Ich spreche im übrigen aus Erfahrung:
Auf einem meiner vServer hatte ich anfangs pihole nativ installiert und mittels iptables abgesichert. Dann kam ich auf die tolle Idee, pihole in einen Docker-Container umzuziehen. Dabei habe ich aber nicht bedacht, dass Docker-Container nicht über die INPUT-Chain reinkommen, sondern über die FORWARD-Chain, weil Docker intern ein eigenes Subnetz für die Container verwendet und der Docker-Service eingehende Pakete somit FORWARDed und eben nicht selbst beantwortet (=INPUT) wie es zuvor die native pihole-Instanz getan hat. Die Folge war, dass meine Firewall den DNS-Traffic nicht mehr geblockt hat und ich somit einen offenen DNS-Resolver gebaut hatte.
Bereits zwei Tage später bekam ich eine Mail von meinem Server-Provider mit der angedrohten Kündigung. Die Bundesnetzagentur hatte meinen Provider darüber in Kenntnis gesetzt, dass eine seiner IP-Adressen - nämlich meine vServer-IP - bei einer DDoS-Attacke mittels besagter DNS Amplification Attack beteiligt war.
So eine DNS-Attacke ist nicht von schlechten Eltern, weil sie extrem effektiv und nur schwierig abzuwehren ist - für das Opfer, aber auch für die missbrauchten DNS-Server.
Ich wiederhole daher die Warnung: Einen offenen DNS sollte man als Laie auf keinen Fall im Internet betreiben, wenn man nicht weiß wie man diesen absichert.
Meine Empfehlung ist, pihole ausschließlich im heimischen Netzwerk zu betreiben und von außen dann eine VPN-Verbindung ins Heimnetzwerk zu nutzen, um dort dann pihole als DNS zu nutzen. So erübrigt sich die Absicherung des pihole an sich, weil er gar nicht öffentlich erreichbar ist - also auch keine Portweiterleitung für UDP 53 einrichten
vServer im www sind zwar billig wie nie (zT nur 1€ pro Monat), aber das heißt nicht, dass sie für jedermann geeignet sind. Hacker-Gruppen wie anonymous und Co lecken sich die Finger nach solchen Servern, die von unbedarften Admins eingerichetet wurden, weil dann entweder 08/15 Logins verwendet werden oder eben die Firewall nicht fachgerecht konfiguriert wurde. Öffentliche Server sind kein Spielzeug, sondern können und werden missbraucht werden, wenn man nicht weiß was man tut........
