DynDNS hinter CGNAT und DS-Lite: Warum es nicht funktioniert und was stattdessen hilft

Sie haben DynDNS in der FRITZ!Box eingerichtet oder einen Client für DuckDNS oder No-IP installiert. Der Name löst auf, der Dienst läuft, und trotzdem bricht jeder Verbindungsversuch von außen mit einer Zeitüberschreitung ab.

In vielen Fällen ist weder der DynDNS-Dienst noch Ihre Konfiguration schuld, sondern die Anschlussart: CGNAT oder DS-Lite. Diese Anleitung erklärt, warum DynDNS dann für IPv4 nicht funktionieren kann, was über IPv6 noch geht und welche DynDNS-Alternativen es gibt.

Was DynDNS macht

Die öffentliche IP-Adresse eines privaten Internetanschlusses ändert sich bei vielen Anbietern von Zeit zu Zeit. Damit Sie Ihren Server trotzdem unter einem festen Namen erreichen, gibt es DynDNS (dynamisches DNS): Ein kleiner Client meldet die aktuelle Adresse regelmäßig an einen DNS-Dienst, und der Name wird automatisch umgestellt.

Diesen Client gibt es in verschiedenen Formen:

• In der FRITZ!Box: die eingebaute DynDNS-Funktion unter Internet > Freigaben und der Dienst MyFRITZ!, der Ihrer FRITZ!Box einen festen Namen gibt.
• Bei Diensten wie DuckDNS oder No-IP: ein Update-Client auf Ihrem Server oder Router, der die Adresse an den Dienst übermittelt.

Das Prinzip ist immer dasselbe: Der Name zeigt auf die Adresse, die Ihr Anschluss gerade hat. Das setzt voraus, dass es eine solche Adresse gibt, die eingehende Verbindungen an Sie weitergibt.

Warum DynDNS hinter CGNAT und DS-Lite nicht funktioniert

Bei CGNAT und bei DS-Lite bekommt Ihr Anschluss keine eigene öffentliche IPv4-Adresse. Ihr IPv4-Verkehr läuft über ein Carrier-Grade NAT (CGNAT) Ihres Anbieters, das eine öffentliche IPv4-Adresse unter vielen Kunden aufteilt. Bei DS-Lite wird der IPv4-Verkehr dafür zusätzlich über IPv6 zum Anbieter getunnelt.

Für DynDNS hat das eine einfache Folge: Je nachdem, wie der Client die Adresse ermittelt, trägt er entweder gar keine IPv4 ein oder die IPv4, die der Update-Dienst als Absender sieht. Diese Adresse gehört aber dem CGNAT Ihres Anbieters, nicht Ihnen. Kommt dort eine Verbindung an, weiß das CGNAT nicht, für welchen Kunden sie bestimmt ist, und verwirft sie.

Das typische Bild:

• Der DynDNS-Name löst auf, ping oder nslookup zeigen eine Adresse.
• Verbindungen über IPv4 laufen in eine Zeitüberschreitung, egal welcher Port.
• Eine Portfreigabe in der FRITZ!Box ändert daran nichts, weil die Verbindung den Router nie erreicht.

DynDNS kann dieses Problem nicht lösen, denn es ändert nur, wohin ein Name zeigt, nicht, ob die Adresse dahinter erreichbar ist. Auch ein Wechsel von der FRITZ!Box-Funktion zu DuckDNS oder No-IP, ein anderer Update-Client oder ein kürzeres Update-Intervall helfen deshalb nicht.

Was über IPv6 funktioniert

Bei DS-Lite hat Ihr Anschluss eine vollwertige öffentliche IPv6-Adresse. Viele DynDNS-Dienste, darunter DuckDNS und No-IP, können neben dem A-Record für IPv4 auch einen AAAA-Record für IPv6 pflegen, und MyFRITZ! nutzt hinter DS-Lite ohnehin nur IPv6.

Damit das funktioniert, müssen drei Dinge stimmen:

1. Der AAAA-Record zeigt auf die IPv6-Adresse des Geräts, das den Dienst anbietet, nicht auf die der FRITZ!Box.
2. Die FRITZ!Box lässt eingehende IPv6-Verbindungen zu diesem Gerät zu. Das richten Sie als IPv6-Freigabe für das Gerät unter Internet > Freigaben ein.
3. Die Firewall auf dem Gerät selbst lässt die Verbindungen durch.

Der Haken: Nur Besucher, die selbst eine IPv6-Verbindung haben, erreichen Sie so. Manche Firmen-, Hotel- und Gäste-WLANs und manche Mobilfunknetze bieten nur IPv4. Aus solchen Netzen kommt keine Verbindung zustande, auch wenn der Name korrekt auflöst.

Die Einrichtung der Freigaben in der FRITZ!Box beschreibt unsere Anleitung FRITZ!Box Portfreigabe und DS-Lite genauer.

So prüfen Sie, ob Sie betroffen sind

Ob Ihr Anschluss DS-Lite oder CGNAT nutzt, sehen Sie in der FRITZ!Box an der IPv4-Adresse in den Verbindungsdetails. Wie Sie dort hinkommen und wie Sie die Anzeige deuten, zeigt Schritt für Schritt unsere Anleitung FRITZ!Box Portfreigabe und DS-Lite.

Schneller geht es mit dem interaktiven CGNAT-Check: Geben Sie dort die IPv4-Adresse ein, die Ihr Router als seine Internetadresse anzeigt, und Sie sehen, ob Sie eine eigene öffentliche IPv4 haben.

Haben Sie eine eigene öffentliche IPv4, funktionieren DynDNS, DuckDNS und No-IP wie gewohnt. Dann liegt das Problem woanders, zum Beispiel an einer Firewall, einer falschen Geräte-IP oder einem gesperrten Port. Die häufigsten Ursachen erklärt unsere Anleitung Portfreigabe funktioniert nicht.

DynDNS-Alternativen im Vergleich

Einen ausführlicheren Vergleich finden Sie in GetPublicIP vs. Cloudflare Tunnel vs. Tailscale.

Mit fester IP brauchen Sie kein DynDNS

DynDNS gibt es nur, weil sich die Adresse Ihres Anschlusses ändern kann. Mit GetPublicIP baut Ihr Server einen ausgehenden, verschlüsselten WireGuard-Tunnel auf, den CGNAT und DS-Lite durchlassen, und erhält darüber eine feste öffentliche IPv4- und IPv6-Adresse mit allen Ports. In der FRITZ!Box müssen Sie dafür nichts freigeben.

Weil sich diese Adresse nicht ändert, brauchen Sie keinen Update-Client mehr. Sie tragen bei Ihrem DNS-Anbieter einmal einen gewöhnlichen A-Record für die IPv4 und einen AAAA-Record für die IPv6 ein, und Ihr Name funktioniert aus jedem Netz, mit oder ohne IPv6. Die Adresse bleibt auch dann gleich, wenn Sie den Anbieter wechseln oder umziehen.

Mehr zum Hintergrund lesen Sie in unserer Anleitung zum eigenen Server hinter CGNAT. Wie die feste IP funktioniert, sehen Sie auf Feste öffentliche IP trotz CGNAT und DS-Lite. Wenn Sie direkt loslegen möchten, können Sie sich registrieren und Ihren Server in wenigen Schritten verbinden.