konfiguration oder Anschlussgeschwindigkeit unterstützt. Die verfügbaren Betriebsarten unterscheiden sich nach Anbieter und Gerätemodell; maßgeblich sind die Anschluss- und Betriebsmodusangaben des Routers.
Nach erfolgreicher Umstellung muss die WAN-Adresse des inneren Routers mit der öffentlichen IPv4-Adresse übereinstimmen. Eine Adresse aus einem privaten Bereich oder aus 100.64.0.0/10 zeigt, dass weiterhin eine vorgeschaltete Übersetzung vorhanden ist.
Beide Router bewusst getrennt weiterbetreiben
Eine Routerkaskade kann beabsichtigt sein, etwa zur Trennung eines privaten Netzes von einem anderen Haushaltsteil. Dann bleiben beide NAT-Stufen bestehen. Für eine eingehende IPv4-Verbindung ist eine lückenlose Weiterleitung nötig:
- Das NAS erhält im inneren Netz eine stabile Adresse, beispielsweise per DHCP-Reservierung.
- Der innere Router leitet den benötigten Port an die lokale NAS-Adresse oder an einen dort betriebenen VPN-Endpunkt weiter.
- Der äußere Router leitet denselben extern benötigten Verkehr an die WAN-Adresse des inneren Routers weiter.
- Firewalls auf beiden Routern und dem Zielsystem müssen den Verkehr zulassen.
Diese Lösung erhöht den Pflegeaufwand und die Wahrscheinlichkeit von Zuordnungsfehlern. Ändert sich die WAN-Adresse des inneren Routers durch DHCP, zeigt die Freigabe des äußeren Routers ins Leere. Eine Adressreservierung am äußeren Router ist daher erforderlich.
Ein Exposed-Host- oder DMZ-Host-Eintrag am äußeren Router kann sämtlichen unerwarteten IPv4-Verkehr an den inneren Router weiterreichen. Das entfernt die zweite NAT-Stufe jedoch nicht. Die Firewall des inneren Routers bleibt dann besonders wichtig, und die Einstellung sollte nicht auf das NAS selbst zeigen. Für einzelne Dienste sind gezielte Regeln übersichtlicher.
Portfreigaben sind für ein NAS nicht der bevorzugte Fernzugriff
Selbst nach Beseitigung des doppelten NAT sollte die NAS-Verwaltungsoberfläche nicht ohne zwingenden Grund direkt im Internet veröffentlicht werden. Ein VPN auf einem geeigneten Router, einem separaten Gateway oder einem sorgfältig gepflegten NAS-Dienst begrenzt die sichtbare Angriffsfläche. Dabei müssen starke Zugangsdaten, Mehrfaktor-Authentifizierung, Updates und Protokollkontrolle zum Gesamtkonzept gehören.
Eine direkte Freigabe von SMB-Ports ins Internet ist zu vermeiden. SMB ist für lokale oder abgesicherte Netze vorgesehen. Für Dateien von unterwegs kommen je nach Anforderung eine VPN-Verbindung, ein kontrollierter Webdienst oder eine herstellerseitige Vermittlung infrage.
UPnP sollte nicht als Diagnoseersatz dienen. Automatisch erzeugte Regeln sind bei zwei Routern schwer nachzuvollziehen und können nach Gerätewechseln oder Neustarts unklar bleiben. Manuell dokumentierte Regeln oder ein VPN-Aufbau ohne eingehende Portfreigabe sind besser kontrollierbar.
Carrier-Grade NAT als äußerlich ähnlichen Fall abgrenzen
Stimmt die Verkabelung im Heimnetz, aber der einzige eigene Router erhält keine öffentliche IPv4-Adresse, kann die NAT-Stufe beim Internetanbieter liegen. Besonders aussagekräftig ist eine WAN-Adresse aus 100.64.0.0/10. Auch andere vom öffentlich sichtbaren Wert abweichende Adressen können eine genauere Prüfung beim Anbieter erfordern.
Eigene Portweiterleitungen reichen bei Carrier-Grade NAT nicht bis ins öffentliche Internet, weil die vorgeschaltete Anbieter-NAT nicht vom Kundenrouter verwaltet wird. Mögliche Wege sind eine beim Anbieter verfügbare öffentliche IPv4-Adresse, ein geeigneter IPv6-Zugriff oder eine ausgehend aufgebaute VPN- beziehungsweise Vermittlungsverbindung.
IPv6 ist technisch anders zu bewerten: Üblicherweise findet dort keine klassische NAT-Kaskade wie bei IPv4 statt. Erreichbarkeit hängt stattdessen von globalen IPv6-Adressen, Router-Firewalls, Präfixvergabe, DNS und der IPv6-Unterstützung des externen Anschlusses ab. Eine Freigabe in der IPv4-NAT-Tabelle öffnet keinen IPv6-Zugriff; umgekehrt darf eine IPv6-Firewallregel nicht allein deshalb großzügig gesetzt werden, weil IPv4 hinter NAT liegt.
Nach der Änderung den Zugriff außerhalb des WLANs testen
Die Erfolgskontrolle muss über einen wirklich externen Anschluss erfolgen. Schalte am Smartphone WLAN aus und teste über Mobilfunk. Ein Versuch aus demselben Heimnetz kann durch NAT-Loopback anders verlaufen und liefert deshalb keinen sicheren Nachweis für die Erreichbarkeit aus dem Internet.
- Der lokale NAS-Zugriff funktioniert weiterhin über die vorgesehene interne Adresse.
- Der innere Router besitzt nach einer Bridge-Umstellung die erwartete öffentliche WAN-Adresse.
- Bei einer bewussten Kaskade zeigt die äußere Weiterleitung auf die stabile WAN-Adresse des inneren Routers.
- Nur der benötigte Dienst ist erreichbar; Verwaltungsoberflächen und SMB bleiben geschlossen, sofern sie nicht über ein VPN genutzt werden.
- Die Routerprotokolle zeigen den Verbindungsversuch, und der Zielservice protokolliert eine erfolgreiche Anmeldung oder einen kontrolliert abgewiesenen Zugriff.
Scheitert der externe Test, trenne die Ebenen in dieser Reihenfolge: öffentliche Erreichbarkeit des Anschlusses, Regel am äußeren Router, WAN-Adresse des inneren Routers, Regel am inneren Router, lokale Firewall und schließlich der NAS-Dienst. Dadurch bleibt erkennbar, an welcher Station die Verbindung endet. Eine Neuinstallation des NAS oder eine Änderung an RAID und Volume kann ein Routingproblem nicht beheben und wäre hier ein unnötiges Datenrisiko.
Für die meisten Heimnetze ist ein einziger zentraler Router mit einem zweiten Gerät im Access-Point-Modus die wartungsärmste Topologie. Muss die Netztrennung erhalten bleiben, sind zwei sauber dokumentierte Weiterleitungsstufen möglich. Fehlt bereits am äußersten eigenen Router eine öffentliche IPv4-Adresse, liegt die weitere Entscheidung dagegen beim Anschlussmodell: öffentliche Adresse, IPv6 oder ein von innen aufgebauter sicherer Fernzugang.