Portmaster + DNS-Probleme

Allgemein
1

Hallo,

ich habe sowohl mit Portmaster als auch meinem DNS Probleme (unter Windows 11) und bin sowohl für technische Erklärungen zum Hintergrund als auch praktische Hinweise dankbar.

  1. Portmaster habe ich relativ strikt eingestellt, was regelmäßig zu Overblocking führt. Mittlerweile habe ich einiges herausbekommen, sodass Windows-Updates funktionieren. Allerdings gibt es ein Programm, was über das VPN meines Arbeitgebers mit dem Lizenzserver kommunizieren muss und das klappt gar nicht. Hat jemand Erfahrungen welche Schalter man ändern müsste? Brauche ich LAN-Zugriff, muss ich eingehende Verbindungen zulassen oder ganz was anderes? Mein Problem ist, dass das Programm keine geblockten Verbindungen anzeigt, sonst hätte ich das schon selbst behoben.
    Gibt es eine Möglichkeit wie bei RethinkDNS ein einzelnes Programm an der Firewall vorbeizuschleusen z.B. indem ich es über eine virtuelle Maschine laufen lasse?

  2. Ähnlich wie in Probleme mit Portmaster beschrieben löst Portmaster bei mir die Domains nicht auf, sondern zeigt die Internetverbindungen als Peer-to-Peer an. Interessanterweise werden die Domains aber angezeigt, wenn ich mich mit dem Arbeitgeber-VPN verbinde. Hat was damit zu tun, dass ich in den WLAN-Einstellungen dnsforge.de, aber unter Portmaster Quad9 als DNS-Resolver angegeben habe? Denn vom „System DNS Client“ werden die Verbindungen manchmal als P2P und manchmal als dnsforge.net angezeigt.
    Oder wäre es aus Datenschutzsicht von Vorteil wenn ich mir eine VPN-Software zulege, damit diese die Domains auflöst und Portmaster sie filtern kann?
    An einem zweiten Windows 11-Rechner im gleichen Netzwerk funktioniert die Domain-Auflösung, aber man kann in den Einstellungen nur unverschlüsseltes DNS hinterlegen.

Wenn ich wüsste wie man elegant die kompletten Portmaster-Einstellungen exportiert könnte ich einen Ausschnitt davon teilen. Wo gibt es dafür den Knopf?

Vielen Dank für eure Hilfe!

2

Hallo Lindblad,

ich selber nutze kein VPN und kann dir da nicht wirklich helfen. Mein einziger Ansatz wäre das du auf das Programm klickst und die Einstellungen öffnest. Unter Default Network Action stellst du Allow ein. Bei Rules entfernst du alle Regeln die etwas blockieren und unter Filter lists deaktivierst du alle Filterlisten. Das sollte dazu führen das standardmäßig alle Verbindungen für das Programm erlaubt werden.

Bei deinen DNS Problemen kenne ich allerdings das Problem. Portmaster agiert als lokaler DNS Server, wenn du also in den Windows Einstellungen einen DNS Server gesetzt hast wird nicht mehr Portmaster genutzt, sondern dnsforge.de. In der folge kann Portmaster nur noch als Firewall agieren und dir IP-Adressen anzeigen. Deaktiviere also einfach den DNS Server in den Windows Einstellungen, dann sollte es wieder funktionieren.

Deine Portmaster Einstellungen kannst du in den Global Settings exportieren. Unten in der Mitte gibt es Import und Export Settings.

Falls du nur die Einstellungen von einem Programm exportieren möchtest klickst du wieder auf das Programm und gehst in den Settings Tab. Auch dort ist unten in der Mitte die Option die Einstellungen zu exportieren.

3

Hallo anon,
danke für den Hinweis zu Portmaster! Das erklärt schonmal die DNS-Probleme.

  • Allerdings hat das mit der Deaktivierung der DNS-Einstellungen bei mir nicht geklappt. Ich habe die „DNS-Serverzuweisung“ auf automatisch gestellt und in den WLAN-Adaptereigenschaften wird dnsforge.de nun immer noch gelistet, allerdings als unverschlüsselt. Portmaster zeigt aber weiterhin nur IP-Adressen an. Was könnte der Fehler sein bzw. was habe ich eventuell falsch gemacht?
  • Ja, die Exportfunktion von Portmaster kenne ich schon, aber ich habe gehofft, dass man für alle Programme die Einstellungen mit einem Mal exportieren kann. Das geht leider nicht, oder?
  • Zu 1. habe ich noch eine Frage: Was passiert wenn ich Programme unter einer virtuellen Maschine laufen lasse? Gelten für diese Programme dann auch die „globalen“ DNS/Firewall-Einstellungen oder muss ich für die virtuelle Maschine diese neu setzen bzw. eine Firewall extra installieren?
4

Ich kann dir versichern das Portmaster in keinsterweise mit irgendeinem VPN Anbieter kompatibel ist, probier es auch erst gar nicht aus. Schon das oberste Prinzip von Portmaster, das alles DNS auf ihn zeigen MUSS (damit er eine Internet-Verbindung erkennt), lässt jeden Versuch das vernünftig einzurichten scheitern.
Das hat auch einen einfachen Grund, die wollen ihren SPN Dienst mit verkaufen und ist schon seit 2 Jahren bekannt.

Einziger Lichtblick ist die Zusammenarbeit im IVPN, das ein VPN Anbieter ab Version 2.0 an den Start geht was aber noch lange nicht heißt, ob die betroffenen Einstellungen für den jeweiligen Anbieter angepasst werden können und der Release lässt auch auf sich warten, dazu kommen wohl noch ungewöhnliche personelle Veränderungen, so dass sich das ganze noch weiter verzögert. Noch gebe ich die Hoffnung aber nicht auf, die App hat schon Klasse.

Wenn du viel mit Proxys und VPN in Kombination arbeitest, kann man sich mal Proxifier anschauen, damit kann man sehr ordentlich und vor allem sauber sein DNS und seine Programme in alle denklichen Richtungen leiten-

5

Das heißt was für Optionen habe ich jetzt? So wie ich das verstanden habe kann ich entweder Portmaster nicht mehr nutzen oder Portmaster verwenden aber ohne vernünftige DNS-Auflösung.
Was würde ich eigentlich mit einem VPN oder einem Proxy gewinnen sprich für welchen Anwendungsfall ist das gut? Ich habe hier schon häufiger gelesen, dass Leute WireGuard nutzen aber nie verstanden warum. Es gibt ausführliche Erklärungen dazu, aber zum Einstieg hätte ich gerne erstmal eine grobe Vorstellung.
Außerdem sollten die Lösungen am besten entweder nur meine Geräte betreffen oder so nutzerfreundlich/wenig invasiv sein, dass man sie auch mit anderen Leuten im Haushalt teilen kann.

6

Du hast alle Möglichkeiten aber manche Kombinationen sind etwas mühsam bishin unmöglich.

Wenn dir Portmaster gefällt, weil du damit dein Windows unter Kontrolle hällst, dann bleib dabei, aber Freunde dich eher mit dem SPN Modus an, den Portmaster mit verkauft, um neben einem stillen windows deine IP bzw. dein Surfverhalten zu verschleiern. SPN ist ein von Portmaster geschaffenes Netzwerk um deinen Traffic über Server zu verteilen.

VPN/SPN Nutzung bzw. Proxys verschleiern deine IP weil die besuchte Webseite, bzw. der besuchte Server von dir über einen Proxy/VPN angesprochen.
VPN ist auch eine verschlüsselte Übertragung, die in fremden Wlan Netzen dich vor diversen Angriffen schützt.

Der Vorteil der entsteht, deine echte IP bleibt verborgen. Somit kannst du nicht über deine IP Adresse getrackt werden, solange du keine Anmeldedaten verwendest die auf deine Person deuten, ist man im weitesten Sinne unbekant gegenüber den Server den man besucht. Auch kann man Geo Sperren umgehen, weil man sich z.B. über einen Server in den USA anmeldet, auch Zensur und Internet Sperren lassen sich so umgehen.
Man kann halt recht aninym um Internet Surfen um sich zu informieren.

WireGuard ist das neuste VPN Protokol was sicher sein soll, einfach zu konfigurieren und dazu äußerste Leistungsstärke aufweist. Deshalb ist es aktuell so belielfg

Es kommt ganz auf den Verwendungszweck drauf an und auf persönliche Votlieben. Wer gerne den Familien Router durch den VPN jagt, vertraut halt seinen Internet Anbieter keinen Meter das der nicht die Surf Daten verkauft, denn die sind für den ISP so nicht mehr nachvollziehbar.
Das macht aber für die sonstige Verwendung weniger Sinn, da sich die Familie wohl alle mindestens mit dem Smartphone mit echten Daten mit der VPN einwählt womit trotz VPN oder Proxy ein Tracking möglich wäre.

Das könnte man in dem Fall aber mit individuellen Einstellungen einzelner Geräte im Netzwerk wieder hertellen… Multi Hop ..

Je nach Ambieter vorhandener Infrastruktur umd Know How des Anwenders sind die.Kosten und Umsetzungsanstrengungen von ganz wenig auf ganz viel anzusehen.

Mit anderen Worten, wenn man sich einen Überblick der Möglichkeiten, Kosten und Umsetzungamstrengungen verschafft hat, sollte man schon klar defenieren was man haben möchte.

Aus diesem Grund sollte man damit beginnen zu formulieren, wo sehe ich eine Bedrohung vor der ich mich schützen möchte, damit man seine Anforderungen in Worte fassen kann.

Hoffe mit der Info kannst du was anfangen.

7

Ich habe ein bisschen darüber nachgedacht und recherchiert, damit ich meine Wünsche klar benennen kann.

Ich denke ein VPN ergibt erst Sinn, wenn ich meine Betriebssysteme auf was vernünftiges umgestellt habe, z.B. hat Mike ja kürzlich eine Wireguard-Konfiguration für die Nutzung von Google-Diensten vorgestellt. Bringt vermutlich nicht viel wenn Google-Apps mit root-Berechtigung laufen, oder?

Für erste wäre ich schon glücklich damit, wenn ich endlich auf DNS-Ebene die Anfragen meines Windows-Laptops filtern könnte. Am liebsten hätte ich gerne ein Pendant von RethinkDNS, das läuft auf meinem Handy und ist eine klasse Sache. Kann man Pi-hole auch auf dem Rechner installieren und dann lokal die Filterlisten laufen lassen? Ich habe nicht so viel Lust mir extra einen Rasberry-Pi zuzulegen zumal die anderen Netzwerknutzer nicht so strenge Filterregeln wie ich haben wollen.

Außerdem habe ich dnsforge.de als DNS-Server eingestellt aber immer noch nicht verstanden wofür das hilft und wo die Grenzen sind.

Das Programm lief übrigens erst, als ich Portmaster komplett deinstalliert habe. Ich vermute, dass es daran liegt, dass der kommerzielle Anbieter Lizenzbetrug verhindern will - komisch ist es trotzdem.

8

hat einen integrierten Filter, was in Deine Fall ein guter Anfang ist.

Mit filtern nehme ich an, das du log Dateien, ob die DNS Abfragen erhalten möchtest, oder geht es dir nur um einen Werbefilter? s.o.

Ich denke du hast das Prinzip DNS und wie es abläuft noch nicht ganz verinnerlicht.

Für das, was du aber formulierst umsetzen zu wollen, wäre Portmaster eine praktische grafische Lösung.

Du müsstest halt nur (im Ultimo ratio) alle Anfragen generell verbieten und alle Abfragen einzeln mit Regeln freigeben, was ohne das nötige Verständnis etwas nervig werden könnte :smiley:

Du kannst auch dnsforge bei Portmaster als dein DNS Server einsetzen und hättest zusätzlich die Filterlisten in Portmaster selber, gleichzeitig hast du durch die kurze Aufzeichnungen der Abfragen eine Vorstellung was im Hintergrund passiert und kannst manuelle Änderungen durch eigene Regeln einfügen, um dein System kennen zu lernen. Die Änderungen würden nur deinen Laptop betreffen und wäre problemlos mit der kostenlosen Version möglich.

9

Kann gut sein, dass ich einiges noch missverstanden habe. Auf jeden Fall ist es so, dass ich Portmaster schon seit ein paar Monaten aktiv nutze und zusätzlich in den WLAN-Hardwareeinstellungen dnsforge.de mit DoH hinterlegt habe. Es funktioniert im Großen und Ganzen auch z.B. sind eingehende Verbindungen und LAN-Zugriff bei mir standardmäßig blockiert.
Allerdings zeigt Portmaster meist nur P2P-Internetverbindungen, aber nicht die kontaktierte Domain an und deswegen werden fast alle Verbindungen vom „System DNS Client“ erlaubt, obwohl die Filterlisten von Portmaster aktiv sind. Als ich mal über ein VPN ins Internet bin, wurden die ganzen Domains aufgelöst und ganz viel davon blockiert. Könnte das daran liegen, dass ich in Portmaster mit Quad9 einen anderen DNS-Server hinterlegt habe oder weil die Verbindung zu dnsforge verschlüsselt ist?
Das mit dem Pi-Hole war auch nur ein Synonym für eine andere Software, die ebenfalls eine Filterung auf Basis von DNS-Listen vornimmt. Die Frage ist nun, ob das Problem grundsätzlicher Natur ist oder nur die kostenlose Portmaster-Version die Domains nicht auflösen kann.
Kann sein, dass mein Setup etwas komisch ist, bitte darauf hinweisen, wenn ein grundsätzlicher Konstruktionsfehler vorliegt!

10

und das macht halt keinen Sinn, da Portmaster deine DNS Abfragen verwalten sollte, darauf basiert das Prinzip des Programms. Stellst du parallel einen DNS Server bereit, schaffst du dir selbst eine Möglichkeit wie Portmaster umgangen wird.

11

Was müsste ich dann bei den WLAN-Einstellungen hinterlegen? Wenn ich Standard-DNS/‚DHCP automatisch‘ auswähle, werden die Domains trotzdem nicht angezeigt. Außerdem wird dnsforge weiterhin als DNS-Server genutzt, nur jetzt unverschlüsselt.
Ich kann leider auch nicht ausschließen, dass die Windows-Firewall oder Bitdefender nicht noch dazwischenfunken, aber von letzterem hatte ich die Firewall bereits deaktiviert.

12

Portmaster sitzt irgendwo zwischen Netzwerkkarte und Windows firewall und läuft als root Dienst, somit kannst du z.B. auch den Win-Telemetrie Dienst völlig stumm schalten. Von Software Lösungen auf dem PC die dem PC nur mitteilen infiziert worden zu sein, halte ich bis auf die Windows eigene Lösung alles für Schlangenöl. Entweder du schützt den PC vorher mit einer externen Lösung wie einer guter Firewall oder vernünftigen Netzwerkeinstellungen und klugen Kopf, wenn du direkt ins Netz gehst.

Schreib in die DNS Einstellungen deines WLANs deine Maschine, sprich 127.0.0.1, hier lauscht der DNS Proxy von Portmaster auf jeden Fall auf DNS Anfragen und werden dann weiter geleitet.
Du kannst dnsforge auch bei Portmaster hinterlegen, auch mit DOH Settings, schau dir die Option und die entsprechenden Hinweise dazu mal genauer an.

Woran erkennst du das?

13

Danke, das war die Lösung! Jetzt werden die Domains alle aufgelöst :smiley: Endlich kann ich Microsoft in die Schranken weisen.

→ Wenn ich das gewusst hätte, wäre ich eventuell sogar selbst auf die Lösung gekommen. Auf jeden Fall auch schön zu verstehen, was intern passiert. Die Verbindung von der Netzwerkkarte zu Portmaster brauche/sollte ich nicht per DoH/DoT verschlüsseln, oder?

image
Bei mir sieht es jetzt so aus.

14

Ok, verstehe.

Es gibt Ansätze das DNS Abfragen innerhalb des eigenen internen Netzwerkes verschlüsselt werden, was die Sicherheit erhöht, aber das auf der gleichen Maschine die einzelnen Programme ihr Anfragen an den Proxy verschlüsseln MÜSSEN, wäre mir auch neu. Es sollte reichen das Portmaster seine Anfragen verschlüsselt in das Netzwerk sendet.

15

Nur Interesse halber: Was müsste man tun, um dieses Sicherheitslevel zu erreichen? Könnte ich das über die WLAN-Einstellungen und falls ja, wie?

16

Das setzt voraus das der DNS Proxy, der die Anfragen eines kompletten Netzwerkes beantwortet, zentral angelegt wurde, zum Beispiel auf dem Router und dann auch per DHCP verteilt wird. Dieser würde dann z.B. nur über TLS/TCP Port 853 antworten Port 53 wäre generell gesperrt.

Dein DNS Proxy sitzt auf der Maschine selber und könnte höchstens durch scharfe Firewall Regeln seinen Dienst versagen, sollte wie in meinem genanntes Szenario die Nutzung eines eigenen verschlüsselten DNS Proxy auf Port 853/443 unterbunden werden. Ansonsten kannst du für das restliche Netzwerk eine verschlüsselte DNS Abfrage konfigurieren. Wird aber halt nicht von allen Geräten unterstützt und macht im privaten Umfeld denke ich auch weniger Sinn.

17

Klingt so, als ob das für meine Zwecke nicht wichtig ist.
Aber zum Verständnis: Ich habe auf dem Router (FritzBox) dot.ffmuc.net als DNS eingestellt. Keine Ahnung, wie/wo man da Port 53 sperren könnte.
Und es gibt Geräte, die verschlüsseltes DNS nicht unterstützen?

18

Ob du etwas als DNS einträgst/mitteilst per DHCP verteilst, oder selber einen DNS Proxy betreibst (was Router in der Regel alle tun), sind zwei verschiedene Dinge. Im ersten Fall, wird einfach die IP und der Port des DNS Servers im Internet an die Geräte verteilt/eingetragen und die Geräte stellen die Anfrage dann selber. Im zweiten Fall, wird der interne DNS Proxy plus Port verteilt und alle DNS Anfragen so über den Proxy geleitet, welcher dann die Abfrage startet und die Antwort an die Geräte leitet. Wie man Firewalls konfiguriert, ist ein anderes viel zu großes Thema.

Genügend, mein Onkyo AVR zum Beispiel nicht oder meine IP Camera :smiley: Es muss im Netzwerk nicht immer ein PC oder Laptop im Netz hängen und standard Android kennt auch erst gesichertes DNS in den Einstellungen seit Version 11 oder 12. Somit ja, die gibt es.

19

Vorübergehend hatte das alle meine Probleme gelöst. Allerdings treten einige ungewünschte Nebeneffekte auf:

  • Manche der Domains, die auf Seiten eingebunden sind werden nicht über den Browser, sondern über den System DNS Client umgeleitet. Das führt dann zu Overblocking und ich muss neben uBlockOrigin auch noch in Portmaster die Domain zulassen.
  • Manche Apps wollen eine Verbindung vom Typ „Device Local-Incoming“ zu 127.0.0.1 aufbauen. Was soll das sein? Ich habe es standardmäßig blockiert, aber bei einigen Anwendungen zugelassen, wenn die sonst nicht funktioniert haben.
  • Wenn ich in einem WLAN auf der Arbeit bin dann werden einige der Domain-Namen wieder nicht aufgelöst, damit gibt es Probleme.

Ansonsten noch zwei weiterführende Fragen:

  • Vom Arbeitgeber gibt es ein VPN und dann wird in den Windows-Einstellungen angezeigt, ich sei nicht mit WLAN sondern mit Ethernet verbunden. Muss ich für dieses Szenario etwas anders konfigurieren?

Passiert das automatisch oder muss ich dafür etwas unternehmen? Kann ich damit verschleiern von welchem Gerät innerhalb des WLANs die Abfrage kam?

20

Deaktiviere die Option “Uncloak canonical names” in uBlock Origin, das sollte helfen, warum liest du hier.

Die Apps versuchen den von dir eingetragenen DNS Server 127.0.0.1 zu erreichen, weil sie warum auch immer den Portmaster DNS nicht finden.

Das WLAN Netz deines Arbeitgebers, wird dir wohl über DHCP einen DNS Server zugewiesen haben, den du wahrscheinlich vorher wieder auf 127.0.0.1 ändern musst, das wirst du in jedem neue Netzwerk denke ich ändern müssen. Weiterhin könnte sein das dein Arbeitgeber jeden anderen DNS Server blockiert. Du könntest versuchen in der Windows Konsole mit netsh den DNS Server für dein WLAN Device festzusetzen, so das ein Wechsel des Netzes davon nicht betroffen ist.

Hier gilt das gleiche, das neue Netzwerkdevice wird eine Route bzw. eventuell auch einen DNS Sever vorgeben, je nachdem ob du das Internet des Arbeitgebers über das VPN nutzen sollst oder nur intern verbunden bist um auf Daten eines Server zuzugreifen. Wenn zweiteres musst du nur die Verbindung in Portmaster freigeben, wenn du auf den Server vom Arbeitgeber zugreifen möchtest.

Vor wem verschleiert? Die Empfängeradresse welche zuvor vom DNS Server abgerufen wurde wird dem client über den DNS Proxy mitgeteilt. Der client ruft die Empfängeradresse über das Gateway ab und dem Gateway wird die Empfängeradresse antworten, die Antwort wird dann an den client geleitet. Die interne Adresse spielt bei NAT keine Rolle für die Außenwelt. Der DNS Proxy kommuniziert in der Regel über das gleiche Gateway solange die Adresse nicht schon im cache gespeichert ist, dann antwortet der Proxy ohne die Abfrage weiter zu senden. Spricht der client direkt mit dem DNS Server erfolgt die Kommunikation ausschließlich über das Gateway.

Wenn du die Möglichkeit hast in deinem DHCP Server auf dem Router einen DNS Server zu konfigurieren, der auf den Router zeigt und du separate DNS Einstellungen konfigurieren kannst, wie es bei Routern die mit unbound laufen der Fall ist, handelt es sich um einen Proxy. In der Regel läuft der DNS Proxy oder auch DNS Resolver genannt auf dem Router oder z.B. einem Pi Hole, es gibt auch externe kostenpflichtige (würde ich von Abraten, bieten keinen Mehrwert). In diesem Fall wird dein Router als DNS-Server über DHCP an die clients verteilt und ist somit der Proxy bzw. Resolver für dein Netzwerk. Sollte auf dem Router kein Proxy laufen und die clients den im Router eingetragenen DNS Server übermittelt bekommen, läuft kein DNS Proxy auf deinem Router.

Das läuft aber komplett außerhalb deiner Portmaster Maschine und betrifft dich somit erst mal nicht, da du den DNS Server vom Router mit der Eintragung 127.0.0.1 völlig ignorierst und nur dnsforge nutzt , welchen du bei Portmaster eingetragen hast. Das könnte aber blockiert werden, je nach System Admin.