家里宽带没有固定公网IP，很多人想要远程访问电脑、NAS或者摄像头都会碰到这个难题。路由器每次重启，IP地址就变动，之前记录的地址直接失效。动态域名解析就是解决这个问题：自动把变动IP绑定到固定域名，只需要记住域名，IP变更交给程序自动处理。
免费动态域名解析分为两条路线。第一种直接使用现成DDNS服务商，注册账号赠送域名，客户端自动更新IP。第二种依托阿里云DNS API搭配脚本或者小工具，把自己名下域名改成动态域名。两种方案适用场景不一样，分开说明。
花生壳是国内DDNS领域老牌服务商，隶属于贝锐，累计用户超过一千七百万。免费方案操作简单，贝锐官网注册账号，系统自动发放壳域名，有效期一年。下载花生壳客户端登录，程序自动检测当前公网IP，把域名A记录指向该IP，全程自动，不用手动修改DNS设置。花生壳客户端支持Windows、macOS、Linux、群晖NAS、树莓派等平台，安装在长期开机设备即可运行，推荐部署在持续开机的机器上。免费壳域名需要完成实名认证才能正常使用，注册之后尽快完成认证，不然域名会被锁定。
花生壳免费版本有硬性限制：只适用于拥有公网IP的宽带环境。宽带被运营商做NAT，路由器WAN口拿到内网地址，DDNS解析出来的IP是运营商出口IP，外网访问请求无法转发到家里设备。这种场景要用花生壳内网穿透，属于另一套机制，需要额外配置映射。判断是否具备公网IP，登录路由器后台查看WAN口IP，百度搜索IP地址，两个数值一致就是公网IP，不一致代表运营商NAT。
不想使用第三方服务商域名，想用自己注册域名做动态解析，可以使用阿里云DNS API。前提是域名已经在阿里云注册，或者转移至阿里云管理。这套方案配置步骤比花生壳多，但域名完全归属自己，不存在平台锁定风险。
安全配置第一步，阿里云RAM访问控制创建子账号，专门用于DDNS，不要使用主账号AccessKey运行脚本。主账号密钥权限过高，一旦泄露，攻击者可以操作阿里云账号全部资源。创建子账号，权限策略只开放云解析DNS修改权限，其余权限全部关闭。创建完成生成一对AccessKey ID和AccessKey Secret，Secret只在创建页面展示一次，复制保存，页面关闭无法查看，丢失只能重置。密钥妥善保管，不要直接写进脚本，放置配置文件或者环境变量。
子账号创建完毕，进入云解析DNS控制台，选中要使用的域名，新增A记录。主机记录填写子域名前缀，例如home或者nas，记录值随便填写IP，后续DDNS程序自动覆盖。TTL建议设置600秒，IP变更之后解析记录更快生效。这条A记录作为锚点，DDNS程序识别这条记录进行更新，不用新建记录。
接下来部署DDNS程序。最简单方式路由器端部署。路由器刷OpenWrt、DD-WRT或者梅林固件，大多自带DDNS客户端，服务商选择阿里云或者自定义，填入AccessKey和域名。路由器24小时开机，DDNS部署在这里最省电稳定，不依赖电脑开机。路由器不支持，就在常开电脑或者NAS运行DDNS工具。GitHub有很多开源项目，例如aliyun-dns、DDNS-go，支持Docker部署，配置config文件设置开机自启。程序定时检测公网IP，IP发生变化调用阿里云API修改A记录。
IPv6成为另一个可选路线。电信、联通、移动宽带大多默认分配公网IPv6地址，IPv4地址是内网，但IPv6可以直连设备。IPv6地址字符长，还会变更，同样依靠DDNS维护解析。阿里云DNS记录类型选择AAAA，程序检测本机IPv6地址而非IPv4。Lucky或者DDNS-go这类工具，可以同时维护A记录和AAAA记录，IPv4不通走IPv6，双线路兜底。配置IPv6容易踩坑：光猫或者路由器防火墙默认拦截IPv6入站访问，外网无法连接。需要登录光猫后台关闭IPv6防火墙，或者路由器做拨号、接管防火墙，光猫改成桥接模式。
安全层面还有细节需要留意。AccessKey权限最小化，仅开放DNS记录修改权限，不授予多余读取权限。使用脚本，脚本文件权限设置为仅root可读，普通用户无法查看密钥。TTL设置短一点，密钥泄露之后，修改密钥，旧解析记录不会长时间留在DNS缓存。DDNS程序稳定性需要关注，配置开机自启，增加守护进程，防止程序异常退出，IP变更域名记录无法同步。验证配置是否生效，手动重启路由器，IP变更之后打开阿里云DNS控制台查看A记录是否自动更新，ping域名核对解析IP和路由器WAN口IP。