Funktioniert Immich zuverlässig hinter CGNAT oder Double NAT?

Eva Wong

IceWhale author

Eva Wong ist die Technische Redakteurin und und leidenschaftliche Tüftlerin bei ZimaSpace. Eine lebenslange Geek mit einer Leidenschaft für Homelabs und Open-Source-Software, sie spezialisiert sich darauf, komplexe technische Konzepte in zugängliche, praktische Anleitungenzu übersetzen. Eva ist der Meinung, dass Self-Hosting Spaß machen und nicht einschüchternd sein sollte. Durch ihre Tutorials befähigt sie die Community, Hardware-Setups zu entmystifizieren, vom Bau ihres ersten NAS bis hin zur Beherrschung von Docker-Containern.

Does Immich Work Reliably Behind CGNAT or Double NAT?

Ja, Immich kann zuverlässig hinter CGNAT oder doppeltem NAT laufen, da diese Netzwerkschichten hauptsächlich beeinflussen, wie Remote-Clients den Server erreichen, und nicht die lokale Verarbeitung durch Immich.

Schwierig wird es, wenn eine Familie erwartet, dass unaufgeforderte eingehende IPv4-Verbindungen einen Heimserver erreichen, der die äußere Adressübersetzung nicht kontrolliert. Doppeltes NAT kann weiterhin handhabbar sein, wenn beide Router unter Ihrer Kontrolle stehen. Bei CGNAT findet die äußere Übersetzung normalerweise beim ISP statt, sodass eine einfache Portweiterleitung am Heimrouter nicht denselben direkten öffentlichen Pfad herstellen kann.

Der lokale Immich-Betrieb hängt nicht von öffentlicher Erreichbarkeit ab

Telefone und Browser im selben Heimnetz können den Immich-Server über private Adressen erreichen, ohne eine öffentliche Portzuordnung. Uploads, das Durchsuchen, Datenbankaufgaben, Vorschaubilder und lokales maschinelles Lernen können daher weiterhin problemlos funktionieren, selbst wenn der ISP dem Haushalt keine direkt erreichbare öffentliche IPv4-Adresse zuweist.

Dieser Unterschied zeigt sich in Community-Fragen zu Immich hinter CGNAT: Nutzer berichten häufig von einer funktionierenden lokalen Bereitstellung und stoßen erst beim Einrichten des Fernzugriffs auf die Einschränkung. CGNAT ist somit eine Bedingung für die Erreichbarkeit, nicht für die Anwendung oder den Speicher.

Wenn Immich auch im LAN ausfällt, ist CGNAT nicht die wahrscheinlichste Erklärung. Prüfen Sie zunächst lokales DNS, die Containervernetzung, die Serververfügbarkeit, den Speicher oder die Authentifizierung, bevor Sie den öffentlichen Zugriffsweg neu entwerfen.

Doppeltes NAT und CGNAT schaffen unterschiedliche Kontrollgrenzen

Bei doppeltem NAT innerhalb eines Heimnetzes kann ein Administrator beide Übersetzungsebenen kontrollieren, etwa ein ISP-Gateway und einen persönlichen Router. Ein direkter eingehender Weg lässt sich manchmal einrichten, indem Weiterleitungen über beide Ebenen konfiguriert oder die Topologie geändert wird. Entscheidend ist, ob die äußere Zuordnung unter der Kontrolle des Haushalts steht.

Tailscales Artikel über schwierigen NAT-Traversal erklärt, warum mehrere NAT-Ebenen und Carrier-Grade-Gateways die Wahrscheinlichkeit direkter Peer-to-Peer-Verbindungen verringern. Je restriktiver die Zuordnungen sind, desto wahrscheinlicher benötigt ein Traversal-System ein Relay als Ausweichlösung.

Ordnen Sie nicht jede WAN-Adresse, die privat aussieht, demselben Problem zu, ohne die Topologie zu prüfen. IPv6, vom ISP bereitgestellte öffentliche Optionen, der Bridge-Modus und unterschiedliche Upstream-Architekturen können die verfügbaren Wege verändern, selbst wenn die Anzeige des Heimrouters ähnlich aussieht.

Overlay-Netzwerke können die Erreichbarkeit ohne Portweiterleitung wiederherstellen

Ein privates Overlay kann es sowohl dem Remote-Client als auch dem Heimserver ermöglichen, ausgehende Verbindungen aufzubauen und anschließend zu versuchen, einen verschlüsselten Peer-to-Peer-Pfad herzustellen. Wenn der direkte Traversal erfolgreich ist, können die Daten fließen, ohne den Immich-Dienst als normalen öffentlichen Port am Heimrouter bereitzustellen.

Die ausführlichere Erklärung von Overlay-Konnektivität beschreibt NAT-Traversal sowie ein verschlüsseltes Relay als Ausweichlösung, wenn kein direkter Pfad hergestellt werden kann. Deshalb kann ein Immich-Haushalt hinter CGNAT weiterhin Fernzugriff erhalten, obwohl gewöhnliche eingehende IPv4-Weiterleitungen nicht verfügbar sind.

Der Nachteil besteht in der Abhängigkeit von Client und Identität: Autorisierte Remote-Geräte benötigen Zugriff auf das Overlay, und der Pfad kann sich von einem öffentlichen Reverse-Proxy unterscheiden, den Gäste ausschließlich über den Browser nutzen. Zur Zuverlässigkeit gehört daher auch, wie Familienmitglieder tatsächlich eine Verbindung herstellen, nicht nur, ob das Smartphone eines Administrators funktioniert.

-15% OFF

ZimaBoard 2 – Mini-Heimserver für Ihre große Idee

Single board computer zimaboard2

Ein Relay als Ausweichlösung erhält den Zugriff, kann aber die Leistung verändern

Ein Relay-Pfad kann den Dienst erreichbar halten, wenn schwieriges NAT oder Firewall-Regeln direkte UDP-Verbindungen verhindern. Damit ist das grundsätzliche Zugriffsproblem gelöst, aber der zusätzliche Zwischenweg kann die Latenz erhöhen oder den Durchsatz verringern, was bei großen Foto-Uploads und dem Remote-Durchsuchen hochauflösender Inhalte relevant ist.

Ein Bericht aus dem Jahr 2026 über Relay-Leistung zeigt einen Fall, in dem eine weit entfernte DERP-Route Hunderte Millisekunden zusätzliche Verzögerung verursachte, bis eine bessere Relay-Architektur eingesetzt wurde. Betrachten Sie das Ausmaß als spezifisch für den dort beschriebenen Pfad, behalten Sie jedoch den allgemeinen Mechanismus von direkten und Relay-Verbindungen im Blick.

Hier liegt die Grenze der einfachen Aussage „Tailscale behebt CGNAT“. Es kann die Konnektivität wiederherstellen, garantiert aber nicht dieselbe Leistung wie ein direktes LAN oder eine direkte Peer-Verbindung. Prüfen Sie den tatsächlichen Pfad, bevor Sie langsames Verhalten von Immich der Anwendung zuschreiben.

Erreichbarkeit und Pfad als getrennte Tests überprüfen

Testen Sie Immich zunächst lokal bei getrennter WAN-Verbindung; innerhalb des Heimnetzes sollte es weiterhin nutzbar sein. Testen Sie anschließend die gewählte Remote-Methode über das Mobilfunknetz oder ein anderes externes Netzwerk. Prüfen Sie schließlich, ob die Remote-Verbindung direkt oder über ein Relay erfolgt, und vergleichen Sie Uploads, das Öffnen von Vorschaubildern und eine bekannte Suche mit dem LAN-Ausgangswert.

ZimaSpaces Erläuterung zu CGNAT und doppeltem NAT wendet dasselbe Prinzip der Netzwerkschicht auf einen anderen selbst gehosteten Dienst an: Die Anwendung kann lokal zuverlässig bleiben, während der Remote-Zugriffsweg eine separate Planung erfordert.

Akzeptieren Sie die Architektur, wenn die lokale Nutzung auch bei einem Internetausfall funktioniert, die Remote-Authentifizierung bewusst eingerichtet ist und die Remote-Route das gewünschte Latenz- und Durchsatzziel des Haushalts erfüllt. Wenn der Zugriff nur über ein unerwartet langsames Relay funktioniert, betrachten Sie das als Problem der Pfadqualität und nicht als Beweis dafür, dass Immich hinter NAT grundsätzlich unzuverlässig ist.