Warum aktualisiert Dynamic DNS die falsche öffentliche Adresse?

Dynamic DNS aktualisiert die falsche Adresse, wenn der Updater eine andere Schnittstelle oder einen anderen Internetausgang beobachtet als die, die entfernte Clients erreichen müssen.

In einem Heimnetzwerk kann der Router eine private WAN-Adresse hinter einem anderen Gateway melden, ein serverseitiger Updater kann einen VPN- oder Proxy-Ausgang sehen, ein IPv6-Updater kann einen IPv4-Eintrag überschreiben oder zwei Clients können denselben Hostnamen von verschiedenen Standorten aus aktualisieren. Die Diagnose beginnt damit, eine einzige öffentliche Adressquelle als Wahrheit auszuwählen und dann genau zu identifizieren, welcher Updater, welcher Eintrag, welche Adressfamilie und welche Erkennungsmethode den falschen Wert erzeugt hat.

Vergleichen Sie drei Adressen gleichzeitig

Notieren Sie den DDNS-Eintrag, die WAN-Adresse des Routers und die öffentliche Adresse, die von einem externen IPv4- oder IPv6-Dienst beobachtet wird. Fügen Sie Zeitstempel hinzu, damit eine legitime kürzliche Änderung nicht mit einem falschen Update verwechselt wird.

Ein Fall aus der TP-Link-Community zeigte, dass ein Router eine Adresse aus einem Provider-NAT-Pool meldete, während das externe Internet eine andere Adresse sah, wodurch der DDNS-Hostname auf die falsche WAN-Seiten-Adresse zeigte.

Wenn alle drei übereinstimmen, liegt das Problem wahrscheinlich an DNS-Caching oder der Erreichbarkeit von außen und nicht am Aktualisierungswert. Wenn der DDNS-Eintrag mit dem Router, aber nicht mit der externen Adresse übereinstimmt, untersuchen Sie das Upstream-NAT; wenn er mit keinem von beiden übereinstimmt, prüfen Sie die Updater-Konfiguration und Protokolle.

Ermitteln Sie, wie der Updater die Adresse erkennt

Bestimmen Sie, ob der DDNS-Client eine benannte Schnittstelle liest, den Router abfragt, ein lokales Gateway analysiert, die Quelladresse der Aktualisierungsanfrage verwendet oder einen externen „Was ist meine IP“-Dienst abfragt.

Eine Diskussion in der Zyxel-Community fragt, warum eine Firewall hinter einem anderen NAT-Router die wahre öffentliche Adresse nicht automatisch aktualisieren kann, wenn sie nur die upstream private WAN-Adresse kennt.

Wählen Sie die externe Erkennung, wenn der Updater hinter NAT sitzt und der Anbieter dies unterstützt. Wählen Sie die Schnittstellenerkennung nur, wenn diese Schnittstelle tatsächlich die öffentliche Adresse besitzt; andernfalls kann ein einwandfrei funktionierender Updater den falschen Wert absichtlich veröffentlichen.

Prüfen Sie auf Double NAT und CGNAT

Untersuchen Sie, ob die WAN-Adresse des Routers in einem privaten oder geteilten Bereich liegt und ob ein anderes Modem oder ISP-Gateway das erste NAT durchführt. Dynamic DNS kann eine Adresse veröffentlichen, aber es kann keine eingehende Weiterleitung durch ein übergeordnetes Netzwerk erstellen, das Sie nicht kontrollieren.

Ein Fall im deutschen Synology-Support-Forum berichtete, dass Provider-NAT dazu führte, dass DDNS eine Adresse erkannte, die nicht der tatsächliche öffentliche Endpunkt war.

Wenn Sie den Upstream-Router kontrollieren, setzen Sie den Downstream-Router in den Bridge-Modus oder leiten Sie den erforderlichen Pfad durch beide Ebenen weiter. Wenn der ISP CGNAT verwendet, fordern Sie eine öffentliche Adresse an oder verwenden Sie einen ausgehenden Tunnel oder Relay, anstatt den DDNS-Client ständig zu ändern.

-15% OFF

ZimaBoard 2 – Mini-Heimserver für Ihre große Idee

Single board computer zimaboard2

$339.00 - $519.00

Buy Now

Trennen Sie IPv4- und IPv6-Aktualisierungen

Untersuchen Sie die A- und AAAA-Einträge unabhängig voneinander und vergleichen Sie jeden mit einem externen Test für dieselbe Adressfamilie. Gehen Sie nicht davon aus, dass ein erfolgreiches IPv6-Update beweist, dass der IPv4-Eintrag korrekt ist.

Ein Client, der so konfiguriert ist, dass er eine Schnittstelle überwacht, kann eine temporäre IPv6-Adresse, eine delegierte Präfixadresse, die sich später ändert, oder eine IPv4-Adresse von einem VPN-Ausgang veröffentlichen. Halten Sie separate Update-Jobs und Anbieter-Einträge, wenn die Adressfamilien unterschiedliche Lebenszyklen haben.

Deaktivieren Sie nur das verdächtige Adressfamilien-Update und wiederholen Sie den Test. Wenn der Fernzugriff wiederhergestellt wird, wenn der falsche AAAA- oder A-Eintrag entfernt wird, beheben Sie diesen Pfad, bevor Sie den Dual-Stack-DNS wiederherstellen.

Finden Sie doppelte Clients und falsche Eintragziele

Listen Sie jeden Router, NAS, Container, Skript, Cloud-Host und mobiles Gerät auf, das Anmeldedaten zum Aktualisieren des Hostnamens hat. Zwei gültige Clients an verschiedenen Standorten können sich wiederholt gegenseitig überschreiben.

Dynu-Nutzer haben Fälle dokumentiert, in denen ein Update-Client mehrere Einträge mit einer einzigen IP-Adresse teilte, weil das Konto oder die Client-Konfiguration mehr Einträge anvisierte als beabsichtigt.

Geben Sie jedem Standort und jeder Adressfamilie einen eigenen Hostnamen, Token und Update-Job. Widerrufen Sie ungenutzte Anmeldedaten und bestätigen Sie, dass das Protokoll den genauen Eintrag nennt, der geändert wird, bevor Sie einer Erfolgsmeldung vertrauen.

Validieren Sie den Eintrag durch eine echte Adressänderung

Nachdem Sie die Erkennungsmethode und die Updater-Zuständigkeit korrigiert haben, erzwingen Sie eine sichere WAN-Neuverbindung oder warten Sie auf die nächste legitime Adressänderung. Notieren Sie die neue externe Adresse, das Update-Protokoll, die autoritative DNS-Antwort, die rekursive Resolver-Antwort und das Ergebnis der Remote-Verbindung.

Der ZimaSpace-Leitfaden, warum der Fernzugriff einem alten IP-Zustand folgt, bietet die nächste Stufe, nachdem der DDNS-Wert selbst korrekt geworden ist.

Das Problem ist nur gelöst, wenn ein genehmigter Updater die korrekte IPv4- oder IPv6-Adresse veröffentlicht, kein zweiter Client sie überschreibt, die autoritative Antwort innerhalb des erwarteten Intervalls ändert und ein externer Client den vorgesehenen Heimdienst erreicht.