AdGuard mit Unbound

[CoMo]

Nein, das sollte in der Praxis kein Problem darstellen. Erstens unterstützt Unbound prefetch, kann also häufig angefragte Domains proaktiv updaten, bevor sie expiren. Das solltest du auch grundsätzlich einschalten.

Und wenn das nicht reicht, kannst du serve-expired aktivieren, um auch Anfragen nach abgelaufenen Records schnellstmöglich zu beantworten. Dann bekommst du sofort die Antwort aus dem Cache, parallel dazu löst Unbound den Namen wieder rekursiv auf und aktualisiert den Cache.

 

[DFFVB]

Danke @CoMo

 

[fantozzi]

Kann es sein, dass die Möglichkeit "Authority Zone" einzusetzen nicht mit den alten Versionen funktionieren?

 

[fantozzi]

[1705443172] unbound[1754:0] error: www.internic.net/domain/root.zone parse failure RR[54]: Syntax error, could not parse the RR's type in '. 86400 IN NSEC aaa. NS SOA RRSIG NSEC DNSKEY ZONEMD'
[1705443172] unbound[1754:0] error: could not open /etc/unbound/root.zone.tmp1754: Permission denied

Das ist die Fehlermeldung im Logfile. Was kann das bedeuten?

 

[CoMo]

parse failure RR[54]: Syntax error

Keine Ahnung, ich kenne deine Config nicht.

error: could not open /etc/unbound/root.zone.tmp1754: Permission denied

Der Ordner muss dem unbound User gehören, sonst darf er da drin nicht schreiben.

 

[fantozzi]

Server:
# If no logfile is specified, syslog is used
chroot: ""
logfile: "/var/log/unbound/unbound.log"
log-queries: no
verbosity: 0

interface: 127.0.0.1
port: 5335

# IPv4 / IPv6-settings
do-ip6: no
do-ip4: yes
do-udp: yes
do-tcp: yes

# Set number of threads to use
num-threads: 1

# Hide DNS Server info
hide-identity: yes
hide-version: yes

# Limit DNS Fraud and use DNSSEC
harden-glue: yes
harden-dnssec-stripped: yes
harden-referral-path: yes
use-caps-for-id: yes
harden-algo-downgrade: yes
qname-minimisation: yes

# Add an unwanted reply threshold to clean the cache and avoid when possible a DNS Poisoning
unwanted-reply-threshold: 10000000

# Minimum lifetime of cache entries in seconds
cache-min-ttl: 300

# Maximum lifetime of cached entries
cache-max-ttl: 14400

# buffer size. This value has also been suggested in DNS Flag Day 2020.
edns-buffer-size: 1232

# Prefetch
prefetch: yes
prefetch-key: yes

# Optimisations
msg-cache-slabs: 8
rrset-cache-slabs: 8
infra-cache-slabs: 8
key-cache-slabs: 8

# Serve old responses from cache with a TTL of 0 in the response without waiting for the actual resolution to finish | Default: no, 0
serve-expired: yes
serve-expired-ttl: 86400

# Increase memory size of the cache
rrset-cache-size: 64m
msg-cache-size: 32m

# Helps to reduce the query rate towards targets that get a very high nonexistent name lookup rate | Default: no
aggressive-nsec: yes

# Increase buffer size so that no messages are lost in traffic spikes
so-rcvbuf: 1m

# Private addresses
private-address: 192.168.0.0/16
private-address: 169.254.0.0/16
private-address: 172.16.0.0/12
private-address: 10.0.0.0/8
private-address: fd00::/8
private-address: fe80::/10


So sieht derzeit meine Config aus, wenn du da mal darüber schauen könntest.

Dann als einzelnes File...wie folgt.

# Auth Zone for the Internet root zone "."
# See RFC 8806 - Running a Root Server Local to a Resolver
# https://www.rfc-editor.org/rfc/rfc8806.html
# =========================================================
auth-zone:
name: "."
master: "b.root-servers.net"
master: "c.root-servers.net"
master: "d.root-servers.net"
master: "f.root-servers.net"
master: "g.root-servers.net"
master: "k.root-servers.net"
url: https://www.internic.net/domain/root.zone
fallback-enabled: yes
for-downstream: no
for-upstream: yes
zonefile: "/etc/unbound/root.zone"

 

[CoMo]

Welche Unbound Version ist das?

 

[fantozzi]

1.9.4

Ergänzung (17. Januar 2024)

Läuft bei mir als Container unter Proxmox (Template Ubuntu 20.04).

 

[CoMo]

Das ist eine uralte Version. Ubuntu 20.04 ist auch uralt. Debian 12 bringt Unbound 1.17.1 mit.

Gut möglich, dass dein Unbound auth-zone noch nicht unterstützt. Ich würde erst mal ein Update machen.

 

[fantozzi]

Das wäre natürlich möglich. Gut dann werde ich einen neuen Container erstellen und als Template eine neue Version von Debian oder Ubuntu nutzen.

Ich habe als Template auch Alpine 3.18 mal benutzt (enthält auch die Version Unboung 1.17), da Alpine kaum Ressourcen benötigt. Aber als Anfänger bin ich mit dem Editor Vim nicht so klar gekommen.

 

[CoMo]

Aber als Anfänger bin ich mit dem Editor Vim nicht so klar gekommen.

Dann hättest du auch einfach einen anderen Editor installieren könnnen. Unter Alpine z.B. mit

apk update && apk add nano

 

[fantozzi]

Besten Dank für deinen Hinweis! Wieder etwas dazu gelernt :-)

 

[Paxter]

Wie kann ich denn die Version von Unbound aktualisieren?

 

[CoMo]

Wie sollen wir die Frage beantworten ohne Kenntnis darüber, welches System du einsetzt?

 

[fantozzi]

Ich habe jetzt probeweise unter Proxmox eine LXC Container erstellt. Als template habe ich Alpine Linux in der Version 3.18 benutzt. Dann habe ich auf die Version 3.19 ein Update ausgeführt. Anders als bei Debian oder Ubuntu enthält die Version Alpine Linux 3.19 Unbound in der neuen Version 1.19.

Gibt es unter Alpine Linux einen ähnlichen Befehl wie systemctl status unbound, wo ich mal schauen kann, ob unbound aktiv ist und läuft?

 

[CoMo]

Alpine nutzt OpenRC, also lautet der Befehl rc-service. In dem Fall dann rc-service unbound status.

Vermutlich möchtest du aber lieber unbound-control verwenden. Der Aufruf ohne Parameter erklärt dir die Optionen.

 

[fantozzi]

"rc-service unbound status" habe ich bereits angewandt. Der Befehlt zeigt aber "nur" status: started.

"systemctl status unbound" hat da schon mehr Infos ausgespuckt. Habe eben mal openresolv installiert und den Nameserver auf 127.0.0.1 geändert. DNSSEC scheint soweit zu funktionieren. AdguardHome werde ich später noch installieren und schauen, ob und wie alles läuft.

Alpine Linux bringt anders als Ubuntu und Debian kein DNS-Root-Data Paket mit.

 

[fantozzi]

Mal eine kurze Frage...

root@ctAdguard:~# netstat -tulpn | grep ":53 "
tcp6 0 0 :::53 :::* LISTEN 154/AdGuardHome
udp6 0 0 :::53 :::* 154/AdGuardHome

Müsste UDP Port 53 (für DNS Anfragen) nicht auf auf "Listen" stehen?

 

[fantozzi]

@CoMo

Darf ich fragen, welche Unbound Version du gerade nutzt?

 

[CoMo]

Auf meinem Router läuft die 1.17.1.