Guide

OpenWrt : DDNS uk.app, pare-feu et WireGuard

Configurez le DDNS dans LuCI avec HTTPS et un jeton, des cibles IPv4/IPv6 distinctes et des règles précises de pare-feu et DNS rebinding.

Source vérifiée:

Vérifiez version et gestionnaire de paquets. Les exemples source distinguent apk et opkg : n’exécutez pas les deux variantes sur le même système.

DDNS

Installez ddns-scripts, luci-app-ddns, la prise en charge HTTPS et les autorités de certification fiables. Dans Services → Dynamic DNS, renseignez le nom, votre zone comme identifiant et un jeton DDNS comme mot de passe. Employez les variables de l’URL personnalisée montrée dans l’exemple et conservez la vérification TLS.

Si OpenWrt est derrière un autre routeur, son WAN peut être privé : déterminez alors l’IPv4 publique séparément. Pour AAAA, utilisez l’IPv6 du serveur cible, pas automatiquement celle du routeur.

Pare-feu

Réservez les adresses et ouvrez uniquement les ports nécessaires. Pour IPv6, créez des autorisations ciblées. Limitez les exceptions rebinding aux zones utiles. WireGuard sur le routeur exige une règle d’entrée UDP et des routes adaptées.

Exemples de configuration

Adaptez valeurs, interfaces et ports. Les exemples peuvent correspondre à différentes versions : n’exécutez pas ensemble des variantes incompatibles. Ne publiez jamais de vrais jetons ou clés privées.

# OpenWrt 25.12 and later
apk update && apk add ddns-scripts luci-app-ddns

# OpenWrt 24.10 and earlier
opkg update && opkg install ddns-scripts luci-app-ddns
uci set ddns.ukapp=service
uci set ddns.ukapp.enabled='1'
uci set ddns.ukapp.lookup_host='home.yourname.uk.app'
uci set ddns.ukapp.domain='home.yourname.uk.app'
uci set ddns.ukapp.username='yourname.uk.app'
uci set ddns.ukapp.password='YOUR_DDNS_TOKEN'
uci set ddns.ukapp.update_url='https://[USERNAME]:[PASSWORD]@ddns.uk.app/nic/update?hostname=[DOMAIN]&myip=[IP]'
uci set ddns.ukapp.use_https='1'
uci set ddns.ukapp.cacert='/etc/ssl/certs'
uci set ddns.ukapp.interface='wan'
uci set ddns.ukapp.ip_source='network'
uci set ddns.ukapp.ip_network='wan'
uci set ddns.ukapp.check_interval='10'
uci set ddns.ukapp.check_unit='minutes'
uci commit ddns
/etc/init.d/ddns restart
uci add firewall redirect
uci set firewall.@redirect[-1].name='https-proxy'
uci set firewall.@redirect[-1].target='DNAT'
uci set firewall.@redirect[-1].src='wan'
uci set firewall.@redirect[-1].src_dport='443'
uci set firewall.@redirect[-1].dest='lan'
uci set firewall.@redirect[-1].dest_ip='192.168.1.40'
uci set firewall.@redirect[-1].dest_port='443'
uci set firewall.@redirect[-1].proto='tcp'
uci commit firewall && service firewall restart
uci add_list dhcp.@dnsmasq[0].rebind_domain='yourname.uk.app'
uci add_list dhcp.@dnsmasq[0].rebind_domain='plex.direct'
uci commit dhcp && service dnsmasq restart

Vérifications finales

Testez depuis une connexion mobile hors de votre Wi-Fi. Vérifiez séparément DNS, port attendu, certificat HTTPS valide et authentification. Gardez les interfaces administratives privées, appliquez les mises à jour et testez une restauration. Contrôlez les pare-feu IPv6 et IPv4. Un test de port réussi n’est pas un audit de sécurité.

Cette édition localisée résume le guide source. Les commandes conservent leur syntaxe originale. Consultez la documentation du fabricant pour votre version exacte.

Sources et documentation

Partenaires