Pi-Hole, Unbound und Wireguard auf einem Synology NAS

[update-freak]

Hallo zusammen,
um auf meinem Synology NAS Pi-Hole, Unbound und Wireguard zu installieren habe ich folgende drei Videos angewandt:
1. https://www.youtube.com/watch?v=uPjAirU4occ
2. https://www.youtube.com/watch?v=t9v-seCZY9A
3. https://www.youtube.com/watch?v=-546g1w_L3w
Nachdem ich jedoch Unbound hinzugefügt habe, kann ich mir zwar mit Wireguard verbinden, kann jedoch nicht auf lokale IPs, z.B. 192.168.178.2/admin für die Oberfläche von Pi-Hole anmelden. (Ohne Unbound war das problemlos möglich). Komme aktuell jedoch nicht mehr weiter. Vielleicht sieht jemand den Fehler in der Konfiguration.

Nachfolgend meine aktuellen Einstellungen:
== Docker ==
pihole-bridge (Pi-Hole ist verbunden)
Subnetz: 192.168.179.0/24
IP-Bereich: 192.168.179.2/32
Gateway: 192.168.179.1

pihole-unbound-macvlan (Pi-Hole und Unbound ist verbunden)
Subnetz: 192.168.178.0/24
IP-Bereich: 192.168.178.2/30
Gateway: 192.168.178.1

== Synology ==
Synology-Einstellungen -> DNS Server manuell konfigurieren -> Bevorzugter DNS-Server: 192.168.179.2

== Geräte ==
Fritzbox: 192.168.178.1 (bei IPv4 ist als DNS-Server die IP 192.168.178.2 hinterlegt)
Pi-Hole: 192.168.178.2 (In Pi-Hole ist unter Settings -> DNS -> Custom 1 -> IP: 192.168.178.3) hinterlegt
Unbound: 192.168.178.3

== Wireguard (Ausschnitt aus den Einstellungen eines Clients) ==
[Interface]
DNS = 192.168.178.2
[Peer]
AllowedIPs = 192.168.178.0/24, 192.168.179.2/32

== Wireguard (Ausschnitt aus den Einstellungen zum Server) ==
[Interface]
PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -A FORWARD -o %i -j ACCEPT; iptables -t nat -A POSTROUTING -o docker-BRIDGE-INTERFACE -d 192.168.179.2/32 -j MASQUERADE; iptables -t nat -A POSTROUTING -o eth0 ! -d 192.168.179.2/32 -j MASQUERADE
PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -D FORWARD -%i -j ACCEPT; iptables -t nat -D POSTROUTING -o docker-BRIDGE-INTERFACE -d 192.168.179.2/32 -j MASQUERADE; iptables -t nat -D POSTROUTING -o eth0 ! -d 192.168.179.2/32 -j MASQUERADE

Danke

 

[update-freak]

Hat keiner eine Idee woran es liegen könnte?

 

[the other]

Moinsen,
was ich nicht blicke ist, wie du nun welche IPs vergeben hast...
1. wer ist denn nun dns server / resolver? Unbound vermute ich...welche IP hat unbound bei dir?
2. vor dem dns-resolver unbound werkelt vermutlich der Filter (pihole)...welche IP?
3. und dein NAS als Gastgeber des Ganzen hat...welche IP?
4. in pihole: welchen Port hast du für die dns Anfrage gesetzt?

Wenn du dich schon mit deiner IP nicht am pihole anmelden kannst, dann hat das erstmal nix mit dem dns resolver zu tun (stellst ja keine Anfrage zur Namensauflösung), sondern eher mit einer irgendwo verhauenen Konfiguration, so dass traffic nicht so läuft, wie du es willst.
Welche (falls) Fehlermeldung bekommst du denn?

Davon ab: auch wenn es in einem synology Forum immer unpopulärer erscheinen mag: nicht alles, was die synos können sollte auch unbedingt umgesetzt werden, imho. Soll heißen: bevor ich wichtige Teile der Netzwerkinfrastruktur (hier dns anfragen) komplett durch das NAS schleife, setze ich da als Empfehlung eher auf ein getrenntes Gerät. Nimm dir doch einfach einen Raspi, pack da pihole mit unbound drauf, dazu ggf. noch deinen VPN Server. Das macht es überschaubarer (das Container-bridge-mcvlan Geraffel fällt weg), sicherer (nicht jede dns Anfrage geht via NAS, ein NAS ist keine gute Lösung als VPN-Server) und damit besser.

 

[update-freak]

Hi, kann gerne Licht ins Dunkel bringen.

1. Ja genau, der DNS Server ist nun Unbound mit der IP: 192.168.178.3
   Realisiert ist das ganze so, dass die Information so weitergeleitet wird: Fritzbox -> Pi-hole -> Unbound
2. Korrekt dazwischen ist Pi-hole mit der IP 192.168.178.2 geschaltet
3. Der NAS aufdem Unbound und Pi-hole in Docker kaufen hat die IP: 192.168.178.24
4. Unter Upstream DNS Server habe ich nur die IP 192.168.178.3 angegeben (keine Angabe des Ports)

Wenn ich im lokalen Netz bin kann ich mich ohne Probleme bei Pi-hole mit der IP 192.168.178.3/admin anmelden.
Nur wenn ich außerhalb ich mich mit Wireguard anmelde kann ich die Seite 192.168.178.3/admin nicht aufrufen.
Hier kommt dann die Fehlermeldung "Die Webseite ist nicht ereichbar".

Ok, danke für den Hinweis. Der Gedanke war an sich mit möglichst wenigen Geräten zur Lösung zu kommen. Ich weiß, dass es nicht ideal ist.