Verständnisfragen zu DDNS und Erreichbarkeit im LAN & CNAME DNS Einträgen

[JerryCurwen]

Hallo zusammen,

ich habe da mal eine Verständnisfrage zu DDNS und der Erreichbarkeit im LAN. Ich habe eine Fritz.Box 7390 (aktuelle Firmware Version FRITZ!OS: 06.83) und eine NAS Synology DS716+II (Aktuelle Firmwareversion des DSM). In meiner Fritz.Box habe ich "nur" die Portweiterleitung zur DiskStation aktiviert und testweise zu einem andere Dienst so dass diese aus dem Internet erreichbar sind. Über einen DDNS Anbieter wird meine öffentliche IP in eine Subdomain umgewandelt. Die Erreichbarkeit für beide Dienste (Synology NAS und Emby Server) funktioniert aus dem Internet ohne Probleme. Auch im LAN kann ich die selbe Subdomain verwenden welche ich über den DDNS Provider beziehe.

Ich habe aber gelesen das es viele Nutzer gibt die eben nicht über die Subdomain des DDNS Providers ihre NAS oder andere Dienste im LAN erreichen können. Diese sollte zusätzlich in den Fritz.Box-Einstellungen die Subdomain als DNS-Rebind-Schutz eintragen. Dann habe ich im Internet auch gelesen das es NAT Loopback gibt wobei dies bei den Fritz.Boxen aus Sicherheitsgründen wohl wieder entfernt wurde. Aber keine Ahnung ob ich das a) missverstanden habe und/oder b) die Aussage auch korrekt ist.

Kann mir jemand vielleicht dabei helfen meine Fragen zu klären?

1. Warum klappt es bei mir so auf Anhieb ohne das ich einen DNS-Rebind-Schutz eintragen oder andere Einstellungen tätigen muss?
2. Stellt das eventuell ein Sicherheitsrisiko für mich da?
3. Dann würd ich gerne noch was wissen. Wenn ich jetzt in meinem LAN die Subdomain des DDNS Providers eingebe, geht der Datenverkehr dann erst über das Internet auf die NAS oder direkt über mein internes LAN?

---

Dann habe ich noch was zum Thema CNAME DNS Einträgen. Ich bin durch einen Eintrag bei Strato, 1und1.de und einer weitere Webseite, leider etwas verwirrt. Ich möchte gerne meine DiskStation über eine eigene Subdomain meiner Hauptdomain erreichbar machen. Eigentlich funktioniert auch alles. In den DNS Einstellungen meiner Hauptdomain, welche ich selber hoste, habe ich für eine Subdomain einen CNAME Eintrag angelegt welcher auf die Adresse von meinem DDNS Provider zeigt.

Da ich meine Hauptdomain auch für weitere Zwecke nutzen MUSS (bin selbstständiger Webdesigner), muss die Domain weiterhin für den E-Mail-Verkehr und Erreichbarkeit von Webseiten funktionieren. So wie ich CNAME eigentlich bisher kannte, kann ich doch damit für eine SUBDOMAIN den einzelnen DNS Eintrag ändern. Andere Einstellungen bleiben davon doch unberührt?!

Wenn ich den CNAME Eintrag in meinen DNS Einstellungen gesetzt habe und verschiedene Subdomains anpinge erhalte ich als Rückgabe auch die passenden IPs.

Beispiel:

myds.meinedomain.de = IP Adresse von DDNS Provider!
mail.meinedomain.de = IP Adresse des Mailservers
www.meinedomain.de = IP Adresse der Webseite 1
meineseite.meinedomain.de = IP Adresse der Webseite 2
*.meinedomain.de = IP Adresse des Server auf dem die Webseite liegen.

Hier die Artikel:

Strato: Klick
1und1.de (unten bei Schritt 6): Klick
Vario Media: Klick

Irgendwie bin ich total verwirrt. Den CNAME Eintrag habe ich gestern gesetzt... Im Netz habe ich eben gelesen das CNAME Einträge die DNS Einträge der Domain überschreiben. Nicht das es aktuell bei mir noch im Router-Cache liegt und morgen keine Mails mehr ankommen?!

Liebe Grüße
Pixelpaule

Nachtrag:
Ich lese hier klar raus, das sich nicht für eine SUBDOMAIN einen CNAME und einen anderen Eintrag verwenden kann. Also nur entweder CNAME oder eben MX, A Records für die SELBE SUBDOMAIN. Nicht aber für eine DOMAIN!



Hoffe da kann jemand etwas Licht ins Dunkel bringen. Danke!
JerryCurwen

 

[Bagbag]

3.

tracert sub.domain.tld

dann siehst du wie der Weg dorthin ist.


Deine Auffassung von CNAME ist meines Erachtens richtig. Da wird nix überschrieben.

 

[shag]

Wenn du den cname Eintrag nur für die Subdomain myds.domain.tld gesetzt hast, dann gilt dieser auch nur für diese Subdomain und alle Einträge für die Hauptdomain sind weiterhin gültig. Diese Einträge werden in der Regel auch sehr schnell umgesetzt, du brauchst dir daher keine Gedanken machen, dass morgen etwas nicht funktioniert.

 

[JerryCurwen]

Hey, vielen Dank für eure Antworten.

Das mit dem CNAME Eintrag hatte ich gestern auch mal gestestet und es lief weiterhin auch alles. War eben sehr verwundert durch die Beiträge bei Strato und 1und1.de. Die haben das meines Erachtens was unglücklich formuliert.

Dann hoffe ich das ich meine Frage in Bezug auf Fritz.Box, LAN und DDNS noch geklärt bekomme

Liebe Grüße

 

[Bagbag]

Für die Frage zum LAN hab ich dir doch schon eine Antwort gegeben:

3.

tracert sub.domain.tld

dann siehst du wie der Weg dorthin ist.

(das musst du in der Eingabeaufforderung / PowerShell ausführen)

 

[JerryCurwen]

Ja, danke dafür. Ich werde es, wenn ich hier alles eingerichtet habe, mal testen. Allerdings würde ich damit dann ja nur wissen ob der Datenverkehr erst übers Internet geht und dann wieder zurück ins LAN.

Was mich eben auch wundert, warum die Fritz.Box ohne weitere Einstellungen die Subdomain des DDNS Anbieters, zurück ins LAN auflöst. So wie ich das eben gelesen habe sollte das ohne weiteres eigentlich nicht funktionieren.

 

[Bagbag]

War das nicht genau deine Frage?

geht der Datenverkehr dann erst über das Internet auf die NAS oder direkt über mein internes LAN?

 

[JerryCurwen]

Ja, auf Frage 3.

Aber mich wundert es warum ich mit der DDNS Adresse innerhalb meines LANs ohne weitere Einstellungen die Dienste erreichen kann. Ich hab eben von so vielen gelesen das die erst bestimmte Einstellungen machen mussten.

 

[Bagbag]

Ging bei mir bisher immer, und finde ich auch nicht verwunderlich.

Die kürzeste Router vom Router/Modem zur eigenen externen IP ist eben zu sich selbst, und da es dann wie eine externe Anfrage ist (da der Router die Anfrage an sich selbst mit seiner externen IP macht), muss der Port weitergeleitet sein.

 

[JerryCurwen]

Das gibt mir traceroute meine.domain.de zurück:

traceroute to meine.domain.de (123.123.123.123) [externe IP von meinen ISP], 64 hops max, 52 byte packets
1 fritz.box (192.168.178.1) 2.088 ms 1.942 ms 1.653 ms - IP Fritzbox
2 p3ee2c313.dip0.t-ipconnect.de (123.123.123.123) [externe IP von meinen ISP] 2.471 ms !X 2.292 ms !X 2.254 ms !X

Und wofür gibt es dann den DNS-Rebind Schutz? Ich meine ist der nicht eigentlich dazu da um Ausnahmen für Anfragen zu erstellen, die aus dem LAN an den Router mit seiner eigenen externen IP gesendet werden?

AVM Doku DNS-Anfragen von außerhalb

Meine Fritz.Box unterdrückt es ja scheinbar nicht.