DNS dynamique pour UniFi : DDNS sur UniFi, FRITZ!Box et FortiGate

Sosto Labs Captive Portal est un service hébergé : pour autoriser les invités, notre serveur se connecte à votre console UniFi via Internet, grâce à une redirection de port sur votre routeur ou votre pare-feu. Cela ne fonctionne que si la connexion dispose d’une adresse IPv4 publique que le service peut trouver.

Si votre fournisseur vous attribue une IP publique fixe, vous pouvez l’utiliser directement. Si l’adresse change de temps en temps, un nom DNS dynamique (DDNS) pointe toujours vers l’adresse actuelle, et vous n’avez plus à modifier à la main les paramètres du site. Ce guide explique comment configurer le DDNS sur l’appareil qui gère votre connexion Internet : UniFi Cloud Gateway et UniFi Gateway, AVM FRITZ!Box, Fortinet FortiGate et, d’après les guides officiels de Zyxel, les pare-feu Zyxel.

IP fixe, IP dynamique et CGNAT

Trois situations sont courantes. Seules les deux premières permettent des connexions entrantes vers votre réseau.

Avec le DDNS, le routeur ou le pare-feu communique son adresse WAN au fournisseur DDNS à chaque changement, et le fournisseur met à jour le nom. Une connexion depuis Internet suit alors ce chemin :

unifi.example.com → IP publique actuelle → routeur/pare-feu (redirection de port) → console UniFi

Important : le DDNS ne résout pas le CGNAT

Avec le Carrier-Grade NAT (CGNAT), le fournisseur traduit les adresses de nombreux clients vers quelques adresses IPv4 publiques. Le nom DDNS peut se mettre à jour correctement, mais il pointe vers une adresse du fournisseur, qui ne redirige pas les connexions entrantes vers votre routeur. Une console UniFi derrière un CGNAT n’est donc pas joignable depuis Internet en IPv4, avec ou sans DDNS.

Pour le savoir, comparez l’adresse WAN affichée par votre routeur avec celle indiquée par un site du type « quelle est mon IP ». Si elles diffèrent, ou si l’adresse WAN se trouve dans 100.64.0.0/10 (espace d’adressage partagé, RFC 6598) ou dans une plage privée (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, RFC 1918), votre connexion est derrière un CGNAT ou un autre NAT. L’article d’Ubiquiti sur le DDNS cite ces mêmes plages comme celles où le DDNS ne peut pas fonctionner.

Exemple : Starlink

Selon les pages d’assistance de Starlink, la configuration IPv4 par défaut utilise le CGNAT avec des adresses de 100.64.0.0/10 et n’autorise pas le trafic entrant. Une option IPv4 publique est proposée aux clients Local Priority et Global Priority. Ce n’est pas une adresse fixe : Starlink la conserve grâce à un système de réservation, mais un déplacement de l’antenne ou une mise à jour logicielle peut la changer. Avec cette option, le DDNS reste donc recommandé.

Alternatives derrière un CGNAT

• Demandez une adresse IPv4 publique à votre fournisseur. Elle n’a pas besoin d’être fixe : une adresse publique dynamique avec un DDNS suffit.

• VPN ou tunnel vers un hôte disposant d’une adresse IPv4 publique, par exemple un serveur en datacenter qui redirige le port à travers le tunnel jusqu’à votre réseau.

• IPv6 peut rendre les appareils joignables sans NAT, mais seulement si chaque élément du chemin le prend en charge. Sosto Labs Captive Portal se connecte à la console UniFi uniquement en IPv4 : IPv6 n’est donc pas une solution dans ce cas.

• Cloudflare Tunnel : un service cloudflared dans votre réseau ouvre une connexion sortante vers Cloudflare, qui publie un nom d’hôte sans port entrant. Le trafic vers ce nom passe par le proxy de Cloudflare. Que cela convienne à un service dépend de la façon dont il se connecte : Cloudflare Tunnel n’est pas une configuration documentée pour Sosto Labs Captive Portal.

Pour en savoir plus sur le CGNAT et Starlink : IP dynamique, DDNS et CGNAT : rendre la console UniFi joignable.

Choisir un fournisseur DDNS

Les fournisseurs utilisables dépendent de votre routeur ou de votre pare-feu. Certains appareils proposent une liste de fournisseurs prédéfinis. D’autres acceptent une URL de mise à jour personnalisée, compatible avec la plupart des fournisseurs qui en publient une. Certains fabricants proposent aussi leur propre service, comme MyFRITZ! pour la FRITZ!Box ou FortiGuard DDNS pour FortiGate.

Parmi les fournisseurs les plus répandus figurent No-IP, DuckDNS, Dynu et Dyn. Si le DNS de votre domaine est hébergé chez Cloudflare, vous pouvez mettre à jour un enregistrement via l’API Cloudflare : certains appareils, dont les passerelles UniFi, le prennent en charge directement. Avant de créer un compte, vérifiez que votre appareil prend en charge le fournisseur et s’il faut un nom d’utilisateur et un mot de passe ou un jeton.

UniFi Cloud Gateway et UniFi Gateway

Sur les passerelles UniFi, le DDNS se configure pour chaque WAN dans l’application UniFi Network. Les étapes et captures d’écran se rapportent à UniFi Network 10.5.67 ; les noms de menus et la disposition peuvent changer d’une version à l’autre. Les libellés sont ceux de l’interface en anglais.

1. Dans UniFi Network, ouvrez Settings (l’icône d’engrenage en bas à gauche) → Internet.

2. Cliquez sur le WAN qui reçoit les connexions entrantes, par exemple Internet 1 sur WAN1. Les paramètres du WAN s’ouvrent dans un panneau à droite.

3. Dans la section Advanced, repérez Dynamic DNS et cliquez sur Create New. Sur la capture, Advanced est réglé sur Manual.

Figure 1 – Settings → Internet → WAN : l’entrée Dynamic DNS dans la section Advanced.

1. Dans la fenêtre Dynamic DNS, remplissez les champs :

   • Service : votre fournisseur DDNS, ou Custom.

   • Hostname : le nom complet, par exemple unifi.example.com.

   • Username et Password : les identifiants ou le jeton demandés par le fournisseur.

   • Server : nécessaire seulement pour certains fournisseurs. Laissez-le vide, sauf indication contraire de votre fournisseur.

2. Cliquez sur Create, puis sur Apply Changes dans le panneau du WAN.

Figure 2 – Configuration du DNS dynamique dans UniFi Network.

Ubiquiti cite ces services pris en charge : afraid, cloudflare, dnspark, dslreports, dyndns, easydns, namecheap, noip, sitelutions et zoneedit. D’autres fournisseurs peuvent fonctionner, sans être officiellement pris en charge. Le client DDNS repose sur Inadyn : c’est pourquoi le champ Server suit les conventions d’Inadyn.

AVM FRITZ!Box

MyFRITZ! ou DynDNS ?

Une FRITZ!Box offre deux façons différentes d’obtenir un nom d’hôte :

• MyFRITZ! est le service gratuit d’AVM. Une fois la FRITZ!Box enregistrée, elle reçoit une adresse MyFRITZ! du type xxxxxxxxxxxx.myfritz.net, et les partages de ports sont joignables à cette adresse suivie du port. Vous ne choisissez pas le nom, et l’accès utilise le même protocole IP que votre connexion Internet : sur une ligne IPv6 seule ou DS-Lite, MyFRITZ! n’est joignable qu’en IPv6.

• DynDNS met à jour un nom d’hôte chez un fournisseur de votre choix, par exemple un nom dans votre propre domaine.

Les deux peuvent servir de nom d’hôte pour Captive Portal, à condition que la connexion dispose d’une adresse IPv4 publique. Utilisez DynDNS si vous voulez un nom dans votre propre domaine.

Configurer DynDNS

Les étapes et la capture se rapportent à une FRITZ!Box 7682 avec un FRITZ!OS récent et l’interface en anglais. Les noms de menus et la disposition peuvent varier selon le modèle et la version de FRITZ!OS.

1. Dans l’interface de la FRITZ!Box, cliquez sur Internet → Permit Access.

2. Ouvrez l’onglet DynDNS, à côté de Port Sharing et FRITZ!Box Services.

3. Cochez Use DynDNS.

4. Saisissez les informations du compte de votre fournisseur DynDNS :

   • Update URL : l’URL de mise à jour publiée par votre fournisseur (voir plus bas).

   • Domain name : le nom d’hôte, par exemple unifi.example.com.

   • Username et Password : les identifiants ou le jeton du fournisseur.

5. Cliquez sur Apply.

Figure 3 – Paramètres DynDNS dans FRITZ!OS (FRITZ!Box 7682).

Dans l’URL de mise à jour, la FRITZ!Box remplace des variables comme <domain>, <username>, <pass>, <ipaddr> et <ip6addr> par les valeurs actuelles. L’article de la base de connaissances d’AVM donne des URL prêtes à l’emploi pour plusieurs fournisseurs, dont DuckDNS, No-IP, Dyn et STRATO.

La redirection de port vers la console se trouve dans le même menu : Internet → Permit Access → Port Sharing.

Fortinet FortiGate

Sur un FortiGate, le DDNS se trouve dans Network → DNS. La présentation de cette page dépend de la version de FortiOS : vous verrez l’une des deux variantes ci-dessous.

Interrupteur FortiGuard DDNS dans DNS Settings

La figure 4 montre cette variante. La version de FortiOS n’est pas visible sur la capture.

1. Allez dans Network → DNS.

2. Sous DNS servers, laissez Use FortiGuard Servers sélectionné : FortiGuard DDNS s’appuie sur les DNS FortiGuard.

3. Activez FortiGuard DDNS.

4. Dans Interface, sélectionnez l’interface WAN qui a l’adresse dynamique, par exemple wan1.

5. Laissez Use public IP address désactivé si cette interface reçoit elle-même l’adresse publique. Activez-le seulement si le FortiGate se trouve derrière un autre équipement NAT (voir plus bas).

6. Choisissez le Server (le domaine FortiGuard, par exemple fortiddns.com) et saisissez une Unique location. Le nom d’hôte obtenu s’affiche sous Domain, par exemple monsite.fortiddns.com.

7. Cliquez sur Apply.

Figure 4 – Configuration du DNS dynamique sur FortiGate (FortiGuard DDNS).

Tableau Dynamic DNS (FortiOS 7.4 et 7.6 Administration Guide)

L’Administration Guide actuel de Fortinet décrit un tableau qui peut contenir plusieurs entrées :

1. Allez dans Network → DNS.

2. Dans le tableau Dynamic DNS, cliquez sur Create new. Le panneau New DDNS Entry s’ouvre.

3. Sélectionnez Interface et Server, puis saisissez la Unique Location.

4. Cliquez sur OK, puis sur Apply.

FortiGuard DDNS propose les domaines float-zone.com, fortiddns.com et fortidyndns.com. Selon Fortinet, aucune licence ni aucun abonnement n’est nécessaire pour le service DDNS.

Les fournisseurs tiers et l’option genericDDNS, basée sur la RFC 2136, se configurent dans la CLI. Le guide Fortinet donne ce modèle ; les commandes disponibles varient selon le serveur choisi :

config system ddns
    edit <DDNS_ID>
        set monitor-interface <external_interface>
        set ddns-server <ddns_server_selection>
        set server-type {ipv4 | ipv6}
        set ddns-server-addr <address>
    next
end

Si le FortiGate se trouve derrière un autre équipement NAT et que son interface WAN n’a pas l’adresse publique, il ne peut pas détecter seul les changements d’IP. Activez Use public IP address dans l’interface graphique, ou use-public-ip dans la CLI ; update-interval définit la fréquence de vérification :

config system ddns
    edit 1
        set use-public-ip enable
        set update-interval <seconds>
    next
end

Avec update-interval à 0, FortiGuard DDNS vérifie toutes les 300 secondes, tandis que les serveurs tiers imposent leur propre intervalle.

Zyxel

Nous n’avons pas de captures d’écran Zyxel : voici les chemins tirés des guides utilisateur officiels de Zyxel. Les menus et les fournisseurs disponibles dépendent du modèle et du firmware.

• Série USG FLEX H (uOS) : System → DNS & DDNS → DDNS. Vous pouvez choisir un DDNS Type prédéfini (DynDNS, Dynu, No-IP, Peanut Hull, 3322, Selfhost) ou User custom pour une URL de mise à jour. L’option Public IP est prévue pour les appareils derrière un autre routeur NAT.

• Pare-feu ZLD (par exemple ATP, ZLD 5.x) : Configuration → Network → DDNS.

• Passerelles de sécurité Nebula : Site-wide → Configure → Security gateway → Interface addressing, section Dynamic DNS.

Zyxel précise également qu’une adresse IP WAN publique est nécessaire pour utiliser le DNS dynamique.

Vérifier que le DNS dynamique fonctionne

1. Interrogez le nom d’hôte depuis un ordinateur :

   nslookup unifi.example.com

   ou

   dig +short unifi.example.com

2. Comparez le résultat avec l’adresse WAN affichée par le routeur ou le pare-feu et avec celle indiquée par un site du type « quelle est mon IP ». Les trois doivent correspondre.

3. Si le nom affiche encore une ancienne adresse, vérifiez l’état du DDNS sur l’appareil et patientez quelques minutes : les réponses DNS peuvent rester en cache pendant la durée du TTL de l’enregistrement.

Une réponse DNS correcte prouve seulement que le nom pointe vers la bonne adresse. Elle ne prouve pas que le port est joignable : la redirection de port et les règles du pare-feu se configurent séparément, et certains fournisseurs bloquent les connexions entrantes. La vérification finale est le test de connexion dans Captive Portal (voir plus bas).

Utiliser le DDNS avec Sosto Labs Captive Portal

Lorsque la console UniFi se trouve derrière une IP publique dynamique, un nom DDNS permet à Captive Portal de suivre seul les changements d’adresse. Dans les paramètres du site, section Contrôleur UniFi, saisissez dans Hôte / IP le nom au lieu de l’adresse IP, avec le port externe de la redirection :

1. Conservez la redirection de port décrite dans Connecter Captive Portal à votre console UniFi : port externe de votre choix → IP interne de la console, port 443, source autorisée : uniquement 185.177.61.37.

2. Si la console utilise son propre certificat auto-signé, laissez Vérifier le certificat TLS décoché. Le certificat ne contient pas votre nom DDNS : la vérification échouerait.

3. Cliquez sur Enregistrer, puis sur Lancer le test dans le cadre Test de connexion.

Si le test échoue avec un délai dépassé, vérifiez que le nom pointe vers votre IP publique actuelle, puis la redirection de port et l’IP source autorisée. D’autres vérifications dans La page de connexion ne s’ouvre pas ou l’invité ne peut pas naviguer.

En résumé

Avec une IP publique dynamique, configurez le DDNS sur la passerelle ou le pare-feu qui gère la connexion Internet, vérifiez que le nom pointe vers l’adresse actuelle et saisissez le nom dans Captive Portal. Le DDNS n’ouvre aucun port et ne contourne pas le CGNAT : pour cela, il faut une adresse IPv4 publique du fournisseur ou un tunnel.

Sources et pour aller plus loin

• Ubiquiti: UniFi Gateway – Dynamic DNS

• Ubiquiti: Setting Up Public Access to Local Resources in UniFi

• AVM: Setting up dynamic DNS in the FRITZ!Box

• AVM: Setting up MyFRITZ! sharings

• AVM: Configuring static port sharing in the FRITZ!Box

• Fortinet: FortiOS 7.6 Administration Guide – DDNS

• Zyxel: USG FLEX 100H User’s Guide V1.30 (PDF)

• Zyxel: ATP ZLD 5.42 User’s Guide – DDNS

• Zyxel: Nebula Control Center – Security gateway configuration

• Starlink: What IP address does Starlink provide?

• Cloudflare: Cloudflare Tunnel, Dynamically update DNS records

• IETF: RFC 6598 – Shared Address Space, RFC 1918 – Private Address Space