Adguard und Unbound DNS zusammen mal nicht

[loaded]

Moin ich habe AdGuardHome als plugin in meiner OpnSense installiert und es scheint soweit alles zu laufen.

Mein Problem ist aber UnboundDNS das musste ich deaktivieren weil AdGuard auf dem selben Port läuft.

Man kann beides zusammen laufen lassen aber da verstehe ich die einstellungen nicht oder ich mache da was falsch:

Das Video habe ich genommen
https://www.youtube.com/watch?v=_JhQn30mqCw

Hier noch eine weitere erklärung
https://0x2142.com/how-to-set-up-adguard-on-opnsense/


in den Videos wird zwar auch beschrieben was man machen muss damit beides läuft aber das geht wohl nicht bei mir ( warum ? )

die datei bearbeiten und den port 53 von Adguard auf z.b. 53053 ändern

/usr/local/AdGuardHome/AdGuardHome.yaml
dns:
bind_hosts: meine IP-adressen der VLans
port: 53 ( diesen ändern auf 53053


Dann Services > Unbound DNS > Query Forwarding
einen neuen server angeben  da wo Adguard läuft meine Opnsense läuft auf der 10.6.4.10 das ist also meine server IP.
der ServerPort ist aus der yaml datei port 53053 ).
der Port 53 bleibt bei Unbound DNS so eingestellt wie er ist.

alles speichern und neu starten aber da ändert sich nichts.

[Zapad]

was versprichst du dir von Tandem Adguard/Unbound?

ich nutze Adguard als Docker image und wüsste nicht wofür ich Unbound nachschalten sollte.
Gibt doch nur Probleme... so wie bei dir...

[Patrick M. Hausen]

AdGuard Home braucht zwingend einen rekursiven Upstream-Server. Dafür nehme ich meinen lokalen Unbound? Was schlägst du sonst vor?

@loaded

Bei mir ist Unbound der Default-Nameserver auf Port 53 überall. AdGuard Home liegt auf 127.0.0.1:53530 und hat 127.0.0.1:53 als einzigen Upstream.

Auf allen Interface, bei denen ich will, dass die Clients AGH benutzen, habe ich eine NAT Port Forward Regel von TCP/UDP, Destination: this firewall:53 nach 127.0.0.1:53530.

Klappt ausgezeichnet. Statische Overrides und Registrierungen vom DHCPd in Unbound funktionieren auch.

[Zapad]

Unbound braucht auch einen externen DNS Server wie Adguard auch, ich nutze quad9 oder auch cloudflare als tls port 853
port 53 ist nur intern erlaubt.

[Patrick M. Hausen]

Wieso das denn? Natürlich braucht Unbound keinen upstream Server. Noch nie.

[Zapad]

für die lokale Auflösung nicht, aber ob der TE an lokaler Namensauflösung oder eher an DNS Filterung interessiert ist?

[Monviech (Cedrik)]

Unbound ist ein rekursiver DNS Server.

Der artikel erklärt den unterschied zwischen forwarder und rekursion recht gut:

https://docs.pi-hole.net/guides/dns/unbound/

[Zapad]

@Monviech
Danke.
und nun auf Deutsch von Cloudflare:

Was ist ein rekursives DNS?

Bei einem rekursiven DNS-Lookup kommuniziert ein DNS-Server mit mehreren anderen DNS-Servern, um eine IP-Adresse zu finden und an den Client zurückzugeben. Dies steht im Gegensatz zu einer iterativen DNS-Abfrage, bei der der Client direkt mit jedem an der Suche beteiligten DNS-Server kommuniziert. Auch wenn das eine sehr technische Definition ist, sollte ein genauerer Blick auf das DNS-System und den Unterschied zwischen Rekursion und Iteration helfen, etwas Licht ins Dunkel zu bringen.


Was die Frage nicht beantwortet, warum sollte man Unbound dem Adguard nachschalten?

Es funktioniert auch so.

ich habe DNS auf NAS und Forwarde zum Adguard, einfach aus dem Grund das ich manche DNS Zonen lieber von NAS
auflöse und Rest zum Adguard leite.

Nur weil einer Blödsinn auf seiner Seite postet und erklärt das man Adguard unbedingt zum Unbound leinen muss?
Muss nicht! es funktioniert auch so hervorragend.

....und wenn man unbedingt dhcp Clients dynamisch bei dns registrieren will auch gut, eventuell dann Ubound>Adguard forwarden.

[Tuxtom007]

Was die Frage nicht beantwortet, warum sollte man Unbound dem Adguard nachschalten?

Auflösung lokaler Hostnamen z.b., wenn Unbound auf der OPNSense läuft funktioniert das grossartig.


an den TE:
- Adguard vor Unbound auf Port 53
- Unbound auf Port 53053 (z.b.) hinter Adguard
- entsprechend in Adguard konfigurieren, das er an Unbound weiterleitet.

Funktioniert so bei mir seit 2 Jahren problemlos, Konfig kann ich gerne nachreichen, musst dann aber bis heute abend warten.

[Patrick M. Hausen]

Was die Frage nicht beantwortet, warum sollte man Unbound dem Adguard nachschalten?

Weil man seine DNS-Anfragen nicht einem US-Konzern geben will?

[cottec]

Was die Frage nicht beantwortet, warum sollte man Unbound dem Adguard nachschalten?

Auflösung lokaler Hostnamen z.b., wenn Unbound auf der OPNSense läuft funktioniert das grossartig.


an den TE:
- Adguard vor Unbound auf Port 53
- Unbound auf Port 53053 (z.b.) hinter Adguard
- entsprechend in Adguard konfigurieren, das er an Unbound weiterleitet.

Funktioniert so bei mir seit 2 Jahren problemlos, Konfig kann ich gerne nachreichen, musst dann aber bis heute abend warten.

Hi @Tuxtom007

wärst du so nett und listest mal deine Einstellungen auf.
Ich kriege das irgendwie nicht so recht hin...
Wenn ich die zwei Dinger in Kombination schalte, dann funktionieren bei mir die lokalen hostnamen nicht mehr und mein voip über die Fritzbox (als Client hinter der Opnsense) macht auch Probleme, obwohl ich hier direkt auf der Fritzbox die o2 eigenen DNS Server eingetragen hab. Die registriert ihre Rufnummer nur, wenn ich adguard deaktiviere und unbound mit stock settings laufen lasse.
Wirklich geändert habe ich an den stock settings nichts, außer, dass eben unbound auf port 53053 läuft und eben diesen habe ich dann als upstream server bei adguard eingetragen.
Ich verstehe leider gar nicht so recht wie das mit den lokalen hostnames bei opnsense funktioniert, dachte das läuft out of the box einfach, aber dem ist scheinbar nicht so :(

Und was die Fritzbox für Probleme hat, obwohl sie ihre eigenen DNS Server eingetragen hat verstehe ich auch nicht...

[Tuxtom007]

wärst du so nett und listest mal deine Einstellungen auf.

Kannst haben - hier AdGuard DNS-Settings:

Upstream-DNS-Server

Code Select Expand

[/local/]127.0.0.1:53053
[/MEINEDOMAIN.net/]127.0.0.1:53053
[/0.10.in-addr.arpa/]127.0.0.1:53053
127.0.0.1:53053
[::1]:53053

Fallback-DNS-Server

Code Select Expand

1.1.1.1
9.9.9.9

Bootstrap-DNS-Server

Code Select Expand

9.9.9.10
149.112.112.10
2620:fe::10
2620:fe::fe:10

Private inverse DNS-Server

Code Select Expand

127.0.0.1:53053
[::1]:53053


Unbound siehe Screenshot, der Rest ist Default

[trixter]

Was die Frage nicht beantwortet, warum sollte man Unbound dem Adguard nachschalten?

Weil man seine DNS-Anfragen nicht einem US-Konzern geben will?

Naja, es hat auch den Vorteil DNS beliebig manipulieren zu können und seinen Pool an Geräten mit passenden Namen zu versorgen - das gilt jetzt nicht nur für Unbound, passt aber so in diesen Kontext.

[Patrick M. Hausen]

Was die Frage nicht beantwortet, warum sollte man Unbound dem Adguard nachschalten?

Weil man seine DNS-Anfragen nicht einem US-Konzern geben will?

Naja, es hat auch den Vorteil DNS beliebig manipulieren zu können und seinen Pool an Geräten mit passenden Namen zu versorgen - das gilt jetzt nicht nur für Unbound, passt aber so in diesen Kontext.

AGH braucht zwingend einen rekursiven Server als Upstream. Also weshalb nicht Unbound? Keine Ahnung, was der Zapad eigentlich will.

[cottec]

wärst du so nett und listest mal deine Einstellungen auf.

Kannst haben - hier AdGuard DNS-Settings:

Upstream-DNS-Server

Code Select Expand

[/local/]127.0.0.1:53053
[/MEINEDOMAIN.net/]127.0.0.1:53053
[/0.10.in-addr.arpa/]127.0.0.1:53053
127.0.0.1:53053
[::1]:53053

Fallback-DNS-Server

Code Select Expand

1.1.1.1
9.9.9.9

Bootstrap-DNS-Server

Code Select Expand

9.9.9.10
149.112.112.10
2620:fe::10
2620:fe::fe:10

Private inverse DNS-Server

Code Select Expand

127.0.0.1:53053
[::1]:53053


Unbound siehe Screenshot, der Rest ist Default

Danke!

Kannst du mir kurz helfen, wie ich das für meinen Zweck richtig nutze?
Ich habe meine opnsense mit der IP 10.10.10.1 und ich habe 3 Interfaces, an denen die Clients hängen: 10.10.100.1, 10.10.110.1, 10.10.120.1
Reicht das als grundlegenstes Setup, wenn ich bei Upstream und bei Private inverse einfach nur "127.0.0.1:53053" reinschreibe und fertig?


Der standard Domainname in OPNsense ist localdomain, passt für mich.
Muss ich den explizit in die Klammern davor schreiben oder ist es ohne die Klammern einfach für alle Anfragen gültig?
[/localdomain/]127.0.0.1:53053
Wenn ich das richtig verstanden habe, dann kann ich die Namen ohne das Präfix erreichen, weil sie eh nicht mehrfach unter verschiedenen Domains existieren, oder?
Sorry, bin ein blutiger Noob in dem Bereich....


[::1]:53053 ist der v6 loopback, oder?