Server mit Starlink ohne öffentliche IPv4-Adresse betreiben?

Vor der ersten öffentlichen Adresse kommt eine private Adresse im Netz von Starlink

Dieser Trace lief im Oktober 2026 auf einem Computer im Heimnetz. Es war der zweite von zwei Läufen am selben Tag, und der zweite Hop blieb in beiden stumm.

tracepath -n -m 8 1.1.1.1

Die Ausgabe, abgetippt, mit einer Bezeichnung (auf Englisch) anstelle jeder Adresse:

 1?: [LOCALHOST]                                    pmtu 1500
 1:  home router                                    1.998ms
 1:  home router                                    1.792ms
 2:  no reply
 3:  private address (RFC 1918), Starlink's side   34.218ms
 4:  public address, SpaceX (AS14593)              35.767ms (router returned corrupted payload) asymm 7
 5:  public address, SpaceX (AS14593)              36.125ms
 6:  public address, owner not checked             35.623ms asymm 7
 7:  public address, Cloudflare                    44.837ms
 8:  public address, Cloudflare                    36.379ms asymm 9
     Too many hops: pmtu 1500

Hop 1 ist der Heimrouter. Hop 2 schickte nichts zurück. Hop 3 ist eine private Adresse im Netz von Starlink, und die erste öffentliche Adresse ist Hop 4, im Netz von SpaceX.

RFC 1918 reserviert private Adressblöcke für die Nutzung innerhalb eines Netzes. Diese Adressen „have no global meaning“, haben also außerhalb ihres Netzes keine Bedeutung, und Routen zu ihnen dürfen nicht von einem Netz an ein anderes weitergegeben werden (Abschnitt 3, abgerufen im Oktober 2026). Hop 3 bedeutet nur innerhalb des Netzes von Starlink etwas. Ein privater Hop vor dem ersten öffentlichen: So sieht CGNAT von innen, aus dem Haus heraus, aus.

RFC 6598 reserviert 100.64.0.0/10 als „Shared Address Space“ für Carrier-Grade NAT und sieht vor, dass Anbieter die Verbindungen zwischen ihren Carrier-Grade-NAT-Geräten und den Geräten bei ihren Kunden aus diesem Block nummerieren (Zusammenfassung sowie Abschnitte 1 und 7, abgerufen im Oktober 2026). Wenn der Heimrouter das Gerät auf dieser Verbindung ist, würde eine Adresse aus diesem Block am Hop direkt nach ihm auftauchen. Das ist Hop 2, der nicht geantwortet hat.

Unter CGNAT kann eine Portfreigabe allein auf deinem Router keine Verbindungen empfangen, die an die öffentliche IPv4-Adresse gehen. RFC 6888 beschreibt ein Carrier-Grade NAT als Funktion im Netz des Anbieters, die eine IPv4-Adresse unter mehreren Kunden aufteilt. Kunden haben darüber „limited or no control“, also wenig oder keine Kontrolle, während sie über ein NAT bei sich vor Ort „typically have full control“, in der Regel also volle Kontrolle (Abschnitt 2, abgerufen im Oktober 2026). Eine Portfreigabe ist eine Einstellung dieser zweiten Art von NAT.

Von einem VPS aus antwortete keiner von 8 Ports an der öffentlichen IPv4-Adresse

Diesen Test habe ich im Oktober 2026 mitverfolgt; er lief auf einem VPS, einem Cloud-Server statt meiner eigenen Hardware. Ein Skript dort versuchte je eine TCP-Verbindung zu 8 Ports an der öffentlichen IPv4-Adresse des Anschlusses zu Hause, darunter 22, 80 und 443, und gab jedem 6 Sekunden für eine Antwort. Für diesen Test war keine Portfreigabe eingerichtet. Vor den Ports zu Hause prüfte sich das Skript an Zielen mit bekannter Antwort.

Der Lauf dauerte 56 Sekunden. Der leere Port und die 8 Ports zu Hause, insgesamt neun Prüfungen, warteten jeweils die vollen 6 Sekunden: zusammen 54 der 56. Jedes „keine Antwort“ war echtes Warten, kein schnelles Scheitern des Werkzeugs.

Port 25 lief in einen Timeout, 587 kam durch

Im Oktober 2026 versuchte ein Computer im Heimnetz TCP-Verbindungen über IPv4 zu portquiz.net, einem öffentlichen Server, der für Port-Tests eingerichtet ist. Seine Startseite sagt, er „listens on all TCP ports, allowing you to test any outbound TCP port“: Er lauscht auf allen TCP-Ports, damit man jeden ausgehenden TCP-Port testen kann (abgerufen im Oktober 2026). Jede Verbindung hatte einen Timeout von 10 Sekunden. Der Durchlauf nutzte /dev/tcp von bash, und 25 und 445 wurden noch einmal mit Pythons socket.create_connection und timeout=10 versucht.

Beide Ports für die Mail-Einlieferung, 465 und 587, kamen durch. Port 25 und Port 445 nicht.

Noch nicht getestet

• Warum Hop 2 nicht antwortet. Ein Trace, in dem er antwortet, würde zeigen, was direkt nach dem Heimrouter kommt, und eine Adresse aus 100.64.0.0/10 an dieser Stelle ist genau das, wofür RFC 6598 diesen Block reserviert.
• Wo 25 und 445 verworfen werden. Dafür braucht es denselben Test aus einem anderen Netz.
• Eingehendes IPv6. Nichts auf dieser Seite zeigt, ob eine Verbindung über IPv6 einen Server zu Hause erreichen kann.

Starlinks Hilfeseite What IP address does Starlink provide? beschreibt seine Standardrichtlinie für IPv4 allgemein: Die Standardkonfiguration für IPv4 „uses Carrier-Grade Network Address Translation (CGNAT) using private address space from the 100.64.0.0/10 prefix“, nutzt also CGNAT mit privatem Adressraum aus dem Präfix 100.64.0.0/10, und diese Richtlinie „does not allow inbound traffic“, lässt also keinen eingehenden Datenverkehr zu. Dieselbe Seite sagt, Kunden, die eingehenden Datenverkehr brauchen, „should consider using a third-party router, and if IPv4 inbound traffic is needed, a Starlink service plan with the public IPv4 option“, sollten also einen Router eines Drittanbieters in Betracht ziehen und, wenn eingehender IPv4-Verkehr nötig ist, einen Starlink-Tarif mit der Option einer öffentlichen IPv4-Adresse, die eine Option der Priority-Tarife ist (abgerufen im Oktober 2026). Das ist Starlinks Aussage über seinen Dienst, kein Ergebnis des Trace auf dieser Seite, und diese Seite testet keinen der beiden Wege. Was jeder Weg mit sich bringt, steht auf der Seite zum Wechsel weg vom Festnetz.

Ein Weg, eine fehlende öffentliche IPv4-Adresse zu umgehen, ist eine Verbindung, die in deinem eigenen Netz beginnt. Cloudflares Dokumentation zu Cloudflare Tunnel sagt, dass sein Connector, cloudflared, nur ausgehende Verbindungen zum Netz von Cloudflare aufbaut, sodass ein Server über Cloudflare Datenverkehr ausliefern kann, ohne eine öffentlich routbare IP-Adresse zu haben (Seite zuletzt aktualisiert im August 2026, abgerufen im Oktober 2026). Diese Seite testet das nicht.

Was diese Ergebnisse bedeuten, wenn du einen Anschluss für ein Homelab suchst, steht im Homelab-Urteil.