WinServer2025 - NAT und IP-Routing einrichten und konfigurieren

In dieser Anleitung wird ein Windows Server 2025 als Router und NAT-Gateway eingerichtet. Der Server empfängt Pakete aus dem internen Netzwerk, leitet sie über die Internet-Schnittstelle weiter und übersetzt private IP-Adressen in eine externe Adresse. So erhalten Clients im Intranet Zugriff auf das Internet.

Ziel der Anleitung: IP-Weiterleitung im Windows-Kernel aktivieren, RRAS mit NAT konfigurieren, alternativ NAT per PowerShell einrichten, die Firewall anpassen und die Funktion sauber testen.

1. Voraussetzungen prüfen

Bevor die Konfiguration beginnt, sollte der Server bereits über zwei korrekt eingerichtete Netzwerkkarten verfügen.

Komponente Beispiel Zweck
NIC-INTRANET 192.168.100.10/24 oder 192.168.100.1/24 Verbindung zum internen Netzwerk der Clients
NIC-INTERNET IP per DHCP oder feste externe Adresse Verbindung ins Internet oder zum Upstream-Router
Client-Gateway IP der NIC-INTRANET des Servers Standardgateway für alle internen Clients
Info: NAT sorgt dafür, dass viele interne Clients mit privaten Adressen wie 192.168.100.x über eine einzige externe IP-Adresse mit dem Internet kommunizieren können. Nach außen sichtbar ist dabei immer die IP der NIC-INTERNET des Servers.

2. IP-Routing im Windows-Kernel aktivieren

Damit Windows Pakete zwischen beiden Netzwerkkarten weiterleiten kann, muss die IP-Weiterleitung aktiviert werden.

2.1 Vorgehen über die Oberfläche

  1. Öffnen Sie den Registrierungs-Editor mit regedit.
  2. Navigieren Sie zu HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters.
  3. Setzen Sie den DWORD-Wert IPEnableRouter auf 1.

2.2 PowerShell

# IP-Weiterleitung dauerhaft aktivieren
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters' `
-Name 'IPEnableRouter' -Value 1 -Type DWord

# Sofort wirksam auf den Interfaces aktivieren
Set-NetIPInterface -Forwarding Enabled

# Status prüfen
Get-NetIPInterface | Select-Object InterfaceAlias, AddressFamily, Forwarding | Format-Table -AutoSize
Wichtig: Der Registry-Wert aktiviert die Routing-Funktion dauerhaft. Je nach Systemzustand ist zusätzlich ein Neustart sinnvoll, damit alle Komponenten die Änderung sauber übernehmen.

3. RRAS-Rolle installieren

Für die klassische NAT-Konfiguration auf Windows Server wird die Rolle Remotezugriff mit dem Rollendienst Routing verwendet.

3.1 Vorgehen über die Oberfläche

  1. Öffnen Sie den Server-Manager.
  2. Wählen Sie Verwalten → Rollen und Features hinzufügen.
  3. Installieren Sie die Rolle Remotezugriff.
  4. Aktivieren Sie als Rollendienst Routing.
  5. Schließen Sie die Installation ab.

3.2 PowerShell

# Server-Manager-Modul und RRAS-Rolle installieren
Install-WindowsFeature -Name RemoteAccess -IncludeManagementTools
Install-WindowsFeature -Name Routing -IncludeManagementTools

# Dienststatus prüfen
Get-Service RemoteAccess
Hinweis: Falls Install-WindowsFeature nicht erkannt wird, wird der Befehl vermutlich nicht in einer Windows Server PowerShell mit vorhandenem ServerManager-Modul ausgeführt. In diesem Fall die Konfiguration direkt auf dem Server oder über den Server-Manager vornehmen.

4. RRAS mit NAT konfigurieren

Nach der Rolleninstallation kann Routing und RAS für Netzwerkadressübersetzung eingerichtet werden.

4.1 Vorgehen über die Oberfläche

  1. Öffnen Sie Server-Manager → Tools → Routing und RAS.
  2. Klicken Sie den Server, zum Beispiel SRV-DC01, mit der rechten Maustaste an.
  3. Wählen Sie Routing und RAS konfigurieren und aktivieren.
  4. Wählen Sie Netzwerkadressübersetzung (NAT).
  5. Wählen Sie als öffentliche Schnittstelle NIC-INTERNET.
  6. Schließen Sie den Assistenten mit Weiter und Fertigstellen ab.
  7. Prüfen Sie anschließend unter IPv4 → NAT, ob die Schnittstelle eingetragen wurde.

4.2 PowerShell-Begleitung

# RRAS-Dienst auf automatisch setzen und starten
Set-Service -Name RemoteAccess -StartupType Automatic
Start-Service RemoteAccess

# Dienst prüfen
Get-Service RemoteAccess
Erwartetes Ergebnis: Der Dienst RemoteAccess läuft, und unter IPv4 > NAT ist die externe Schnittstelle sichtbar.

5. Alternative: NAT direkt per PowerShell einrichten

Falls RRAS nicht verwendet werden soll oder eine schlankere Konfiguration bevorzugt wird, kann NAT auch direkt per PowerShell erstellt werden.

5.1 NAT-Netz anlegen

# Internes Netz für NAT definieren
New-NetNat -Name 'INTRANET-NAT' -InternalIPInterfaceAddressPrefix '192.168.100.0/24'

# Status prüfen
Get-NetNat
Get-NetNatStaticMapping

5.2 Vorhandene NAT-Konfiguration bei Bedarf entfernen

# Bestehende NAT-Konfiguration anzeigen
Get-NetNat

# Beispiel: NAT-Konfiguration entfernen
# Remove-NetNat -Name 'INTRANET-NAT'
Achtung: Verwenden Sie entweder RRAS oder New-NetNat, aber nicht beides gleichzeitig. Beide Varianten schließen sich aus und führen sonst schnell zu Routing-Konflikten.

6. Firewall für Routing konfigurieren

Wenn die Firewall Routing oder Prüfverkehr blockiert, funktionieren NAT und Diagnosebefehle nur halb oder gar nicht. Daher sollten die erforderlichen Regeln kontrolliert werden.

6.1 PowerShell

# ICMP (Ping) eingehend erlauben
New-NetFirewallRule -DisplayName 'ICMP IPv4 eingehend' -Protocol ICMPv4 `
-IcmpType 8 -Direction Inbound -Action Allow

# Profile aktiv lassen und Routing nicht unabsichtlich blockieren
Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled True

# RRAS-Dienst automatisch starten
Set-Service -Name RemoteAccess -StartupType Automatic
Start-Service RemoteAccess

6.2 Zusätzliche Prüfung

# Vorhandene Firewallregeln mit Bezug auf Routing anzeigen
Get-NetFirewallRule | Where-Object {$_.DisplayName -like '*Routing*' -or $_.DisplayName -like '*RAS*'} |
Select-Object DisplayName, Enabled, Direction, Action | Format-Table -AutoSize
Typischer Stolperstein: Wenn Clients kein Internet erreichen, obwohl NAT eingerichtet wurde, liegt die Ursache oft an einer blockierenden Firewall-Regel, einer falschen Standardroute oder an einer falsch zugewiesenen externen Schnittstelle.

7. NAT-Funktion testen

Führen Sie die folgenden Tests zunächst direkt auf dem Server aus. Danach kann die Prüfung vom Client wiederholt werden.

7.1 Konnektivität vom Server prüfen

# Ping ins Internet
ping 8.8.8.8 -n 4

# Optional zusätzlich Namensauflösung testen
ping www.microsoft.com -n 4

7.2 Routingtabelle prüfen

# Default-Route prüfen
route print -4 | findstr "0.0.0.0"

# Alternativ detailliert
Get-NetRoute -AddressFamily IPv4 | Sort-Object RouteMetric | Format-Table -AutoSize

7.3 NAT-Sitzungen prüfen

# Aktive NAT-Sitzungen anzeigen
Get-NetNatSession

7.4 Client-Test

  1. Prüfen Sie auf dem Client, ob als Standardgateway die interne Server-IP eingetragen ist.
  2. Führen Sie einen Ping auf 8.8.8.8 aus.
  3. Testen Sie anschließend die Namensauflösung, zum Beispiel mit nslookup oder einem Ping auf einen Hostnamen.
# Beispiel auf dem Client
ipconfig
ping 8.8.8.8
nslookup www.microsoft.com

8. Prüftabelle für die Abnahme

NAT/Routing-Prüfpunkt Ergebnis
IPEnableRouter = 1 in der Registry [ ] Ja / [ ] Nein
IP-Forwarding auf den relevanten NICs aktiv [ ] Ja / [ ] Nein
RRAS-Dienst läuft oder NetNat ist aktiv [ ] Ja / [ ] Nein
Ping 8.8.8.8 vom Server erfolgreich [ ] Ja / [ ] Nein
Default-Route zeigt auf NIC-INTERNET [ ] Ja / [ ] Nein
Client erreicht das Internet über den Server [ ] Ja / [ ] Nein

9. Typische Fehlerquellen und Lösungen

9.1 Falsche Schnittstelle als extern gewählt

Wenn in RRAS oder bei der NAT-Konfiguration die interne NIC statt der Internet-NIC ausgewählt wurde, läuft der Verkehr in die falsche Richtung. Prüfen Sie die IP-Konfiguration beider Adapter sorgfältig.

9.2 Default-Route fehlt

Ohne Standardroute kann der Server Pakete nicht ins Internet weiterleiten. Kontrollieren Sie mit route print -4, ob eine Route für 0.0.0.0 vorhanden ist.

9.3 Client hat falsches Gateway

Ein Client muss als Standardgateway die interne IP des Servers verwenden. Zeigt das Gateway stattdessen auf einen anderen Router, läuft NAT ins Leere.

9.4 RRAS und PowerShell-NAT parallel aktiv

Diese Kombination ist zu vermeiden. Entfernen Sie eine der beiden Konfigurationen, bevor Sie weiter testen.

9.5 Firewall blockiert Routing

Wenn Pings scheitern oder Sitzungen nicht aufgebaut werden, sollten Firewallregeln und der Dienststatus von RemoteAccess kontrolliert werden.

10. Fazit

Mit NAT und aktiviertem IP-Routing wird Windows Server 2025 zur Netzwerkdrehscheibe zwischen Intranet und Internet. Ob per RRAS oder per PowerShell eingerichtet, entscheidend sind eine saubere Trennung der beiden NICs, eine korrekte Standardroute und ein klarer Blick darauf, dass nicht zwei NAT-Welten gleichzeitig die Bühne betreten.