DNS dinámico (DDNS) para UniFi: UniFi Gateway, FRITZ!Box y FortiGate

Sosto Labs Captive Portal es un servicio alojado: para autorizar a los invitados, nuestro servidor se conecta a tu consola UniFi por Internet, a través de una redirección de puertos en tu router o firewall. Solo funciona si la conexión tiene una dirección IPv4 pública que el servicio pueda encontrar.

Si tu proveedor te asigna una IP pública fija, puedes usarla directamente. Si la dirección cambia de vez en cuando, un nombre de DNS dinámico (DDNS) apunta siempre a la dirección actual y ya no tienes que actualizar a mano los ajustes de la sede. Esta guía explica cómo configurar el DDNS en el dispositivo que gestiona tu conexión a Internet: UniFi Cloud Gateway y UniFi Gateway, AVM FRITZ!Box, Fortinet FortiGate y, según las guías oficiales de Zyxel, los firewalls Zyxel.

IP fija, IP dinámica y CGNAT

Hay tres situaciones habituales. Solo las dos primeras permiten conexiones entrantes a tu red.

Con el DDNS, el router o el firewall comunica al proveedor DDNS su dirección WAN cada vez que cambia, y el proveedor actualiza el nombre. Una conexión desde Internet sigue entonces este camino:

unifi.example.com → IP pública actual → router/firewall (redirección de puertos) → consola UniFi

Importante: el DDNS no resuelve el CGNAT

Con el Carrier-Grade NAT (CGNAT), el proveedor traduce las direcciones de muchos clientes a unas pocas direcciones IPv4 públicas. El nombre DDNS puede actualizarse correctamente, pero apunta a una dirección del proveedor, que no reenvía las conexiones entrantes a tu router. Por eso, una consola UniFi detrás de CGNAT no es accesible desde Internet por IPv4, con o sin DDNS.

Para saberlo, compara la dirección WAN que muestra tu router con la que indica una web del tipo «cuál es mi IP». Si son distintas, o si la dirección WAN está en 100.64.0.0/10 (espacio de direcciones compartido, RFC 6598) o en un rango privado (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, RFC 1918), tu conexión está detrás de CGNAT o de otro NAT. El artículo de Ubiquiti sobre DDNS cita estos mismos rangos como aquellos en los que el DDNS no puede funcionar.

Ejemplo: Starlink

Según las páginas de soporte de Starlink, la configuración IPv4 predeterminada usa CGNAT con direcciones de 100.64.0.0/10 y no permite tráfico entrante. Los clientes de Local Priority y Global Priority disponen de una opción de IPv4 pública. No es una dirección fija: Starlink la conserva con un sistema de reserva, pero trasladar la antena o una actualización de software pueden cambiarla. Incluso con esa opción, se recomienda el DDNS.

Alternativas si estás detrás de CGNAT

• Pide a tu proveedor una dirección IPv4 pública. No tiene que ser fija: basta una dirección pública dinámica con DDNS.

• VPN o túnel hacia un host con dirección IPv4 pública, por ejemplo un servidor en un centro de datos que reenvía el puerto a través del túnel hasta tu red.

• IPv6 puede hacer accesibles los dispositivos sin NAT, pero solo si todos los tramos del camino lo admiten. Sosto Labs Captive Portal se conecta a la consola UniFi solo por IPv4, así que IPv6 no es una opción en este caso.

• Cloudflare Tunnel: un servicio cloudflared en tu red abre una conexión saliente hacia Cloudflare, que publica un nombre de host sin puertos entrantes. El tráfico hacia ese nombre pasa por el proxy de Cloudflare. Que sirva para un servicio depende de cómo se conecte: Cloudflare Tunnel no es una configuración documentada para Sosto Labs Captive Portal.

Más sobre CGNAT y Starlink: IP dinámica, DDNS y CGNAT: hacer accesible la consola UniFi.

Elegir un proveedor DDNS

Los proveedores que puedes usar dependen de tu router o firewall. Algunos dispositivos ofrecen una lista de proveedores predefinidos. Otros aceptan una URL de actualización personalizada, compatible con la mayoría de los proveedores que publican una. Algunos fabricantes tienen además su propio servicio, como MyFRITZ! para FRITZ!Box o FortiGuard DDNS para FortiGate.

Entre los proveedores más usados están No-IP, DuckDNS, Dynu y Dyn. Si el DNS de tu dominio está en Cloudflare, puedes actualizar un registro mediante la API de Cloudflare: algunos dispositivos, entre ellos los gateways UniFi, lo admiten directamente. Antes de crear una cuenta, comprueba que tu dispositivo admite el proveedor y si este pide usuario y contraseña o un token.

UniFi Cloud Gateway y UniFi Gateway

En los gateways UniFi, el DDNS se configura para cada WAN en la aplicación UniFi Network. Los pasos y las capturas se refieren a UniFi Network 10.5.67; los nombres de los menús y la disposición pueden cambiar de una versión a otra. Las etiquetas son las de la interfaz en inglés.

1. En UniFi Network, abre Settings (el icono del engranaje abajo a la izquierda) → Internet.

2. Haz clic en la WAN que recibe las conexiones entrantes, por ejemplo Internet 1 en WAN1. Los ajustes de la WAN se abren en un panel a la derecha.

3. En la sección Advanced, busca Dynamic DNS y haz clic en Create New. En la captura, Advanced está en Manual.

Figura 1 – Settings → Internet → WAN: la entrada Dynamic DNS en la sección Advanced.

1. En la ventana Dynamic DNS, rellena los campos:

   • Service: tu proveedor DDNS, o Custom.

   • Hostname: el nombre completo, por ejemplo unifi.example.com.

   • Username y Password: las credenciales o el token que pide el proveedor.

   • Server: solo lo necesitan algunos proveedores. Déjalo vacío salvo que tu proveedor indique otra cosa.

2. Haz clic en Create y después en Apply Changes en el panel de la WAN.

Figura 2 – Configuración del DNS dinámico en UniFi Network.

Ubiquiti indica estos servicios compatibles: afraid, cloudflare, dnspark, dslreports, dyndns, easydns, namecheap, noip, sitelutions y zoneedit. Otros proveedores pueden funcionar, pero no tienen soporte oficial. El cliente DDNS se basa en Inadyn, por eso el campo Server sigue las convenciones de Inadyn.

AVM FRITZ!Box

¿MyFRITZ! o DynDNS?

Un FRITZ!Box ofrece dos formas distintas de obtener un nombre de host:

• MyFRITZ! es el servicio gratuito de AVM. Una vez registrado el FRITZ!Box, recibe una dirección MyFRITZ! del tipo xxxxxxxxxxxx.myfritz.net, y los puertos compartidos son accesibles en esa dirección más el puerto. El nombre no lo eliges tú, y el acceso usa el mismo protocolo IP que tu conexión a Internet: en una línea solo IPv6 o DS-Lite, MyFRITZ! solo es accesible por IPv6.

• DynDNS actualiza un nombre de host en el proveedor que elijas, por ejemplo un nombre en tu propio dominio.

Ambos pueden servir como nombre de host para Captive Portal, siempre que la conexión tenga una dirección IPv4 pública. Usa DynDNS si quieres un nombre en tu propio dominio.

Configurar DynDNS

Los pasos y la captura se refieren a un FRITZ!Box 7682 con un FRITZ!OS reciente y la interfaz en inglés. Los nombres de los menús y la disposición pueden variar según el modelo y la versión de FRITZ!OS.

1. En la interfaz del FRITZ!Box, haz clic en Internet → Permit Access.

2. Abre la pestaña DynDNS, junto a Port Sharing y FRITZ!Box Services.

3. Marca Use DynDNS.

4. Introduce los datos de la cuenta de tu proveedor DynDNS:

   • Update URL: la URL de actualización que publica tu proveedor (ver más abajo).

   • Domain name: el nombre de host, por ejemplo unifi.example.com.

   • Username y Password: las credenciales o el token del proveedor.

5. Haz clic en Apply.

Figura 3 – Ajustes de DynDNS en FRITZ!OS (FRITZ!Box 7682).

En la URL de actualización, el FRITZ!Box sustituye variables como <domain>, <username>, <pass>, <ipaddr> y <ip6addr> por los valores actuales. El artículo de la base de conocimientos de AVM incluye URL listas para usar con varios proveedores, entre ellos DuckDNS, No-IP, Dyn y STRATO.

La redirección de puertos hacia la consola está en el mismo menú: Internet → Permit Access → Port Sharing.

Fortinet FortiGate

En un FortiGate, el DDNS está en Network → DNS. El aspecto de esta página depende de la versión de FortiOS, así que verás una de las dos variantes siguientes.

Interruptor FortiGuard DDNS en DNS Settings

La figura 4 muestra esta variante. La versión de FortiOS no se ve en la captura.

1. Ve a Network → DNS.

2. En DNS servers, deja seleccionado Use FortiGuard Servers: FortiGuard DDNS se apoya en los DNS de FortiGuard.

3. Activa FortiGuard DDNS.

4. En Interface, elige la interfaz WAN con la dirección dinámica, por ejemplo wan1.

5. Deja Use public IP address desactivado si esa interfaz recibe ella misma la dirección pública. Actívalo solo si el FortiGate está detrás de otro dispositivo NAT (ver más abajo).

6. Elige el Server (el dominio de FortiGuard, por ejemplo fortiddns.com) e introduce una Unique location. El nombre de host resultante aparece en Domain, por ejemplo misede.fortiddns.com.

7. Haz clic en Apply.

Figura 4 – Configuración del DNS dinámico en FortiGate (FortiGuard DDNS).

Tabla Dynamic DNS (FortiOS 7.4 y 7.6 Administration Guide)

La Administration Guide actual de Fortinet describe una tabla que puede contener varias entradas:

1. Ve a Network → DNS.

2. En la tabla Dynamic DNS, haz clic en Create new. Se abre el panel New DDNS Entry.

3. Elige Interface y Server e introduce la Unique Location.

4. Haz clic en OK y después en Apply.

FortiGuard DDNS ofrece los dominios float-zone.com, fortiddns.com y fortidyndns.com. Según Fortinet, el servicio DDNS no requiere licencia ni suscripción.

Los proveedores de terceros y la opción genericDDNS, basada en la RFC 2136, se configuran en la CLI. La guía de Fortinet da esta plantilla; los comandos disponibles varían según el servidor elegido:

config system ddns
    edit <DDNS_ID>
        set monitor-interface <external_interface>
        set ddns-server <ddns_server_selection>
        set server-type {ipv4 | ipv6}
        set ddns-server-addr <address>
    next
end

Si el FortiGate está detrás de otro dispositivo NAT y su interfaz WAN no tiene la dirección pública, no puede detectar por sí solo los cambios de IP. Activa Use public IP address en la interfaz gráfica, o use-public-ip en la CLI; update-interval define cada cuánto comprueba:

config system ddns
    edit 1
        set use-public-ip enable
        set update-interval <seconds>
    next
end

Con update-interval en 0, FortiGuard DDNS comprueba cada 300 segundos, mientras que los servidores de terceros fijan su propio intervalo.

Zyxel

No tenemos capturas de Zyxel: estas son las rutas de las guías de usuario oficiales de Zyxel. Los menús y los proveedores disponibles dependen del modelo y del firmware.

• Serie USG FLEX H (uOS): System → DNS & DDNS → DDNS. Puedes elegir un DDNS Type predefinido (DynDNS, Dynu, No-IP, Peanut Hull, 3322, Selfhost) o User custom para una URL de actualización. La opción Public IP está pensada para dispositivos detrás de otro router con NAT.

• Firewalls ZLD (por ejemplo ATP, ZLD 5.x): Configuration → Network → DDNS.

• Security gateways Nebula: Site-wide → Configure → Security gateway → Interface addressing, sección Dynamic DNS.

Zyxel también indica que para usar el DNS dinámico hace falta una dirección IP WAN pública.

Cómo comprobar que el DNS dinámico funciona

1. Consulta el nombre de host desde un ordenador:

   nslookup unifi.example.com

   o

   dig +short unifi.example.com

2. Compara el resultado con la dirección WAN que muestra el router o el firewall y con la que indica una web del tipo «cuál es mi IP». Las tres deben coincidir.

3. Si el nombre sigue mostrando una dirección antigua, revisa el estado del DDNS en el dispositivo y espera unos minutos: las respuestas DNS pueden quedar en caché durante el TTL del registro.

Una respuesta DNS correcta solo demuestra que el nombre apunta a la dirección correcta. No demuestra que el puerto sea accesible: la redirección de puertos y las reglas del firewall se configuran aparte, y algunos proveedores bloquean las conexiones entrantes. La comprobación final es la prueba de conexión en Captive Portal (ver más abajo).

Usar el DDNS con Sosto Labs Captive Portal

Cuando la consola UniFi está detrás de una IP pública dinámica, un nombre DDNS permite que Captive Portal siga por sí solo los cambios de dirección. En los ajustes de la sede, sección Controlador UniFi, introduce en Host / IP el nombre en lugar de la dirección IP, junto con el puerto externo de la redirección:

1. Mantén la redirección de puertos descrita en Conectar Captive Portal a tu consola UniFi: puerto externo que elijas → IP interna de la consola, puerto 443, origen permitido: solo 185.177.61.37.

2. Si la consola usa su propio certificado autofirmado, deja Verificar el certificado TLS sin marcar. El certificado no contiene tu nombre DDNS, así que la verificación fallaría.

3. Haz clic en Guardar y después en Ejecutar prueba en el recuadro Prueba de conexión.

Si la prueba falla por tiempo de espera, comprueba que el nombre apunta a tu IP pública actual, y después la redirección de puertos y la IP de origen permitida. Más comprobaciones en La página de acceso no se abre o el invitado no navega.

En resumen

Con una IP pública dinámica, configura el DDNS en el gateway o el firewall que gestiona la conexión a Internet, comprueba que el nombre apunta a la dirección actual e introduce el nombre en Captive Portal. El DDNS no abre puertos ni evita el CGNAT: para eso necesitas una dirección IPv4 pública del proveedor o un túnel.

Fuentes y más información

• Ubiquiti: UniFi Gateway – Dynamic DNS

• Ubiquiti: Setting Up Public Access to Local Resources in UniFi

• AVM: Setting up dynamic DNS in the FRITZ!Box

• AVM: Setting up MyFRITZ! sharings

• AVM: Configuring static port sharing in the FRITZ!Box

• Fortinet: FortiOS 7.6 Administration Guide – DDNS

• Zyxel: USG FLEX 100H User’s Guide V1.30 (PDF)

• Zyxel: ATP ZLD 5.42 User’s Guide – DDNS

• Zyxel: Nebula Control Center – Security gateway configuration

• Starlink: What IP address does Starlink provide?

• Cloudflare: Cloudflare Tunnel, Dynamically update DNS records

• IETF: RFC 6598 – Shared Address Space, RFC 1918 – Private Address Space