DNS dinamico (DDNS) per UniFi: UniFi Gateway, FRITZ!Box e FortiGate

Sosto Labs Captive Portal è un servizio in hosting: per autorizzare gli ospiti, il nostro server si collega alla tua console UniFi via Internet, attraverso un port forwarding sul router o sul firewall. Funziona solo se la connessione ha un indirizzo IPv4 pubblico che il servizio può trovare.

Se il provider ti assegna un IP pubblico fisso, puoi usarlo direttamente. Se l’indirizzo cambia di tanto in tanto, un nome DNS dinamico (DDNS) punta sempre all’indirizzo attuale e non devi più aggiornare a mano le impostazioni della sede. Questa guida spiega come configurare il DDNS sul dispositivo che gestisce la connessione Internet: UniFi Cloud Gateway e UniFi Gateway, AVM FRITZ!Box, Fortinet FortiGate e, in base alle guide ufficiali Zyxel, i firewall Zyxel.

IP fisso, IP dinamico e CGNAT

Ci sono tre situazioni tipiche. Solo le prime due permettono connessioni in entrata verso la tua rete.

Con il DDNS, il router o il firewall comunica al fornitore DDNS il proprio indirizzo WAN ogni volta che cambia, e il fornitore aggiorna il nome. Una connessione da Internet segue quindi questo percorso:

unifi.example.com → IP pubblico attuale → router/firewall (port forwarding) → console UniFi

Importante: il DDNS non risolve il CGNAT

Con il Carrier-Grade NAT (CGNAT) il provider traduce gli indirizzi di molti clienti in pochi indirizzi IPv4 pubblici. Il nome DDNS può aggiornarsi correttamente, ma punta a un indirizzo del provider, che non inoltra le connessioni in entrata al tuo router. Una console UniFi dietro CGNAT quindi non è raggiungibile da Internet via IPv4, con o senza DDNS.

Per scoprirlo, confronta l’indirizzo WAN mostrato dal router con quello indicato da un sito come “qual è il mio IP”. Se sono diversi, o se l’indirizzo WAN è in 100.64.0.0/10 (spazio di indirizzi condiviso, RFC 6598) o in un intervallo privato (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, RFC 1918), la connessione è dietro CGNAT o un altro NAT. Anche l’articolo di Ubiquiti sul DDNS elenca questi intervalli come quelli in cui il DDNS non può funzionare.

Esempio: Starlink

Secondo le pagine di supporto di Starlink, la configurazione IPv4 predefinita usa il CGNAT con indirizzi di 100.64.0.0/10 e non permette traffico in entrata. Un’opzione IPv4 pubblico è disponibile per i clienti Local Priority e Global Priority. Non è un indirizzo fisso: Starlink lo mantiene con un sistema di riserva, ma spostare l’antenna o un aggiornamento software possono cambiarlo. Anche con questa opzione il DDNS resta consigliato.

Alternative se sei dietro CGNAT

• Chiedi al provider un indirizzo IPv4 pubblico. Non deve essere fisso: basta un indirizzo pubblico dinamico con il DDNS.

• VPN o tunnel verso un host con indirizzo IPv4 pubblico, ad esempio un server in un data center che inoltra la porta attraverso il tunnel fino alla tua rete.

• IPv6 può rendere raggiungibili i dispositivi senza NAT, ma solo se ogni tratto del percorso lo supporta. Sosto Labs Captive Portal si collega alla console UniFi solo via IPv4, quindi per Captive Portal IPv6 non è una soluzione.

• Cloudflare Tunnel: un servizio cloudflared nella tua rete apre una connessione in uscita verso Cloudflare, che pubblica un nome host senza porte in entrata. Il traffico verso quel nome passa dal proxy di Cloudflare. Se vada bene per un servizio dipende da come il servizio si collega: Cloudflare Tunnel non è una configurazione documentata per Sosto Labs Captive Portal.

Approfondimento su CGNAT e Starlink: IP dinamico, DDNS e CGNAT: rendere raggiungibile la console UniFi.

Scegliere un fornitore DDNS

I fornitori che puoi usare dipendono dal router o dal firewall. Alcuni dispositivi offrono un elenco di fornitori predefiniti. Altri accettano un URL di aggiornamento personalizzato, che funziona con la maggior parte dei fornitori che ne pubblicano uno. Alcuni produttori hanno anche un servizio proprio, come MyFRITZ! per FRITZ!Box o FortiGuard DDNS per FortiGate.

Tra i fornitori più usati ci sono No-IP, DuckDNS, Dynu e Dyn. Se il DNS del tuo dominio è su Cloudflare, puoi aggiornare un record tramite l’API di Cloudflare: alcuni dispositivi, tra cui i gateway UniFi, lo supportano direttamente. Prima di creare un account, verifica che il tuo dispositivo supporti il fornitore e se richiede nome utente e password o un token.

UniFi Cloud Gateway e UniFi Gateway

Sui gateway UniFi il DDNS si imposta per ogni WAN nell’applicazione UniFi Network. Passi e screenshot si riferiscono a UniFi Network 10.5.67; nomi dei menu e disposizione possono cambiare da una versione all’altra. Le etichette sono quelle dell’interfaccia in inglese.

1. In UniFi Network apri Settings (l’icona a ingranaggio in basso a sinistra) → Internet.

2. Clicca la WAN che riceve le connessioni in entrata, ad esempio Internet 1 su WAN1. Le impostazioni della WAN si aprono in un pannello a destra.

3. Nella sezione Advanced trova Dynamic DNS e clicca Create New. Nello screenshot Advanced è impostato su Manual.

Figura 1 – Settings → Internet → WAN: la voce Dynamic DNS nella sezione Advanced.

1. Nella finestra Dynamic DNS compila i campi:

   • Service: il tuo fornitore DDNS, oppure Custom.

   • Hostname: il nome completo, ad esempio unifi.example.com.

   • Username e Password: le credenziali o il token richiesti dal fornitore.

   • Server: serve solo con alcuni fornitori. Lascialo vuoto, salvo indicazioni diverse del fornitore.

2. Clicca Create, poi Apply Changes nel pannello della WAN.

Figura 2 – Configurazione del DNS dinamico in UniFi Network.

Ubiquiti elenca questi servizi supportati: afraid, cloudflare, dnspark, dslreports, dyndns, easydns, namecheap, noip, sitelutions e zoneedit. Altri fornitori possono funzionare, ma non sono supportati ufficialmente. Il client DDNS è basato su Inadyn, per questo il campo Server segue le convenzioni di Inadyn.

AVM FRITZ!Box

MyFRITZ! o DynDNS?

Un FRITZ!Box offre due modi diversi per avere un nome host:

• MyFRITZ! è il servizio gratuito di AVM. Dopo aver registrato il FRITZ!Box ricevi un indirizzo MyFRITZ! come xxxxxxxxxxxx.myfritz.net, e le condivisioni delle porte sono raggiungibili a quell’indirizzo più la porta. Il nome non lo scegli tu, e l’accesso usa lo stesso protocollo IP della connessione Internet: su una linea solo IPv6 o DS-Lite, MyFRITZ! è raggiungibile solo via IPv6.

• DynDNS aggiorna un nome host presso un fornitore a tua scelta, ad esempio un nome nel tuo dominio.

Entrambi possono fare da nome host per Captive Portal, purché la connessione abbia un indirizzo IPv4 pubblico. Usa DynDNS se vuoi un nome nel tuo dominio.

Configurare DynDNS

Passi e screenshot si riferiscono a un FRITZ!Box 7682 con un FRITZ!OS recente, con l’interfaccia in inglese. Nomi dei menu e disposizione possono variare in base al modello e alla versione di FRITZ!OS.

1. Nell’interfaccia del FRITZ!Box clicca Internet → Permit Access.

2. Apri la scheda DynDNS, accanto a Port Sharing e FRITZ!Box Services.

3. Spunta Use DynDNS.

4. Inserisci i dati dell’account del fornitore DynDNS:

   • Update URL: l’URL di aggiornamento pubblicato dal fornitore (vedi sotto).

   • Domain name: il nome host, ad esempio unifi.example.com.

   • Username e Password: le credenziali o il token del fornitore.

5. Clicca Apply.

Figura 3 – Impostazioni DynDNS in FRITZ!OS (FRITZ!Box 7682).

Nell’URL di aggiornamento il FRITZ!Box sostituisce segnaposto come <domain>, <username>, <pass>, <ipaddr> e <ip6addr> con i valori attuali. L’articolo della knowledge base AVM riporta URL già pronti per diversi fornitori, tra cui DuckDNS, No-IP, Dyn e STRATO.

Il port forwarding verso la console si trova nello stesso menu: Internet → Permit Access → Port Sharing.

Fortinet FortiGate

Su un FortiGate il DDNS si trova in Network → DNS. L’aspetto di questa pagina dipende dalla versione di FortiOS: potresti vedere una delle due varianti qui sotto.

Interruttore FortiGuard DDNS in DNS Settings

La figura 4 mostra questa variante. La versione di FortiOS non è visibile nello screenshot.

1. Vai in Network → DNS.

2. In DNS servers lascia selezionato Use FortiGuard Servers: FortiGuard DDNS si appoggia ai DNS FortiGuard.

3. Attiva FortiGuard DDNS.

4. In Interface scegli l’interfaccia WAN con l’indirizzo dinamico, ad esempio wan1.

5. Lascia disattivato Use public IP address se è quell’interfaccia a ricevere l’indirizzo pubblico. Attivalo solo se il FortiGate è dietro un altro dispositivo NAT (vedi sotto).

6. Scegli il Server (il dominio FortiGuard, ad esempio fortiddns.com) e inserisci una Unique location. Il nome host risultante compare in Domain, ad esempio miasede.fortiddns.com.

7. Clicca Apply.

Figura 4 – Configurazione del DNS dinamico su FortiGate (FortiGuard DDNS).

Tabella Dynamic DNS (guida di amministrazione FortiOS 7.4 e 7.6)

La guida di amministrazione attuale di Fortinet descrive una tabella che può contenere più voci:

1. Vai in Network → DNS.

2. Nella tabella Dynamic DNS clicca Create new. Si apre il pannello New DDNS Entry.

3. Scegli Interface e Server e inserisci la Unique Location.

4. Clicca OK, poi Apply.

FortiGuard DDNS offre i domini float-zone.com, fortiddns.com e fortidyndns.com. Secondo Fortinet, per il servizio DDNS non servono licenze né abbonamenti.

I fornitori di terze parti e l’opzione genericDDNS, basata su RFC 2136, si configurano dalla CLI. La guida Fortinet riporta questo modello; i comandi disponibili cambiano in base al server scelto:

config system ddns
    edit <DDNS_ID>
        set monitor-interface <external_interface>
        set ddns-server <ddns_server_selection>
        set server-type {ipv4 | ipv6}
        set ddns-server-addr <address>
    next
end

Se il FortiGate è dietro un altro dispositivo NAT e la sua interfaccia WAN non ha l’indirizzo pubblico, non può accorgersi da solo dei cambi di IP. Attiva Use public IP address nell’interfaccia grafica, oppure use-public-ip dalla CLI; update-interval imposta ogni quanto controllare:

config system ddns
    edit 1
        set use-public-ip enable
        set update-interval <seconds>
    next
end

Con update-interval impostato a 0, FortiGuard DDNS controlla ogni 300 secondi, mentre i server di terze parti usano un intervallo proprio.

Zyxel

Per Zyxel non abbiamo screenshot: ecco i percorsi tratti dalle guide utente ufficiali Zyxel. Menu e fornitori disponibili dipendono dal modello e dal firmware.

• Serie USG FLEX H (uOS): System → DNS & DDNS → DDNS. Puoi scegliere un DDNS Type predefinito (DynDNS, Dynu, No-IP, Peanut Hull, 3322, Selfhost) oppure User custom per un URL di aggiornamento. L’opzione Public IP serve per i dispositivi dietro un altro router con NAT.

• Firewall ZLD (ad esempio ATP, ZLD 5.x): Configuration → Network → DDNS.

• Security gateway Nebula: Site-wide → Configure → Security gateway → Interface addressing, sezione Dynamic DNS.

Anche Zyxel precisa che per usare il DNS dinamico serve un indirizzo IP WAN pubblico.

Come verificare che il DNS dinamico funzioni

1. Cerca il nome host da un computer:

   nslookup unifi.example.com

   oppure

   dig +short unifi.example.com

2. Confronta il risultato con l’indirizzo WAN mostrato dal router o dal firewall e con quello indicato da un sito come “qual è il mio IP”. Devono coincidere tutti e tre.

3. Se il nome mostra ancora un indirizzo vecchio, controlla lo stato del DDNS sul dispositivo e aspetta qualche minuto: le risposte DNS possono restare in cache per la durata del TTL del record.

Una risposta DNS corretta dimostra solo che il nome punta all’indirizzo giusto. Non dimostra che la porta sia raggiungibile: port forwarding e regole del firewall vanno configurati a parte, e alcuni provider bloccano le connessioni in entrata. La verifica finale è il test di connessione in Captive Portal (vedi sotto).

Usare il DDNS con Sosto Labs Captive Portal

Quando la console UniFi è dietro un IP pubblico dinamico, un nome DDNS permette a Captive Portal di seguire da solo i cambi di indirizzo. Nelle impostazioni della sede, sezione Controller UniFi, inserisci in Host / IP il nome al posto dell’indirizzo IP, insieme alla porta esterna del port forwarding:

1. Mantieni il port forwarding come descritto in Collegare Captive Portal alla console UniFi: porta esterna a tua scelta → IP interno della console, porta 443, sorgente consentita: solo 185.177.61.37.

2. Se la console usa il suo certificato autofirmato, lascia senza spunta Verifica certificato TLS. Il certificato non contiene il tuo nome DDNS, quindi la verifica non riuscirebbe.

3. Premi Salva, poi Esegui test nel riquadro Test connessione.

Se il test non riesce per timeout, verifica che il nome punti al tuo IP pubblico attuale, poi il port forwarding e l’IP sorgente consentito. Altri controlli in La pagina di accesso non si apre o l’ospite non naviga.

In sintesi

Con un IP pubblico dinamico, configura il DDNS sul gateway o sul firewall che gestisce la connessione Internet, verifica che il nome punti all’indirizzo attuale e inserisci il nome in Captive Portal. Il DDNS non apre porte e non aggira il CGNAT: per quello servono un indirizzo IPv4 pubblico dal provider o un tunnel.

Fonti e approfondimenti

• Ubiquiti: UniFi Gateway – Dynamic DNS

• Ubiquiti: Setting Up Public Access to Local Resources in UniFi

• AVM: Setting up dynamic DNS in the FRITZ!Box

• AVM: Setting up MyFRITZ! sharings

• AVM: Configuring static port sharing in the FRITZ!Box

• Fortinet: FortiOS 7.6 Administration Guide – DDNS

• Zyxel: USG FLEX 100H User’s Guide V1.30 (PDF)

• Zyxel: ATP ZLD 5.42 User’s Guide – DDNS

• Zyxel: Nebula Control Center – Security gateway configuration

• Starlink: What IP address does Starlink provide?

• Cloudflare: Cloudflare Tunnel, Dynamically update DNS records

• IETF: RFC 6598 – Shared Address Space, RFC 1918 – Private Address Space