Mehrere Unbound DNS hintereinander betreiben

[PhilippK]

Hallo.
Ich betreue bei uns im Haus die IT-Themen. Wir sind ein CoWorking-Space mit einem eigenen Agenturteil. Dementsprechend kompliziert ist auch das Netzwerk-Setup, da wir viele verschiedene Firmen im Haus haben.

Deshalb habe ich mich dazu entschlossen, dass jede Firma in einem eigenen VLAN sitzt. Darüber hinaus gibt es noch einige Service-VLANs, beispielsweise für Infrastruktur oder das Radio.

Die einzelnen VLANs sind dann in einem großen Default-LAN miteinander verbunden (10.0.0.0/22), aber lediglich durch ihre OPNsense Firewall erreichbar. Das ganze funktioniert ganz gut, ich virtualisiere das mit Proxmox auf einem Blade, das läuft super.

Das gesamte Netzwerk wird aber immer komplexer
Wir betreiben auch einige Service im Haus, wie z.B. 2 Nextcloud-Instanzen oder die Türsteuerung.

Jetzt ist es aber so, dass nicht alle VLANs jeden Service nutzen sollen, bzw. auch abhängig davon, in welchem VLAN ich mich befinde sollen Services anders funktionieren.

Ich möchte also z.B. folgendes Einrichten:

Im Default-VLAN, gibt es eine ganze Menge an Einträgen im Unbound für interne Services, die für alle Netzwerke zur Verfügung stehen sollen. Um das zu gewährleisten, bekommen Geräte vom DHCP die IP des Unbounds mitgeliefert. Das funktioniert soweit wunderbar.

Befinde ich mich aber beispielsweise im Agentur-LAN, sollen neben den Services aus dem Default-LAN auch noch weitere spezielle Services verfügbar sein, beispielsweise das Nextcloud soll da nicht über das Internet gehen, sondern direkt auf die interne LAN-IP-Adresse umleiten. Was soweit super funktioniert, wenn ich dem DHCP des Agentur-LANs die IP-Adresse des Agentur-Unbounds mitliefere.

Wenn ich das allerdings mache, löst er natürlich nicht mehr die DNS-Einträge aus dem Default-LAN auf. Ich kann also nur entweder oder.

Gewünscht wäre eben eine Funktionalität, dass er primär dann im Agentur-Unbound nachschaut, wenn dort nicht vorhanden, schau auf den Default-Unbound, wenn dort nicht vorhanden, schau auf die Root-Server.

Genau das scheint aber nicht zu funktionieren, bzw. bekomme ich die Unbound-Server nicht so konfiguriert.

Nach mehreren Stunden probieren und googlen komme ich an dieser Stelle leider nicht mehr weiter und wende mich deswegen an euch.

Ich habe auch schon probiert, dass man einfach den Agentur-Unbound im DHCP einträgt und den dann auf Forward stellt. Aber selbst das will er nicht. (In den System-Einstellungen der Agentur-Firewall ist der Default-Unbound eingetragen)

Entweder mache ich etwas gehörig falsch, verstehe etwas falsch oder es ist ein anderes Problem oder ich muss mir eine andere Lösung für diesen Fall suchen. Ich bitte euch um Vorschläge wie ich dieses Problem lösen könnte. Vllt. ist die Lösung auch super simpel und ich sehe sie einfach nur nicht mehr?

Vielen lieben Dank und viele Grüße aus Wien,
Philipp

(anbei noch eine Visualisierung des Netzwerks für besseres Verständnis)

[Gauss23]

Und das Ganze dann per Overrides laufen zu lassen ist keine Option? Entweder als Host-Override oder eben mit unterschiedlichen Domain-Namen arbeiten und dann für die unterschiedlichen Domains die unterschiedlichen anderen Unbound/OPNsense Instanzen ansprechen.

[PhilippK]

Ja, ich verwende overrides.

Aus Usability-Gründen ist es nicht zumutbar, dass man sich abhängig wo man sich befindet andere Domains merken muss. Das ist etwas, dass das Netzwerk unbedingt können muss.