Best Practice: AdGuard Home & unbound als DNS-Server

[FizzyMUC]

@FizzyMUC: wenn du den DNS-Server geändert hast, musst du die Geräte im Netz neu anmelden (WLAN oder Ethernet, Verbindung trennen). ggf. in den Netzwerkeinstellungen (hier iMac) überprüfen

Offenbar zu früh gefreut...
Das habe ich gerade am Mac gemacht und dann ging dort auch nix mehr...

 

[FizzyMUC]

Posten doch mal was du bis jetzt wirklich gemacht hast.

Adguard Home habe ich schon lang auf dem Raspi.
Jetzt habe ich:

1. Per SSH in Raspi eingeloggt, dort per "sudo apt install unbound" installiert
2. Per "wget https://www.internic.net/domain/named.root -qO- | sudo tee /var/lib/unbound/root.hints" die root hints installiert
3. Per "sudo nano /etc/unbound/unbound.conf.d/config.conf" die Konfiguration angelegt -> hier könnte Fehlerquelle sein. Ist die Datei so richtig benannt? In allen Beispielen heißt die ja "pi-hole.conf" (interessanterweise ist in dem Ordner aber auch eine pi-hole.conf)
4. Nach restart des service unter AGH 127.0.0.1:5335 sowohl als Upstream DNS, als auch als private reverse DNS eingetragen.

In der Pi-Hole / Unbound Doku steht ja auch wie man es testet... Das liefert genau die Ergebnisse die dort auch als zu erwarten beschrieben werden. Wenn ich die IP in AGH eingebe zeigt der es mir grün an. Am Client habe ich dann aber keine Internetverbindung mehr...

 

[Hellraiser123]

Ich empfehle dir mal die Anleitung nochmal durch zu gehen. Wie die config heißt ist egal. Aber der Inhalt.... Ansonsten poste doch mal deine Config.

 

[FizzyMUC]

In der Fritzbox steht als DNS Server die IP des Raspi, auf dem AGH läuft. Das ist ja korrekt, oder?

 

[Hellraiser123]

Ja, auch wenn ich nicht weiß wo
Es gibt zwei Möglichkeiten
1. Dein Raspi wird per DHCP als DNS Server verteilt
2. Dein Raspi steht als DNS Server in der Fritzbox.

Bei Variante zwei wirst du als Client nur die Fritzbox sehen. Aber funktionieren tut beides.

 

[FizzyMUC]

server:

    # If no logfile is specified, syslog is used
    # logfile: "/var/log/unbound/unbound.log"
    verbosity: 0
    interface: 127.0.0.1
    port: 5335
    do-ip4: yes
    do-udp: yes
    do-tcp: yes

    # May be set to yes if you have IPv6 connectivity
    do-ip6: no

    # You want to leave this to no unless you have *native* IPv6. With 6to4 and

    # Terredo tunnels your web browser should favor IPv4 for the same reasons
    prefer-ip6: no

    # Use this only when you downloaded the list of primary root servers!
    # If you use the default dns-root-data package, unbound will find it automatically
    #root hints: "/var/lib/unbound/root.hints"

    # Trust glue only if it is within the server's authority
    harden-glue: yes

    # Require DNSSEC data for trust-anchored zones, if such data is absent, the zone becomes BOGUS
    harden-dnssec-stripped: yes
    # Don't use Capitalization randomization as it known to cause DNSSEC issues sometimes
    # see https://discourse.pi-hole.net/t/unbound-stubby-or-dnscrypt-proxy/9378 for further details
    use-caps-for-id: no

    # Reduce EDNS reassembly buffer size.
    # IP fragmentation is unreliable on the Internet today, and can cause
    # transmission failures when large DNS messages are sent via UDP. Even
    # when fragmentation does work, it may not be secure; it is theoretically
    # possible to spoof parts of a fragmented DNS message, without easy
    # detection at the receiving end. Recently, there was an excellent study
    # >>> Defragmenting DNS - Determining the optimal maximum UDP response size for DNS <<<
    # by Axel Koolhaas, and Tjeerd Slokker (https://indico.dns-oarc.net/event/36/contributions/776/)
    # in collaboration with NLnet Labs explored DNS using real world data from the
    # the RIPE Atlas probes and the researchers suggested different values for
    # IPv4 and IPv6 and in different scenarios. They advise that servers should
    # be configured to limit DNS messages sent over UDP to a size that will not
    # trigger fragmentation on typical network links. DNS servers can switch
    # from UDP to TCP when a DNS response is too big to fit in this limited
    
edns-buffer-size: 1232

    # Perform prefetching of close to expired message cache entries
    # This only applies to domains that have been frequently queried
    prefetch: yes

    # One thread should be sufficient, can be increased on beefy machines. In r>
    num-threads: 1

    # Ensure kernel buffer is large enough to not lose messages in traffic spik>
    so-rcvbuf: 1m

    # Ensure privacy of local IP ranges
    private-address: 192.168.0.0/16
    private-address: 169.254.0.0/16
    private-address: 172.16.0.0/12
    private-address: 10.0.0.0/8
    private-address: fd00::/8
    private-address: fe80::/10

 

[FizzyMUC]

Ja, auch wenn ich nicht weiß wo
Es gibt zwei Möglichkeiten
1. Dein Raspi wird per DHCP als DNS Server verteilt
2. Dein Raspi steht als DNS Server in der Fritzbox.

Bei Variante zwei wirst du als Client nur die Fritzbox sehen. Aber funktionieren tut beides.

Der steht als DNS in der Fritzbox

 

[Hellraiser123]

Entferne mal interface: 127.0.0.1

 

[FizzyMUC]

Laut AGH "Alle angegebenen DNS Server arbeiten ordnungsgemäß". Ich erneure jetzt den Lease. By the way: Muss der Raspi (auf dem ja AGH und Unbound laufen) auch jedes Mal den Lease erneuern? Oder reicht das "sudo service unbound restart"?

 

[FizzyMUC]

Entferne mal interface: 127.0.0.1

"Safari can't find the server"

 

[FizzyMUC]

Wenn ich (wie in der Pi-Hole Anleitung beschrieben) diesen Dig Befehl nutze kommt das raus:

; <<>> DiG 9.16.44-Debian <<>> github.com @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 4702
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;github.com.            IN    A

;; ANSWER SECTION:
github.com.        36    IN    A    140.82.121.3

;; Query time: 111 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1)
;; WHEN: Wed Sep 04 17:48:24 CEST 2024
;; MSG SIZE  rcvd: 55

Sieht für mich erstmal so aus als ob alles passt. Es klappt nur nicht wenn ich es in AGH setze.

 

[Hellraiser123]

Kann es was mit IPv6 zu tun haben? Weil das hast du bei dir in der config deaktiviert. Aber ich kann dir nicht sagen was du genau falsch hast. Ich würde sonst empfehlen einen Schritt zurück gehen und die Anleitung die ich verlinkt habe nochmal durch gehen. Bei mir lief das auf Anhieb.

 

[FizzyMUC]

OK - ich lösche es nochmal alles und nehme deine Anleitung. IPv6 habe ich deaktiviert.

 

[FizzyMUC]

Mmh, ich muss sagen: bei der Anleitung (habe alles per copy & paste über ssh gemacht) kommen so unfassbar viele Fehlermeldungen...

Am Ende erhalten ich das hier:

; <<>> DiG 9.16.44-Debian <<>> kuketz-blog.de @127.0.0.1 -p 5353
;; global options: +cmd
;; connection timed out; no servers could be reached

 

[FizzyMUC]

Und nun weiß ich auch nicht wie ich es "auf Anfang setzen kann", ohne den ganzen Raspi platt zu machen

 

[Hellraiser123]

Dann machst du leider was falsch....
Stimmt der Port?

sudo apt remove unbound und dann sudo rm -rf /etc/unbound. Dann müsste unbound weg sein.

 

[FizzyMUC]

Dann machst du leider was falsch....
Stimmt der Port?

Ja - hab extra drauf geachtet weil ich ja vorher 5335 hatte und in deiner Anleitung/Konfig 5353 war.

Ich Versuchs heut Abend nochmal. Jetzt hat Kind Prio.

Ärgere mich maßlos über mich selbst ich hatte unbound auch schonmal auf einem Dietpi mit AdGuard am Laufen. Es war ein Klick und dann die IP eintragen. Und dann ging auch alles. Kann doch wirklich nicht so schwer sein.

 

[*kw*]

Du kannst das ganze auch mal mit DietPi probieren. Da ist die Installation von AGH und Unbound einfach über Menü zu bewerkstelligen. Okay, um die Konfigurierung kommst du aber auch dabei nicht umhin.

Aber das einzige, was ich bei Unbound machen musste, meinen angepassten Port einzutragen, der Rest betraf AGH.

 

[FizzyMUC]

Du kannst das ganze auch mal mit DietPi probieren.

Ja, ich hatte ja geschrieben dass ich das hatte und das wunderbar lief. Leider hat DietPi aktuell ein Problem mit Icecast (was ich wegen eines Plattenspieler zwingend benötige), daher habe ich Dietpi durch Raspian ersetzt. Und da klappt das gerade alles nicht. Ich werde wohl AdGuard und Unbound (morgen) per Docker auf die Syno ballern… dann sollte Ruhe sein

 

[FizzyMUC]

Es scheint nun zu laufen, auch nach erneutem Lease. Ich habe mir per "sudo systemctl status unbound" mal den Status angeguckt und gesehen dass er wohl Probleme hatte das config File zu laden, bzw. er in einem anderen Ordner nachgesehen hat, als da wo ich ihn hin kopiert habe. Habe das File also da abgelegt und nach einem Restart läuft es nun.

Sep 05 10:44:35 vinyl package-helper[79354]: [1725525875] unbound-checkconf[79354:0] error: Could not open /etc/unbound/unbound.conf: No such file or directory
Sep 05 10:44:35 vinyl package-helper[79358]: [1725525875] unbound-checkconf[79358:0] error: Could not open /etc/unbound/unbound.conf: No such file or directory
Sep 05 10:44:36 vinyl (unbound)[79360]: unbound.service: Referenced but unset environment variable evaluates to an empty string: DAEMON_OPTS
Sep 05 10:44:36 vinyl unbound[79360]: [1725525876] unbound[79360:0] error: Could not open /etc/unbound/unbound.conf: No such file or directory
Sep 05 10:44:36 vinyl unbound[79360]: [1725525876] unbound[79360:0] warning: Continuing with default config settings
Sep 05 10:44:36 vinyl unbound[79360]: [79360:0] notice: init module 0: subnet
Sep 05 10:44:36 vinyl unbound[79360]: [79360:0] notice: init module 1: validator
Sep 05 10:44:36 vinyl unbound[79360]: [79360:0] notice: init module 2: iterator
Sep 05 10:44:36 vinyl unbound[79360]: [79360:0] info: start of service (unbound 1.13.1).
Sep 05 10:44:36 vinyl systemd[1]: Started unbound.service - Unbound DNS server.