pihole Fritzbox DNS over TLS (DoT)

[der-junge]

Hi, habe kürzlich DNS over TLS (DoT) in der FB aktiviert, funktioniert soweit gut.

Jetzt ist mir im pihole aufgefallen, meine Apple Clients schicken ständig querys (A,AAAA,https) an den in der FB konfigurierten DNS Server.

Setup ist alle Clients haben die pihole Adresse als dns und der pihole fragt die FB.

Beispiel:

in der FB ist unter DNS over TLS (DoT) Auflösungsnamen "unfiltered.adguard-dns.com" eingetragen, die FB hat entsprechend die 4 Server hinterlegt und bei allen steht im Onlinemonitor DOT verschlüsselt dahinter.

Warum tauchen jetzt im pihole unter top permitted Domains mehrere hundert querys mit der Domain "unfiltered.adguard-dns.com" auf? Nach meinem verständnis kennen die Clients diese Adresse doch garnicht, sondern nur die FB.

Habe ich einen Denkfehler? Warum ist das so?

 

[riversource]

Warum tauchen jetzt im pihole unter top permitted Domains mehrere hundert querys mit der Domain "unfiltered.adguard-dns.com" auf?

Schau doch ins Log, du kannst ja sehen, wer danach gefragt hat.

Jetzt ist mir im pihole aufgefallen, meine Apple Clients schicken ständig querys (A,AAAA,https) an den in der FB konfigurierten DNS Server.

Dann ist in den Apple Geräten wohl auch ein DoT Server hinterlegt.

 

[0x8100]

welche dns-server sind für ipv4/ipv6 in der fritzbox konfiguriert? welche dns-server werden per dhcp verteilt? am ende fragen die apple geräte per normalen dns die fritzbox, die fritzbox will per DoT das ganze auflösen, muss aber den pihole fragen, welche ip hinter "unfiltered.adguard-dns.com" steckt. damit hätte man jede menge anfragen für adguard im pihole, die dann von der fritzbox kommen.

 

[der-junge]

hm...habe ich das so schlecht erklärt? Ich dachte alle diese Fragen seien bereits beantwortet, sorry.

Natürlich habe ich ins Log geschaut, dort tauchen alle meine Apple Geräte bei der Domain auf.
Meine Apple Geräte bekommen einfach die IP des pihole per dhcp.

Wenn man in der FB unter DNS over TLS (DoT) Auflösungsnamen "unfiltered.adguard-dns.com" einträgt, werden automatisch 2x ipv4 und 2xipv6 als uptream von adguard konfiguriert.

Also alle Clients bekommen per dhcp den pihole und die FB hat die Adguardserver als Upstream.
Die FB sollte also das letzte Glied in der Kette sein, oder nicht? Das erklärt für mich alles nicht warum z.B. mein iphone überhaupt nach "unfiltered.adguard-dns.com" fragt.