Hallo, danke für deine Mühen und die Anleitung. Ich wollte darauf hinweisen, dass die listen interfaces bei der webgui doch eher auf default stehen bleiben sollte. die erklärung hierfür ausm opnsense forum ist die folgende:
The UI is not accessible on WAN. The firewall rules take care of that. So nothing unsafe.
Also it is recommended to leave the „All“ setting, because if you select e.g. only LAN and you unplug and replug your LAN interface you will lose access.
This is due to how the socket interface is implemented in all Unix based systems. „All“ is not „each interface individually“ but rather an address (0.0.0.0, also named INADDR_ANY) that means „I don’t care about the interface, I’ll take any connection“. It’s the regular way services are listening to incoming connections and stay accessible in a stable manner even when interfaces come and go.
Again, nothing unsafe, the firewall rules block access from WAN.
Ich habe eine Frage zu den DNS Einstellungen an der Opensense. Ich habe über Weihnachten einen Pihole inkl. Unbound eingerichtet und verteile die IP des Pihole nun über die Opensense via DHCP, das funktioniert auch alles. Nun gibt es aber unter System-Settings-General auch noch eine Einstellung für DNS Server, was stellt ihr hier ein? Wann kommt der zum Zuge?
Generell stelle ich mir die Frage wie das ich den Fehlerfall absichern könnte, falls nun der Pihole ausfällt kommen alle Teilnehmer nicht mehr ins Internet. Wie löst ihr das?
Wozu brauchst du den PiHole? Das kann die OpenSense mit dem AdGuardHome-Plugin (AGH) doch alles selbst machen. Der PiHole macht dir unnötige Arbeit und verkompliziert dir das Setup.
Ich lasse AGH auf Port 50053 lauschen, er leitet an unbound auf Port 53 weiter. Dem habe ich meine private, lokale Domain eingetragen. Anfragen nach Clients dieser Domain leitet er an dnsmasq weiter. Der dnsmasq ist DHCP-Server und zugleich authroritativer DNS für meine private, interne Domain. Unbound selbst hat Filterlisten (Sperrlisten) für die DoH-Server aktiv und einige wenige direkte Einträge zur Blockade. Unbound selbst leitet Anfragen direkt im Round-Rubin-Verfahren an die Root-DNS-Server weiter (ist als Standard im unbound eingebaut).
Außerdem leite ich an allen lokalen Interfaces sämtliche Anfragen an die Ports 53 und 853 direkt auf Port 50053 der OpnSense (AGH) um.
Damit ist alles komplett an einem Ort. Macht die Administration einfacher und spart unnötige Hardware. Abgesehen davon ist das meines Wissens eine der wenigen eleganten Möglichkeiten, DoH aus dem lokalen Netz heraus halbwegs vollständig zu verhindern. Halbwegs vollständig, weil die betreffenden Filterlisten wohl nie genau 100% der DoH-Server abdecken werden. Letztlich ich brauche keinen DNS-Filter, wenn der mit DoH umgangen wird. Und Deep-Paket-Inspektion mit Aufbrechen der Verschlüsselung auf dem Router oder einem anderen Gerät im lokalen Netz ist für mich ein absolutes NoGo.
Danke das du dein Setup mit uns teilst, ich werde mir das definitv noch genauer anschauen und einen Testaufbau machen. Leider bin ich noch ein ziemlicher Anfänger in diesen Themen, in deinem Szenario blockierst du DoH-Server mit Blacklists auf dem Unbound, dann würde Clients die DoH verwenden auf nicht-DoH wechseln, was da danach wieder mit AGH filtern würdest, richtig? Über Port 853 laufen die Anfragen von DoT, diese leitest du auch an AGH weiter, denn kann dieser damit umgehen aber nicht mit DoH?
Das alles direkt in der Opnsense finde ich sehr elegant.
Das ist zumindest in der Theorie der Plan, das Clients auf DoT (853) oder Standard-DNS (53) ausweichen, wenn DoH nicht erreichbar ist.
Ob das ein Client überhaupt kann, weiß ich nicht. Und ich bin mir sehr sicher, das weder OpenSense noch AGH DoH beherrschen. Ob AGH DoT kann weiß ich ehrlich gesagt nicht. Nutze intern ausschließlich DNS als Vorgabe. Aber die OpnSense kann zumindest ausgehend DNSsec.
Aber das ist in meinem Setup ausschließlich mit Linux oder BSD-System (o.K., BSD nur die OpnSense;-) und unter Standard-DNS relativ unerheblich.
Mein Ziel ist möglichst dichte DNS-Filterung um Tracking etc. klein zu halten. Meine DNS-Abfrage sehen alle Root-DNS-Server. Die sehen aber ohnehin auch alle DoT-/DoH-Server. Und jeder Router oder was auch immer im Netz sehen die Ziel-IP der aus den DNS-Abfragen resultierenden Verbindungen.
Allerdings betreibe ich eben auch eine VM mit Win10 nur für die wenigen Male im Jahr. Und bei der ist etwas mehr Aufwand nötig.
Man muss sich bei der Firma WinzigWeich aus Redmond ja über eines absolut im Klaren sein:
Wer Telemetriedaten welcher Art auch immer er ausleitet und keinerlei Angaben dazu macht…
Wer jederzeit die /etc/host auf den vom BS-Anbieter gewünschten Zustand zurücksetzt, damit man auf diesem Weg eben nicht die Telemetrie sperren kann…
Der hat auch keinerlei Hemmungen, DNS-Abfragen über DoH abzuwickeln. Natürlich ohne den Benutzer/Admin mit diesem „unerheblichen“ Detail zu belästigen. Da bleibt dann nur die rabiate Methode übrig, um die elende NachHauseTelefoniererei zu unterbinden.
In sofern ist DoH natürlich für den Admin schlimmer als die Pest, weil keine vernünftige DNS-Blokade möglich.
Aber andererseits ist DoH natürlich für Journalisten, Whistleblower oder auch Menschen in autoritären Ländern ein Segen. Daran ist nichts zu rütteln. Iss halt den Einen sin Uhl und den Annern sin Nachtiagall.
ist diese Heimnetzwerk-Struktur weiterhin “aktuell” so zu empfehlen?
Das Tutorial kommt von 2023, für die Switch Komponente wird es sicherlich ein neueres Modell geben, allerdings der Grundgedanke dieser Struktur ist noch aktuell. Oder was würdet ihr im Jahr 2026 ändern?
Meine Fritzbox hat nach Jahren den Geist aufgegeben, was ich zum Anlass nehme, meine Infrastruktur zu überdenken. Mit VLANs habe ich bisher nicht gearbeitet, möchte dies allerdings ändern. Aus einem Nachlass habe ich einen Router und 2 APs von Mikrotik erhalten, die als Basis dienen werden. Ein Modem für DSL sowie 1 oder 2 Switche werden noch benötigt.
Das Tutorial ist inhaltlich nach wie vor gültig. Da hat sich außer Einzelheiten wie Einstellungen an anderer Stelle, umbenannt etc. nichts Wesentliches geändert. Du musst den Umfang natürlich an deine Verhältnisse bzw. Bedarf anpassen.
Schaue dir die Geräte von Mikrotik genauer an. Die haben an sich einen sehr guten Ruf. Es würde mich nicht sehr wundern, wenn deine Geräte bereits alles mitbringen, was du haben willst (insbes. VLan-Fähigkeit) und du musst wirklich nur einen managbaren Switch kaufen. Auch die gibt es von Mikrotik und das teilweise zu sehr guten Preis-/Leistungsverhältnissen.
Allerdings habe ich auch gelesen, das die Firmware von Mikrotik (Router-OS bzw. Switch-OS) recht umfangreich ist und von daher wohl recht anspruchsvoll in der Konfiguration. Aber Mikrotik bietet auch sehr gut nutzbare Dokumentationen an.
Für das Modem würde ich mal bei Draytek hinschauen. Die haben einen guten Ruf, laufen stabil und Draytek bietet einen guten Support (Dokumentation, Firmware) an.