DDNS für UniFi einrichten: UniFi Gateway, FRITZ!Box und FortiGate

Sosto Labs Captive Portal ist ein gehosteter Dienst: Um Gäste freizuschalten, verbindet sich unser Server über das Internet mit Ihrer UniFi-Konsole, über eine Portweiterleitung auf Ihrem Router oder Ihrer Firewall. Das funktioniert nur, wenn der Anschluss eine öffentliche IPv4-Adresse hat, die der Dienst finden kann.

Wenn Ihr Anbieter Ihnen eine feste öffentliche IP zuweist, können Sie diese direkt verwenden. Ändert sich die Adresse von Zeit zu Zeit, zeigt ein Dynamic-DNS-Name (DDNS) immer auf die aktuelle Adresse, und Sie müssen die Standort-Einstellungen nie von Hand anpassen. Diese Anleitung zeigt, wie Sie DDNS auf dem Gerät einrichten, das Ihren Internetanschluss verwaltet: UniFi Cloud Gateways und UniFi Gateways, AVM FRITZ!Box, Fortinet FortiGate und, anhand der offiziellen Handbücher, Zyxel-Firewalls.

Feste IP, dynamische IP und CGNAT

Drei Situationen sind üblich. Nur die ersten beiden erlauben eingehende Verbindungen in Ihr Netzwerk.

Mit DDNS meldet der Router oder die Firewall dem DDNS-Anbieter seine WAN-Adresse, sobald sie sich ändert, und der Anbieter aktualisiert den Namen. Eine Verbindung aus dem Internet nimmt dann diesen Weg:

unifi.example.com → aktuelle öffentliche IP → Router/Firewall (Portweiterleitung) → UniFi-Konsole

Wichtig: DDNS löst CGNAT nicht

Bei Carrier-Grade NAT (CGNAT) übersetzt der Anbieter die Adressen vieler Kunden auf wenige öffentliche IPv4-Adressen. Der DDNS-Name wird vielleicht korrekt aktualisiert, zeigt aber auf eine Adresse des Anbieters, und der Anbieter leitet eingehende Verbindungen nicht an Ihren Router weiter. Eine UniFi-Konsole hinter CGNAT ist daher über IPv4 nicht aus dem Internet erreichbar, mit oder ohne DDNS.

So finden Sie es heraus: Vergleichen Sie die WAN-Adresse, die Ihr Router anzeigt, mit der Adresse auf einer Website wie „Wie ist meine IP“. Sind sie verschieden oder liegt die WAN-Adresse in 100.64.0.0/10 (geteilter Adressraum, RFC 6598) oder in einem privaten Bereich (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, RFC 1918), liegt Ihr Anschluss hinter CGNAT oder einem anderen NAT. Auch der DDNS-Artikel von Ubiquiti nennt diese Bereiche als solche, in denen DDNS nicht funktionieren kann.

Beispiel: Starlink

Laut den Support-Seiten von Starlink verwendet die Standard-IPv4-Konfiguration CGNAT mit Adressen aus 100.64.0.0/10 und lässt keinen eingehenden Verkehr zu. Für Kunden mit Local Priority und Global Priority gibt es eine Option öffentliche IPv4. Diese Adresse ist nicht fest: Starlink hält sie mit einem Reservierungssystem, aber ein Standortwechsel oder ein Software-Update kann sie ändern. Auch mit dieser Option ist DDNS daher empfehlenswert.

Alternativen hinter CGNAT

• Fragen Sie Ihren Anbieter nach einer öffentlichen IPv4-Adresse. Sie muss nicht fest sein: Eine dynamische öffentliche Adresse mit DDNS genügt.

• VPN oder Tunnel zu einem Host mit öffentlicher IPv4-Adresse, zum Beispiel einem Server im Rechenzentrum, der den Port durch den Tunnel in Ihr Netzwerk weiterleitet.

• IPv6 kann Geräte ohne NAT erreichbar machen, aber nur, wenn jeder Abschnitt des Weges es unterstützt. Sosto Labs Captive Portal verbindet sich nur über IPv4 mit der UniFi-Konsole, daher ist IPv6 dafür keine Lösung.

• Cloudflare Tunnel: Ein cloudflared-Dienst in Ihrem Netzwerk baut eine ausgehende Verbindung zu Cloudflare auf, und Cloudflare veröffentlicht dafür einen Hostnamen ohne eingehende Ports. Der Verkehr zu diesem Namen läuft über den Proxy von Cloudflare. Ob das für einen Dienst passt, hängt davon ab, wie er sich verbindet: Cloudflare Tunnel ist keine dokumentierte Konfiguration für Sosto Labs Captive Portal.

Mehr zu CGNAT und Starlink: Dynamische IP, DDNS und CGNAT: UniFi-Konsole erreichbar machen.

Einen DDNS-Anbieter wählen

Welche Anbieter Sie nutzen können, hängt von Ihrem Router oder Ihrer Firewall ab. Manche Geräte bieten eine Liste vordefinierter Anbieter. Andere akzeptieren eine benutzerdefinierte Update-URL, die mit den meisten Anbietern funktioniert, die eine solche veröffentlichen. Manche Hersteller betreiben auch einen eigenen Dienst, etwa MyFRITZ! für die FRITZ!Box oder FortiGuard DDNS für FortiGate.

Verbreitete Anbieter sind zum Beispiel No-IP, DuckDNS, Dynu und Dyn. Wird das DNS Ihrer Domain bei Cloudflare verwaltet, können Sie einen Eintrag über die Cloudflare-API aktualisieren: Manche Geräte, darunter UniFi Gateways, unterstützen das direkt. Prüfen Sie vor dem Anlegen eines Kontos, ob Ihr Gerät den Anbieter unterstützt und ob er Benutzername und Passwort oder ein Token verlangt.

UniFi Cloud Gateway und UniFi Gateway

Auf UniFi Gateways wird DDNS pro WAN in der UniFi-Network-Anwendung eingerichtet. Schritte und Screenshots beziehen sich auf UniFi Network 10.5.67; Menünamen und Aufbau können sich zwischen Versionen ändern. Die Bezeichnungen entsprechen der englischen Oberfläche.

1. Öffnen Sie in UniFi Network Settings (das Zahnrad unten links) → Internet.

2. Klicken Sie auf das WAN, das die eingehenden Verbindungen empfängt, zum Beispiel Internet 1 auf WAN1. Die WAN-Einstellungen öffnen sich rechts in einem Panel.

3. Suchen Sie im Bereich Advanced den Eintrag Dynamic DNS und klicken Sie auf Create New. Im Screenshot steht Advanced auf Manual.

Abbildung 1 – Settings → Internet → WAN: der Eintrag Dynamic DNS im Bereich Advanced.

1. Füllen Sie im Fenster Dynamic DNS die Felder aus:

   • Service: Ihr DDNS-Anbieter oder Custom.

   • Hostname: der vollständige Name, zum Beispiel unifi.example.com.

   • Username und Password: die Zugangsdaten oder das Token des Anbieters.

   • Server: nur bei manchen Anbietern nötig. Lassen Sie das Feld leer, sofern Ihr Anbieter nichts anderes vorgibt.

2. Klicken Sie auf Create und dann im WAN-Panel auf Apply Changes.

Abbildung 2 – Dynamic-DNS-Konfiguration in UniFi Network.

Ubiquiti nennt diese unterstützten Dienste: afraid, cloudflare, dnspark, dslreports, dyndns, easydns, namecheap, noip, sitelutions und zoneedit. Andere Anbieter können funktionieren, werden aber nicht offiziell unterstützt. Der DDNS-Client basiert auf Inadyn, deshalb folgt das Feld Server den Konventionen von Inadyn.

AVM FRITZ!Box

MyFRITZ! oder DynDNS?

Eine FRITZ!Box bietet zwei verschiedene Wege zu einem Hostnamen:

• MyFRITZ! ist der kostenlose Dienst von AVM. Nach der Registrierung erhält die FRITZ!Box eine MyFRITZ!-Adresse wie xxxxxxxxxxxx.myfritz.net, und Portfreigaben sind unter dieser Adresse plus Port erreichbar. Den Namen wählen Sie nicht selbst, und der Zugriff nutzt dasselbe IP-Protokoll wie Ihr Internetanschluss: Bei reinem IPv6 oder DS-Lite ist MyFRITZ! nur über IPv6 erreichbar.

• DynDNS aktualisiert einen Hostnamen bei einem Anbieter Ihrer Wahl, zum Beispiel einen Namen in Ihrer eigenen Domain.

Beide können als Hostname für Captive Portal dienen, sofern der Anschluss eine öffentliche IPv4-Adresse hat. Verwenden Sie DynDNS, wenn Sie einen Namen in Ihrer eigenen Domain möchten.

DynDNS einrichten

Schritte und Screenshot beziehen sich auf eine FRITZ!Box 7682 mit aktuellem FRITZ!OS und englischer Oberfläche. Menünamen und Aufbau können je nach Modell und FRITZ!OS-Version abweichen.

1. Klicken Sie in der Benutzeroberfläche der FRITZ!Box auf Internet → Permit Access.

2. Öffnen Sie den Tab DynDNS neben Port Sharing und FRITZ!Box Services.

3. Aktivieren Sie Use DynDNS.

4. Geben Sie die Kontodaten Ihres DynDNS-Anbieters ein:

   • Update URL: die Update-URL, die Ihr Anbieter veröffentlicht (siehe unten).

   • Domain name: der Hostname, zum Beispiel unifi.example.com.

   • Username und Password: die Zugangsdaten oder das Token des Anbieters.

5. Klicken Sie auf Apply.

Abbildung 3 – DynDNS-Einstellungen in FRITZ!OS (FRITZ!Box 7682).

In der Update-URL ersetzt die FRITZ!Box Platzhalter wie <domain>, <username>, <pass>, <ipaddr> und <ip6addr> durch die aktuellen Werte. Der Wissensdatenbank-Artikel von AVM nennt fertige Update-URLs für mehrere Anbieter, darunter DuckDNS, No-IP, Dyn und STRATO.

Die Portweiterleitung zur Konsole finden Sie im selben Menü: Internet → Permit Access → Port Sharing.

Fortinet FortiGate

Auf einer FortiGate finden Sie DDNS unter Network → DNS. Der Aufbau dieser Seite hängt von der FortiOS-Version ab, daher sehen Sie eine der beiden folgenden Varianten.

Schalter FortiGuard DDNS in den DNS Settings

Abbildung 4 zeigt diese Variante. Die FortiOS-Version ist im Screenshot nicht sichtbar.

1. Gehen Sie zu Network → DNS.

2. Lassen Sie bei DNS servers die Option Use FortiGuard Servers ausgewählt: FortiGuard DDNS setzt FortiGuard DNS voraus.

3. Aktivieren Sie FortiGuard DDNS.

4. Wählen Sie unter Interface die WAN-Schnittstelle mit der dynamischen Adresse, zum Beispiel wan1.

5. Lassen Sie Use public IP address ausgeschaltet, wenn diese Schnittstelle selbst die öffentliche Adresse erhält. Schalten Sie es nur ein, wenn die FortiGate hinter einem weiteren NAT-Gerät steht (siehe unten).

6. Wählen Sie den Server (die FortiGuard-Domain, zum Beispiel fortiddns.com) und geben Sie eine Unique location ein. Der resultierende Hostname erscheint unter Domain, zum Beispiel meinstandort.fortiddns.com.

7. Klicken Sie auf Apply.

Abbildung 4 – Dynamic-DNS-Konfiguration auf der FortiGate (FortiGuard DDNS).

Tabelle Dynamic DNS (FortiOS 7.4 und 7.6 Administration Guide)

Der aktuelle Administration Guide von Fortinet beschreibt eine Tabelle, die mehrere Einträge aufnehmen kann:

1. Gehen Sie zu Network → DNS.

2. Klicken Sie in der Tabelle Dynamic DNS auf Create new. Das Panel New DDNS Entry öffnet sich.

3. Wählen Sie Interface und Server und geben Sie die Unique Location ein.

4. Klicken Sie auf OK und dann auf Apply.

FortiGuard DDNS bietet die Domains float-zone.com, fortiddns.com und fortidyndns.com. Laut Fortinet ist für den DDNS-Dienst keine Lizenz und kein Abonnement nötig.

Drittanbieter und die auf RFC 2136 basierende Option genericDDNS werden in der CLI eingerichtet. Der Fortinet-Leitfaden nennt diese Vorlage; die verfügbaren Befehle hängen vom gewählten Server ab:

config system ddns
    edit <DDNS_ID>
        set monitor-interface <external_interface>
        set ddns-server <ddns_server_selection>
        set server-type {ipv4 | ipv6}
        set ddns-server-addr <address>
    next
end

Steht die FortiGate hinter einem weiteren NAT-Gerät und hat ihre WAN-Schnittstelle nicht die öffentliche Adresse, kann sie IP-Änderungen nicht selbst erkennen. Aktivieren Sie Use public IP address in der GUI oder use-public-ip in der CLI; update-interval legt fest, wie oft sie prüft:

config system ddns
    edit 1
        set use-public-ip enable
        set update-interval <seconds>
    next
end

Mit update-interval auf 0 prüft FortiGuard DDNS alle 300 Sekunden, während Drittanbieter-Server ihr eigenes Intervall vorgeben.

Zyxel

Für Zyxel liegen keine Screenshots vor; hier die Pfade aus den offiziellen Zyxel-Handbüchern. Menüs und verfügbare Anbieter hängen von Modell und Firmware ab.

• USG FLEX H Serie (uOS): System → DNS & DDNS → DDNS. Sie können einen vordefinierten DDNS Type wählen (DynDNS, Dynu, No-IP, Peanut Hull, 3322, Selfhost) oder User custom für eine Update-URL. Die Option Public IP ist für Geräte hinter einem weiteren NAT-Router gedacht.

• ZLD-Firewalls (zum Beispiel ATP, ZLD 5.x): Configuration → Network → DDNS.

• Nebula Security Gateways: Site-wide → Configure → Security gateway → Interface addressing, Bereich Dynamic DNS.

Auch Zyxel weist darauf hin, dass Dynamic DNS eine öffentliche WAN-IP-Adresse voraussetzt.

Prüfen, ob Dynamic DNS funktioniert

1. Fragen Sie den Hostnamen von einem Computer aus ab:

   nslookup unifi.example.com

   oder

   dig +short unifi.example.com

2. Vergleichen Sie das Ergebnis mit der WAN-Adresse, die Router oder Firewall anzeigen, und mit der Adresse auf einer Website wie „Wie ist meine IP“. Alle drei sollten übereinstimmen.

3. Zeigt der Name noch eine alte Adresse, prüfen Sie den DDNS-Status auf dem Gerät und warten Sie einige Minuten: DNS-Antworten können für die Dauer der TTL des Eintrags zwischengespeichert sein.

Eine korrekte DNS-Antwort beweist nur, dass der Name auf die richtige Adresse zeigt. Sie beweist nicht, dass der Port erreichbar ist: Portweiterleitung und Firewall-Regeln richten Sie separat ein, und manche Anbieter blockieren eingehende Verbindungen. Die abschließende Prüfung ist der Verbindungstest in Captive Portal (siehe unten).

DDNS mit Sosto Labs Captive Portal verwenden

Steht die UniFi-Konsole hinter einer dynamischen öffentlichen IP, folgt Captive Portal mit einem DDNS-Namen Adressänderungen von selbst. Geben Sie in den Standort-Einstellungen im Bereich UniFi-Controller unter Host / IP den Namen statt der IP-Adresse ein, zusammen mit dem externen Port der Portweiterleitung:

1. Behalten Sie die Portweiterleitung wie in Captive Portal mit Ihrer UniFi-Konsole verbinden beschrieben bei: externer Port Ihrer Wahl → interne IP der Konsole, Port 443, erlaubte Quelle: nur 185.177.61.37.

2. Wenn die Konsole ihr eigenes selbstsigniertes Zertifikat verwendet, lassen Sie TLS-Zertifikat prüfen deaktiviert. Das Zertifikat enthält Ihren DDNS-Namen nicht, die Prüfung würde also fehlschlagen.

3. Klicken Sie auf Speichern und dann im Bereich Verbindungstest auf Test ausführen.

Schlägt der Test mit einem Timeout fehl, prüfen Sie, ob der Name auf Ihre aktuelle öffentliche IP zeigt, dann die Portweiterleitung und die erlaubte Quell-IP. Weitere Prüfungen finden Sie in Die Anmeldeseite öffnet sich nicht oder der Gast kann nicht surfen.

Zusammenfassung

Bei einer dynamischen öffentlichen IP richten Sie DDNS auf dem Gateway oder der Firewall ein, die den Internetanschluss verwaltet, prüfen, ob der Name auf die aktuelle Adresse zeigt, und tragen den Namen in Captive Portal ein. DDNS öffnet keine Ports und umgeht CGNAT nicht: Dafür brauchen Sie eine öffentliche IPv4-Adresse vom Anbieter oder einen Tunnel.

Quellen und weiterführende Informationen

• Ubiquiti: UniFi Gateway – Dynamic DNS

• Ubiquiti: Setting Up Public Access to Local Resources in UniFi

• AVM: Setting up dynamic DNS in the FRITZ!Box

• AVM: Setting up MyFRITZ! sharings

• AVM: Configuring static port sharing in the FRITZ!Box

• Fortinet: FortiOS 7.6 Administration Guide – DDNS

• Zyxel: USG FLEX 100H User’s Guide V1.30 (PDF)

• Zyxel: ATP ZLD 5.42 User’s Guide – DDNS

• Zyxel: Nebula Control Center – Security gateway configuration

• Starlink: What IP address does Starlink provide?

• Cloudflare: Cloudflare Tunnel, Dynamically update DNS records

• IETF: RFC 6598 – Shared Address Space, RFC 1918 – Private Address Space