Nginx Proxy Manager + DynDNS = DNS-Rebind-Schutz

• (Tech-)Alltag
• gepostet am 18.April 2025

Das Szenario ist wie folgt:

Hier zu Hause läuft ein RaspberryPi mit Docker. Darauf verschiedene Dienste, die über den Nginx Proxy Manager und einer DynDNS-Adresse von außen erreichbar sind. Es gibt also eine DynDNS-Adresse mit verschiedenen Subdomains und die werden intern auf den entsprechenden Port weitergeleitet.

Bis vor Kurzem hat auch alles funktioniert. Bis dahin habe ich einen kostenlosen DynDNS-Anbieter genutzt, der nun aber nicht mehr funktioniert. Seit dem Wechsel zu AnyDNS habe ich folgenden Fehler:

• Rufe ich eine Domain von außerhalb auf, funktioniert alles
• Rufe ich eine Domain vom internen Netz auf, lande ich auf der FRITZ!Box-Seite, die mich über den DNS-Rebind-Schutz informiert. Scheinbar klappt hier irgendwas bei der Weiterleitung auf den Port nicht.

Was ist passiert? AnyDNS unterstützt IPv6, während der alte Anbieter das nicht unterstützt hat:

Des Rätsels Lösung ist die IPv6-Unterstützung zu deaktivieren. Im Falle von AnyDNS kann ich die Unterstützung nicht direkt deaktivieren, ich kann jedoch die Update-URL anpassen.

Die FRITZ!Box bietet für verschiedene Anbieter eine direkte Unterstützung an:

Dies beinhaltet dann auch stets das Update für IPv4 und IPv6.

DynDNS-Anbieter geben in ihren FAQs eine Update-URL an, die man auch anpassen kann, zum Beispiel so:

Anstelle des DynDNS-Anbieters gibt man die benutzerdefinierte URL in der FRITZ!Box an und lässt den Wert für die IPv6 (hier: &ip6=<ip6addr>) einfach weg.

Im Falle von AnyDNS wird aus dieser URL:

https://anydns.info/update.php?user=<username>&password=<pass>&host=<domain>&ip=<ipaddr>&ip6=<ip6addr>

diese URL:

https://anydns.info/update.php?user=<username>&password=<pass>&host=<domain>&ip=<ipaddr>&ip6=

Das sollte bei allen DynDNS-Anbieter in ähnlicher Weise funktionieren. Je nach Anbieter ist es wichtig, dass der Parameter für die IPv6-Adresse in der URL auch mit angegeben wird. Der Wert selbst kann leer sein. Fehlt der Parameter komplett, kann es sein, dass der Dienst dies als ungültige Anfrage wertet und somit auch das Update der IPv4-Adresse nicht durchführt.

Die Daten bei AnyDNS sehen danach so aus: