Zum Inhalt

OpenWrt – DynDNS & Netcup

Überblick

Diese Seite beschreibt die Dynamische DNS-Umgebung für den Heimrouter und die Verbindung zu Netcup CloudDNS. Der zentrale Zweck ist, dass öffentliche Hostnamen wie mail.epping-haus.de oder epping-haus.de auch bei wechselnder WAN-IP zuverlässig erreichbar bleiben.

1. Zweck

Der Router verwendet ImmortalWrt 25.12.1 und stellt die Internetanbindung über PPPoE bereit. Die öffentliche IPv4-Adresse ist dynamisch. Der Mailserver wird über Netcup CloudDNS adressiert.

Wichtig: Das Backup enthält die OpenWrt-Systemkonfiguration, jedoch nicht die benutzerdefinierten Dateien unter /root/bin/ oder /etc/netcup-ddns.conf. Diese beiden Dateien sind Bestandteil der laufenden DynDNS-Lösung, aber nicht Bestandteil des vorliegenden Sysupgrade-Backups.

2. Router- und Netzwerkinformationen

Parameter Wert
Betriebssystem ImmortalWrt 25.12.1
Hostname OpenWrt-NEU
LAN-IP 192.168.178.10
LAN-Interface eth0
WAN-Interface eth1
WAN-Protokoll PPPoE
PPPoE-Gerät pppoe-wan
MTU WAN 1492
Dynamische öffentliche IPv4 zum verifizierten Stand 84.46.8.189
IPv6 aktiviert
WAN6 DHCPv6, Prefix Delegation /56

3. Netcup CloudDNS

Die Domain epping-haus.de wird über Netcup CloudDNS verwaltet.

Für die DynDNS-Aktualisierung wird ein separat verwalteter, geheimer Token verwendet. Der Token darf nicht in Wiki-Seiten, Tickets, Screenshots oder Support-Chats im Klartext dokumentiert werden.

Der aktuelle DynDNS-Endpunkt lautet:

https://customercontrolpanel.de/wsDynDns.php

Die Anfrage verwendet die Parameter:

action=update
token=...
fqdn=...
ipv4Address=...

4. Lokale Konfiguration für DynDNS

4.1 Secret-Datei

Konfigurationsdatei in Verwendung:

/etc/netcup-ddns.conf

Dateirechte:

-rw-------

Berechtigung = 600, nur root darf die Datei lesen.

Die Datei enthält die Variable NETCUP_DDNS_TOKEN. Der tatsächliche Token ist absichtlich nicht Bestandteil dieser Dokumentation.

4.2 DynDNS-Skript

Skript in Verwendung:

/root/bin/netcup-mail-ddns

Dateirechte:

-rwx------

Berechtigung = 700, nur root darf das Skript ausführen.

Das Skript ermittelt die öffentliche IPv4 über:

ubus call network.interface.wan status

und verwendet jsonfilter, um die aktuelle IPv4-Adresse auszulesen.

5. Cron-Automatisierung

Im Backup ist folgende Root-Crontab enthalten:

0 4 * * * /sbin/ifdown wan && sleep 15 && /sbin/ifup wan
*/5 * * * * /root/bin/netcup-mail-ddns

5.1 DynDNS-Prüfung

Der Eintrag

*/5 * * * * /root/bin/netcup-mail-ddns

führt das DynDNS-Skript alle 5 Minuten aus.

5.2 Täglicher PPPoE-Neuverbund

Der frühere tägliche Reconnect ist im Backup:

0 4 * * * /sbin/ifdown wan && sleep 15 && /sbin/ifup wan

Damit wird kein künstlicher täglicher IP-Wechsel erzeugt.

6. DNS-Zielzustand

Für den Mailbetrieb ist insbesondere mail.epping-haus.de relevant.

DNS-Typ Eintrag
MX epping-haus.de → 10 mail.epping-haus.de.
A mail.epping-haus.de → aktuelle öffentliche IPv4
A epping-haus.de → aktuelle öffentliche IPv4
CNAME autoconfig.epping-haus.de. → mail.epping-haus.de.
CNAME autodiscover.epping-haus.de. → mail.epping-haus.de.

Die eigentlichen DNS-Zoneneinträge liegen bei Netcup und sind nicht Bestandteil der OpenWrt-Sysupgrade-Datei. Diese Tabelle dokumentiert den für den Mailbetrieb vorgesehenen Sollzustand.

7. Firewall – Mailcow und SMGW

Die relevante OpenWrt-Firewall-Konfiguration aus dem Backup enthält:

7.1 LAN / SMGW

Die LAN-Zone enthält sowohl lan als auch SMGW.

Zusätzlich existiert die Zone:

config zone
    option name 'smgw_zone'
    option network 'SMGW'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

Das SMGW ist damit ausdrücklich separat dokumentiert.

7.2 SMTP-Portweiterleitung

config redirect
    option name 'Mailcow-SMTP-In'
    option src 'wan'
    option proto 'tcp'
    option src_dport '25'
    option dest 'lan'
    option dest_ip '192.168.178.146'
    option dest_port '25'
    option target 'DNAT'
    option reflection '0'

7.3 HTTP-Portweiterleitung

config redirect
    option name 'Mailcow-HTTP'
    option src 'wan'
    option proto 'tcp'
    option src_dport '80'
    option dest 'lan'
    option dest_ip '192.168.178.146'
    option dest_port '80'
    option target 'DNAT'

7.4 HTTPS-Portweiterleitung

config redirect 'caddy_https'
    option name 'Caddy-HTTPS'
    option src 'wan'
    option proto 'tcp'
    option src_dport '443'
    option dest 'lan'
    option dest_ip '192.168.178.150'
    option dest_port '443'

7.5 Mailcow-SNAT-Ausnahme

Das Backup enthält die gezielte NAT-Ausnahme für SMTP:

config nat
    option name 'Mailcow-No-Masq'
    option src 'lan'
    option proto 'tcp'
    option dest_ip '192.168.178.146'
    option dest_port '25'
    option target 'ACCEPT'

Diese Regel verhindert die SNAT-/Masquerading-Verarbeitung für den SMTP-Verkehr zu Mailcow.

8. Firewall-Default und Fullcone

Im Backup ist dokumentiert:

config defaults
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option fullcone '0'
    option synflood_protect '1'

Damit ist Fullcone-NAT deaktiviert.

9. DDNS-Support / Funktionsprüfung

9.1 WAN-IP prüfen

ubus call network.interface.wan status | jsonfilter -e '@["ipv4-address"][0].address'

Beispiel des verifizierten Standes vom 03.09.2026:

84.46.8.189

9.2 DynDNS manuell ausführen

/root/bin/netcup-mail-ddns

9.3 DynDNS-Log prüfen

logread | grep netcup-mail-ddns | tail -5

Erfolgreicher verifizierter Zustand:

Update mail.epping-haus.de -> 84.46.8.189 : {"status":"success","message":"No record update needed."}

9.4 DNS extern prüfen

nslookup mail.epping-haus.de 8.8.8.8
nslookup epping-haus.de 8.8.8.8
nslookup -type=mx epping-haus.de 8.8.8.8

Für mail.epping-haus.de wurde am 03.09.2026 extern verifiziert:

mail.epping-haus.de -> 84.46.8.189

Der MX wurde ebenfalls verifiziert:

epping-haus.de -> MX 10 mail.epping-haus.de

10. OpenWrt-DDNS-Konfiguration aus dem Backup

Das Backup enthält außerdem die Standard-Konfiguration von ddns-scripts:

/etc/config/ddns

Darin befinden sich die OpenWrt-Beispiele myddns_ipv4 und myddns_ipv6 sowie die installierte Provider-Unterstützung für netcup.com auf Paketebene.

Die produktive Mail-DynDNS-Logik läuft jedoch über das benutzerdefinierte Skript /root/bin/netcup-mail-ddns und den Cronjob.

11. Diagnosebefehle

Netzwerk / WAN

ip route
ip addr
ubus call network.interface.wan status

DNS

nslookup mail.epping-haus.de 8.8.8.8
nslookup epping-haus.de 8.8.8.8
nslookup -type=mx epping-haus.de 8.8.8.8

Cron

crontab -l
/etc/init.d/cron status

Firewall / NAT

uci show firewall
nft list ruleset
nft list chain inet fw4 srcnat_lan
nft list chain inet fw4 dstnat_wan

12. Typische Prüfungsreihenfolge

Bei Problemen mit fehlendem externem Zugriff oder falsch gelösten DNS-Einträgen empfiehlt sich diese Reihenfolge:

  1. WAN-IP prüfen
  2. DynDNS-Skript manuell ausführen
  3. Logdatei lesen
  4. externen DNS-Lookup gegen 8.8.8.8 prüfen
  5. Router-Firewall und DNAT-Regeln validieren
  6. Mailserver und Caddy auf Reachability prüfen

13. Backup

Das zugrunde liegende Backup wurde als OpenWrt-Sysupgrade-Backup erstellt und enthält insbesondere:

/etc/config/network
/etc/config/firewall
/etc/config/ddns
/etc/config/dhcp
/etc/config/system
/etc/config/unbound
/etc/crontabs/root
/etc/rc.local

Wichtige Sicherheitsregel: Secrets wie PPPoE-Passwörter, API-Tokens, private Schlüssel und /etc/shadow dürfen nicht in eine öffentliche oder allgemein zugängliche Wiki-Seite übernommen werden.

14. SMGW-Abgrenzung

Das SMGW ist auf dem Router über das Interface eth0 mit der separaten Netzwerkkonfiguration

config interface 'SMGW'
    option proto 'static'
    option device 'eth0'
    option ipaddr '192.168.2.1'
    option netmask '255.255.255.0'

angebunden.

Die DynDNS-Konfiguration betrifft ausschließlich die WAN-/DNS-Seite und den Mailserver. SMGW, smgw_zone, deren Masquerading, Routing und Firewall-Regeln dürfen bei DynDNS- oder Mailserver-Arbeiten nicht verändert werden.

15. Support-Hinweise

  • Bei Änderungen an der DynDNS-Lösung zuerst /etc/netcup-ddns.conf und /root/bin/netcup-mail-ddns prüfen.
  • API-/DynDNS-Secrets niemals im Wiki dokumentieren.
  • Nach Änderungen an der WAN-/Cron-Konfiguration immer crontab -l und /etc/init.d/cron status prüfen.
  • Nach einem IP-Wechsel nslookup mail.epping-haus.de 8.8.8.8 gegen die aktuelle WAN-IP vergleichen.
  • Vor Firewall-Änderungen ein OpenWrt-Backup erstellen.
  • Die SMGW-Konfiguration nicht als Nebenwirkung von Mailserver- oder DynDNS-Arbeiten verändern.