---
title: "Doppeltes NAT mit einem Mesh hinter dem Router des Anbieters: erkennen und beheben · Kilobat Anleitungen"
url: "https://kilobat.app/de/guides/double-nat-mesh"
description: "Ein Mesh-System hinter dem Router deines Anbieters kann doppeltes NAT erzeugen. Sieh, was es stört, wie du es von einem Mac aus erkennst und wann du den Bridge- oder Passthrough-Modus nutzt."
---

# Doppeltes NAT: ein Mesh-System hinter dem Router deines Anbieters

Wenn ein Mesh-System als Router hinter dem Router deines Anbieters läuft, übersetzen beide Geräte Adressen. Das ist doppeltes NAT. Das meiste Surfen funktioniert weiterhin, aber Portweiterleitung, manche Spiele und mancher Fernzugriff können fehlschlagen.

**Mit deinem Agenten beheben**Kopiert einen Prompt für Claude Code, Codex oder jeden Agenten, der das Terminal nutzen kann.

Mein Mac hat dieses Problem: Doppeltes NAT: ein Mesh-System hinter dem Router deines Anbieters. Lies https://kilobat.app/de/guides/double-nat-mesh.md und geh es mit mir durch. Installiere die Kilobat-CLI, falls sie fehlt: brew install seifip/kilobat/kilobat. Führe die Terminal- und kilobat-Checks aus der Anleitung selbst aus und sag mir, was du findest. Liste die Schritte auf, die nur ich erledigen kann. Frag nach, bevor du eine Einstellung änderst.

Gilt für: alle aktuellen macOS-Versionen. Die Router-Menüs stammen aus den Hilfeseiten der Hersteller und unterscheiden sich je nach Modell und Firmware. · Geprüft am 7. November 2026

## Symptome

- Die Mesh-App oder eine Spielkonsole warnt vor doppeltem NAT oder zeigt einen strikten oder moderaten NAT-Typ an.
- Portweiterleitung am Mesh-Router hat aus dem Internet keine Wirkung.
- UPnP öffnet Ports am Mesh, aber andere können sich weiterhin nicht mit deinem Spiel oder Server verbinden.
- Der Fernzugriff auf einen Mac, ein NAS oder eine Kamera zu Hause funktionierte nicht mehr, nachdem du das Mesh hinzugefügt hast.
- Ein VPN-Server zu Hause nimmt keine Verbindungen an.
- Geräte im WLAN des Anbieters sehen den Drucker oder Fernseher im Mesh-WLAN nicht.

## Mögliche Ursachen

- **Zwei Router machen NAT.** Der Router des Anbieters gibt dem Mesh eine private Adresse. Das Mesh gibt deinen Geräten dann private Adressen aus einem zweiten Bereich.
- **Portweiterleitungen enden am ersten Router.** Eingehende Verbindungen erreichen zuerst den Router des Anbieters. Eine Portweiterleitung oder UPnP-Zuordnung allein am Mesh kommt daran nicht vorbei.
- **Zwei getrennte lokale Netzwerke.** Geräte im WLAN des Anbieters und Geräte im Mesh-WLAN sind in unterschiedlichen Subnetzen. Die Bonjour-Erkennung kommt nicht von einem zum anderen.
- **Zwei DHCP-Server.** Apple empfiehlt, DHCP-Server und NAT nur auf einem Router zu betreiben. Laut Apple kann doppeltes NAT verhindern, dass Geräte manche Ressourcen erreichen.

## So prüfst du es

1. Finde den Router, den der Mac nutzt. Notiere die Adresse nach `gateway:`.

   ```
   route -n get default | grep gateway
   ```
2. Verfolge die ersten Hops ins Internet.

   ```
   traceroute -n -m 4 1.1.1.1
   ```

   Ausgabe Hop 1 ist dein Mesh-Router. Ist Hop 2 ebenfalls eine private Adresse, etwa 192.168.1.254 oder 10.0.0.1, gibt es zu Hause wahrscheinlich einen zweiten Router.
3. Öffne die Mesh-App. Suche die WAN- oder Internetadresse der Haupteinheit des Mesh.
4. Vergleiche sie mit den privaten Bereichen 10.x.x.x, 172.16–31.x.x und 192.168.x.x. Eine private WAN-Adresse bedeutet doppeltes NAT.
5. Eine Adresse von 100.64.0.0 bis 100.127.255.255 ist Carrier-Grade NAT beim Anbieter. Der Bridge-Modus zu Hause beseitigt es nicht.

## So behebst du es

1. Wähle einen Router, der NAT und DHCP übernimmt. Das andere Gerät darf nur Datenverkehr durchreichen oder WLAN bereitstellen.
2. Option 1: Versetze den Router des Anbieters in den Bridge-Modus. Das Mesh erhält dann die öffentliche Adresse und bleibt der Router.
3. Öffne bei einem Xfinity-Gateway das Admin Tool unter 10.0.0.1. Wähle Gateway > At a Glance und dann Enable neben Bridge Mode.
4. Xfinity sagt, dass der Bridge-Modus das eigene WLAN des Gateways, die xFi Pods und Xfinity CyberSecure ausschaltet.
5. Nutze bei einem AT&T-Gateway IP Passthrough. AT&T sagt, dass der Bridge-Modus bei seinen Gateways nicht möglich ist.
6. AT&T dokumentiert Firewall > IP Passthrough. Stelle Allocation Mode auf Passthrough und wähle DHCPS-fixed.
7. Gib die MAC-Adresse des Mesh-Routers als Passthrough Fixed MAC Address ein. Starte den Mesh-Router neu.
8. AT&T sagt, dass nur ein Gerät Passthrough nutzen kann. Die Firewall des Gateways schützt es dann nicht mehr.
9. Option 2: Versetze das Mesh in den Access-Point- oder Bridge-Modus. Der Router des Anbieters bleibt dann der einzige Router.
10. Schalte bei TP-Link Deco das Deco in den Access-Point-Modus. TP-Link sagt, dass sich dann mehrere Decos per Kabel verbinden können.
11. Öffne bei eero Settings > Advanced networking > DHCP & NAT. Ändere Automatic auf Bridge.
12. eero sagt, dass der Bridge-Modus eero-Plus-Funktionen wie Advanced security, Werbeblockierung und Inhaltsfilter ausschaltet.
13. Google sagt, dass der Bridge-Modus bei Nest Wifi nur mit einem einzelnen Wifi-Gerät funktioniert, nicht mit einem Mesh.
14. Für Nest Wifi empfiehlt Google den Bridge-Modus am Router des Anbieters oder den Wegfall dieses Routers, wenn das Modem separat ist.
15. Starte nach einer der beiden Änderungen das WLAN des Mac neu. Prüfe, ob in `traceroute` nur noch ein privater Hop übrig bleibt.
16. Wenn du doppeltes NAT beibehältst, richte Portweiterleitungen auf beiden Routern ein. Leite den Port zuerst an das Mesh weiter, dann an das Gerät.

Die genauen Menüs für deinen Router, von FRITZ!Box und Xfinity bis eero und Livebox: [Router-Anleitungen](https://kilobat.app/routers).

## Mit Kilobat

1. Verfolge die Route mit Kilobat. Zwei private Hops am Anfang bedeuten zwei Router zu Hause.

   ```
   kilobat trace 1.1.1.1
   ```
2. Zeigt, wo der Datenverkehr den Mac verlässt, und die öffentliche Adresse, die Cloudflare sieht.

   ```
   kilobat ip --public
   ```
3. Kilobat liest Routen und Adressen. Es kann keine Modi an deinem Router ändern.

## Fragen

**Macht doppeltes NAT mein Internet langsamer?**

Laut Google beeinträchtigt doppeltes NAT für die meisten die WLAN-Leistung nicht. Es spielt bei Online-Spielen, Portweiterleitung und UPnP eine Rolle.

**Was ist besser, der Bridge-Modus am Router des Anbieters oder am Mesh?**

Der Bridge-Modus am Router des Anbieters behält die Mesh-Funktionen wie Sicherheit, Filter und Portweiterleitung. Der Bridge-Modus am Mesh behält stattdessen die Funktionen des Anbieters.

**Warum zeigt mein Mesh nach IP Passthrough weiterhin eine private WAN-Adresse?**

Starte den Mesh-Router nach der Änderung neu, damit er eine neue Adresse anfordert. Prüfe, ob die MAC-Adresse im Gateway die des WAN-Ports des Mesh-Routers ist.

**Kann ich Carrier-Grade NAT mit dem Bridge-Modus beheben?**

Nein. Carrier-Grade NAT liegt im Netz des Anbieters. Bitte den Anbieter um eine öffentliche IPv4-Adresse oder nutze IPv6, wo es funktioniert.

## Quellen

- [Apple Support: Empfohlene Einstellungen für WLAN-Router und -Zugangspunkte](https://support.apple.com/en-us/102766)
- [Google Nest Help: Fix Double NAT when two routers run at the same time](https://support.google.com/googlehome/answer/6277579?hl=en)
- [TP-Link: Deco with Existing Router: Router Mode and Access Point Mode](https://www.tp-link.com/us/support/faq/1432/)
- [eero Support: What is bridge mode?](https://eero.com/support/articles/what-is-bridge-mode)
- [Xfinity: Use Bridge Mode on your wireless gateway](https://www.xfinity.com/support/articles/wireless-gateway-enable-disable-bridge-mode)
- [AT&T Business Support: Configuring IP Passthrough and DMZplus](https://www.att.com/support/smallbusiness/article/internet/KM1188700/)
- traceroute(8) und route(8), mit macOS 27.2 installierte Man-Pages

Geprüft am 7. November 2026.

## Verwandte Anleitungen

- [Mit traceroute finden, wo eine Verbindung langsam wird](https://kilobat.app/de/guides/traceroute-mac): traceroute zeigt jeden Router auf dem Weg von deinem Mac zu einem Host und wie lange jeder für die Antwort braucht.
- [Mac hat eine selbst zugewiesene IP-Adresse](https://kilobat.app/de/guides/self-assigned-ip-address): Bekommt der Mac keine Antwort von einem DHCP-Server, gibt er sich selbst eine link-lokale Adresse aus 169.254.0.0/16.
- [VPN verbunden, aber kein Internet auf dem Mac](https://kilobat.app/de/guides/vpn-connected-no-internet): Ein VPN leitet den Datenverkehr durch einen Tunnel.
- [Chromecast, AirPlay-TV oder Drucker erscheint nicht auf dem Mac](https://kilobat.app/de/guides/casting-printer-not-showing-mac): Chromecast, AirPlay und AirPrint finden Geräte über Bonjour-Nachrichten im lokalen Netzwerk.
- [AirPlay oder AirPrint funktioniert nach einem neuen Router oder Mesh nicht mehr](https://kilobat.app/de/guides/airplay-airprint-mesh-router): AirPlay und AirPrint finden Geräte per Bonjour, das Multicast im lokalen Netzwerk nutzt.