DynDNS trotz CGNAT und DS-Lite.

Warum DynDNS bei CGNAT nicht einfach „kaputt“ ist

Dynamic DNS löst ein sehr konkretes Problem: Eine wechselnde öffentliche IP-Adresse wird unter einem festen Hostnamen erreichbar. CGNAT verändert diese Voraussetzung. Der Router bekommt dann keine eigene öffentliche IPv4, sondern eine Adresse aus einem gemeinsam genutzten Bereich – häufig 100.64.0.0/10. Der Internetanbieter übersetzt viele Kunden gemeinsam auf öffentliche IPv4-Adressen.

Ein A-Record mit der CGNAT-Adresse würde deshalb nichts nützen. Die Adresse ist aus dem öffentlichen Internet nicht direkt zu deinem Anschluss routbar. Genau aus diesem Grund publiziert minIP keine CGNAT-, privaten oder reservierten Adressen.

DS-Lite: öffentliche IPv6, geteilte IPv4

Bei Dual-Stack Lite (DS-Lite) ist die Situation typischerweise asymmetrisch: IPv6 ist global routbar, IPv4 läuft über CGNAT. Für einen Dienst, der IPv6 beherrscht, kann ein AAAA-Record deshalb vollkommen ausreichen. Ein klassischer IPv4-Portforward funktioniert dagegen nicht, weil die öffentliche IPv4 nicht exklusiv deinem Router gehört.

minIP bewertet IPv4 und IPv6 getrennt. Meldet ein Router eine CGNAT-IPv4 und gleichzeitig eine gültige globale IPv6, wird die nicht publizierbare IPv4 verworfen, während das AAAA-Update trotzdem durchgeführt werden kann. Eine schlechte IPv4 darf also ein gutes IPv6-Update nicht blockieren.

Woran erkenne ich CGNAT?

• Die WAN-IPv4 im Router beginnt mit 100.64 bis 100.127 oder ist anderweitig nicht öffentlich routbar.
• Die WAN-Adresse im Router unterscheidet sich von der IPv4, die eine öffentliche „Wie ist meine IP?“-Seite zeigt.
• Portfreigaben sind korrekt eingerichtet, der Anschluss bleibt von aussen über IPv4 aber unerreichbar.
• Der Provider bezeichnet den Anschluss als DS-Lite, CGNAT oder IPv6 mit geteilter IPv4.

Ein Unterschied zwischen Router-IP und beobachteter Internet-IP ist ein starkes Indiz, aber noch kein vollständiger Beweis. Manche Router stehen zusätzlich hinter einem eigenen vorgeschalteten NAT-Gerät. Entscheidend ist, ob der Anschluss eine direkt zugeordnete, global routbare Adresse besitzt.

Was minIP bei DS-Lite macht

Der DynDNS2-Endpunkt akzeptiert IPv4 und IPv6 getrennt. Für kompatible Clients stehen die Parameter myip und myipv6 zur Verfügung. Wird keine Adresse explizit übergeben, kann minIP auch die beobachtete Quelladresse des authentifizierten Update-Requests verwenden – allerdings nur, wenn sie global routbar ist.

Ein wichtiger Sonderfall: Ein Router sendet nur myip=100.64.x.x, baut den Update-Request aber über IPv6 auf und sendet kein myipv6. Dann bleibt keine publizierbare Adresse übrig und minIP antwortet korrekt mit dnserr. Bei DS-Lite sollte deshalb die IPv6-Aktualisierung beziehungsweise myipv6 im Router aktiviert werden.

Von aussen erreichbar über IPv6

Eine globale IPv6 allein garantiert noch keinen Zugriff. Die Firewall des Routers muss eingehende Verbindungen zum gewünschten Gerät erlauben. Anders als bei klassischem IPv4-NAT ist häufig keine Portweiterleitung nötig; stattdessen entscheidet die IPv6-Firewall, ob ein Paket zum internen Host durchgelassen wird.

Auch das zugreifende Netz muss IPv6 beherrschen. Ein Mobilfunknetz, Hotel-WLAN oder Firmennetz ohne funktionierendes IPv6 kann einen reinen AAAA-Endpunkt nicht erreichen. Wer maximale Kompatibilität braucht, benötigt zusätzlich eine echte öffentliche IPv4, einen Tunnel/VPN oder einen Reverse-Proxy-Dienst.

CGNAT ist kein DynDNS-Fehler

DynDNS und Erreichbarkeit werden oft verwechselt. DynDNS sorgt dafür, dass der Name auf die richtige Adresse zeigt. Ob diese Adresse tatsächlich direkt erreichbar ist, entscheidet das Netzdesign des Providers. minIP macht diese Unterscheidung sichtbar, indem nicht globale Adressen bewusst abgewiesen werden, anstatt einen technisch nutzlosen A-Record zu publizieren.

Passende Anleitungen und Vergleiche