dns nat umleitung

[parker_lewis]

Hallo allerseits,

dezent verzweifelt wende ich mich an Euch.
Ich würde in meinem Netzwerk 192.168.2.1/26 gerne meine DNS auf Pi Hole zwingen, welches auf 192.168.2.58 lauscht. Das Pi Hole wiederum nutzt den Unbound Resolver auf der OPNSense unter 192.168.2.1.

Ich habe nun schon diverse Tutorials genutzt, wahlweise kann ich trotzdem alternative DNS-Server abfragen oder es gibt nur ein Timeout.

Nach meinem Verständnis müsste es ja so sein:
https://ibb.co/d4Z8162
und das bräuchte ich noch eine Regel, dass das pi hole die OPNSense erreichen darf.

Aber irgendwie funktioniert, das eine wie das andere nicht vernünftig. Habt Ihr einen Tip?

[meschmesch]

Hallo,
du musst sicherstellen, dass pihole nicht auf sich selbst weitergeleitet wird. Also die Regel ändern:

• Source ist nicht pihole, beliebiger Source Port
• Destination ist nicht pihole, Port 53
• Redirect target IP/Port so wie es ist lassen.

[parker_lewis]

Inzwischen bin ich ein Stück weiter:

Pi hole greift auf den resolver auf port 5335 zu, damit kann bei einer Umleitung von Port 53 keine Loop aufs Pi hole entstehen. Wenn ich jetzt folgende Regel an benutze, dann habe ich zwar den Zugriff auf das Pi hole, jedoch erhalte ich statt einer Umleitung ein Connection timed out (dig @1.1.1.1 google.de):

Interface: LAN
TCP: v4
Proto: TCP/UDP
Source: any
Source port: any/any
Destination / invert: yes
Destination: Pi Hole
Dest Port: DNS
Redirect: Pi Hole
Redirect Port: DNS
Nat Reflect: off
Filter assoc: rule

Ich habe auch schon

Interface: LAN
TCP: v4
Proto: TCP/UDP
Source: any
Source port: any/any
Destination / invert: yes
Destination: LAN
Dest Port: DNS
Redirect: Pi Hole
Redirect Port: DNS
Nat Reflect: off
Filter assoc: rule

probiert und ebenfalls ein connection timed out für dig @1.1.1.1 google.de erhalten.
Wo ist mein Denkfehler?

[Monviech (Cedrik)]

Vielleicht eine alternative zu NAT:

Ich habe seit geraumer Zeit ein Pi Hole am laufen. Ich habe auf dem Pihole selbst auch Unbound installiert, mit den Root Hints. Dadurch fragt der Pi-Hole über Unbound direkt bei den DNS Root Servern an. https://docs.pi-hole.net/guides/dns/unbound/

Danach habe ich den Pihole als Resolver im Unbound von der Opnsense eingetragen. Per DHCP und Router Advertisement bekommen alle Clients die Opnsense als DNS Server mit IPv4 und IPv6 zugewiesen.

Per Firewall lasse ich nur Anfragen auf den Unbound der OPNsense zu. Alleine der Pi hole darf nach draußen ins Internet mit UDP/TCP Destination Port 53.

Ich habe den Pi hole zusätzlich in ein getrenntes Netzsegment gestellt, damit kein Client in einem anderen Netz ihn direkt erreichen darf.

[meschmesch]

Wenn wir schon bei Empfehlungen sind, ich habe über die Plugins von OpnSense Adguard installiert. Tut genau dasselbe wie Pihole, ist nur bequemer zu konfigurieren in meinen Augen. Dazu noch Unbound und die Sache läuft.

Bezüglich des Denkfehlers, was macht denn Unbound? Der greift doch auch über Port 53 auf externe DNS Server zu, wird dann aber mit der genannten Regel auf Pihole umgebogen. Also müsste bei Source stehen NICHT_Unbound, vermute ich mal?