NAT oder eigene IPv4: Was ein weitergeleiteter Port kann und was nicht

Was NAT bedeutet, merken die meisten etwa zehn Minuten nach dem Kauf. Nginx startet, curl localhost liefert die Seite, und der Browser auf dem Laptop dreht sich einfach im Kreis. Kaputt ist nichts. Der Server hat nur keine eigene öffentliche IPv4, und seine einzige Eingangstür ist ein weitergeleiteter Port für SSH.

Diese eine Tür reicht für erstaunlich viel Arbeit und für einige sehr gängige Dinge überhaupt nicht. Wenn Sie noch zwischen den beiden Tarifarten wählen, stellt unser älterer Beitrag Dedizierte IP oder NAT-VPS die eine Frage, die das klärt. Hier geht es darum, mit der Antwort zu leben: was ein NAT-Server in der Praxis kann, wo er an eine Wand stößt und wie Sie herauskommen, wenn Sie ihm entwachsen.

Was Sie tatsächlich bekommen

Ein NAT-Server hat eine private Adresse hinter unserem Gateway. Das Dashboard zeigt einen Host und einen persönlichen Port, und Sie verbinden sich so:

ssh -p 20123 root@host

Dieser Port führt auf Port 22 in Ihrem Server. Alle anderen eingehenden IPv4-Ports sind von außen geschlossen, und weitere lassen sich nicht weiterleiten. Ausgehend sieht es anders aus: Der Server erreicht alles im Internet außer den SMTP-Ports 25 und 465, die auf jedem Tarif geschlossen sind, NAT oder nicht. Die vollständigen Regeln stehen unter Netzwerk & Ports.

Noch ein Detail, das für manche zählt: Die ausgehende Adresse ist nicht Ihre eigene. Der Traffic verlässt den Server über eine Adresse, die Sie nicht kontrollieren, daher können Sie dafür kein Reverse DNS setzen und keine Absenderreputation aufbauen.

Was hinter einem Port problemlos läuft

Alles, was das Gespräch selbst beginnt. Die Kategorie ist größer, als sie klingt:

• Bots, die abfragen. Ein Telegram-Bot mit Long Polling, ein Discord-Bot über seine Gateway-Verbindung, ein Trading-Bot, der mit einer Börsen-API spricht. Alles ausgehend.
• KI-Agenten. Ein Agent, der Modell-APIs aufruft, im Web liest, Dateien schreibt und Code ausführt, braucht niemanden, der ihn anruft. Er braucht CPU, Speicher und eine Verbindung nach außen.
• Worker und Scraper. Alles, was Jobs aus einer Queue holt, Seiten crawlt oder nach Zeitplan Daten synchronisiert.
• Build-Maschinen und Runner. CI-Runner melden sich in der Regel selbst beim Server an und holen Arbeit ab, damit sind sie auf NAT zufrieden.

Für diese Last reicht der günstigste Tarif ehrlich gesagt. Nano kostet $3 im Monat für 2 vCPU, 1 GB RAM und 15 GB Festplatte; Small $8 für 4 vCPU, 4 GB und 35 GB. Die vollständige Liste steht auf einer eigenen Seite zu NAT-Tarifen.

Wo ein Port nicht reicht

Die Wand ist alles, bei dem jemand anderes die Verbindung beginnen muss.

Die Website ist das offensichtliche Beispiel. Browser verbinden sich mit Port 443 (und 80 für die Weiterleitung), und auf einem NAT-Tarif gibt es diese Ports von außen nicht. Auf einem nicht standardmäßigen Port geht es auch nicht, zumindest nicht so, dass Besucher es akzeptieren.

Eine eigene Domain mit HTTPS stößt gleich zweimal an dieselbe Wand. Sie können einen DNS-Eintrag auf die Adresse des Gateways zeigen lassen, aber außer Ihrem SSH-Port wird nichts, was dort ankommt, an Ihren Server weitergeleitet. Und der übliche Weg zu einem kostenlosen Zertifikat prüft Ihren Server auf Port 80 oder 443.

Webhooks scheitern leise. Zahlungsbenachrichtigungen, eine Bot-Plattform, die Updates schickt, ein Git-Server, der einen neuen Commit meldet: Sie alle müssen Sie erreichen. Der Bot, der mit Long Polling bestens lief, hört genau in dem Moment auf zu funktionieren, in dem Sie ihn auf Webhooks umstellen.

VPN-Endpunkte, Gameserver und Mailserver brauchen per Definition eingehende Ports. Ebenso alles, was Sie einem Kollegen im Browser öffnen möchten.

Die Umwege, ehrlich bewertet

IPv6. Neue Linux-Server bekommen eine öffentliche IPv6-Adresse, und auf NAT-Tarifen erreicht sie den Server direkt, auf jedem Port. Wenn alle Clients Ihres Dienstes Ihre eigenen sind (Ihr Laptop, Ihre anderen Server, ein Monitoring mit IPv6), funktioniert das gut. Für eine öffentliche Website nicht: Ein Teil der Besucher sitzt immer noch in Netzen ohne IPv6 und lädt die Seite schlicht nie. Windows-Tarife haben vorerst nur IPv4.

Ein Tunnel. Sie können einen kleinen Agenten laufen lassen, der eine ausgehende Verbindung zu einem Relay anderswo hält, das öffentlichen Traffic durch den Tunnel zurückschickt. Das funktioniert, und für eine Demo oder ein internes Dashboard ist es vernünftig. Für alles Wichtige haben Sie aber einen Dritten in die Mitte jeder Anfrage gesetzt, plus ein weiteres Teil, das um drei Uhr nachts kaputtgehen kann.

Ein SSH-Tunnel für Sie selbst. Wenn nur Sie das Admin-Panel brauchen, stellen Sie es gar nicht ins Netz. Leiten Sie es über den SSH-Port weiter, den Sie schon haben:

ssh -p 20123 -L 8080:localhost:8080 root@host

Dann öffnen Sie http://localhost:8080 auf Ihrem Rechner. Das ist der am meisten unterschätzte Trick auf einem NAT-Server, und sicherer, als das Panel ins Internet zu stellen, ist er obendrein.

Meine ehrliche Einschätzung: IPv6 und SSH-Tunnel sind gute Werkzeuge. Ein dauerhafter öffentlicher Dienst, der nur deshalb durch einen Tunnel läuft, weil der Server keine IPv4 hat, ist meist ein Zeichen, dass Sie NAT entwachsen sind.

Ohne Neuinstallation zur eigenen IPv4

Sie müssen nichts neu aufbauen. Öffnen Sie den Server im Dashboard, wählen Sie „Tarif wechseln“ und einen Tarif mit dedizierter IP in gleicher oder größerer Größe. Der Server startet einmal neu und kommt mit eigener öffentlicher IPv4, seiner Festplatte und allem, was Sie installiert haben, zurück. Die Ports 80, 443 und alles, was Sie in der Firewall öffnen, werden erreichbar, und SSH wandert auf den normalen Port 22. Die Details stehen unter Tarif wechseln.

Ein paar Dinge sollten Sie vor dem Klick wissen:

• Sie zahlen die anteilige Differenz für den Rest des aktuellen Zeitraums, vom Guthaben. Nano-IP kostet $8 im Monat gegenüber $3 für Nano; Small-IP $16 gegenüber $8.
• Es braucht eine freie Adresse am Standort Ihres Servers. Gibt es gerade keine, sagt das Dashboard es, bevor etwas abgebucht wird.
• Wenn Sie die Netzwerkkonfiguration im Server von Hand geändert haben, prüfen Sie sie nach dem Neustart. Auf einem Standard-Image wird sie automatisch übernommen.
• Machen Sie vorher ein Backup. Es ist nur ein Neustart, aber es sind trotzdem Ihre Daten.

Wo NAT nicht passt, und wo IPv4 auch nicht

NAT ist die falsche Wahl für alles Öffentliche, für alles, was Webhooks empfängt, und für alles, was eine feste Adresse braucht, die jemand auf eine Allowlist setzt. Verbringen Sie keine Tage damit, das zu umgehen. Der Preisunterschied zwischen Nano und Nano-IP beträgt $5 im Monat.

Aber eine dedizierte IPv4 ist auch keine Zauberei. Sie bringt eine Website, die Rechenzentrumsadressen blockiert, nicht dazu, Sie hereinzulassen, und sie rettet keinen Scraper vor Rate-Limits, denn diese Entscheidungen hängen am Netz, in dem Sie sich befinden, nicht daran, wer die Adresse sonst nutzt. Und wenn Ihr ganzes Projekt aus ein paar Bots und einem Agenten besteht, ist eine IPv4, auf der nie eine Verbindung ankommt, rausgeworfenes Geld.

Wenn Sie ohnehin einen Umzug auf ein größeres Setup planen, beschreibt VPS ohne Ausfallzeit umziehen die Reihenfolge, und VPS-Spezifikationen richtig lesen hilft beim Vergleich von Tarifen.