Erreichbarkeit, CGNAT & DynDNS

Fernzugriff klappt nur, wenn dein Internetanschluss eine eigene öffentliche IPv4-Adresse hat. CloudZH prüft das für dich und hält deinen DNS-Eintrag aktuell.

Anschluss prüfen

Der Installer, System Health und Einstellungen → Erreichbarkeit und DynDNS zeigen das Ergebnis. Auf dem Server:

zh reach

CloudZH vergleicht die Adresse, die das Internet sieht, die WAN-Adresse deines Routers (UPnP oder NAT-PMP, falls eingeschaltet) und einen Test von aussen auf Port 443.

Ergebnis	Bedeutung
Öffentliche IPv4	Alles gut. Ist Port 443 trotzdem zu, die Portweiterleitung im Router prüfen.
CGNAT	Dein Router hat eine Adresse aus `100.64.0.0/10` oder eine private: Dein Anbieter teilt eine öffentliche Adresse unter vielen Kunden auf.
DS-Lite	IPv4 läuft durch einen Tunnel deines Anbieters, nur IPv6 gehört dir.
Unbekannt	Dein Router verrät es nicht. Schau in seiner Statusseite nach der Internet-Adresse: `100.64.x.x` oder `192.0.0.x` heisst CGNAT bzw. DS-Lite.

Was mit CGNAT geht

Alles zu Hause: Dashboard, Apps, Plex und Downloads.
Plex unterwegs, über das Plex-Relay mit reduzierter Qualität.
Nicht möglich: direkter Zugriff von aussen auf Dashboard, Apps und VPN.

Auswege

IPv6: Viele dieser Anschlüsse haben echtes IPv6. Im Router TCP 443 zum Server erlauben und IPv6 bei DynDNS einschalten. Klappt nur aus Netzen mit IPv6.
Beim Anbieter fragen nach einer öffentlichen IPv4-Adresse oder Dual Stack. Manche Anbieter machen das auf Anfrage, teils gegen Gebühr. Die sauberste Lösung.
Eigenes Relay: Ein kleiner VPS mit öffentlicher IPv4-Adresse leitet Port 443 über WireGuard an CloudZH weiter. Klappt auch für Video.
Tailscale: Deine Geräte erreichen den Server ohne offene Ports. Jedes Gerät braucht die App.
Cloudflare Tunnel: nur für Dashboard und Verwaltungs-Apps, nie für Plex oder anderes Video. Die Bedingungen von Cloudflare erlauben nicht, über ihr Netz überwiegend Video auszuliefern.

DynDNS

Ändert sich deine öffentliche Adresse ab und zu, merkt CloudZH das innert 5 Minuten und führt deine DNS-Einträge mit denselben Zugangsdaten wie beim Zertifikat nach.

Unterstützt: Cloudflare und Duck DNS. Andere DNS-Anbieter: das DynDNS deines Routers nutzen oder den Eintrag von Hand ändern.
Nachgeführt: *.example.com und der Name des Dashboards. Die Hauptdomain, www und vpn nur, wenn sie vorher auf diesen Server zeigten. Mail und andere Einträge bleiben unberührt.
Bei neuen Installationen an, bei bestehenden aus, bis du es einschaltest. Bei CGNAT und DS-Lite automatisch pausiert.

zh dyndns          # status
zh dyndns on       # turn on (--ipv6 also updates AAAA)
zh dyndns update   # update now