[Gelöst] Unbound-DNS Erweitert

[k0ns0l3]

IPv4 TCP/UDP   Server    *   Diese Firewall   53 (DNS)   *   *      LAN_TO_Firewall_DNS

meinst du so ;))

 Falls meine DNS Regel Optimierungsbedarf hat, wäre interessant wie diese aussehen müsste?

lg k0ns0l3

[k0ns0l3]

also ich komme nicht zur internet mit Unbound auf 53053 :((

lg

[Patrick M. Hausen]

Hast du denn dem AGH den neuen Upstream mitgeteilt?

[k0ns0l3]

Wer einen Fehler gemacht hat und ihn nicht korrigiert, begeht einen Zweiten.Upstream mitgeteilt und jetzt lauft alles :))

Thanks for the tip ;))

lg k0ns0l3

[k0ns0l3]

Durchschnittliche Upstream-Antwortzeit ist zu hoch.

[Patrick M. Hausen]

Hast du im Unbound noch irgendwas definiert, evtl. AGH als Upstream?

[k0ns0l3]

ne , alles standard.
gibt es vielleicht adguard tips und tricks

[k0ns0l3]

Unbound-DNS

[bamf]

Durchschnittliche Upstream-Antwortzeit ist zu hoch.

Das ist doch völlig normal, wenn du rekursiv auflöst. Dafür macht Unbound Caching, Serve-Expired und Prefetch. Wenn der Cache erst mal gut gefüllt ist, erledigt sich das Problem von selbst.

Du musst nur bedenken, dass der Cache geleert wird, wenn du den Router neu startest. Dann können initiale Requests eben wieder etwas länger dauern. Wenn dich das stört, musst du den Cache vorher sichern und dann wiederherstellen.

Strict QNAME Minimisation halte ich übrigens für mutig. Ich vermute, das wird zu vielen fehlgeschlagenen Auflösungen führen.

[k0ns0l3]

Danke für den hinweis,
lg k0ns0l3

[JeGr]

Ich kann da wie Patrick auf meine Kommentare zu diesem Thread verweisen:

https://forum.opnsense.org/index.php?topic=50075.msg274087#msg274087
und
https://forum.opnsense.org/index.php?topic=50075.msg274498#msg274498

Dazu das DoHoT Projekt von Alec Muffett, der das ganze Thema DoH, DoT, DoQ und Co mal auseinander genommen hat und zum Schluß kam: wenn du WIRKLICH superverschlüsselt, hochsicher, DNS machen willst, dann gehts nur via DoH+Tor, damit sich die DoH Requests wie TOR HTTPS Traffic in der Masse tarnen können. Und das ist für die meisten absoluter Overkill. Was aber dabei interessant rauskam: das ganze Rat-Race mit "ich hab die schnellsten ms Auflösung in DNS" ist quark und du spürst davon in der Praxis kaum was. Ob jetzt dein Browser beim Webseiten-Aufruf 1x von 10x ein wenig länger braucht (ca. 500-600ms) und danach durch den Unbound Cache der Rummel dann in <1ms läuft merkst du in der Praxis kaum. Einzig bei selten aufgerufenem Kram mag das vllt mal spürbar sein, aber das geht in der Load unter.

Dann noch ein kleines Wort zu Patricks Empfehlung wegen AdGuard:

AdGuard (Home) und PiHole mögen die OldSchoolers sein, was DNS Blocking angeht, aber sie machen ihren Job absolut hocheffizient mittels dnsmasq (oder Fork davon) im Unterbau! Ich habe mal in einer unserer Freitagsrunden an denen wenig los war und kaum jemand Zeit hatte mit den 2-3 Leuts die da waren ein Experiment gemacht: Mein aktuelles PiHole Setup mit allen Blocklisten auf eine der gehypten anderen DNS Lösungen versucht zu portieren. Auch auf Unbound selbst:

Das war ernüchternd! Egal ob Unbound roh, Technitium, Blocky, CoreDNS und wie die ganzen hippen DNS Tools alle heißen: die meisten, die ich auf die schnelle mal durchspielen konnte, sind einfach an meinen Blocklisten verzweifelt im Sinne von "haben so viel RAM gefressen bis sie gestorben sind". Warum ist das relevant? Weil AdGuard und PiHole bspw. mit <1GB RAM problemlos klar kommen, da DNSmasq die Blocklisten einliest und (ich kann jetzt nur praktisch von PiHole sprechen) hasht und in schnell-durchsuchbaren Indexbäumen speichert (gravityDB). AdGuard macht da m.W. was sehr ähnliches. Dadurch können die Tools Millionen! Einträge an Domains in ein paar MB RAM abrufen. Die anderen neuen hippen DNS Tools, die alle mit so-viel-toller-Featuritis daher kommen, versuchen die ganzen Listen in den RAM zu laden und (wenn meine TestVM zu klein ist) scheitern dann und der Prozess stirbt. War gerade bei Unbound, Blocky & Technitium sehr deutlich sichtbar mit Ladekurve, RAM steil hoch, BÄM, tot, OOM-Killer.

TL;DR: wenn du ordentlich GROSSE Blocklisten hast (-> bspw. Gerds HaGeZi Pro(++) o.ä.) kommst du schnell auf 10-20Mio Domains die da auf deiner Blockliste stehen und da säuft dir entweder deine Firewall Hardware RAM wie nix Gutes weg, oder du nimmst dafür ein Tool, was den Kram in ein paar Hundert Megabyte abfrüstückt. Daher AdGuard (als Plugin auf der Sense selbst) oder intern eben einen PiHole/Adguard vorschalten (als kleinen Container o.ä. irgendwo draufgepackt) und den per DHCP dann als DNS announcen und dort dann als Upstream den Unbound der Firewall eintragen, damit dort dann das saubere Resolving läuft (statt das einfach alles zu forwarden zu irgendjemandes(TM) DNS Server).

Vorteil: Resilienz! Ich hab bei sauber laufendem Konstrukt aus PiHole + Unbound(resolver) selten irgendwelche DNS Calls die fehlschlagen oder Zensur anzeigen.

Cheers :)