RaspberryPI - Pi-Hole & VPN

[benjiman]

Hi Folks,

jetzt in der kalten, dunklen und ungemuelitchen Jahreszeit habe ich mir gedacht es ist mal wieder Zeit für ein kleines Fortbildungsprojekt

Ich habe mir ein Raspberry Pi 3 B+ bestellt und will diesen hauptsächlich als Pi-Hole betreiben. Der Pi sollte Anfang nächster Woche geliefert werden. Bisher plane ich als OS Raspbian zu installieren und dann entsprechend darauf Pi-Hole zu installieren.

Ich denke das bekomme ich soweit hin. Kurze Verständnisfrage zur Router-Config... ich trage die IP vom Pi als WAN-DNS ein, richtig? Nicht als LAN-DNS...

Jetzt zu meinen eigentlich Fragen...

1. Könnte ich den Pi parallel zum Pi-Hole auch noch als VPN-Server laufen lassen? (Habe natürlich keine feste IP - das Problem würde ich dann nachgelagert angehen). Wie verhält sich eigentlich die Performance auf einem Pi-VPN? Auch hier ausschließlich in Abhängigkeit zum Up-/Downstream (1000/40 - Docsis 3.1 crap) oder limitiert der PI zusätzlich?
2. Ich nutze heute regelmaessig eine VPN von dem Anschluss (A) an dem der Pi-Hole laufen soll zu meinem zweiten zu Hause (FritzVPN / Anschluss B). Ich habe irgendwo in einem anderem Forum aufgeschnappt das die VPN das Pi-Hole quasi aushebeln würde? In der Konstellation würde dann mit welcher Identität surfen? Von Anschluss A oder B?

Danke schon mal

Cheers & nice W/E

 

[n1tro666]

Kurze Verständnisfrage zur Router-Config... ich trage die IP vom Pi als WAN-DNS ein, richtig? Nicht als LAN-DNS...

Welcher router denn?

die ip adresse des pihole (= der werbeblocker-dns) wird normal gar nirgends im router
eingetragen.
die clienten müssen so konfiguriert das sie als DNS die ip-adresse des pihole nutzen,
als ausnahme gelten hier neuere fritz boxen als router, dort kann man ab fritz os 6.80
einen eigenen dns unter heimnetzwerk eintragen welcher dann über broadcast verteilt wird.

1. man kann parallel zum pihole einen vpn laufen lassen, wichtig sind dann allerdings
manuelle anpassungen in der dnsmasq config, dhcpcd.conf und evtl. weitere
config dateien.
pi-vpn ist als einstieg gut geeignet.

 

[NJay]

Welcher router denn?

die ip adresse des pihole (= der werbeblocker-dns) wird normal gar nirgends im router
eingetragen.

Also jeder Router, den ich in den Fingern hatte konnte den DNS über DHCP verteilen. Einfach in den DHCP Settings im Router eintragen und gut ist

 

[ruw]

Also ich habe den Pi als DNS Server im Router eingetragen. Das Anpassenb jedes einzelnen Clients erscheint mir doch etwas aufwendig zu sein.
Leider weiß ich aber nicht, ob der als WAN-DNS oder LAN-DNS in deinem Router konfiguriert werden muss.

 

[benjiman]

Also jeder Router, den ich in den Fingern hatte konnte den DNS über DHCP verteilen. Einfach in den DHCP Settings im Router eintragen und gut ist

Merci... so hatte ich das auch verstanden eigentlich.

 

[HisN]

Naja, ist halt davon abhängig was Du erreichen möchtest.
Alle Geräte sollen das ohne Eingriff machen: DNS-Server im Router auf den PI zeigen lassen.
Du willst es nur an speziellen Geräten haben: Bei den Geräten den PI als DNS-Server eintragen.

Das coole am Pi-Hole ist doch genau der Umstand, dass Du den Blocker bei Geräten hast, bei denen Du keinen DNS-Server eintragen kannst, also z.b. bei Handys oder Tabletts, bei Settop-Boxen ...

@Topic
Kann Dein Router kein VPN? Warum muss der Pi das machen?

 

[n1tro666]

Also jeder Router, den ich in den Fingern hatte konnte den DNS über DHCP verteilen.

das geht auch gut, allerdings kann man bei fritz boxen einen eigenen Lokalen DNS
nicht gut benutzen wegen des dns-rebind schutzes

 

[benjiman]

Genau das war mein Plan... also eben nicht auf jeden Client eintragen... sehr cool.

Bin ich bei WAN-DNS richtig? Vermutlich oder?

PS: Das Pi-Hole wird nicht hinter einer Fritzbox haengen. Sondern Arris DG3450.

 

[HisN]

das geht auch gut, allerdings kann man bei fritz boxen einen eigenen Lokalen DNS
nicht gut benutzen wegen des dns-rebind schutzes

Wobei das auch mit zwei Zeilen Konfig im Pi zu handeln ist, so das pi.hole oder fritz.box aufgelöst wird.

 

[BFF]

Genau das war mein Plan... also eben nicht auf jeden Client eintragen... sehr cool.

Bin ich bei WAN-DNS richtig? Vermutlich oder?

PS: Das Pi-Hole wird nicht hinter einer Fritzbox haengen. Sondern Arris DG3450.

Nein, Du bist falsch.
Pi-Hole wird den Geraeten Deines Netzes als DNS gegeben.
Das gehoert in die DHCP-Einstellungen fuer das lokale Netzwerk.

BFF

 

[benjiman]

Das gehoert in die DHCP-Einstellungen fuer das lokale Netzwerk.
BFF

Vielen Dank

 

[Towatai]

ich hab zuhause auch n pi-hole + pivpn laufen. funktioniert problemlos und filtert einem auch unterwegs die werbung vom smartphone. wie schon gesagt wurde, dem Pi ne feste IP geben und diese als DNS im Router eintragen. dann besorgst du dir am besten nen account bei nem dyndns-anbieter deiner wahl, lässt deinen router diese bei bedarf aktualisieren und gibst eben diese adresse im pivpn setup im entsprechenden abschnitt an. fertig. benutzer für pivpn anlegen und die dann erzeugte datei nicht vergessen aufs smartphone zu kopieren und in einem vpn client deiner wahl zu verwenden. ich komme unterwegs auf nen durchsatz von ~ 20/10 (Mbit) übers telekom LTE Netz wenn ich mit dem VPN verbunden bin. Zuhause werkelt ne 100er VDSL der Telekom.

ich hab mich beim ersten mal an die beiden anleitungen hier gehalten:

https://www.kuketz-blog.de/pi-hole-schwarzes-loch-fuer-werbung-raspberry-pi-teil1/
https://www.kuketz-blog.de/pivpn-raspberry-pi-mit-openvpn-raspberry-pi-teil3/

 

[benjiman]

Hi zusammen,

jetzt bin ich endlich dazugekommen das Pi-Hole soweit einzurichten. Installation und Config hat soweit, glaube ich, funktioniert. Jetzt scheitere ich jedoch leider an der Config von meinem LAN...

Mein Router ist 192.168.0.1, Pi-Hole 192.168.0.2/24 (static) und DHCP habe ich 192.168.0.3 bis .253 zugewiesen.

Sobald ich jetzt den Primary DNS für mein LAN im Router auf 192.168.0.2 ändere geht gar nichts mehr. Alle Clients in meinem LAN/WLAN kommen nicht mehr ins Internet und auch auf die Pi-Hole Admin Seite komme ich mittels IP nicht mehr. Letzteres liegt daran das der Pi selbst im Router als Offline angezeigt wird. Das ändert sich nur durch neutstart des PI's und zurücksetzen der DNS settings.

Sage ich meinem Laptop nun jedoch in dessen WLAN-Settings die 192.168.0.2 als DNS zu nutzen klappt alles. Werbung wird gefiltert und auf der Pi-Hole Admin Seite wird alles protokolliert....

Nun will ich aber gerade nicht jedem Client einzeln die IP des Pi's als DNS zuweisen... geht teilweise auch gar nicht.

Kann mir jemand weiterhelfen? Ich sehe gerade echt nicht durch... vermutlich irgendein dummer Anfängerfehler...

 

[lokon]

Per DHCP Option 6 können DNS Server zugewiesen werden.

 

[smuper]

Welchen Router und wo eingetragen?

Das ist ja erstmal eine absolute Standard Installation/Konfig, die muss so laufen.

 

[benjiman]

Per DHCP Option 6 können DNS Server zugewiesen werden.

Sorry ich kann dir nicht ganz folgen... Option 6?

Welchen Router und wo eingetragen?

Das ist ja erstmal eine absolute Standard Installation/Konfig, die muss so laufen.

Der Router ist ein Arris DG3450... Docsis 3.1... WAN mit echter IP4 (falls das was zur Sache tut)...

Hier mal ein Screenshot von der Config... sobald ich das so speichere, verschwindet der Pi aus der Liste der verbundenen Geräte und ich kann ihn nicht mehr erreichen.

DHCP-Server auf dem Pi-Hole ist natürlich disabled. Hier noch die DNS Settings vom Pi-Hole...

Ergänzung (18. November 2018)

hm... also ich hab genau die gleiche DNS Änderung jetzt noch mal durchgeführt, raspi disconnect sich, raspi neugestartet und plötzlich ist der raspi wieder da und es scheint zu funktioniert...

Ich sehe in den Logs die Queries wenn ich von meinem Laptop aus irgendeine Seite aufrufe... als SourceIP taucht da jetzt zwar immer die Router IP auf und nicht die vom tatsächlichen Client, aber das ist korrekt so denke ich

Edit: Ich habe DNS Relay disabled und seit dem werden die DNS requests auch nicht mehr maskiert, somit laeuft jetzt alles wie gewuenscht. Danke euch!

 

[lokon]

Sorry ich kann dir nicht ganz folgen... Option 6?

RFC2132 3.8 - der DHCP Server kann einen DHCP Client im LAN einen DNS Server mitteilen - indem die Option 6 die IP-Adresse (auch mehrere) des DNS Servers bei der DHCP Adressvergabe mitgesendet wird.
Bei den Clients sollte als DNS Server dann derjenige aus Option 6 angegeben sein.

Die DNS Einstellung in dem Arris-Router sendet vielleicht genau das an die LAN Clients (kann zB mit wireshark überprüft werden) - vielleicht liegt das Problem bei "DNS-Relay" - dh der DNS Server auf dem Arris ist noch aktiv und blockiert / ist verbuggt?
Edit: "verbuggt" zB Firewall die DNS Anfragen immer an den Router weiterleitet, anstatt an den Pi-Hole

 

[darkcrawler]

das geht auch gut, allerdings kann man bei fritz boxen einen eigenen Lokalen DNS
nicht gut benutzen wegen des dns-rebind schutzes

Theoretisch ja, funzt bei meiner 7490 aber ohne probs