Frage zum Domain Namens-Management

[AlexanderB]

Hallo zusammen,

das ist jetzt keine spezifische OPNsense Frage, aber es ist bestimmt ein Netzwerktechniker hier, der sich im Detail auskennt.

Mein Netz ist wie folgt aufgebaut

 WAN / Internet
            :
            :
            :
      .-----+-----.
      |  Modem    |
      '-----+-----'
            |
        WAN | PPPoe- + DHCPv6-Einwahl
            |
      .-----+------.     
      |  OPNsense  +
      '-----+------'
            |
            |  Netz 1        .----------------------.
            |----------------+ Name: Infrastruktur  | - Hier auch Pihole drunter
            |  192.168.10.1  '----------------------'
            | 
            |
            |
            |  Netz 2        .----------------------.
            |----------------+ Name: Services       | - Services die lokal und aus dem Internet erreichbar sein sollen
            |  192.168.20.1  '----------------------'
            |  IPv6 (LLA + GUA)
            |
            |
            |  Netz 3        .----------------------.
            |----------------+ Name: User           | - Lokale Nutzer
            |  192.168.30.1  '----------------------'
            |  IPv6 (LLA + GUA)
            |
            |
            |---> Noch viele andere Netze
            |

Da ich eine Internet-Adresse bei Hetzner gekauft habe, möchte ich diese im DNS Namenssystem gerne verwenden. Nennen wir diese einmal AlexanderB.de.

Fragen:

1. Kann ich, wenn lokal nach Domain gefragt wird, diese angeben?
   also dass ich zu OPNsense unter Infrastruktur (oder auch den anderen Gatewayadressen) z.B. mit opnsense.alexanderb.de komme.
   Und zum OpenMediavault was z.B. auf der 192.168.20.20 liegt unter Services liegt unter omv.alexanderb.de

   Ist das die Standardvorgehensweise wenn man eine Domain besitzt?
   Oder sollte man noch eine Subdomain hinzufügen um eine Trennung der Verbindung von außerhalb und innerhalb zu haben?
   Also omv.home.AlexanderB.de -> für Verbindungen aus dem lokalen Netz
   Und  omv.AlexanderB.de -> für Verbindungen aus dem Internet?
   Geht das, macht das Sinn? Aus Gründen der Sicherheit und Trennung?
   
   Wie geht man da richtig vor und gibts das überhaupt was ich mir da ausgedacht habe?
   Die Internetseite, von einem lokalen Wordpress-Server (192.168.20.47), soll dann mit der subdomain www.alexanderb.de erreichbar sein.

2. Wie trage ich reine IPv6 Adressen in mein lokales DNS ein? Die per SLAAC bezogene GUA ändert sich ja. Muss ich dann lokal nur die LLA eintragen und global mit DynDNS diese Adresse an Hetzner ins DNS weitergeben, damit Hetzner diese dann richtig global auflösen kann?

   Dann habe ich zwei DNS Register, eins lokal im pihole und eins bei Hetzner für global. Ist das der richtige Weg, oder geht das besser?

3. Kann ich meinen pihole (192.168.10.68), allen Teilnehmern so als DNS mitteilen, oder ist der Standardweg, dass man das Gateway mitteilt und dieses leitet die Anfragen an pihole weiter?
4. Wird es Port-Konflikte geben, wenn ich Unbound in der OPNsense als Upstreamserver dem pihole mitteile? Wie konfiguriert man die Ports dann richtig?
5. Und vor allem wie geht das dann mit IPv6? mDNS hatte ich am Rande mal gehört.
6. Verstehen dann alle Dienste, wie z.B. SMB das DNS? Also reicht es dann den Namen vom OpenMediaVault-Server einzutragen?

7. Vielleicht etwas Off-Topic, aber wie erreiche ich es, dass mein Handy den Weg ins Internet über meinen pihole zu Hause macht? Sodass ich mobil auch meine Blocklisten und meine DNS Einträge, sowie mein lokales Netz erreichen kann?

Ich weiß, VPN ist dann auch notwendig und das muss ich noch angehen. Das bedeutet, das ganze DNS System muss auch unter VPN Bedingungen funktionieren.

Die Erreichbarkeit von extern, soll nur mit IPv6 ermöglicht werden, da das die einfachste Variante ohne zusätzliche Dienste ist. IPv4 ist bei mir hinter CG-NAT.

[meyergru]

1. An sich ist es Sache Deiner Clients, wie sie nach nicht-vollqualifizierten Namen fragen. Sie können eine oder mehrere "Search Domains" an den übergebenen Namen anhängen. Das kann man im Client konfigurieren oder per DHCP übergeben. Ob Du Deinen Namensraum in Subdomains (z.B. pro VLAN / Zone) unterteilst, ist Geschmackssache.

2. Bei dynamischen Präfixen ist das schwierig. Es gibt vier Möglichkeiten:

a. Du kannst ULAs zusätzlich zu den GUAs nur für den internen Traffic nutzen - allerdings werden ULAs bei der Auflösung niedriger priorisiert als IPv4, also ist das nicht so ideal.

b. Du kannst eine Art NAT66 nutzen, bei der Du intern einen "eigentlich unbenutzten" IPv6-Präfix verwendest, und den auf die echten GUAs 1:1 zu mappen. Das ist aber ein dirty trick.

c. Du kannst mittels DynDNS alle diejenigen Clients im DNS eintragen, die Du per DNS erreichbar machen willst (das sind vielleicht gar nicht alle). Geht, ist aber aufwendig. BTW: Man kann die Eintragungen die OpnSense übernehmen lassen, weil der DynDNS-Client (dynamische) Interface-Präfixe mit einem bekannten EUI-64 Suffix verbinden kann.

d. Du verwendest intern nur IPv4, um Geräte addressierbar zu machen - das funktioniert dank NAT, weil die internen RFC1918-IPs ja konstant bleiben. Nur für bestimmte Clients, die von außen erreichbar gemacht werden sollen, verwendest Du Methode c oder besser, Du verwendest einen Reverse Proxy, der dann auch IPv4/IPv6 wandelt und verschlüsselt.

Das letzte ist i.W. der Ansatz, der hier erläutert wird: https://forum.opnsense.org/index.php?topic=45822.0 - BTW: Nicht alle Clients können überhaupt IPv6, weshalb ich im gesamten internen Netz Dual-Stack mache.

3. Ebenfalls Geschmackssache, aber wenn nur Deine OpnSense den Upstream kennt, kannst Du das zentral umswitchen bei Bedarf - wenn Du den alternativen DNS per DHCP mitteilst, musst Du auf den Renew warten (abgesehen davon gibt es ja auch statisch konfigurierte Clients).

4. Ich würde es eher umgekehrt machen und dem Unbound den Pi-Hole als Upstream nennen. Wen der als Upstream nutzt (z.B. Cloudflare o.ä.), oder ob er selbst auflöst (weiß nicht, ob Pi-Hole das kann), ist seine Sache. Natürlich darfst Du die DNS-Pakete nicht in einer Endlosschleife herumschicken.

5. Normalerweise gar nicht, denn DNS-Server können IPv4 und IPv6 auflösen. Wie der Server selbst erreicht wird, ist egal. Und per SLAAC wird nur mittels einer Extension (RDNSS), die nicht alle Clients verstehen, überhaupt der DNS-Server verteilt. Eigentlich war das nur per DHCPv6 vorgesehen.

6. Windows zaubert mit DNS sein eigenes Ding. Ich trage in der smb.conf einfach die Namen des Hosts ein, dann wird das per Broadcast bekannt gemacht. Ich habe noch nie einen SMB-Share über VLAN-Grenzen genutzt, im Zweifel müsste man das per IP (\\192.168.x.y) machen.

7. VPN of your choice, z.B. Wireguard Road Warrior Setup, siehe Dokumentation. Damit ist Dein VPN-Client ja "wie zuhause".

[AlexanderB]

1. Also ist das normal, dass man nur eine Subdomain anlegt?
Z.B.:
IP - Hostname -> FQDN
192.168.10.68 -> pihole -> pihole.alexanderb.de

Es macht also keinen Sinn intern und extern zu trennen, indem ich für intern sowas mache:
IP - Hostname -> FQDN
192.168.10.68 -> pihole -> pihole.home.alexanderb.de



Da hab ich scheinbar ein Verständnissproblem. Ist das dann so, dass man eigentlich immer mit aktiviertem VPN mit seinen Geräten unterwegs ist und stetig per VPN mit seinem System zu Hause verbunden ist, bevor man z.B. ins Internet geht oder seine im VPN "lokalen" Dienst nutzt?

2. Ich weiß nicht was ich von ULA halten soll. Ist denn eine ULA überhaupt notwendig, wenn ich die LLA im lokalen Netz verwenden kann und die GUA von extern?
 c) - OPNsense-DynDNS den Dienst "xyz.alexanderb.de mit der per assistertem SLAAC GUA bei Hetzner eintragen funktioniert bei mir schon einwandfrei. Das ist doch eigentlich die beste Lösung, oder?

4. die Statistiken von pihole gefallen mir aber besser als Unbound und meine Filterlisten sind in pihole irgendwie schöner eingebunden, daher wollte ich den als erstes verwenden.
Ein Problem was ich da aber habe ist, dass ich nicht sehe welche Hosts da anfragen stellen, sondern nur die IP von OPNsense sehe ich da. Gibt es dafür Lösungen? Steht nicht in der DNS Nachricht, welcher Host das anfragt?

6. Das muss ich mir auch noch genauer ansehen.

7. Ist Wireguard Road Warrior Setup ein zero knowledge system? Ich hab mich da noch nicht eingelesen, aber weiß schon, dass ich bei VPN, nicht von einem externen Dienstleister der irgendeine knowledge hat, vertrauen darf.

[JeGr]

1. Also ist das normal, dass man nur eine Subdomain anlegt?
Z.B.:
IP - Hostname -> FQDN
192.168.10.68 -> pihole -> pihole.alexanderb.de

Es macht also keinen Sinn intern und extern zu trennen, indem ich für intern sowas mache:
IP - Hostname -> FQDN
192.168.10.68 -> pihole -> pihole.home.alexanderb.de

Doof gesagt: normal ist was du draus machst.

Ich habe für intern eine interne Domain (via Subdomains) und für extern entweder die Hauptdomain selbst oder ne spezifische externe Domain. Das ist auch eine Frage der Planung sowie Software. Habe ich bspw. was wie einen Home Assistant, der mit Intern/Extern umgehen kann oder nur eine App die eine single FQDN frisst - daran entscheidet sich dann schon der erste Kram. Der zweite Punkt kommt dann dazu, wenn man gar nicht direkt mit dem Dienst, sondern bspw. via Proxy damit redet (weil der Dienst bspw. im Container und dann auf nem Highport läuft, man aber sauberes HTTPS haben will was zentral gemanaged wird).

All das spielt IMHO in die Aussage "eine/mehrere Domains" mit rein.

2) ULA haben an mehreren Stellen Sinn:

* MultiWAN: welches v6 das du von Provider 1/2 bekommst, darfs denn sein? Oder beide? Das kann maximal verwirrend für die Devices sein (wenn sies überhaupt unterstützen zwei GUAs zu haben und das sauber hinbekommen). Eine Variante ist da, dass man intern dann ULAs vergibt und nach extern je nach WAN1/2 dann NPt (Prefix Translation) macht.
* wirklich internes v6 Netz bspw. für reine interne Loops, Hardware Kommunikation, Management, etc. was aber NICHT von extern erreicht werden soll und nur intern laufen. Dort sind LLA mitunter nicht sinnvoll/unterstützt bzw. will man für bspw. Storage Kommunikation keine Adressen, die sich ggf. verändern wenn mal die HW getauscht wird.
* Parallelbetrieb von GUA/ULA für VPNs. Da GUA ja extern erreichbar sind: was tun bei VPN mit IPv6? Die GUA durch den Tunnel routen? Oder nicht? Manch einer möchte aber via der GUA "von extern" testen können und trotzdem per VPN auf die Maschinen -> ULA parallel zur GUA auflegen mit gleichem /64 Host Prefix ist dafür sehr angenehm zu nutzen.
usw.

zu 4) hast du da die neue GUI Komponente aktiv unter Reporting/UnboundDNS? Da stand doch in der Client Spalte die IP die fragt (meine ich)?

zu 7) Sollte für RW Setup eigentlich recht einfach umsetzbar sein. Alternativ gäbe es mit Tailscale & Netbird auch 2 auf Wireguard aufsetzende Systeme. Das kann man sich für zu Hause im Free Tier eigentlich ganz angenehm konfigurieren, man ist dann aber natürlich wieder auf den DL ein wenig angewiesen, dass die Verbindung klappt (außer man hostet Headscale/Netbird selbst, aber das sprengt das Thema hier). Das nur als Alternative.

Cheers
\jens

[drosophila]

2. Ich weiß nicht was ich von ULA halten soll. Ist denn eine ULA überhaupt notwendig, wenn ich die LLA im lokalen Netz verwenden kann und die GUA von extern?

LLAs wären eine tolle Alternative zu ULAs, aber leider haben sie einige ultranervige Mängel, die sie derzeit noch für fast alles unbrauchbar machen:

- sie sind nicht routbar. Ist zwar gewollt, aber es geht nichtmal per NAT66, wofür es eigentlich keinen Grund gibt. Du kommst damit also z.B. nicht aus einem VLAN in ein Anderes, egal, was Du an-bzw. einstellst.
- sie brauchen den Interface-Identifikator (das "%iface"), selbst, wenn sie auf jedem Interface anders sind, und das verstehen selbst heute noch erschreckend wenige Programme und noch weniger GUIs. Browser verstanden es ursprünglich, haben aber die Unterstützung vor einiger Zeit entfernt (weil das Parsing ein Problem sei; da man aber ohnehin die IPv6-Adresse in "[]" einklammern muß, halte ich dieses Argument für nicht haltbar.
- sie werden wie SLAAC-Adressen per EUI-64 erzeugt, d.h., sie ändern sich, wenn Du das Interfache/MoBo tauschst, und man kann sie sich eh schon schlecht merken. Man kann sie allerdings manuell zuweisen, dann aber nur zusätzlich (eine EUI-64 LLA wird also trotzdem erzeugt) oder statt der normalen Konfiguration (dann kann man kein DHCP6 verwenden, bzw. hängt vom Betriebssystem / der GUI ab). /etc/hosts o.Ä. und transparenter Systemtausch scheitern also an EUI-64, sofern man nicht die MAC Adresse schon in der Firmware ändern kann, was aber natürlich nichtmal die Hälfte aller MoBos können; sonst hängt es wieder mal vom Treiber / Betriebssystem ab.
- man kann sie nur für alle Interfaces gemeinsam ein- oder ausschalten (ja, IPv6 funktioniert auch ohne LLA, wenn es eine alternative Adresse gibt, außer auf OpenBSD, wo kein NDP-Eintrag gemacht wird, wenn die Quelle keine LLA aus der fe80-Serie ist)
- (nichtstandard): *BSD benutzt einen Hack, um den Interface-Identifier im Kernel innerhalb der LLA zu speichern. Dadurch werden die restlichen Stellen im Präfix unbrauchbar (also alle nach fe80, die per Standard =0 sein müssen). Leider kann man diese Adressen dann aber nicht als Programmparameter verwenden, womit man sonst sehr elegant die %iface-Syntax loswerden könnte... bei anderen Betriebssystemen lassen sich die Präfixstellen nutzen, ist aber wie gesagt sowieso nicht Standardkonform. Da kann man für BSD nur hoffen, dass der Standard dahingehend nie geändert wird.
Also derzeit leider nicht.

[trixter]

Man kann das auch per VPN lösen:

baust einen Splittunnel für Außen und lässt dir den eigenen VPN pushen - mit dem kann man machen was man will.
Zusätzlich ist der Weg ins Heimnetz safe.

Somit nutzen alle Clients (drinnen wie draußen) diese DNS (zb unbound) und man kann so viele Domains aufmachen wie man will. Man kann sogar Domains überblenden, damit gewisse Dienste umgeleitet werden.

Natürlich ist das nichts für gewerblichen Einsatz - aber für den ambitionierten Home-User vielleicht angenehmer, da man unabhängig von Externen wird.