Einrichtung

📡 FritzBox

1. Internet → Freigaben → DynDNS (oder Internet → Zugangsdaten → DynDNS)
2. DynDNS-Anbieter: Benutzerdefiniert
3. Update-URL: https://9dyn.de/nic/update?hostname=<domain>&myip=<ipaddr>&myipv6=<ip6addr>
4. Domainname: dein Hostname, z. B. zuhause.9dyn.de
5. Benutzername: derselbe Hostname
6. Kennwort: das angezeigte Passwort

Dieser eine Eintrag reicht für IPv4 und IPv6 — die FritzBox ersetzt <ipaddr> und <ip6addr> automatisch und schickt beides in einer Anfrage, sofern sie eine echte IPv6-Adresse hat (kein zweiter Eintrag nötig, anders als bei pfSense/OPNsense).

📶 Weitere Router & NAS

🛡️ pfSense

pfSense kann pro Dynamic-DNS-Eintrag immer nur eine IP-Version verfolgen — das gilt für jeden Anbieter, nicht nur 9DYN. Für IPv4 und IPv6 automatisch braucht es daher zwei Einträge: einen mit Service-Type Custom und einen mit Custom(v6). Beide laufen danach unabhängig automatisch, ohne dass du irgendetwas manuell nachtragen musst.

Eintrag 1 — IPv4:

1. Services → Dynamic DNS → Add
2. Service Type: Custom
3. Update URL: https://v4.9dyn.de/nic/update?hostname=zuhause.9dyn.de&key=DEIN_TOKEN
4. Result Match: good|nochg

Eintrag 2 — IPv6:

1. Services → Dynamic DNS → Add
2. Service Type: Custom(v6)
3. Update URL: https://v6.9dyn.de/nic/update?hostname=zuhause.9dyn.de&key=DEIN_TOKEN
4. Result Match: good|nochg

Beide Update-URLs (mit deinem echten Token) findest du fertig zum Kopieren im Dashboard unter „Dual-Stack" bei deinem Hostnamen. Username/Password brauchst du hier nicht — das Token steckt schon in der URL.

💻 Manuell / Cronjob / einfacher Aufruf

Am einfachsten: einfach den fertigen Link aus dem Dashboard aufrufen — kein Benutzername/Passwort nötig, die IP wird automatisch aus der aufrufenden Verbindung erkannt:

curl "https://9dyn.de/nic/update?hostname=zuhause.9dyn.de&key=DEIN_TOKEN"

Antwortet mit good <ip> bei Änderung oder nochg <ip> wenn sich nichts geändert hat. Weitere Auth-Varianten (Bearer-Header, Account-Token für mehrere Hosts) siehe unten.

🔀 Weitere Auth-Wege

Neben dem Query-Parameter (token oder key) und klassischem HTTP Basic Auth (Hostname als Benutzername, Host-Passwort) akzeptiert die Update-URL auch einen Bearer-Header. Alle nicht-Basic-Auth-Varianten benötigen immer den hostname-Parameter — ohne Benutzername kann sonst nicht ermittelt werden, welcher Host gemeint ist. Statt eines einzelnen Host-Tokens kannst du auch dein Account-Token verwenden, das für alle deine Hostnamen gilt.

Bearer-Header:

curl "https://9dyn.de/nic/update?hostname=zuhause.9dyn.de" \
     -H "Authorization: Bearer DEIN_TOKEN"

Hinweis: bei der Query-Parameter-Variante landet das Token in der URL und damit im Zugriffslog des Reverse-Proxys — wie bei jedem DynDNS-Anbieter, der diese Methode anbietet (kein zusätzliches Risiko gegenüber Basic Auth, das Passwort geht dort ebenso im Klartext über HTTPS). Wer das bewusst vermeiden will, nutzt Basic Auth oder den Bearer-Header.

🔒 Wildcard-Zertifikate (Let's Encrypt / ACME DNS-01)

HTTP-01 funktioniert bei Wildcard-Zertifikaten grundsätzlich nicht — die Zertifizierungsstelle verlangt stattdessen einen _acme-challenge-TXT-Eintrag in der DNS-Zone (DNS-01). Mit dem DNS-API-Token aus dem Konto kann certbot/acme.sh das automatisiert für deine eigenen Hostnamen erledigen — beschränkt auf genau diesen einen TXT-Namen, nicht auf beliebige DNS-Einträge.

certbot Auth-Hook (9dyn-auth-hook.sh):

#!/bin/bash
TOKEN="DEIN_DNS_API_TOKEN"
ID_FILE="/tmp/9dyn-acme-${CERTBOT_DOMAIN}.id"
curl -s -X POST "https://9dyn.de/api/dns/acme-challenge" \
  -H "Authorization: Bearer ${TOKEN}" -H "Content-Type: application/json" \
  -d "{\"fqdn\": \"${CERTBOT_DOMAIN}\", \"value\": \"${CERTBOT_VALIDATION}\"}" \
  | grep -o '"id":"[^"]*"' | cut -d'"' -f4 >> "$ID_FILE"

certbot Cleanup-Hook (9dyn-cleanup-hook.sh):

#!/bin/bash
TOKEN="DEIN_DNS_API_TOKEN"
ID_FILE="/tmp/9dyn-acme-${CERTBOT_DOMAIN}.id"
while read -r ID; do
  curl -s -X DELETE "https://9dyn.de/api/dns/acme-challenge" \
    -H "Authorization: Bearer ${TOKEN}" -H "Content-Type: application/json" \
    -d "{\"fqdn\": \"${CERTBOT_DOMAIN}\", \"id\": \"${ID}\"}"
done < "$ID_FILE"
rm -f "$ID_FILE"

Aufruf (Apex + Wildcard in einem Zertifikat):

certbot certonly --manual --preferred-challenges dns \
  --manual-auth-hook /pfad/zu/9dyn-auth-hook.sh \
  --manual-cleanup-hook /pfad/zu/9dyn-cleanup-hook.sh \
  -d meinhost.9dyn.de -d '*.meinhost.9dyn.de'

Die ID-Datei sammelt beide Challenge-Werte (Apex und Wildcard landen auf demselben TXT-Namen), damit der Cleanup-Hook gezielt nur die eigenen Einträge entfernt und keinen parallel laufenden zweiten Challenge-Wert löscht. TTL bei Porkbun ist 600 Sekunden — certbots eigene Wiederholungslogik bei der Validierung ist der eigentliche Verlass, unser Propagations-Check ist nur eine Komfort-Absicherung.

🔁 Zusätzliche Adress-Slots (Round-Robin)

Pro Host lassen sich im Dashboard bis zu drei zusätzliche Adress-Slots anlegen — jeder mit eigenem Token und eigenem Update-Link (/nic/update/slot/<id>). Ein zweites Gerät oder ein zweiter Uplink kann damit unabhängig eine eigene IP zum selben Hostnamen beitragen, ohne die Primär-Adresse zu überschreiben — alle Adressen bestehen als separate A/AAAA-Einträge nebeneinander (DNS-Round-Robin).

🌐 CGNAT-Tunnel: eigenen Dienst trotz CGNAT/DS-Lite erreichbar machen

Wichtig zu wissen, wofür das gedacht ist: der Tunnel unter /cgnat macht einen Dienst, der auf deinem Gerät zuhause läuft (z. B. ein Spieleserver, eine eigene Website, ein NAS-Dienst), über einen festen Port-Bereich auf unserer IP für andere im Internet erreichbar. Er ist kein allgemeines VPN, mit dem du selbst von unterwegs auf dein ganzes Heimnetz zugreifst oder über den Tunnel im Internet surfst — dafür bräuchte es eine andere Art von Verbindung. Siehe dazu den Abschnitt Road-Warrior-VPN weiter unten.

So funktioniert's:

1. Unter /cgnat einen Tunnel anlegen — wir richten automatisch alles ein und zeigen dir eine fertige WireGuard-Konfiguration (Text + QR-Code) mit einer festen Tunnel-IP und einem dir zugewiesenen Port-Bereich (z. B. 5200-5209).
2. Diese Konfiguration auf dem Gerät importieren, auf dem der Dienst läuft (Router mit WireGuard-Unterstützung, Raspberry Pi, Server, ...) — per QR-Code-Scan (WireGuard-App) oder Datei-Import.
3. Deinen Dienst auf diesem Gerät so einrichten, dass er auf einem Port aus deinem zugewiesenen Bereich lauscht.
4. Von außen ist der Dienst dann über 9dyn.de (bzw. dessen öffentliche IP) und den jeweiligen Port erreichbar — die Weiterleitung übernehmen wir automatisch.

AllowedIPs in der Konfiguration ist bewusst nicht 0.0.0.0/0, sondern nur auf unseren Server beschränkt — dein Gerät surft weiterhin ganz normal über seine eigene Internetverbindung, nur der Traffic für den zugewiesenen Port-Bereich läuft über den Tunnel. Nur UDP wird aktuell weitergeleitet. Jeder Tunnel ist vollständig vom Server getrennt geregelt — andere Nutzer (z. B. Familienmitglieder mit eigenem Tunnel) können deinen Tunnel nicht sehen oder erreichen.

🧳 Road-Warrior-VPN: von unterwegs auf dein eigenes Heimnetz

Dafür betreibt 9DYN kein eigenes Relay — der WireGuard-Server läuft direkt auf deinem eigenen Router (FritzBox, pfSense, OPNsense), der auch das Routing in dein Heimnetz automatisch übernimmt. 9DYN liefert dafür nur den stabilen Hostnamen, der bei jedem IP-Wechsel automatisch aktuell bleibt.

FritzBox (ab FRITZ!OS 7.50):

1. Internet → Freigaben → VPN (WireGuard) → Verbindung hinzufügen.
2. Als Verbindungstyp "Für einen Nutzer, z. B. mit Smartphone" wählen — die FritzBox zeigt einen QR-Code, den du direkt mit der WireGuard-App scannst.
3. Als Hostname deinen eigenen 9DYN-Host verwenden (den du wie im FritzBox-Abschnitt oben beschrieben als DynDNS-Anbieter eingetragen hast).

pfSense/OPNsense:

VPN → WireGuard → eigenen Server + Peer anlegen, gleiches Prinzip — als Endpoint deinen 9DYN-Hostnamen eintragen.

Hinter CGNAT/DS-Lite (das Dashboard warnt automatisch, falls das bei dir zutrifft)? Dann den WireGuard-Server-Port deines Routers zusätzlich über den CGNAT-Tunnel weiter oben erreichbar machen. Dein Handy verbindet sich dann mit 9dyn.de:<zugewiesener Tunnel-Port> statt mit dem rohen Router-Port.