EMZETT.
Login

Emzett Wiki

DynDNS und Heimserver von außen erreichen: Portfreigabe, CGNAT und Tunnel

Properties1
tagsglossar, netzwerk, homelab

2 Min. Lesezeit

DynDNS und Heimserver von außen erreichen: Portfreigabe, CGNAT und Tunnel

Kurz: Um Heimdienste von unterwegs zu nutzen, braucht man einen erreichbaren Namen (DynDNS), eine Weiterleitung oder besser einen VPN-/Tunnel-Zugang; bei CGNAT oder DS-Lite geht klassische Portfreigabe nicht.

Genauer: Heimnetze haben meist dynamische öffentliche IPv4-Adressen, die sich ändern, und sind hinter NAT/Firewall versteckt. Wer NAS, Home Assistant, Spielserver oder Webseite zuhause betreibt, muss sicher nach außen erreichbar werden.

Im Detail

Die Hürden

  • Wechselnde IP: Der Provider vergibt neue Adresse (meist alle 24 h oder bei Neustart).
  • NAT: Router lässt eingehende Verbindungen nur zu, wenn eine Portweiterleitung besteht.
  • CGNAT / DS-Lite (häufig bei Kabel/Glasfaser/Mobilfunk): Der Provider teilt eine IPv4-Adresse unter vielen Kunden (kein eigener öffentlicher Port). Erkennbar: Die WAN-IP des Routers liegt in 100.64.0.0/10 oder 10.x/192.168.x, nicht gleich der „Wie ist meine IP“-Seite. Lösung: IPv6 (oft vorhanden), Tunnel/Reverse Proxy, Dual-Stack-Lite-Ausnahme beim Provider (öffentliche IPv4 anfragen, ggf. gegen Gebühr).

DynDNS und Portfreigabe

DynDNS/DDNS: Der Router oder ein Client meldet die aktuelle IP an einen Dienst (DuckDNS, No-IP, Dynu, Cloudflare mit API, FritzBox MyFRITZ!, Strato/ddclient), der einen festen Namen (meinhaus.duckdns.org) darauf zeigen lässt. Portfreigabe (Port-Forwarding): Router leitet z. B. Port 443 an 192.168.1.30:443 weiter. Nur bewusst freigeben: Jeder offene Port wird innerhalb von Minuten gescannt und angegriffen. Vorher: Software aktuell, starke Authentifizierung/MFA, HTTPS, Fail2ban/Rate Limiting, Reverse Proxy (Caddy/Nginx/Traefik) mit Zertifikat (Let’s Encrypt), nur nötige Dienste, Standardports meiden ist keine Sicherheit.

Besser: VPN und Tunnel

  • WireGuard/Tailscale/ZeroTier: Private Verbindung zum Heimnetz ohne offene Dienst-Ports (nur ein UDP-Port bzw. NAT-Traversal); funktioniert oft auch hinter CGNAT (Tailscale/ZeroTier mit Relay).
  • Cloudflare Tunnel / ngrok / frp: ausgehende Verbindung zum Anbieter, Webdienste öffentlich ohne Portfreigabe; Vertrauen/Datenschutz des Anbieters beachten.
  • VPS als Relais (kleiner Server mit fester IP + WireGuard/Reverse Proxy).
  • IPv6: Adressen sind global, aber Firewall im Router gezielt öffnen (nicht alles).
  • Zugriff nur für dich: VPN; für Dritte (Webseite): Reverse Proxy + gehärtet, oder Hosting statt Heimnetz.

Praxis, Sicherheit, Recht

  • Router prüfen: Fernzugriff/UPnP aus, UPnP-Freigaben kontrollieren, Firmware aktuell.
  • Segmentierung: Heimserver in eigenes VLAN/DMZ.
  • Testen von außen (mobile Daten, nmap nur eigene IP).
  • Backups, Updates automatisieren, Logs prüfen.
  • Datenschutz/Recht: Betreibst du einen öffentlichen Dienst mit fremden Daten, gelten DSGVO, Impressumspflicht, Providerbedingungen (private Anschlüsse erlauben Server teils eingeschränkt).
  • Verfügbarkeit: Stromausfall/Router-Neustart, Heimserver ≠ Hochverfügbarkeit.
  • Verwandt: NAT, VPN, WireGuard, Reverse Proxy, Let’s Encrypt, Homelab, DMZ.

Siehe auch: WireGuard, Nginx und Reverse Proxy, Homelab und Selfhosting

Backlinks