ace-drink
Lt. Commander
- Registriert
- Juni 2008
- Beiträge
- 1.296
Hi,
ich habe hier PiHole schon lange am laufen mit DNSSEC aber wollte nun auch noch DNS over TLS nutzen.
Daher Unbound auf dem Rapsberry installiert und nutze folgende Config. Es geht alles und wenn ich viatcpdump nachPorts 53 und 853 schaue, sehe ich dasdie Kette wie folgt zu klappen scheint.
Client via Port 53 -> Pihole -> Unbound -> Upstream DNS Server Anfrage via Port 853 -> Antwort an Piholeund von da dann wieder an den lokalen Client.
Warum zeigen mir dann aber Tests wie dieser unter advanced DNS das ich kein TLS nutze?
https://tenta.com/test/?utm_source=blog
oder aber auch hier wenn ich vorherzum testen auf Cloudflare umstelle https://1.1.1.1/help
Habe ich einen Denkfehler? Es geht ja alles und die Anfragen gehen laut TCPDump via 853 Port raus, also sollte es doch als aktive erscheinen?
Würde mich freuen, wenn mir jemand helfen oder mir erklären kann. Interessiert mich einfach.
Alternativ könnte ich auch das Ganze setup kippen und im Router DoT aktivieren und sagen wir Adguard DNS nehmen aber erstens bastel ich gerne und zweitens verliere ich dann die Möglichkeit bestimmte DNS Server zu nutzen die ich bevorzuge und gleichzeitig Custom BLocklists zu haben. Pihole eben.
ich habe hier PiHole schon lange am laufen mit DNSSEC aber wollte nun auch noch DNS over TLS nutzen.
Daher Unbound auf dem Rapsberry installiert und nutze folgende Config. Es geht alles und wenn ich viatcpdump nachPorts 53 und 853 schaue, sehe ich dasdie Kette wie folgt zu klappen scheint.
Client via Port 53 -> Pihole -> Unbound -> Upstream DNS Server Anfrage via Port 853 -> Antwort an Piholeund von da dann wieder an den lokalen Client.
Warum zeigen mir dann aber Tests wie dieser unter advanced DNS das ich kein TLS nutze?
https://tenta.com/test/?utm_source=blog
oder aber auch hier wenn ich vorherzum testen auf Cloudflare umstelle https://1.1.1.1/help
Habe ich einen Denkfehler? Es geht ja alles und die Anfragen gehen laut TCPDump via 853 Port raus, also sollte es doch als aktive erscheinen?
Würde mich freuen, wenn mir jemand helfen oder mir erklären kann. Interessiert mich einfach.
Alternativ könnte ich auch das Ganze setup kippen und im Router DoT aktivieren und sagen wir Adguard DNS nehmen aber erstens bastel ich gerne und zweitens verliere ich dann die Möglichkeit bestimmte DNS Server zu nutzen die ich bevorzuge und gleichzeitig Custom BLocklists zu haben. Pihole eben.
Code:
# Konfiguration für Unbound als DNS für PiHole mit DoT. Basiert auf:
# Konfiguration von https://bartonbytes.com/posts/configure-pi-hole-for-dns-over-tls/
# und Konfiguration von https://docs.pi-hole.net/guides/dns/unbound/
server:
# If no logfile is specified, syslog is used
# chroot: ""
logfile: "/var/log/unbound.log"
verbosity: 0
# If enabled id.server and hostname.bind queries are refused.
hide-identity: yes
# If enabled version.server and version.bind queries are refused.
hide-version: yes
# If yes, Unbound doesn't insert authority/additional sections
# into response messages when those sections are not required.
minimal-responses: yes
# Send minimum amount of information to upstream servers to
# enhance privacy.
qname-minimisation: yes
# rotates RRSet order in response (the random number
# is taken from the query ID, for speed and thread safety)
rrset-roundrobin: yes
# Enable or disable whether the upstream queries use TCP only for
# transport. Useful in tunneling scenarios.
# tcp-upstream: yes
# Enable or disable whether the upstream queries use SSL only for
# transport.
ssl-upstream: yes
# certificates used for authenticating connections made to outside peers
ssl-cert-bundle: /etc/ssl/certs/ca-certificates.crt
# Interface to use to connect to the network
interface: 127.0.0.1
# Port for Usage in Pi-Hole as 127.0.0.1#5533
port: 5533
# Enable or disable whether TCP/UDP/IP4 queries are answered or issued.
do-ip4: yes
do-udp: yes
do-tcp: yes
# May be set to yes if you have IPv6 connectivity
do-ip6: no
# prefer IPv6 over IPv4 yes or no
prefer-ip6: no
# Trust glue only if it is within the servers authority
harden-glue: yes
# Require DNSSEC data for trust-anchored zones, if such data is absent, the zone becomes BOGUS
harden-dnssec-stripped: yes
# Don’t use Capitalization randomization as it known to cause DNSSEC issues sometimes
# see https://discourse.pi-hole.net/t/unbound-stubby-or-dnscrypt-proxy/9378 for further details
use-caps-for-id: no
# Reduce EDNS reassembly buffer size.
# Suggested by the unbound man page to reduce fragmentation reassembly problems
edns-buffer-size: 1472
# TTL bounds for cache
cache-min-ttl: 600
cache-max-ttl: 14400
# Perform prefetching of close to expired message cache entries
# This only applies to domains that have been frequently queried
prefetch: yes
# One thread should be sufficient, can be increased on beefy machines
num-threads: 1
# Cache Memory rrset should have double size as msg
msg-cache-size: 50m
rrset-cache-size: 100m
# Accelerate UDP with multithreading
so-reuseport: yes
# Ensure kernel buffer is large enough to not loose messages in traffic spikes
so-rcvbuf: 1m
# Ensure privacy of local IP ranges
private-address: 192.168.0.0/16
# private-address: 169.254.0.0/16
# private-address: 172.16.0.0/12
# private-address: 10.0.0.0/8
# private-address: fd00::/8
# private-address: fe80::/10
access-control: 127.0.0.0/8 allow
forward-zone:
# forward all queries to these DNS servers:
name: "."
forward-addr: 185.95.218.42@853#dns.digitale-gesellschaft.ch
forward-addr: 94.140.15.140@853#dns-unfiltered.adguard.com
