Ein Router, der Adressen übersetzt, ist ein Pförtner. Zwei hintereinander sind zwei Pförtner, die nie miteinander reden, und dein Besuch muss beide überzeugen.
Kurz gesagt
Doppel-NAT heißt: Zwei Geräte in einer Kette übersetzen Netzwerkadressen, meist dein eigener Router hinter dem Router oder Modem-Router deines Anbieters. NAT (Network Address Translation) bildet private Adressen auf eine öffentliche ab [1][2]. Für ausgehenden Verkehr wie Surfen ändert Doppel-NAT meist nichts, was du bemerkst. Zum Problem wird es, wenn etwas von außen zu dir durchkommen muss, zum Beispiel ein Spieleserver oder ein Peer-to-Peer-Spiel, denn die eingehende Verbindung muss durch beide Schichten [1][5]. Unsere Einschätzung: Vermeide es, wenn du kannst, und wenn nicht, leite den Port an beiden Routern weiter oder nimm einen der beiden aus dem Weg.
So funktioniert’s
- NAT ist von Haus aus ausgehend. Beim klassischen NAT sind Sitzungen einseitig und beginnen im privaten Netz. Sitzungen in Gegenrichtung sind ausnahmsweise über statische Adresszuordnungen für ausgewählte Rechner möglich [1].
- Auf beiden Seiten privat. RFC 1918 reserviert 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16 für private Netze [2]. Bei Doppel-NAT hat die WAN-Seite deines zweiten Routers eine solche private Adresse, weil das erste Gerät die öffentliche besitzt. Unsere Lesart: Ist die WAN-Adresse deines Routers privat, sitzt ein weiteres NAT davor.
- Nicht dasselbe wie CGN. Anbieter nutzen den gemeinsamen Adressraum 100.64.0.0/10 auf der Strecke zwischen ihrem Carrier-Grade NAT (CGN) und deinem Gerät [3]. Liegt deine WAN-Adresse dort, sitzt das zweite NAT beim Anbieter, und du kannst es mit eigenen Router-Einstellungen nicht beheben. Das ist ein anderes Problem als zwei Router zu Hause.
- Was kaputtgeht. Die OpenWrt-Dokumentation sagt, dass Doppel-NAT Aufgaben wie Surfen nicht stört, aber Probleme machen kann, wenn du Server betreibst, die aus dem Internet erreichbar sein sollen, oder Peer-to-Peer-Spiele spielst, die oft UDP-Hole-Punching nutzen [5].
- Lösung eins: eine Schicht entfernen. NETGEAR rät, den ersten Router zu entfernen, den ersten Router oder das Anbieter-Gateway in den Bridge-Modus zu schalten oder den eigenen Router in den Access-Point-Modus (AP) zu setzen. Im AP-Modus sind manche Router-Funktionen abgeschaltet [4]. OpenWrt beschreibt den Bridge-Modus als Durchleitung, bei der das Anbietergerät kein NAT, keine Firewall und kein DHCP mehr übernimmt [5].
- Lösung zwei: routen statt übersetzen. Du kannst NAT am zweiten Router abschalten, doch dann brauchen beide Router getrennte Adressbereiche und statische Routen in beide Richtungen [5].
- Gewollte Kaskaden. AVM merkt an, dass ein Exposed Host sinnvoll sein kann, wenn hinter der FRITZ!Box ein weiterer Router mit eigener Firewall läuft [6]. Unser Eintrag zum Exposed Host erklärt diese Einstellung und ihr Risiko.
Ein Praxisbeispiel
Router A deines Anbieters hat das LAN 192.168.178.0/24. Dein eigener Router B hat die WAN-Adresse 192.168.178.2 und das LAN 192.168.10.0/24. Die WAN-Adresse von B ist privat, also ist das Doppel-NAT. Ein Server unter 192.168.10.20 lauscht auf TCP-Port 8080 (Beispiel). Damit er von außen erreichbar ist, leitest du Port 8080 an A auf 192.168.178.2 weiter und an B auf 192.168.10.20. Jeder Abschnitt braucht seine eigene Regel, was sich aus der statischen Zuordnung in RFC 3022 ergibt [1]. Eine Routerkette haben wir in unserem Inventar (14. bis 16. Okt. 2026) nicht dokumentiert, deshalb ist das ein allgemeiner Ablauf.
Prüfliste
- Lies die WAN-Adresse deines zweiten Routers ab und vergleiche sie mit den privaten Bereichen [2].
- Prüfe auf 100.64.0.0/10, das auf CGN beim Anbieter hinweist [3].
- Frage beim Anbieter nach oder lies das Handbuch zum Bridge-Modus, bevor du Regeln anlegst [4][5].
- Probiere den AP-Modus am zweiten Router, wenn du nur WLAN und Switch-Ports brauchst [4].
- Leite denselben Port an jedem Router der Kette weiter, Abschnitt für Abschnitt [1].
- Nimm auf jeder Seite andere Adressbereiche, damit sich Routen nicht in die Quere kommen [5].