Unbound nur auf best. VLANs & redirect DNS für hardcoded devices

[dumbo]

Hi Zusammen,

ich bekomme einfach eine Sache nicht hin.

Habe mein LAN, 2 VLAN und ein Gerät direkt auf einem Port an der OPNsense (eth3)
- LAN
- VLAN10
- VLAN20
- Notebook an Interface eth3 (Interface wurde erstellt mit DHCP Server etc.)

Ich würde jetzt gerne es so machen, dass ich für LAN, VLAN10/20 den Unbound nutzen mag und für ein Notebook an eth3 eben einen öffentlichen DNS Server (bsp. 1.1.1.1) nutzen mag.

Wie genau stelle ich das denn ein?

In den Haupteinstellungen  > General habe ich 9.9.9.9 eingetragen (DNS für die Firewall selbst)

Unbound ist aktiviert und ich habe auch eine Regel, die entsprechend im NAT > Portforward sitzt (für jedes VLAN natürlich eine Regel) Damit keine Hardcoded DNS request so raus gehen, sondern alles über den Unbound läuft

• Interface: LAN
• Protocol: TCP/UDP
• Destination / Invert: Checked
• Destination: LAN address
• Destination Port: DNS
• Redirect target IP: 127.0.0.1
• Redirect target port: DNS
• NAT reflection: Disable

In jedem VLAN habe ich natürlich dann noch die Regel drin
IPv4 > TCP/UDP > Any/Any > Destination 127.0.0.1 Port 53 (DNS)

Doch wie bekomme ich es hin, dass eben bei dem Interface wo das Notebook dran hängt, der auch den o.a. DNS Server nutzt und nicht meinen Unbound?

Habe schon einiges probiert (im DHCP vom Notebook Interface DNS eingetragen, Unbound settings angepasst usw.).

Bekomme es aber einfach nicht hin.

Hoffe, dass das etwas verständlich war, was ich hier geschrieben habe und freue mich auf Mithilfe und Tipps.

[micneu]

Mach es doch simpel über den dhcp Server


Gesendet von iPhone mit Tapatalk Pro

[dumbo]

Mach es doch simpel über den dhcp Server

Das habe ich probiert.
Aber wenn ich auf dem DHCP von dem Interface DNS-Einträge setze, scheint OPNsense die zu ignorieren und nutzt trotzdem den Unbound.

[micneu]

bitte mal screenshot:
- dhcp eth3
- interface eth3
hast du irgendwelche regel für LAN die nicht genau definiert sind und somit auch für deine eth3 greifen?

[dumbo]

bitte mal screenshot:

Ich hoffe man kann es erkennen.

[micneu]

dann bau eine regel die entsprechend den dhcp für (am besten mit einem alias) dein notebook einen anderen dns nutzen lässt

[dumbo]

Ja - das geht. Ich verstehe nur nicht, warum es nicht geht, wenn ich im DHCP DNS Server eintrage, warum nutzt er diese bitte nicht?

Ist hier ein großer Bug in OPNsense oder woran liegt es?

[Patrick M. Hausen]

Wer ist "er"? Der DHCP-Server sagt den Clients im Netz, welchen Server sie verwenden sollen. Wenn sie das nicht tun, liegt das Problem beim Client. Auf das Verhalten der OPNsense hat die Konfiguration des DHCP-Servers keinen Einfluss.

[dumbo]

Er ist der/die/das OPNsense 

Es ist egal, welchen Client ich dahinter packe, er nimmt nie die bei DHCP eingetragenen. Daher vermute ich das Problem eher bei der OPNsense - bzw. evtl. dann halt auch an einer Einstellung oder halt an einem Bug. Ich weiß es leider ja auch nicht genau.

Das was ich nur sagen kann ist, dass es bei eben dieser Config so ist, dass die DHCP Server Settings vom Interface einfach komplett ignoriert werden von den Clients.

[Patrick M. Hausen]

Dann wirf doch mal tcpdump an und guck, was da beim DHCP Request und Reply so über den Draht fliegt.

[dumbo]

Das kam beim Ping an Google raus.

[Patrick M. Hausen]

Du sollst dir einen DHCP-Request und Reply angucken. Was schickt die Sense im Reply konkret an die Clients raus?

[dumbo]

Tut mir leid, aber da bin ich ein wenig überfragt, was ich jetzt genau wie prüfen muss/soll.

Bin ja eher noch ein Einsteiger und mit TCPDUMP lesen bzw. entspr. starten tue ich mir noch sehr schwer um es mal so zu sagen.

[Patrick M. Hausen]

tcpdump -n -v -i <interface> port bootpc

Und dann einen DHCP-Request auslösen, indem du z.B. einen Client einsteckst, einschaltest, auf "Lease erneuern" klickst oder was auch immer.

Du willst ein komplexes Netz mit VLANs bauen, du solltest grundlegende Werkzeuge erlernen. Hilfe findest du gerne hier.

"<interface>" ist vlan01 oder was auch immer das richtige ist, wo es klemmt. Findest du mit dem Befehl

ifconfig

HTH, viel Erfolg,
Patrick

[dumbo]

Danke für die Hilfe.

So langsam komme ich vorwärts.

Beim Notebook kam jetzt als Resultat raus:
IP: meine IP halt
Subnet: 255.255.255.0
DNS: 1.1.1.1 und 1.0.0.1
localdomain
Default Gateway: 172.16.16.1

Das was im Grunde auch eingestellt ist - jedoch geht die Anfrage dann trotzdem über Unbound raus, wenn ich es im Browser checke.

Hat das evtl. was mit der NAT Port Forward Regel zu tun aus meinem Ausgangsposting?