NAT Troubleshooting: Warum funktioniert der Internetzugang nicht?

Red Snapper

3 weeks ago

Wenn der Internetzugang über einen Cisco Router nicht funktioniert, ist NAT (PAT/Overload) oft der Verdacht – aber die Ursache liegt häufig in einer der Voraussetzungen: falsches Default Gateway, vertauschte Inside/Outside-Zonen, ACL matcht nicht oder der Upstream routet nicht zurück. Mit einer strukturierten NAT-Troubleshooting-Checkliste findest du schnell heraus, ob NAT wirklich das Problem ist oder ob Routing/ACL/DNS dahintersteckt.

Grundregel: Erst Routing prüfen, dann NAT

NAT löst keine Connectivity-Probleme. Wenn der Router selbst nicht ins Internet kommt oder keine Default Route hat, kann NAT noch so korrekt sein – Clients bleiben offline. Prüfe daher immer zuerst: Interface up, Default Route, Next-Hop erreichbar.

Router-Connectivity (Outside) prüfen

Router# show ip interface brief
Router# show ip route | include Gateway|0.0.0.0
Router# ping 203.0.113.1
Router# traceroute 8.8.8.8

Schritt 1: Inside/Outside-Zonen kontrollieren (häufigster NAT-Fehler)

Wenn ip nat inside und ip nat outside fehlen oder vertauscht sind, entstehen keine korrekten Translations. Prüfe die Interface-Konfiguration explizit.

Router# show running-config interface gigabitEthernet0/0
Router# show running-config interface gigabitEthernet0/1
Router# show ip interface brief

Fix-Muster: Zonen korrekt setzen

Router# configure terminal
Router(config)# interface gigabitEthernet0/0
Router(config-if)# ip nat inside
Router(config-if)# exit
Router(config)# interface gigabitEthernet0/1
Router(config-if)# ip nat outside
Router(config-if)# end

Schritt 2: NAT-Regel prüfen (Overload/Static korrekt?)

Als Nächstes prüfst du, ob die NAT-Regel überhaupt vorhanden ist und auf die richtige ACL bzw. das richtige Outside-Interface zeigt. Ein Tippfehler im Interface-Namen oder in der ACL ist ein Klassiker.

Router# show running-config | include ^ip nat
Router# show running-config | section ip nat

Typisches PAT-Pattern (zur Orientierung)

ip nat inside source list NAT_INSIDE interface gigabitEthernet0/1 overload

Schritt 3: ACL matcht nicht – keine Translations entstehen

Bei PAT entscheidet die ACL, welche Inside-Hosts übersetzt werden. Wenn die ACL das falsche Netz hat oder die Wildcard nicht passt, gibt es keine Treffer und damit keine NAT-Translations.

ACL und Trefferzähler prüfen

Router# show access-lists
Router# show ip access-lists
Router# show running-config | section ip access-list

Fix-Beispiel: Standard ACL für 192.168.10.0/24

Router# configure terminal
Router(config)# ip access-list standard NAT_INSIDE
Router(config-std-nacl)# no permit any
Router(config-std-nacl)# permit 192.168.10.0 0.0.0.255
Router(config-std-nacl)# end

Schritt 4: Translation-Tabelle lesen – ist NAT überhaupt aktiv?

Ohne Traffic ist die NAT-Translation-Tabelle oft leer. Erzeuge deshalb gezielt Traffic von einem Client und prüfe dann die Translations. Bei PAT solltest du Einträge mit Ports sehen.

NAT-Translations und Statistik prüfen

Router# show ip nat translations
Router# show ip nat statistics

Gezielt Traffic erzeugen und erneut prüfen

Router# clear ip nat translation *
Router# show ip nat translations

Schritt 5: Default Route und Rückweg – häufig nicht „NAT“, sondern Routing

Wenn Translations entstehen, aber Verbindungen trotzdem scheitern, ist häufig der Rückweg das Problem: der Provider routet nicht korrekt oder es fehlt die Default Route. Auch falsche Next-Hop-IPs verursachen Blackholes.

Default Route und Next-Hop prüfen

Router# show ip route 0.0.0.0
Router# show ip route | include Gateway|0.0.0.0
Router# ping 203.0.113.1

Hinweis zur Provider-Seite

Wenn du einen Public-IP-Pool nutzt oder Static NAT betreibst, muss der Provider diese Public-IPs zu deinem Router routen. Sonst kann eingehender Traffic nie ankommen.

Schritt 6: DNS ist kaputt – Internet wirkt „down“, aber IP geht

Viele Tickets sind DNS-Probleme. Prüfe daher: funktioniert Ping zu einer IP, aber kein Name? Dann ist DNS/Forwarding das Thema, nicht NAT.

Test: IP vs. DNS

Client$ ping 1.1.1.1
Client$ nslookup example.com

Router-DNS (falls Router als DNS-Proxy genutzt wird)

Router# show running-config | include ip name-server|ip domain-lookup

Schritt 7: ACLs/Firewall blockieren den Traffic (Inside oder Outside)

NAT kann korrekt sein, aber eine ACL blockiert den Traffic. Prüfe insbesondere ACLs am Outside-Interface (in/out) sowie ggf. Zone-Based Firewall/CBAC.

Interface-ACLs prüfen

Router# show ip interface gigabitEthernet0/0
Router# show ip interface gigabitEthernet0/1
Router# show running-config | include access-group
Router# show access-lists

Schritt 8: NAT Overload auf falsches Interface gebunden

Wenn du PAT über die Interface-IP machst, muss das Interface exakt das Outside-Interface sein, dessen IP öffentlich ist. Bei falschem Interface entstehen entweder keine Translations oder es wird auf eine falsche/Private IP übersetzt.

NAT-Regel gegen Interfaces gegenprüfen

Router# show running-config | include ip nat inside source
Router# show ip interface brief

Schritt 9: Doppeltes NAT oder asymmetrische Pfade

In komplexeren Umgebungen (z. B. Router + Firewall + Provider-CPE) kann doppeltes NAT auftreten. Ebenso können asymmetrische Pfade bei Dual-WAN/NAT zu Session-Problemen führen, weil Rückverkehr anders zurückkommt.

Doppel-NAT: Übersetzungen an mehreren Stellen
Asymmetrie: Outbound über Link A, Rückweg über Link B
Stateful Devices (Firewall) brechen Sessions bei Asymmetrie

Indiz: Translations da, aber Sessions brechen

Router# show ip nat translations
Router# show ip nat statistics
Router# traceroute 8.8.8.8

Schritt 10: Debug NAT – gezielt und kurz verwenden

Wenn du alles geprüft hast und es bleibt unklar, kann Debug helfen. Nutze Debugs kontrolliert, da sie CPU-lastig sein können. Danach immer wieder abschalten.

Debug sicher nutzen

Router# terminal monitor
Router# debug ip nat
Router# undebug all

Copy & Paste: NAT Troubleshooting Checkliste

Diese Checkliste deckt die häufigsten Ursachen ab: Routing, Zonen, Regeln, ACL-Matches, Translations, ACLs/Firewall, DNS.

show ip interface brief
show ip route | include Gateway|0.0.0.0
ping 203.0.113.1
traceroute 8.8.8.8
show running-config | include ^ip nat
show running-config interface gigabitEthernet0/0
show running-config interface gigabitEthernet0/1
show access-lists
show ip nat translations
show ip nat statistics
clear ip nat translation *
show ip nat translations
show ip interface gigabitEthernet0/0
show ip interface gigabitEthernet0/1
show logging

Konfiguration speichern (nach erfolgreichem Fix)

Wenn Clients wieder stabil ins Internet kommen und NAT-Translations korrekt erscheinen, speichere die Konfiguration.

Router# copy running-config startup-config

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Switching: VLANs, Trunking (802.1Q), Port-Zuweisung, STP-Basics (PortFast/BPDU Guard wo sinnvoll)
Routing: Default/Static Routing oder OSPF, Inter-VLAN Routing (Router-on-a-Stick)
Services: DHCP (Pools/Scopes), NAT/PAT für Internet-Simulation
Optional Security: Basic ACLs und SSH-Hardening
Test & Verifikation: Ping/Traceroute + wichtige Show-Commands (mit erwarteten Ergebnissen)

Sie erhalten

✅ Packet Tracer .pkt Datei
✅ Saubere Konfigurations-Notizen pro Gerät
✅ Verifikations-Checkliste + erwartete Outputs
✅ Kurze Dokumentation (wie die Topologie funktioniert)

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.