Podwójny NAT: Dlaczego psuje gry online i jak go naprawić

Jak działa NAT i dlaczego podwójny NAT psuje połączenia

Aby zrozumieć, dlaczego podwójny NAT wywołuje problemy sieciowe, należy najpierw poznać zasadę działania standardowej translacji adresów sieciowych (NAT) w typowym domowym łączu internetowym.

Pojedynczy NAT: Zamiana jednego publicznego IP na wiele prywatnych adresów

Dostawca internetu (ISP) przydziela Twojemu łączu jeden publiczny adres IPv4 (np. 73.189.44.12). Jednak w nowoczesnym domu z sieci korzystają jednocześnie dziesiątki urządzeń: smartfony, laptopy, telewizory Smart TV i konsole.

Ponieważ na świecie brakuje wolnych adresów IPv4 dla każdego gadżetu z osobna, router stosuje mechanizm NAT (zdefiniowany w dokumencie IETF RFC 1918), aby utworzyć lokalną sieć prywatną – zazwyczaj w przestrzeni 192.168.1.0/24 lub 10.0.0.0/24. Gdy komputer wysyła zapytanie o stronę WWW, router podmienia prywatny adres IP na publiczny, zapisuje to żądanie w swojej tablicy translacji i odsyła otrzymaną odpowiedź z powrotem do komputera. Cały ten proces odbywa się w sposób niewidoczny i bezstratny.

Podwójny NAT: Pułapka izolacji dwóch routerów

Podwójny NAT powstaje, gdy dwa aktywne routery są połączone kaskadowo. Jeśli nie masz pewności, czy urządzenie dostawcy to sam modem czy bramka 2 w 1, zobacz nasz przewodnik po różnicach między modemem a routerem.

1. Router 1 (Brama operatora): Łączy się z Internetem, otrzymuje publiczny adres IP 73.189.44.12 i tworzy prywatną podsieć A (np. 192.168.1.1).
2. Router 2 (Twój router mesh): Zostaje podłączony portem WAN do Routera 1, odbiera od niego prywatny adres IP (np. 192.168.1.50) i generuje drugą prywatną podsieć B (np. 192.168.68.1).
3. Twoja konsola do gier lub komputer: Łączy się z Routerem 2 i otrzymuje adres z podsieci B (np. 192.168.68.105).

Zamiast jednej warstwy translacji, każdy pakiet danych musi przedrzeć się przez dwie niezależne zapory ogniowe i dwie oddzielne tablice routingu.

Dlaczego ruch wychodzący działa, a przychodzący zawodzi

Przeglądanie stron, odtwarzanie filmów na YouTube czy pobieranie plików działa prawidłowo, ponieważ to Twoje urządzenia inicjują połączenia na zewnątrz. Ruch wychodzący tymczasowo otwiera ścieżki w obu zaporach NAT, przez które powracające pakiety z serwera mogą trafić z powrotem.

Problem pojawia się przy niezamówionym ruchu przychodzącym. W grach wieloosobowych opartych na architekturze peer-to-peer (np. Call of Duty, FIFA czy Halo) konsola innego gracza wysyła pakiety bezpośrednio na Twój publiczny adres IP. Gdy te pakiety trafiają do Routera 1, nie ma on w swojej tablicy translacji żadnego wpisu mówiącego, do którego urządzenia za Routerem 2 powinien je skierować. Zapora sieciowa natychmiast je odrzuca. Próba nawiązania połączenia nigdy nie dociera do Twojej konsoli.

Dlaczego podwójny NAT niszczy gry online, inteligentny dom i serwery

Podwójny NAT rzadko ujawnia się podczas zwykłego testu prędkości łącza, lecz powoduje uciążliwe błędy w codziennym użytkowaniu sieci:

Gry na konsolach Xbox Series X/S i PS5 (NAT Typ 3 i Ograniczony NAT)

Nowoczesne konsole po uruchomieniu przeprowadzają automatyczną diagnostykę sieci pod kątem rozgrywki wieloosobowej:

• Xbox: Wyświetla komunikat „Wykryto podwójny NAT” i ustawia typ na Ograniczony (Strict). Nie założysz własnego lobby gry, nie dołączysz do czatu grupowego ani nie połączysz się z graczami o statusie Umiarkowanym lub Ograniczonym.
• PlayStation (PS4/PS5): Zgłasza NAT Typ 3 (Ograniczony). Wyszukiwanie meczów trwa znacznie dłużej, czat głosowy przerywa z kodami błędów, a bezpośrednie sesje P2P nie mogą zostać nawiązane.
• Nintendo Switch: Obniża status do NAT Typ D lub F, blokując udział w rozgrywkach w Mario Kart lub Super Smash Bros.

Odrzucanie pakietów przychodzących często przypomina niestabilne Wi-Fi – zapoznaj się z naszym poradnikiem jak naprawić utratę pakietów w grach, aby odróżnić błędy konfiguracji od awarii łącza..

Jeśli wybierasz system mesh, sprawdź nasze bezpośrednie porównanie systemów mesh eero vs. Orbi.

Połączenia głosowe i wideo (Discord, Teams i Wi-Fi Calling)

Protokoły Voice-over-IP (SIP, RTP) wymagają bezpośrednich, dwukierunkowych strumieni dźwięku. W warunkach podwójnego NAT-u wychodzące pakiety audio docierają do rozmówcy, lecz przychodzący strumień dźwięku zostaje zablokowany na drugiej zaporze. Powoduje to zjawisko tzw. „jednokierunkowego dźwięku” (słyszysz rozmówcę, ale on nie słyszy Ciebie) lub nagłe zrywanie połączeń dokładnie po 30 sekundach.

Urządzenia Smart Home, serwery Plex i zdalny dostęp do NAS

Jeżeli posiadasz domowy serwer multimediów (Plex, Jellyfin) lub dysk sieciowy NAS, z którego chcesz korzystać poza domem, przekierowanie portów skonfigurowane na Twoim routerze nie zadziała. Przychodzące zapytania zostaną zablokowane na bramie dostawcy. Z tego samego powodu inteligentne urządzenia podłączone do różnych podsieci (np. inteligentne żarówki wpięte do modemu operatora i telefon połączony z siecią mesh) nie odnajdą się wzajemnie przez protokoły mDNS czy UPnP.

Jak wykryć podwójny NAT w mniej niż 60 sekund

Obecność podwójnego NAT-u na swoim łączu możesz sprawdzić za pomocą dwóch błyskawicznych testów diagnostycznych:

Metoda 1: Polecenie Traceroute w systemach Windows i macOS

Uruchom Wiersz polecenia (Windows) lub Terminal (macOS/Linux) i prześledź trasę pakietów do publicznego serwera DNS:

Zwróć uwagę na dwa pierwsze skoki (hops) w wyniku polecenia:

• Standardowo (Pojedynczy NAT):

  Skok 1: 192.168.1.1 (Twój router)
  Skok 2: 100.x.x.x lub publiczny węzeł operatora (Czysta trasa do Internetu)

• Aktywny podwójny NAT:

  Skok 1: 192.168.68.1 (Twój router mesh)
  Skok 2: 192.168.1.1  (Modem operatora – prywatny IP na drugim skoku potwierdza podwójny NAT!)

Jeśli zauważysz dwa kolejne prywatne adresy IP (zaczynające się od 192.168.x.x, 10.x.x.x lub z zakresu 172.16.x.x do 172.31.x.x), połączenie przechodzi przez dwa routery.

Metoda 2: Sprawdzenie adresu IP WAN drugiego routera

Zaloguj się do panelu administracyjnego lub aplikacji mobilnej swojego routera (eero, Netgear Orbi, Asus itp.) i sprawdź jego adres IP sieci Internet / WAN:

• Jeśli adres WAN zaczyna się od 192.168.x.x, 10.x.x.x lub 172.16.x.x, router pobiera lokalny adres prywatny od urządzenia nadrzędnego. Występuje podwójny NAT.
• Jeśli adres WAN pokrywa się z publicznym IP wyświetlanym na stronach typu whatismyipaddress.com, router jest połączony bezpośrednio z Internetem (Pojedynczy NAT).

Ostrzeżenie: Różnica między podwójnym NAT a Carrier-Grade NAT (CGNAT)

Gdy adres IP WAN Twojego routera mieści się w przedziale od 100.64.0.0 do 100.127.255.255, Twoje łącze znajduje się za Carrier-Grade NAT (CGNAT). Mechanizm ten jest powszechnie stosowany w domowym internecie mobilnym 5G/LTE, łączach satelitarnych Starlink oraz u wielu lokalnych dostawców światłowodowych. CGNAT działa w infrastrukturze operatora, co oznacza, że zmiana ustawień własnego routera go nie usunie – konieczne jest wykupienie publicznego adresu IP u dostawcy lub przejście na protokół IPv6.

4 sprawdzone metody na usunięcie podwójnego NAT-u

Trwałe wyeliminowanie podwójnego NAT-u wymaga sprawienia, aby tylko jedno urządzenie w całej sieci domowej zajmowało się routingiem i translacją NAT. Wybierz rozwiązanie dostosowane do Twojego sprzętu:

Metoda 1: Włączenie prawdziwego trybu Bridge w modemie operatora (Zalecane)

Jest to optymalne rozwiązanie sieciowe. Włączenie trybu Bridge (mostka) w urządzeniu operatora wyłącza w nim moduły Wi-Fi, serwer DHCP oraz silnik routingu NAT, zamieniając je w przezroczysty modem transmisyjny.

1. Podłącz komputer kablem sieciowym Ethernet bezpośrednio do modemu operatora.
2. Otwórz przeglądarkę i wpisz adres IP urządzenia (zazwyczaj 192.168.1.1, 192.168.0.1 lub 192.168.8.1).
3. Zaloguj się danymi administratora umieszczonymi na naklejce urządzenia.
4. Przejdź do ustawień zaawansowanych sieci (np. Sieć > Tryb pracy lub Ustawienia WAN).
5. Odszukaj opcję Tryb Bridge (Bridge Mode / Mostek) i włącz ją.
6. Zapisz zmiany i odczekaj na ponowne uruchomienie urządzenia. Następnie podłącz port WAN swojego routera do portu LAN 1 w modemie operatora.

Twój własny router otrzyma publiczny adres IP bezpośrednio, trwale eliminując podwójny NAT..

Co więcej, pojedynczy dedykowany router pozwala włączyć Smart Queue Management (SQM), by zlikwidować skoki pingu – dowiedz się więcej w poradniku czym jest bufferbloat i jak go naprawić.

Metoda 2: Konfiguracja IP Passthrough lub DMZplus

Niektóre urządzenia światłowodowe nie oferują klasycznego trybu Bridge, ponieważ usługi telewizyjne (IPTV) lub stacjonarne (VoIP) wymagają aktywnej bramy. Wiele z nich udostępnia jednak funkcję IP Passthrough:

1. Wejdź do panelu konfiguracyjnego urządzenia operatora.
2. Otwórz menu Firewall > IP Passthrough (lub DMZplus).
3. Ustaw tryb przydziału na Passthrough oraz opcję DHCPS-fixed.
4. Wybierz adres MAC swojego własnego routera z listy wykrytych urządzeń.
5. Wyłącz nadawanie sieci Wi-Fi 2,4 GHz i 5 GHz na modemie dostawcy, aby uniknąć zakłóceń radiowych z siecią mesh.

Metoda 3: Przełączenie systemu Mesh w tryb Punktu Dostępowego (AP)

Jeśli wolisz, aby to urządzenie operatora zarządzało siecią domową (lub umowa z dostawcą zabrania modyfikacji ustawień modemu), możesz wyłączyć funkcje routingu w swoim systemie mesh:

• eero: Aplikacja eero > Ustawienia > Ustawienia sieci > DHCP i NAT > Wybierz Bridge.
• Netgear Orbi: Zaloguj się na orbilogin.com > Zaawansowane > Konfiguracja zaawansowana > Tryb Router / AP > Wybierz Tryb AP.
• TP-Link Deco: Aplikacja Deco > Więcej > Zaawansowane > Tryb pracy > Wybierz Punkt dostępowy.
• Asus ZenWiFi: Administracja > Tryb pracy > Wybierz Tryb punktu dostępowego (AP).

W trybie AP węzły mesh wciąż tworzą szybką, jednolitą sieć bezprzewodową w całym mieszkaniu, lecz przestają przydzielać adresy IP. Modem operatora pozostaje jedynym routerem, przywracając stabilny Pojedynczy NAT.

Metoda 4: Umieszczenie drugiego routera w strefie DMZ modemu dostawcy

Jeśli modem dostawcy nie ma trybu Bridge, a tryb AP nie wchodzi w grę (ponieważ potrzebujesz kontroli rodzicielskiej, VPN lub QoS na swoim routerze), możesz skonfigurować strefę DMZ (strefa zdemilitaryzowana):

1. Przypisz stały prywatny adres IP swojemu routerowi w podsieci modemu dostawcy (np. 192.168.1.100).
2. W menu modemu operatora odszukaj sekcję Firewall > DMZ (lub Host DMZ).
3. Wpisz 192.168.1.100 jako adres IP hosta DMZ i zapisz konfigurację.

Modem operatora będzie przesyłał wszystkie niezamówione pakiety przychodzące bezpośrednio do Twojego routera bez ich filtrowania, skutecznie omijając pierwszą zaporę..

Z podobnymi problemami kaskadowego NAT-u spotkasz się w podróży – zobacz nasz poradnik jak używać routera podróżnego w hotelowym Wi-Fi.