Öffentliche und private IP-Adresse: So erreichen Sie ein Gerät hinter dem NAT des Providers

Sie haben eine Kamera, ein NAS oder einen Heimserver und kommen von außen einfach nicht darauf. Meist ist der Grund derselbe: Ihr Provider hat Ihnen eine private IP-Adresse hinter CGNAT zugeteilt (manchmal auch „graue IP“ genannt), und eine solche Adresse nimmt keine eingehenden Verbindungen an. Worin sie sich von einer öffentlichen unterscheidet, wie Sie den Typ Ihrer Adresse erkennen und was Sie ohne öffentliche IP-Adresse tun können, von der Anfrage beim Provider bis zum Zugriff ganz ohne öffentliche Adresse, erfahren Sie auf dieser Seite.

Was unterscheidet eine öffentliche von einer privaten Adresse

IPv4-Adressen reichen schon lange nicht mehr für alle: Das alte Format ist ausgeschöpft, und jedem Kunden eine eigene Adresse zu geben, ist für einen Provider teuer. Günstiger ist es, ein paar hundert Kunden hinter einer gemeinsamen Adresse zu verstecken. Daher kommt die Unterscheidung zwischen öffentlichen und privaten Adressen.

Eine öffentliche IP-Adresse ist im gesamten Internet eindeutig und an Ihren Anschluss gebunden. Sie ist von außen erreichbar und führt genau zu Ihnen. Für eingehende Verbindungen gibt es keine Einschränkungen.

Eine private IP-Adresse hinter CGNAT stammt aus dem internen Netz des Providers. Im „großen“ Internet existiert sie nicht, und Hunderte Nachbarn haben gerade dieselbe Adresse. Wenn Sie eine Website öffnen, versieht der Provider die ausgehende Anfrage mit seiner eigenen gemeinsamen öffentlichen Adresse und merkt sich, an wen die Antwort zurückgehen soll. Das ist NAT. Eine eingehende Anfrage dagegen kann niemandem zugeordnet werden: Sie landet bei der gemeinsamen Adresse des Providers, und es lässt sich nicht feststellen, für welchen der Hunderten Kunden sie bestimmt ist. Deshalb antwortet die Kamera nicht, wenn Sie sie vom Büro aus ansprechen.

Wie Sie erkennen, welche Adresse Sie haben

Die Prüfung dauert ein paar Minuten und kommt ohne spezielle Software aus.

• Öffnen Sie auf Ihrem Smartphone oder Computer einen beliebigen Dienst, der Ihre externe Adresse anzeigt, etwa über die Suche nach „wie ist meine ip“. Notieren Sie die Zahl: So sieht Sie das Internet.
• Öffnen Sie die Weboberfläche Ihres Routers und suchen Sie die Adresse der WAN-Schnittstelle. Sie steht meist auf der Statusseite.
• Vergleichen Sie die beiden Zahlen. Stimmen sie überein, ist Ihre Adresse öffentlich, und der Rest ist nur noch Konfiguration. Zeigt der Router eine andere Adresse, die mit 100.64–100.127, 10., 192.168. oder 172.16–172.31 beginnt, sitzen Sie hinter dem NAT des Providers, und Ihre Adresse ist privat.

Den Bereich 100.64.0.0/10 sollten Sie sich gesondert merken: Er ist für die Adressumsetzung beim Netzbetreiber reserviert, bekannt als CGNAT. Auf einem Heimrouter taucht er nur auf, wenn der Provider Sie hinter eine gemeinsame Adresse gesetzt hat. Wie Adresstypen funktionieren und warum sie sich ändern, beschreibt ausführlich der Artikel über dynamisches DNS.

Eine dynamische Adresse ist nicht dasselbe wie eine private

Hier geraten viele durcheinander. Ein Provider kann eine öffentliche Adresse vergeben, ohne sie fest zuzuweisen: Sie ändert sich beim Neuverbinden oder einmal am Tag. Sie bleibt trotzdem öffentlich. Sie ist von außen erreichbar, und Portweiterleitung funktioniert, nur ist sie eben nicht dauerhaft. Mit einer privaten Adresse hat sie nur gemeinsam, dass sie „unbequem“ ist. Eine private Adresse ist aber überhaupt nicht erreichbar, eine wechselnde öffentliche dagegen unter ihrer jeweils aktuellen Zahl.

Unterscheiden lassen sich beide mit derselben Prüfung. Stimmt die WAN-Adresse des Routers mit Ihrer externen Adresse überein, ändert sich aber ständig, handelt es sich um eine dynamische öffentliche Adresse. Dann verbirgt dynamisches DNS die wechselnde Zahl hinter einem festen Namen, ein Tarifwechsel ist nicht nötig. Weicht die WAN-Adresse immer von der externen ab, ist sie privat, und DDNS ist dort machtlos, egal mit welcher TTL. Eine einzige Beobachtung trennt die beiden Fälle, und die Lösungen sind entgegengesetzt.

Woher private Adressen kommen

Der Grund ist schlichte Arithmetik. Weltweit gibt es keine freien IPv4-Adressen mehr: Wer einen neuen Block will, reiht sich als Netzbetreiber in eine jahrelange Warteschlange ein und zahlt danach jährlich für jede Adresse. Gleichzeitig gibt es mehr Kunden als Adressen, besonders bei Mobilfunkanbietern, wo eine einzige öffentliche Adresse Tausende Verbindungen bedient. CGNAT löst das Problem: Viele Kunden werden bedient, und es werden nur wenige öffentliche Adressen verbraucht.

Die meisten merken davon nie etwas, denn Websites und Videos brauchen keine öffentliche Adresse. An die Grenze stößt, wer eine eingehende Verbindung braucht: Besitzer von Kameras, Heimservern und Smart-Home-Geräten und alle, die aus der Ferne auf einen Arbeitsrechner zugreifen. Wenn das auf Sie zutrifft, lesen Sie weiter, was Sie dagegen tun können.

Mobiles Internet

Wenn Sie über eine SIM-Karte ins Internet gehen, also mit dem Smartphone als Hotspot, einem USB-Modem oder einem Router mit SIM-Karte, ist eine private Adresse so gut wie sicher. Tausende Kunden teilen sich eine öffentliche Adresse des Netzbetreibers, und eine eigene öffentliche Adresse für jeden gibt es schlicht nicht. Eine öffentliche IP-Adresse für eine normale SIM-Karte zu beantragen, ist meist nicht möglich: Die meisten Anbieter bieten sie Privatkunden gar nicht an, und wo doch, ist sie eine eigene kostenpflichtige Option oder Teil eines Geschäftskundentarifs.

Anzeichen dafür, dass Sie hinter dem CGNAT des Netzbetreibers sitzen:

• Die Adresse auf Ihrem Gerät oder Router liegt im Bereich 100.64.x.x–100.127.x.x;
• Ihre externe Adresse stimmt nicht mit der an der Schnittstelle überein und wechselt obendrein von Funkmast zu Funkmast;
• Portweiterleitung und „offene Ports“ in Kamera- und Torrent-Apps bringen von außen keinerlei Ergebnis.

Die Konsequenz: Im mobilen Internet funktioniert von den drei unten beschriebenen Möglichkeiten nur der Zugriff über Proxying wirklich. Er braucht keine öffentliche Adresse, und es ist ihm gleich, hinter welchem NAT Sie sitzen. Eine öffentliche IP-Adresse für eine SIM-Karte ist kaum zu bekommen, und einen dauerhaften VPN-Tunnel über eine Mobilfunkverbindung aufrechtzuerhalten, ist umständlich.

Wie Sie Zugriff bekommen: drei Möglichkeiten

Es gibt drei Wege, ein Gerät hinter einer privaten IP-Adresse zu erreichen. Sie schließen sich nicht gegenseitig aus und passen zu unterschiedlichen Budgets und Anforderungen. In manchen Fällen brauchen Sie unseren Dienst nicht, und das sagen wir auch offen.

Öffentliche IP-Adresse vom Provider

Der direkteste Weg: Sie rufen Ihren Provider an und fragen nach einer externen Adresse (auch öffentliche oder statische Adresse genannt). Bei Festnetzanbietern ist das meist ein kostenpflichtiger Dienst mit einer kleinen monatlichen Gebühr, manchmal zusätzlich mit einer einmaligen Einrichtungsgebühr. Sobald sie aktiv ist, fügt sich alles: Portweiterleitung am Router ergibt wieder Sinn, und Kamera und NAS lassen sich direkt öffnen.

Diese Möglichkeit ist gut, wenn der Provider sie anbietet, der Preis passt und Sie möglichst wenige Vermittler zwischen sich und Ihrem Gerät haben möchten. Unseren Dienst brauchen Sie hier höchstwahrscheinlich nicht: Eine öffentliche Adresse plus dynamisches DNS (falls sich die Adresse ändert) genügt.

Der Haken: Verfügbar ist das nicht immer. Viele Mobilfunkanbieter bieten gar keine öffentliche Adresse an, und manche Festnetzprovider geben sie nur an Geschäftskunden oder in höheren Tarifen. Wenn Sie „Das bieten wir nicht an“ hören, bleiben Tunnel und Proxying.

Wie Sie eine öffentliche IP-Adresse bestellen und worauf Sie achten sollten

Die Anbieter nennen den Dienst unterschiedlich: „externe IP“, „öffentliche Adresse“, „statische IP“, „dedizierte Adresse“. Dem Support genügt es, die Aufgabe in einfachen Worten zu beschreiben („Ich möchte meine Kamera zu Hause aus dem Internet erreichen“), dann schlägt er den passenden Tarif vor. Drei Punkte sollten Sie prüfen.

• Statisch oder dynamisch. Eine statische Adresse ist fest an Sie vergeben und ändert sich nie. Das ist bequemer, aber teurer. Eine dynamische öffentliche Adresse ist günstiger und eignet sich genauso gut, um ein Gerät zu erreichen: Dynamisches DNS verbirgt die wechselnde Zahl. Für eine einzige Kamera lohnt sich der Aufpreis für eine statische Adresse nicht.
• Einmalige Einrichtung oder monatlich. Manche Anbieter verlangen jeden Monat eine feste Gebühr, andere eine einmalige Anschlussgebühr. Auf lange Sicht ist die einmalige Variante günstiger.
• Art des Anschlusses. Bei GPON-Glasfaser und bei Mobilfunkanbietern wird seltener eine öffentliche Adresse vergeben, dort wird mit Adressen strenger gespart. Die Antwort „technisch nicht möglich“ betrifft meist die Politik des Anbieters und nicht die Physik, und sie ist endgültig: Auch mit viel Überzeugungsarbeit bekommen Sie die Adresse nicht.

Wenn eine öffentliche Adresse nicht verfügbar oder teuer ist, lösen Tunnel und Proxying die Aufgabe. Für sie spielt die Seite des Providers keine Rolle mehr.

VPN oder eigener Tunnel

Hier öffnen Sie das Gerät nicht nach außen, sondern bauen von innen einen Kanal auf. Die Verbindung geht immer von Ihrem Netz nach außen, und ausgehende Verbindungen behindert das NAT des Providers nicht. Damit ist eine private Adresse kein Hindernis mehr.

Das sieht so aus: Irgendwo gibt es einen Knoten mit öffentlicher Adresse, etwa einen gemieteten VPS, das Büro oder eine zweite Wohnung mit ordentlichem Anschluss. Ihr Router oder ein separates Gerät hält eine dauerhafte Verbindung zu diesem Knoten, und über ihn gelangen Sie nach Hause. Ein VPN passt, wenn Sie sich im Heimnetz als Ganzem bewegen möchten, als wären Sie mit Ihrem eigenen WLAN verbunden, statt einen einzelnen Dienst bereitzustellen.

Der Preis dafür ist genau dieser vermittelnde Knoten mit öffentlicher Adresse und der Aufwand für die Einrichtung: Server, Clients auf den Geräten, Schlüssel. Für eine einzelne Kamera ist das zu viel, für den Zugriff auf das gesamte Heimnetz sinnvoll. Wenn Sie keinen eigenen Server haben und keine Lust auf Konfiguration, übernimmt Proxying die Rolle des Vermittlers.

Zugriff über Proxying ohne öffentliche IP-Adresse

Das Prinzip „Verbindung von innen nach außen“ ist dasselbe wie beim Tunnel, nur ist der Vermittler unser Netz, und Sie müssen keinen eigenen Server aufsetzen. Das Gerät oder der Router hält eine Verbindung zu Alviy, und Sie erreichen den Dienst über einen festen Namen wie home.example.com. Eine öffentliche Adresse ist nicht nötig, das funktioniert hinter CGNAT ebenso wie im mobilen Internet.

Im Vergleich zu den ersten beiden Möglichkeiten entfallen damit drei Einschränkungen auf einmal:

• keine öffentliche IP-Adresse nötig: kein Aufpreis an den Provider, kein Warten auf die Bearbeitung einer Anfrage, und Zugriff gibt es auch dort, wo keine öffentliche Adresse zu bekommen ist;
• kein VPN auf jedem Gerät einzurichten: Der Dienst ist über einen gewöhnlichen Namen im Browser oder in einer App erreichbar, ohne Client und ohne Schlüssel bei dem, der sich verbindet;
• die Adresse des Geräts ist von außen nicht sichtbar: Zum Internet hin steht ein Knoten des Netzes und nicht Ihr Heimanschluss. Er wird also nicht gescannt und führt niemanden zu Ihrem Anschluss. Auf demselben Prinzip beruhen das Proxying von Websites und der Reverse Proxy für SaaS.

Der einzige Nachteil: Der Datenverkehr läuft über einen Vermittler, also über unser Netz. Für den Zugriff auf eine Kamera, ein NAS oder eine Admin-Oberfläche spielt das keine Rolle und ist oft sogar ein Vorteil, weil der Heimanschluss verborgen bleibt. Ist Ihnen aber eine direkte Verbindung ohne Zwischenknoten wichtig und eine öffentliche Adresse verfügbar, ist diese die vernünftige Wahl.

Was es kostet

Meist entscheidet am Ende das Geld. Die Größenordnungen sehen ungefähr so aus:

• Öffentliche IP-Adresse vom Provider: eine laufende Gebühr, meist ein paar Dollar im Monat, manchmal mit einmaliger Einrichtungsgebühr. Mehr zahlen Sie nicht, aber mit Mehrzahlen erreichen Sie auch nichts: Bietet der Provider den Dienst nicht an, hilft kein Geld.
• Eigener VPS für Tunnel oder VPN: Die Miete eines Servers mit öffentlicher Adresse kostet monatlich etwa genauso viel, dazu kommt Ihre Zeit für Einrichtung und Betrieb. Das lohnt sich, wenn Sie bereits einen Server haben oder ihn ohnehin für andere Zwecke brauchen.
• Zugriff über Proxying: ein Abonnement in ähnlicher Größenordnung wie die Gebühr für eine öffentliche IP-Adresse, das aber auch dort funktioniert, wo keine öffentliche Adresse zu bekommen ist, und ohne eigenen Server. Die aktuellen Preise finden Sie auf der Preisseite.

Gibt Ihnen der Provider eine öffentliche Adresse zu einem Preis, der Ihnen passt, nehmen Sie sie: Einen kürzeren Weg gibt es nicht. Gibt es keine öffentliche Adresse oder ist sie unverhältnismäßig teuer, hängt die Wahl zwischen eigenem VPS und Proxying von einer einzigen Frage ab: Sind Sie bereit, einen Server zu administrieren?

IPv6: wenn eine private IPv4-Adresse keine Sackgasse ist

Für eine private IPv4-Adresse gibt es einen Ausweg, der oft vergessen wird. Manche Provider vergeben neben der privaten IPv4-Adresse vollwertiges IPv6, und dann erhält jedes Gerät zu Hause eine eigene globale IPv6-Adresse. Sie ist eindeutig und von außen direkt erreichbar, ganz ohne NAT. IPv6-Adressen gibt es reichlich, also auch keinen Grund, Kunden hinter einer gemeinsamen Adresse zu verstecken.

Die Prüfung ist einfach: Schauen Sie nach, ob der Router den Geräten zusätzlich zu den üblichen 192.168.x.x Adressen wie 2a0… zuteilt. Wenn ja, ist die Kamera oder der Server über die IPv6-Adresse erreichbar oder über einen Namen mit einem AAAA-Eintrag in der Zone.

Zwei Einschränkungen sorgen dafür, dass IPv6 nicht immer die Rettung ist. Eingehendes IPv6 blockiert meist die Firewall des Routers, das konkrete Gerät und den Port geben Sie von Hand frei. Und verbinden kann sich nur, wer selbst IPv6 hat: Im mobilen Internet ist es fast immer vorhanden, in Büro- und Unternehmensnetzen längst nicht überall. IPv6 eignet sich also gut als Ergänzung, zuverlässigen Zugriff von überall bieten aber weiterhin eine öffentliche IPv4-Adresse oder Proxying.

Portweiterleitung bei privater IP-Adresse: warum sie nicht funktioniert

An dieser Stelle scheitern die meisten. Sie lesen die Anleitung der Kamera, gehen in den Router, richten sorgfältig die Portweiterleitung ein, und es passiert nichts. Mit der Konfiguration hat das nichts zu tun: Bei einer privaten IP-Adresse ist Portweiterleitung per Definition nutzlos.

Portweiterleitung ist eine Regel auf Ihrem Router: „Alles, was von außen auf Port 8080 ankommt, an die Kamera unter 192.168.1.50 senden“. Sie greift, wenn eine externe Anfrage Ihren Router erreicht. Bei einer privaten Adresse liegt die Grenze aber weiter oben, auf dem Router des Providers, auf den Sie keinen Zugriff haben. Die Anfrage endet an der gemeinsamen Adresse des Providers und kommt nie bei Ihrem Router an, es gibt also nichts weiterzuleiten. Sie konfigurieren die letzte Tür in der Kette, während alles schon an der ersten hängen bleibt.

Das lässt sich schnell prüfen: Richten Sie die Weiterleitung ein und verbinden Sie sich nicht von zu Hause, sondern über mobiles Internet. Aus dem Heimnetz heraus antworten viele Router selbst und erwecken so den falschen Eindruck, dass alles funktioniert. Gibt es von außen weiterhin keinen Zugriff und ist die Adresse privat, ist die Weiterleitung hier machtlos.

Der Ausweg hängt davon ab, ob eine öffentliche Adresse verfügbar ist. Brauchen Sie ausdrücklich eine Weiterleitung, holen Sie sich zuerst eine öffentliche IP-Adresse beim Provider, dann funktioniert die Regel. Ohne öffentliche Adresse öffnet nicht die Weiterleitung den Weg „von außen nach innen“, sondern eine Verbindung von innen nach außen: ein Tunnel oder der Zugriff über Proxying. Dann stellt ein Vermittler den Port des Geräts nach außen bereit und nicht Ihr Router, und die private Adresse stört nicht mehr.

Doppeltes NAT: Die Adresse ist öffentlich, trotzdem kein Zugriff

Eine eigene Falle, die man leicht mit einer privaten IP-Adresse verwechselt. Die Adresse vom Provider ist öffentlich, die Weiterleitung ist nach Lehrbuch eingerichtet, und trotzdem bleibt es von außen still. Die Ursache sind zwei hintereinandergeschaltete Router: Das Gerät des Providers (ein Glasfaser-Modem oder sein Router) läuft im Routermodus, und dahinter steht Ihr eigener Router. Die öffentliche Adresse landet auf dem ersten Gerät, Ihre Weiterleitung auf dem zweiten, und dazwischen verbirgt sich ein weiteres NAT.

Dieselbe Adressprüfung verrät es: Die WAN-Adresse Ihres Routers ist keine öffentliche Adresse, sondern liegt etwa im Bereich 192.168.x.x. Das ist eine Adresse aus dem Netz des ersten Geräts, nicht aus dem Internet. Formal sieht die Adresse privat aus, schuld ist aber nicht der Provider, sondern ein überzähliges Glied in Ihrer Wohnung.

Es gibt zwei Lösungen. Sie schalten das erste Gerät in den Bridge-Modus, dann kommt die öffentliche Adresse direkt bei Ihrem Router an, und die Weiterleitung funktioniert. Oder Sie richten die Weiterleitung auf beiden Geräten als Kette ein, aber das ist fehleranfällig und bricht bei jeder Adressänderung. Der Bridge-Modus ist zuverlässiger. Wie Sie ihn aktivieren, erfahren Sie beim Support des Providers oder in der Anleitung zu seinem Gerät.

Lohnt es sich, ein Gerät direkt ins Internet zu stellen

Selbst wenn Sie eine öffentliche IP-Adresse haben und die Weiterleitung funktioniert, ist es riskant, ein Gerät direkt ins Internet zu stellen, und das sollten Sie vorher wissen. Jeden nach außen offenen Port durchsuchen automatische Scanner rund um die Uhr: Bots gehen Adresse für Adresse durch und suchen nach Kameras, Routern und NAS-Geräten mit Werkspasswörtern und bekannten Sicherheitslücken. Eine Kamera mit dem Standardzugang admin/admin landet sehr schnell in einem fremden Botnetz.

Bei direktem Zugriff gilt deshalb mindestens Folgendes:

• Ändern Sie die Werkspasswörter und aktivieren Sie, wo möglich, einen zweiten Faktor;
• lassen Sie Standard-Verwaltungsports nicht offen;
• beschränken Sie den Zugriff über eine Adressliste, wenn Sie sich immer von denselben Orten aus verbinden;
• halten Sie die Firmware aktuell, denn gerade alte Versionen erwischen die automatischen Scanner.

Das ist ein weiteres Argument für den Zugriff über Proxying, auch mit öffentlicher Adresse: Die echte Adresse und der Port des Geräts sind von außen nicht sichtbar, es gibt also nichts zu scannen. Hinter der „Tür“ steht ein Knoten des Netzes und nicht die Kamera selbst.

Was für Ihre Aufgabe passt

Die Methode hängt nicht nur vom Adresstyp ab, sondern auch davon, was genau Sie verbinden.

Womit Sie anfangen

Alviy deckt die dritte Möglichkeit ab: Zugriff auf ein Gerät hinter einer privaten IP-Adresse über einen festen Namen, ohne öffentliche Adresse und ohne VPN-Einrichtung auf jedem Client. Ist die Adresse öffentlich und ändert sich nur, ist die Aufgabe einfacher: Das übernimmt dynamisches DNS, und Namen und Zone verwalten Sie bequem im DNS-Hosting.

Auf der Seite des Geräts beschränkt sich die Einrichtung darauf, die Adresse zu aktualisieren, und am einfachsten geht das auf dem Router. Für verbreitete Modelle gibt es fertige Anleitungen, für Keenetic und Padavan, und das allgemeine Vorgehen für jeden Router steht in der Einrichtungsanleitung. Wenn sich die Firmware des Routers nicht mit dem benötigten Dienst verträgt, läuft derselbe Client auch auf einem Computer, Server oder NAS. Die Möglichkeiten sind in der Client-Dokumentation aufgeführt.

Häufige Fragen

Kann ich eine öffentliche IP-Adresse kostenlos bekommen? In der Regel nicht: Festnetzanbieter verlangen dafür eine Gebühr, und Mobilfunkanbieter bieten sie meist gar nicht an. Um ein Gerät ohne öffentliche Adresse kostenlos zu erreichen, nutzen Sie den Zugriff über Proxying oder, falls Ihr Provider es anbietet, IPv6.

Ist eine private IP-Adresse hinter CGNAT gefährlich? Eher im Gegenteil: Hinter dem NAT des Providers sind Sie weniger exponiert, niemand erreicht Sie von außen, und Portscanner gehen an Ihnen vorbei. Der einzige Nachteil einer solchen Adresse ist, dass sie aus dem Internet nicht erreichbar ist.

„Wie ist meine IP“ zeigt eine normale Adresse, aber der Zugriff klappt trotzdem nicht. Warum? Solche Dienste zeigen die Adresse, mit der Ihre Anfrage das Netz verlassen hat, also die gemeinsame Adresse des Providers und nicht Ihre eigene. Vergleichen Sie sie mit der Adresse an der WAN-Schnittstelle Ihres Routers. Weichen beide voneinander ab, haben Sie eine private Adresse hinter CGNAT.

Hilft ein anderer Router oder eine andere Firmware? Nein. Die Art der Adresse legt der Provider auf seiner Seite fest, die Geräte bei Ihnen zu Hause haben darauf keinen Einfluss. Ein anderer Router macht die Einrichtung vielleicht bequemer, aber aus einer privaten Adresse wird dadurch keine öffentliche.

Warum funktioniert über mobiles Internet keine Weiterleitung? Eine Mobilfunkadresse ist fast immer privat und liegt hinter CGNAT. Portweiterleitung ist dort aus demselben Grund nutzlos wie bei jeder anderen privaten Adresse. Weiter hilft der Zugriff über Proxying.

Kurz gesagt: Klären Sie zuerst den Adresstyp, also ob die WAN-Adresse des Routers mit der externen übereinstimmt. Bei einer öffentlichen Adresse genügt Portweiterleitung, plus dynamisches DNS, falls sie sich ändert. Eine private Adresse macht Weiterleitung endgültig unmöglich. Dann bleibt nur, dem Provider eine öffentliche IP-Adresse abzuringen oder ohne sie auszukommen: mit einem eigenen Tunnel oder mit Proxying über unser Netz. Im mobilen Internet funktioniert wirklich nur die letzte dieser Möglichkeiten.