DuckDNS in Homeassistant (2024)

Hallo zusammen,
ich will einen Fernzugriff für mein HA einrichten.
Dazu habe ich mir auf youtube die Videos von Simonxx angesehen und habe es zuerst mit der Version von Cloudfare versucht. Habe bei Strato seit langem eine Domain, die ich dafür nutzen wollte. Der Zugriff hat leider nicht funktioniert, die Seite war von aussen nicht erreichbar. Dann habe ich das Addon von Cloudfare wieder deinstalliert und habe es mit DUCKDNS versucht.
Leider komme ich auch damit nicht von aussen auf mein HA. Von intern funktioniert der Zugriff über https://name.duckdns.org:8123.
Im HA wird unter Einstellungen/system/netzwerk unter dem Punkt HOME ASSISTANT URL unter LOKALES NETZWERK folgender Fehler angezeigt...

Ungültige lokale URL
Du hast in Home Assistant ein Https-Zertifikat konfiguriert. Das bedeutet, dass deine interne Url auf eine vom Zertifikat abgedeckte Domain gesetzt werden muss......

Unter dem Punkt INTERNET habe ich https://name.duckdns.org:8123 eingetragen.

Kann mir hier jemand weiter helfen?
Danke schonmal im voraus.....

Du mußt

das So eintragen. Das Automatisch aus und die selbe URL nochmal bei Lokales Netzwerk.
Aber, das har nur mit der Fehlermeldung zu tun, nicht mit dem Zugriff von außen.

Was hast Du den bei den AddOns in der DuckDNS Konfiguration eingetragen ?
Unterhalb von Optionen sollte deine DuckDNS Adresse stehen, in so einer Blase
Darunter Domains sollte leer sein.
Token hast Du hoffentlich eines eingegeben.
Bei Let's Entcrypt sollte dann das hier stehen.

Und kontrolliere mal bitte auf der DuckDSN Homepage, ob da auch die WAN IP eingetragen ist, die auch in deinem Router drin steht.
Wie gesagt. WAN IP, nicht die LAN IP

Hallo Rudi,
erst einmal vielen Dank für deine ausführliche Antwort !!!

Im HA habe ich alles so konfiguriert, wie du es geschrieben hast.
Mit der WAN-IP habe ich aber ein Problem....
In DUCKDNS wird ja nur eine IP-Adresse angezeigt (95.91.223.xx), also die, unter der meine Domain name.duckdns.org erreichbar ist (wenn ich das so richtig formuliert habe...)
In meiner Fritzbox steht allerdings unter den Portfreigaben die interne IP (192.168.178.xxx) von der HA intern erreichbar ist. Also nicht die gleiche wie auf der DUCKDNS-Seite.
Auf der Fritzbox kann ich auch keine andere eintragen, da sich die Fritzbox die IP autom. zieht, wenn ich oben bei GERÄT meinen Raspberry auswähle, auf dem HA läuft.
Und auf der DUCKDNS-Seite kann ich auch keine andere IP eintragen, da diese ebenfalls autom. ermittelt. wird.....

Dann habe ich das soweit richtig verstanden. Mein Problem ist folgendes.....
-Ich gehe in der Fritzbox auf Portfreigabe
- Das Gerät für die Freigabe habe ich bereits zugefügt. Die IP wurde autom. eingetragen (192.168.178.xx)
- Ich gehe auf BEARBEITEN und unten auf NEUE FREIGABE
- Bei ANWENDUNG wähle ich ANDERE ANWENDUNG
- Bei PROTOKOLL wähle ich TCP
- Bei PORT trage ich 8123 ein (bei allen 3 Fenstern)
- FREIGABE AKTIVIEREN ist angekreuzt
- mehr kann ich auf dieser Seite nicht eintragen (also auch keine IP-Adresse).
- Wenn ich dann auf OK gehe, steht die interne IP-Adresse bei der Freigabe.

Siehe Bilder....

Das ist soweit auch alles korrekt, außer das IP6, schalt das mal aus, mach nur IP4. Hatte ich bei der ein oder anderen Sache gerne mal Probleme mit.

So, wenn Du nun in deinen Router schaust, links Menü Internet und dann Online Monitor, siehst Du etwas wie das hier:

Diese Internet, IPv4 Adresse ist deine WAN Adresse, mit der Du aus dem Internet erreichbar bist.
Dann öffnest Du mal deine duckDNS Seite da sollte dann sowas zu sehen sein.

Diese IP und die WAN IM im Router müssen überein stimmen.

Dann kannst Du noch in deine AddOns schauen, bei DuckDNS und oben das Menü Protokoll. Schau mal, ob da irgendwelche Fehlermeldungen stehen.
Bei mir steht da aktuell:

So, zu guter letzt solltest Du ja in deiner configuration.yaml ein paar Einträge hinzugefügt haben.

http: ssl_certificate: /ssl/fullchain.pem ssl_key: /ssl/privkey.pem cors_allowed_origins: https://google.com https://www.home-assistant.io ip_ban_enabled: true login_attempts_threshold: 5

Das sollte dann ungefähr so aussehen. Wichtig sind aber eher die ersten drei Zeilen, also das http, ssl_certificate und ssl_key, der rest muß nicht unbedingt.

Wenn das bei Dir dann auch alles so ist, ufff, dann wird es schwierig, aber nicht unmöglich, den Fehler zu finden.

Genau, und da ist auch schon Dein Problem. Du kannst nicht per IPv4 auf Deinen Internet-Anschluss zugreifen, weil das ein DS-Lite Anschluss ist. Daher wird auch jeder Versuch kläglich scheitern auf Dein HomeAssistant per IPv4 zuzugreifen. Also richtest Du Dir am besten einen IPv6-basierten VPN-Zugang in Dein LAN ein, um dann dadurch IPv4 für den Zugriff auf HomeAssistant nutzen zu können.

Theoretisch könntest Du aber auch den Zugriff von außen über IPv6 realisieren. Es ist nur ein wenig nun ja, komplexer als bei IPv4. Dafür braucht es dann aber auch keine Portweiterleitungen. Sondern, Du musst die Ports in der Firewall der FritzBox "nur" freischalten. Wird aber zur Einfachheit für die Anwender im gleichen Dialog gemacht.

Dazu müsstest Du als erstes die IPv6-Adresse[n] Deines HomeAssistent ermitteln. Der sollte irgendwas zwischen zwei bis vier IPv6-Adressen haben. Eine LLA (fe80::/64), eventuell eine ULA (fc::/64 oder fd::/64) und eine oder zwei (je nach Privacy-Einstellungen) GA/GUA.
Für den Zugriff von außen brauchst Du die GUA mit dem stabilen Interface-Anteil - also die nicht mit Privacy Extensions verseuchte.

P.S.: Und wow... was für ein Internet-Provider. Er teilt ein /62-Prefix zu?! Da spricht der Geiz ja schon aus allen Ecken.

Hui, kannte ich auch noch nicht. Aber AVM hat da einen Artikel zu.
https://avm.de/service/wissensdaten...1611_Was-ist-DS-Lite-und-wie-funktioniert-es/
Die schreiben von PCP, das man beim DS-Lite Anbieter nutzen kann. Portfreigaben beim Anbieter, damit sollte es dann wieder gehen.
Aber damit kenne ich mich nicht aus.

@Rudi: Das mit PCP habe ich auch gerade gelesen. Allerdings habe ich dann auch im Web was gelesen, dass Vodafone dies nicht unterstützen wird. Also liegt das Problem bei Vodafone..... Warum passiert nur mir das immer wieder....

@Barungar:
Vielen Dank für deine Antwort. Wenn ich dich richtig verstehe, gibt es also 2 Möglichkeiten, dass Problem zu umgehen....?

Entweder IPv6-basierten VPN-Zugang
oder
Zugriff von außen über IPv6 realisieren

was wäre denn für so einen blauäugigen Anfänger wie mich der einfachere Weg?

Wenn Deine FritzBox schon Fritz!OS 7.5x hat, dann dort einen Wireguard-Zugang für Dein Smartphone einzurichten.

Dann müsstest Du Dich bevor Du auf Dein HomeAssistant zugreifen kannst, lediglich mit Deinem Wireguard-VPN verbinden.
Du könntest dann vom Smartphone aus auf der IP 192.168.178.100, also im Prinzip wie daheim bei Dir im LAN auf Dein HomeAssistant zugreifen. Das DuckDNS brauchst Du in diesem Fall auch nicht, weil es dann ein rein "lokaler Zugriff" ist.

Auf Deiner FritzBox musst Du dann nur einen IPv6-kompatiblen DynDNS-Dienst einrichten z.B. MyFritz (um es auch ganz einfach für Anfänger zu halten). Ich glaube der Einrichtungsassistent für Wireguard auf der FritzBox will einen so oder so über MyFritz leiten.

Die Wireguard App gibt es für Android und iOS/iPhone, Du kannst Dir auch einen Wireguard-Client auf Notebook installieren, falls der Zugriff "von außen" über das Wireguard-VPN nicht mehr Smartphone, sondern per Notebook erfolgen soll. Ist aber in allen Fällen das gleiche Prinzip. In der FritzBox einen Wireguard-Zugang einrichten und am entsprechenden Endgerät nach Installation des Wireguard-Clients die Konfiguration aus der FritzBox importieren.

Das ist schade, dann scheidet ein simples VPN mit IPv6 über die FritzBox im Augenblick leider auch aus.

In Bezug auf die FritzBox bleibt Dir dann a) die Labor-Firmware 7.51 für die 6490 oder noch ein paar Wochen warten, bis die offizielle 7.5x-Firmware für Dein FritzBox Modell verfügbar ist.

Oder eben noch die Optionen das HomeAssitant über IPv6 ins Internet zu stellen, oder einen eigenen VPN-Server auf einem kleinen Rechner mit LInux neben der FritzBox zu installieren.

carsten_h schrieb:

Es gibt Wireguard übrigens auch als Addon in Home Assistant

Zum Vergrößern anklicken....

Kann das HA Addon Wireguard auch IPv6? Ich muss ehrlich sagen, dass ich mich da mit den Addons in dieser Beziehung nie befasst habe.
Es müsste dann ja sowohl das DynDNS-Addon IPv6 machen als auch das Wireguard Addon. Denn ohen IPv6 bringt es @DirkAn1 nix.

In der Dokumentation steht zumindest das hier:

Option: server.addressesA list of IP (IPv4 or IPv6) addresses (optionally with CIDR masks) to be assigned to the server/add-on interface.

In der Home Assistant spezifischen Anleitung steht dieses hier:

Forward port 51820 (UDP!) in your router to your Home Assistant instance.

Über den Port wird Wireguard wohl von außen angesprochen. Gibt es das auch bei IPv6 (das ich irgendwie gar nicht verstehe)?

Die Option "server.addresses" klingt erstmal gut, da könnte IPv6 funktionieren.

Nein, bei IPv6 gibt es keine Portweiterleitungen, das macht mich dann schon ein wenig stutzig. Weil bei IPv6 wird ordentlich geroutet, da wird keine Portweiterleitung gemacht. Die wird bei IPv4 ja auch nur deshalb gemacht, weil die Geräte hinter der z.B. FritzBox keine "echten" IPv4 haben. Da bei IPv6 aber auch die Geräte hinter der FritzBox "echte" IPv6 haben -routet man.

Ich muss aber sagen, dass ich mich auch mit Wireguard nie so richtig befasst habe, ich bin und bleine ein IPsec-Freund.

Man muss halt unterscheiden zwischen dem Protokoll auf dem der Wireguard-Tunnel läuft IPv4 oder IPv6 -- hier braucht es in diesem Fall IPv6 und dem Protokoll, das im Tunnel transportiert wird, auch hier kann IPv4 und IPv6 zum Zug kommen.

Soweit ich weiß... ich bin da kein Kunde... sind die Privatkunden-Verträge mit DS-Lite und die Business-Verträge gibt es mit DualStack bei der Deutschen Glasfaser.

Die Empfehlung wäre sich mit IPv6 vertraut zu machen... die große Mehrheit der Kabel- und Glasfaser-Anbieter bieten kein "echtes" IPv4 mehr an. Auch ein aktuelles Router-Modell verkürzt da die "Wartezeiten". Die 6490 wird ein passendes FritzOS erhalten, aber eben deutlich nach z.B. einer 6690.