Für Umsteiger/Einsteiger: Fragen und Diskussion zu RethinkDNS

Software
,
21

Das ist Geschmackssache. Dnscrypt ist meines Wissens technisch leicht weiter, solange oDoH noch nicht verfügbar ist. DoH sehe ich dagegen häufiger. Aktuell verwende ich DoH, da weniger Probleme in fremden Netzen.

Die Frage muss ich an die anderen weitergeben. Verträgt sich in Android ein VPN mit PrivateDNS? Welche Einschränkungen gibt es dann für die VPN-Apps? NG schließt das ja explizit aus …

In Rethink sehe ich die Chancen aktuell höher, dass spezielle DNS-Behandlung möglich ist (Split DNS, Round-Robin DNS, SSID-based DNS, …)

1 „Gefällt mir“
22

Das mag für selbst installierte Apps funktionieren, aber mal eben alle Systemapps sperren kann schnell zu unerwünschtem Verhalten führen und dann erstmal rauskriegen, woran es liegt …

Nachtrag dazu: Ich habe jetzt tatsächlich mal alle Apps auf einen Schlag blockiert und dann per Filter auf einen Schlag nur die selbst installierten freigegeben. Bisher kein gemecker und Google Wallet scheint eigenständig und unabhängig von den Playservices zu handeln, wenn sich das bestätigt, wäre das meine Lösung. Die FCM Benachrichtigungungen scheinen tatsächlich von Systemapps ausserhalb von Rethink zu stammen. Jetzt muß ich mal nach und nach die Filterlisten aktivieren.

Auch schwierig, ich will bei Apps z.B. grundsätzlich keine Analytics, Crashlytics, Firebase oder Adobe Tracker usw., bei Googlediensten braucht man nun aber wieder Googledienste, deshalb muß ich da händisch ran und kann das nicht komplett Filterlisten überlassen. Bei mir muß eigentlich nur Google Pay funktionieren und bei dem Wust an Google Domains ist es schwierig herauszufinden, was man da nun sperren kann und was nicht. Alle anderen Googledienste benötige ich nicht.

Als „Exclude“ habe ich da nichts eingestellt, also sind es bestimmte Systemapps, vor allem Apps, die scheinbar die Benachrichtigen durch Firebase Cloud Messageing ausliefern, die lassen sich somit absolut nicht filtern. Wenn es nur FCM wäre, ok, aber man weiß ja dann nicht, was da noch alles gesendet wird, weil man das ja in Rethink und mutmaßlich auch Netguard garnicht sieht.

Also ich habe auf einem Tablet den AdGuard DNS Server hinterlegt und auf der Fritzbox auch, als VPN habe ich vpn.lat laufen, ein völlig kostenloses und sehr schnelles VPN, aber man zahlt mutmaßlich natürlich mit seinen Daten, wie auch immer das aussieht. Dieses VPN und Android PrivateDNS vertragen sich sehr gut nebeneinander, in der vpn.lat App wird nichtmal Werbung angezeigt, verhindert durch den AdGuard Server, sieht man am Ladekringel, der immer mal auftaucht.

23

Moment jetzt, Du hast Rethink welche ja nur als VPN Lösung ohne root eine richtige firewall liefern kann und gleichzeitig noch eine VPN APP laufen ?

Und wie kann es sein das Rethink ohne den kompletten Datenverkehr zu blockieren von allen Apps als Internetzugang verwendet wird, Du noch eine VPN APP am laufen hast die dann den privaten System DNS verwendet?
Ist nicht normal bei einer alles blockenden VPN Firewall diese diese nur über den privaten System DNS zum Server verbindet und anschließend sämtliche DNS Abfragen durch Rethink erfolgen?

24

@anon83163390

Meinst du mich? Nein, auf dem Tablet habe ich (noch) kein Rethink laufen, bin damit gerade nur auf meinem Handy beschäftigt. Ich hatte die Frage so augefasst, ob es grundsätzlich möglich wäre, einen bei Android hinterlegten DNS Server und ein extra VPN gemeinsam zu betreiben oder ob das VPN dann den DNS Server umgeht.

1 „Gefällt mir“
25

Also irgendwie klappt gar nix.
Folgendes Setup nun bei mir:

Ich habe als DNS den „System DNS“ aktiviert. Privates DNS ist aus.
Ich bin im WLAN und es läuft AdGuard Home als DNS im Netzwerk…

Jetzt habe ich wieder meine App gestartet und bekomme in Rethink zu sehen das es eine Anfrage im DNS Tab gab, Obwohl ich diese händisch auf geblockt gesetzt habe.
Auch im Netzwerk Tab wurde diese auf geblockt gesetzt und wenn ich aber im AdGuard Log nachsehe, sind genau alle Domains, die vermeintlich „geblockt“ sind dort aufgeführt. Wie kann das sein?

26

Ja, ich finde das auch etwas komplex und schwierig. Von der farblichen Markierung davor kann man auch nicht ausgehen, denn die taucht auch auf, wenn der Eintrag sich zwar in einer Filterliste befindet, in einer App aber freigegeben ist. Oftmals tauchen unter Netzwerk bei einer freigegeben App auch immer wieder eigentlich bereits freigegebene Einträge auf, bei denen ein Schalter nochmal auf „Vertrauen“ gesetzt werden muß und das sieht man erst beim Öffnen des entspr. Eintrages. Man muß hier also immer wieder hinterher sein.

27

Je nachdem wie der VPN eingerichtet ist, entweder für auszuwählende Apps werden dann nur mit ihren DNS Anfragen durch den VPN geroutet alles andere benutzt weiterhin den private System DNS. Wenn aber der VPN auf blocke sonstige Verbindungen steht, dann geht alles durch den VPN Tunnel, bis auf bestimmte Ausnahmen wie ich lesen durfte, die sogar die Berechtigung haben an dem VPN Tunnel vorbei zu gehen.

28

Mein Tablet hat Android 9 und da gibt es die Option „Alle Verbindungen blockieren, die nicht VPN verwenden“ leider noch nicht, die gibt es leider erst ab Android 10 oder wurde von Huawei wegkastriert.

29

Ich muss gestehen, ich kann euch nicht so recht folgen. Ich habe bei mir folgendes Setup und das läuft einwandfrei:

Raspi 4b mit AdGuard Home, Unbound und Wireguard. Ich habe entsprechend ein Wireguard-Profil auf meinem (mit GrapheneOS bestückten) Smartphone. Dort habe ich als VPN RethinkDNS eingestellt (Durchgehend aktiv und Verbindungen ohne VPN blockiert). Privates DNS habe ich auf dem Smartphone deaktiviert.

In der Rethink-App habe ich als DNS-Server bei „Andere DNS“ meinen eigenen AGH-Server eingetragen (DoH) und zusätzlich in Rethink auch Wireguard aktiviert (mit meinem WG-Profil vom Raspi). Für das WG-Profil habe ich in Rethink alle Apps durch VPN eingestellt.

Somit werden meine Blocklisten aus AdGuard Home genutzt und ich muss in Rethink DNS gar keine weiteren Blocklisten freischalten und bin immer im Heimnetz.

Die Firewall habe ich in Rethink aktiviert mit „Blockieren fremder Herkunft“, „Blockieren UDF außer DNS und NTP“, „Blockiere wenn DNS umgangen wird“ (hier dann für TOR Browser u.a. eine Ausnahme definiert), „Blockiere neu installierte App standardmäßig“, „Blockiere Port 80“ (hier auch Ausnahmen aus dem Heimnetz definiert).

Dann noch entsprechende Ausnahmeregelungen für Telegram und ein zwei andere Apps und fertig. Es läuft wie geschmiert. Am Ende würde ich dank GrapheneOS eigentlich auch ohne Rethink bestens klar kommen, da ich sowieso alles über den Raspi (AdGuard Home und Unbound) schicke, aber durch Rethink kann man halt feingranular steuern, wenn einem zusätzlich was nicht passt (zum Beispiel, dass Signal 1.1.1.1 kontaktiert, was ich stumpf blockiere und was bislang keinen Nachteil mit sich brachte).

1 „Gefällt mir“
30

Es macht keinen Unterschied ob man „Verbindungen ohne VPN blockieren“ an hat oder nicht.
Ich verstehe das Prinzip nicht, sehe aber das Resultat. Es geht einfach nicht die entsprechenden Sachen zu blocken.
App steht auf Isoliert und es sind nur 2 Domains freigegeben.
Das einzige was ich jetzt nach über 24 Stunden sagen kann: Ich habe noch keine Möglichkeit gefunden Domains zu blockieren sodass diese wirklich blockiert sind

Ok wow: Ich habe jetzt in der Verzweiflung folgendes getan:
App komplett blockiert (WLAN Zeichen und Mobile sind jeweils Rot und durchgestrichen) Alle Domain Regeln entfernt. Für die App spezifisch sowie in Rethink Geräte Spezifisch.

Ich hätte jetzt erwartet das keine Verbindung mehr zu Stande kommt, weil alles auf blockiert steht. Aber es werden immer noch Verbindungen initiiert. Ich sehe es in den AdGuard Logs am PC

Das macht mich echt WAHNSINNIG!

1 „Gefällt mir“
31

letzteres - Die Option gibt es mindestens seit Android 8

1 „Gefällt mir“
32

Merkwürdig. Klappt bei mir wunderbar. Ich sperre die App Mull-Browser (WLAN und Mobile Daten in Rethink anklicken, dann sind die ja rot durchgestrichen) und er kann keine Verbindung aufbauen. Ich sperre fdroid und kann nichts mehr laden. Taucht dann auch nicht in meinem AGH-Log auf. Irgendetwas scheint an deinen Einstellungen nicht ganz zu passen.

1 „Gefällt mir“
33

Ja, bei Vanadium funktioniert es auch genauso wie Du es beschrieben hast, Aber bei der Revolut App eben nicht obwohl gleich eingestellt

34

Wenn nur für eine (beliebige andere) App in Rethink auch nur die entfernteste Möglichkeit bestehen soll, eine solche Domain zu kontaktieren, dann wird diese Domain immer für alle Apps aufgelöst (Anfrage im DNS Log und an Dein AGH).

Dazu reicht einer dieser Fälle

  • die Domain ist nicht als universell geblockt eingetragen und nicht in einer aktiven Filterliste enthalten
  • die Domain ist mind. einmal irgendwo (universell oder per-App) als Trusted (= Allow) eingetragen
  • eine App ist als Bypass DNS & Firewall konfiguriert

(siehe github 992 und 1022)

35

Es ist nichts dergleichen aktiv. Alles steht auf geblockt und es geht trotzdem…
Wenn ich die gleichen Tests mit Netguard wiederhole funktioniert es wie gewünscht. Also verstehe ich die App nicht oder…keine Ahnung…

Natürlich schalte ich Netguard entsprechend wieder ab sodass immer nur 1 App aktiv ist

36

Also ich denke schon, daß es funktioniert, wie es soll.

Ist in der Netzwerkübersicht ein Eintrag vorne rot markiert, wird die Verbindung zwar versucht, kommt aber nicht zustande, das kann man überprüfen, indem man die blockierte URL einfach kopiert und im Browser einfügt.
Zudem kann man überprüfen, wodurch der Verbindungsversuch blockiert wird, indem man den Eintrag anklickt und dann oben rechts auf die rote Markierung klickt, dann steht dort, in welcher Liste der Eintrag steht, ob per DNS blockiert und/oder ob er in der App direkt blockiert ist.
Ist ein Eintrag vorn grau markiert, ist er zulässig.

In der DNS Übersicht ist es ähnlich, vorn rot, blockiert, kann man genau wie vorher beschrieben herausfinden, warum. Ist er schwarz markiert, ist er zulässig und gelb bedeutet, daß er zwar grundsätzlich blockiert ist, aber manuell in einer oder mehreren Apps freigegeben ist.

1 „Gefällt mir“
37

Ich gehe davon aus, dass Du Rethink im DNS & Firewall Modus laufen hast. Dann fällt mir auch nicht mehr viel ein. Es gab mal Probleme mit System DNS, die sollten aber behoben sein (ich finde den github issue gerade nicht). Verwende mal einen (ggf. selbst eingetragenen) Other DNS.

Der Tip von @anon82578799 ist gut. Mal die Details zu den Einträgen im DNS Log anschauen.

Ich gehe mal davon aus, dass Du DNS Anfragen meinst (DNS Log). Wie bei NG sollten nämlich die Verbindungen weiterhin geblockt sein (Network Log).

Ich kenne die Apps alle nicht. Ist auch egal. Wenn eine andere App teilweise die Aufgaben für Revolut übernimmt, dann muss auch diese geblockt werden.

Habe unterdessen die Antwort für Rethink gefunden: ja, siehe z.B. github 1020 Kommentar. Block when DNS is bypassed muss aus sein.

1 „Gefällt mir“
38

So, jetzt beantworte ich mich mal selbst: Für die Nachrichtenzustellung ist nicht das System zuständig, wie erst vermutet, sondern mtalk.google.com und dessen Derivate, alt1-mtalk.google.com bis alt8-mtalk.google.com. Zudem scheint auch noch die Option „Erweiterte DNS-Filterung (experimentell)“ in Rethink einen Einfluß zu haben, ich habe sie jetzt deaktiviert. Jetzt funktioniert auch die VPN-Option von Android „Alle Verbindungen blockieren, die nicht VPN verwenden“, es werden also gerade nach einem Neustart erst Verbindungen erlaubt, wenn VPN geladen und aktiviert ist, somit funkt nicht vorher schon etwas ungebremst ins Netz.

Nach etwa 27h Kampf habe ich mir mit Rethink quasi eine Art MicroG erschaffen, GPay und die Nachrichtenzustellung für Apps ohne alternative Option funktionieren, sowie die Sicherheitsaktualisierungen der Play-Dienste unter Android, mehr brauche ich nicht. Frage mich, warum ich mich nicht schon viel früher damit auseinandergesetzt habe, Rethink ist mir schon seit langem immer wieder über den Weg gelaufen, seit es in F-Droid mal auf der Startseite auftauchte.

Die Möglichkeit, einfach mal zwischen Wireguard und Orbot hin und herzuschalten, ist so auch noch nie dagewesen.

Ist alles irgendwie schon ziemlich geil!

1 „Gefällt mir“
39

Grins. Gibt’s sogar auch einen github issue (Show Android components that can bypass VPN even in lockdown mode #224)

Auch wenn die App noch (oder gerade weil?) Beta ist - was mir auch gefällt, ist diese vorbildliche Art, wie man auf github die aktuelle Entwicklung und den aktuellen Stand verfolgen kann.

Gab’s bei NG auch, hier ist es übersichtlicher.

1 „Gefällt mir“
40

Naja, das ist schon sehr weit hergeholt was du da behauptest… :roll_eyes: