Fritzbox DNS over TLS sporadisch Seiten nicht erreichbar

[DeusoftheWired]

@netape Danke für den Link! Kann ich mir die Rumexperimentiererei hier sparen. Dann wird DoT halt wieder deaktiviert und erst mal weiter nur Pi-hole genutzt.

 

[deo]

Beim Fritz!OS 7.24-82261-Inhaus besteht das DoT-Problem noch.
Die neuste 7.24-82466-Inhaus ist erst seit zwei Tagen am Laufen. Da kann ich erst Ende der Woche sehen, ob es damit besser ist.

 

[vander]

Gut zu wissen das es an AVM liegt. Hab es jetzt auch mit 7.20 festgestellt, ist schon mies das man davon auf keiner der Seiten was liest, die das konfigurieren von DoT mit der Fritte beschreiben.
So was fällt doch innerhalb eines Tages auf, wenn plötzlich die hälfte der Dienste und Webseiten ausfällt.

 

[U-efg]

Ich hatte das gleiche "Problem" und mit AVM telefoniert.
Ihr solltet mal nachdenken und Euch mit DSL und DoT befassen. Die 7.20 und Dot kamen etwa zum gleichen Zeitpunkt. Von daher kann es Zufall sein. Man muss nicht immer Early Adopter sein.
"DNS over TLS: Das bessere Sicherheitskonzept"
https://www.ionos.de/digitalguide/server/sicherheit/dns-over-tls/
Siehe "Vor- und Nachteile von DNS over TLS"

Wir haben keinerlei Rechtsanspruch darauf, dass die mehr oder weniger unverbindlichen DoT-Server immer ungestört arbeiten. Wenn ein DNS-Server aber zeitweise - ein paar Sekunden - etwas gestört/überlastet ist, wäre es kontraproduktiv, den immer wieder mit den gleichen Anfragen zu bombardieren.

Es gibt immer einen DNS-Cache, der sich abgefragte Domains merkt. Die Frage wäre dann, wie lange er sich Störungen merken soll, bevor er neu fragt.
"Windows DNS-Cache löschen"
https://www.heise.de/tipps-tricks/DNS-Cache-loeschen-4603703.html

Hat die FB einen DNS-Cache und wie löscht man den?

Vielleicht könnte AVM etwas an der Wartezeit ändern.

 

[deo]

Hat die FB einen DNS-Cache und wie löscht man den?

In der Fritzbox läuft der lokale DNS-Server und der Cache ist im RAM -> Fritzbox neu starten reicht.
Ebenso werden die automatisch von der Fritzbox vergebene IP-Adressen zwischengespeichert, bis die Gültigkeit abgelaufen ist.
Wenn man da den IPv4-Bereich ändert, wird der DNS-Cache auch geleert.
Telnet ist out und dafür kann man TR-064 nutzen, wenn man der Fritzbox von einem Client aus direkte Befehle erteilen will.

 

[U-efg]

TR-064 nutzen

https://avm.de/service/schnittstellen/

https://avm.de/fileadmin/user_upload/Global/Service/Schnittstellen/wanipconnSCPD.pdf

Viel Spaß!

 

[DeusoftheWired]

Die 7.20 und Dot kamen etwa zum gleichen Zeitpunkt.

DoT kam für AVM mit der 7.20. Der RFC ist aus 2016.

Wir haben keinerlei Rechtsanspruch darauf, dass die mehr oder weniger unverbindlichen DoT-Server immer ungestört arbeiten.

Und genau dafür gibt es neben dem primären DNS den sekundären DNS, denn die Chance, daß zwei unabhängige Server gleichzeitig ausfallen, ist ausreichend niedrig.

 

[U-efg]

zwei unabhängige Server

Hat hier jemand nach 2 unabhängigen DoT-Servern gefragt? Wann fällt die DNS-Suche auf die Nicht-Dot Server des Providers zurück? Mir ist das alles zu unklar und unausgereift. Außerdem möchte ich nicht von "fremden" Servern abhängig werden, von denen ich fast nichts weiß. Es gibt dazu einen interessanten Artikel. Die Macht könnte sich nun bei den DoT-Betreibern konzentrieren.

Wer Vertraulichkeit will, darf kein Internet benutzen!

 

[Yuuri]

Es gibt dazu einen interessanten Artikel. Die Macht könnte sich nun bei den DoT-Betreibern konzentrieren.

Du verwechselst das mit DoH, richtig? DoT ist nichts anderes als die herkömmliche DNS-Infrastruktur, nur mit dem TLS-Layer oben drauf. Da ändert sich rein gar nichts am bisherigen Prozess.

DoH dagegen konzentriert sich aktuell (noch?) auf große Provider und umgeht die lokale DNS-Auflösung vom OS. Fraglich ob Google, Mozilla und Co. dann DoH aus ihren Browsern kicken, wenn die lokale Auflösung auch mittels DoH klappt. Das halte ich allerdings für sehr fragwürdig... Den Sinn von DoH versteh ich allerdings bis heute nicht aus Anwenderperspektive.

 

[DeusoftheWired]

Außerdem möchte ich nicht von "fremden" Servern abhängig werden, von denen ich fast nichts weiß.

Solange du nicht z. B. einen eigenen unbound auf einem Raspi zu Hause betreibst, der ausschließlich einen der 13 root-Server fragt, bist du jetzt schon abhängig von den DNS-Servern deines Internetanbieters, von freiwilligen Projekten wie Digitalcourage oder eben der Wirtschaft/Industrie.

 

[U-efg]

Du verwechselst das mit DoH, richtig?

Ja. Mag sein. Da will ich gar nicht weiter differenzieren. Mir passen schon "fremde" DNS-Server nicht, also Google 8.8.8.8 usw. Der Betrieb eines Servers kostet Geld und soll Profit bringen. Mein Provider wird schon von mir bezahlt.
heise: "User-Tracking geschenkt"
https://www.heise.de/news/Mehr-Privatsphaere-mit-Fritzboxen-4920115.html?seite=3

Ich habe nicht weiter darüber nachgedacht: Das Internet funktioniert auf Basis von IP-Adressen, die unterwegs erkennbar sein müssen...

Ergänzung (12. Oktober 2020)

abhängig von den DNS-Servern deines Internetanbieters

Da weiß ich wenigstens etwas, mit wem ich es zu tun habe.

 

[Mark3Dfx]

Zumal in 90% der Kabel Fritten dank der tollen "Provider"firmware keinerlei DNS Änderungen möglich sind.

 

[B3nutzer]

Warum wird hier von Cache und Störungen gesprochen? Hat das bei DNS over TLS irgendwie andere Gründe?

Jedenfalls hatte ich mit dem CloudFlare DNS noch nie irgendwelche DNS Probleme.
Aktiviere ich DNS over TLS, dauerts keine 10 Minuten, bis ich reproduzierbar und in regelmäßigen Abständen Seiten nicht mehr erreichen kann.

Ihr könnt doch nicht darauf schließen, dass das alles Störungen beim DNS Provider sein sollen.

Zumal CloudFlare ja auch eine alternative Adresse anbietet, die auch in der Fritzbox eingetragen ist und der Fehler trotzdem auftritt...

 

[U-efg]

Ihr könnt doch nicht darauf schließen, dass das alles Störungen beim DNS Provider sein sollen.

Kannst Du es ausschließen? Was hast Du die letzten 30 Jahre ohne dieses DoT gemacht? Das ist ein relativ neues Verfahren, das sich erst in der Praxis bewähren muss und mit dem man (nicht ich ) Erfahrungen sammeln muss. Wenn Du gerne Versuchskaninchen bist...

Ergänzung (13. Oktober 2020)

PS
Einfach mal nachdenken:
" Five Eyes plus: Durchgehende Verschlüsselung gefährdet öffentliche Sicherheit

Die Five-Eyes-Staaten appellieren zusammen mit Indien und Japan an die Digitalwirtschaft, auf Ende-zu-Ende-Verschlüsselung am besten zu verzichten."
https://www.heise.de/news/Five-Eyes...faehrdet-oeffentliche-Sicherheit-4926978.html

Ich habe keine Lust auf Räuber-und-Gendarm-Spielchen.

 

[vander]

Kannst Du es ausschließen? Was hast Du die letzten 30 Jahre ohne dieses DoT gemacht? Das ist ein relativ neues Verfahren, das sich erst in der Praxis bewähren muss und mit dem man (nicht ich ) Erfahrungen sammeln muss.

Ich habe vor der DoT Umstellung die gleichen DNS Server von CF und Q9 genutzt.
Nach dem aktivieren und eintragen der zusätzlichen Servernamen, war am nächsten Tag Schluß mit lustig. Diverse Seiten gingen gar nicht mehr, bei einigen wurden bestimmte Resourcen die auf anderen Domains lagen, nicht mehr geladen ... Davor viele viele Monate 0 Probleme.
Kann natürlich reiner Zufall sein, auch das andere die gleichen Erfahrungen gemacht haben ist kein Beweis ... schon klar.

Halten wir mal fest, ob der schwarze Peter jetzt beim DNS Server, dem DoT Protokoll oder der neuen Firmware der Fritte liegt, keine Ahnung. Das die Probleme durch die Aktivierung von DoT entstehen, sehr sicher.

 

[deo]

Die neue Laborversion 07.24-82582 vom 14.10.2020 nennt Verbesserungen bei DoT.

Verbesserung - Robustheit von DNS over TLS (DoT) bei ausfallenden oder nicht antwortenden Gegenstellen erhöht
Verbesserung - Robustheit von DNS over TLS (DoT) durch seltenere Latenzmessung erhöht

https://avm.de/fritz-labor/frisch-aus-der-entwicklung/neuesverbesserungen/

 

[vander]

Mal sehen wann es für die 6490 ein Update gibt und ob ich bis dahin überhaupt noch bei Kabel bin

 

[Eventer]

7.23 ist jetzt raus. Werde morgen mal testen ob DoT jetzt geht.

 

[DeusoftheWired]

7.23 nur für die 6660: https://stadt-bremerhaven.de/avm-fritzbox-6660-bekommt-das-update-auf-fritzos-7-23/

 

[vander]

7.23 nur für die 6660: https://stadt-bremerhaven.de/avm-fritzbox-6660-bekommt-das-update-auf-fritzos-7-23/

Ist doch egal, da weiß man wenigstens vor dem Update der eigenen Box ob überhaupt eine Chance besteht das es was bringt.