DNS automatisch beziehen ignoriert Windows hosts-Einträge

[network-practitioner]

Hallo miteinander

Ich komme einfach nicht weiter:
1. Ich habe auf meiner FritzBox einen DNS konfiguriert und DHCP aktiviert
2. Auf einem angeschlossenen Windows-Rechner habe ich die Ethernet-Einstellungen auf automatisch eingestellt: IP-Adresse + DNS-Server (so wie hier beschrieben: https://bit.ly/3PAwkrk - Link zu AVM.de)
3. Ebenfalls auf demselben Rechner in der Hosts-Datei (c:\windows\System32\drivers\etc\hosts) ein paar Einträge blockiert (z.B. 127.0.0.1 facebook.com www.facebook.com)

Nun habe ich das Phänomen, dass wenn ich den DNS-Server in den Windows-Einstellungen manuell überschreibe (z.B. 8.8.8.8), dann funktioniert die Blockierung wie gewünscht. Lasse ich aber den DNS-Server automatisch setzen, werden die Einträge im hosts-File komplett ignoriert.

Gemäss Windows-Registry ist die Hostnamenauflösungs-Reihenfolge: Local > Hosts file > DNS-Server.

Kann es sein, dass durch das automatische Setzen des DNS-Servers durch die FritzBox dieser Mechanismus überschrieben wird?

Ich bin froh um jegliche Tipps

 

[Gummibär]

Hallo @network-practitioner!

Ohne Ahnung zu haben, nur, weil die Thematik bei mir mal zu absurden Problemen führte, wäre es möglich dass die Fritzbox IPv6 bevorzugt und damit dann IPv4-Einträge in der hosts ignoriert werden? Also falls IPv6 überhaupt aktiv ist.

 

[the other]

Moinsen und willkommen im Forum,
hab konkret auch ersteinmal nix zweckdienliches...
Was passiert, wenn du den Eintrag unter windows manuell auf die Fritzbox legst (statt Google)? Wird dann geblockt oder werden die hosts-Einträge dann ebenfalls ignoriert?
Und ja, kann mit dualstack natürlich sein, dass sich die Abfrage per IPv6 an deinen IPv4 Einträgen vorbei mogelt...wenn es denn aktiviert ist.

 

[the other]

Moinsen,
da ich selber windows im Alltag nicht nutze, bin ich da definitv nicht der beste Ansprechpartner. Gefunden habe ich dazu nur noch dieses:
https://www.heise.de/news/Windows-Defender-zensiert-hosts-Datei-4863355.html
Nur als kleine Idee...da du ja 127.0.0.1 dort eingetragen hast und die Problematik im Artikel erwähnt wird...glaub zwar selber nicht wirklich, dass das zur Lösung beiträgt, müsste aber mit einem schnellen Versuch abzuklären sein.

 

[blurrrr]

Have u tried to turn it off and on again?

Nun habe ich das Phänomen, dass wenn ich den DNS-Server in den Windows-Einstellungen manuell überschreibe (z.B. 8.8.8.8), dann funktioniert die Blockierung wie gewünscht. Lasse ich aber den DNS-Server automatisch setzen, werden die Einträge im hosts-File komplett ignoriert.

Wie hast Du das denn konkret getestet?

 

[UdoAA]

@the other hat mit seiner Recherche die Lösung gefunden, das Problem hatte ich bei meinen Windows-Büchsen auch.
Kann Dir nur raten ein Pi-Hole auf nem Raspi zu installieren, dann haste ne saubere Lösung.

 

[blurrrr]

Wäre nicht einfach die Kindersicherung auf der Fritte ebenfalls eine Lösung, wenn man nur ein paar Seiten sperren will? Da muss man ja nicht gleich ... Kanonen und Spatzen und so...

EDIT: Also wenn man jetzt von einem Netzwerk á la "Computer + Router" ausgeht.

 

[the other]

Moinsen,
naja, es ist ja auch immer die Frage: will ich für MEINEN client, dass diverse Dinge geblockt werden, oder für die Kids oder einfach für alle (aka MEIN LAN - MEINE REGELN)...?

Sicherlich bietet die Fritzbox da einige kleine Einstellungen, wenn ich aber doch ggf. clientbezogen Seiten sperren will, ggf. sehen möchte, welche Seiten die pubertierende Brut aufruft und ich der Meinung bin, dass Technik Medienpädagogik vollständig ersetzt, dann zensier ich eben mit nem Pihole Dinge besser weg als mit der Fritzbox...(jetzt mal extrem gesagt).

Ich bin selber ein Freund von Pihole und ähnlichen DNS-Filtern. Zum einen: es ERGÄNZT Medienpädagogik etwas. Zum anderen: für sympathische Seiten mit Werbefinanzierung setzt ich die Whitelist ein (die sind jung und brauchen das Geld). Und die anderen sind einfach angenehm leerer, Es wird unfassbar viel Zeugs geblockt, was sonst im Hintergrund nachgeladen wird. Dazu kommt: es geht ja nicht nur um Werbung und Pornokram...es gibt ja durchaus auch gut gepflegte Listen mit bekannten SPAM Adressen, Malware, Coin-Schürferzeug usw.
Von daher ist Pihole und Konsorten IMHO ein nicht unerhebliches Mosaikstückchen in der eigenen Sicherheitsarchitektur des Heimnetzes...WENN mensch sich damit auseinandersetzt und nicht einfach wild loskonfiguriert oder Überwachungsstaat spielen will in den eigenen 4 Wänden

 

[network-practitioner]

Hallo miteinander

Wow, erst mal danke für die vielen und schnellen Rückmeldungen

Der Tipp mit der FritzBox einmal manuell als DNS zu setzen in Windows, hat mich auf die richtige Fährte gebracht: Das manuelle Setzen der FritzBox als DNS-Server hat ebenfalls dazu geführt, dass das Blockieren NICHT mehr funktioniert hat (genauso wie das automatische setzen lassen). Ich habe mir dann die DNS-Settings von der FritzBox angeschaut und zwar hab ich da 2 Orte gefunden wo man den DNS setzen kann:

1. Internet -> Zugangsdaten -> DNS-Server
2. Heimnetz -> Netzwerk -> Netzwerkeinstellungen -> IP-Adressen -> IPv4-Einstellungen -> Lokaler DNS-Server

Beim 1. hatte ich den OpenDNS drin (208.67.222.222, resp. 208.67.220.220). Beim 2. hatte ich meine lokale IP von der FritzBox selber gesetzt (also 192.168.150.1). Ich habe noch nicht ganz verstanden, was der Unterschied ist zwischen diesen beiden Settings, wobei ich denke, dass 2. z.B. genau für einen lokalen PiHole gedacht sein könnte. Vielleicht weiss da jemand mehr dazu?

Jedenfalls habe ich dann 2. ebenfalls auf OpenDNS gesetzt und plötzlich funktionieren die Blocks aus dem hosts file wieder, obschon ich in den Ethernet-Settings von Windows den DNS-Server wieder auf automatisch gesetzt habe (was ja vorher dazu geführt hat, dass die Blocks aus dem hosts file nicht funktionierten).

Es funktioniert jetzt zwar wie gewünscht, aber so richtig verstanden habe ich das ganze ehrlich gesagt nicht. Warum soll es eine Rolle spielen wie der DNS gesetzt wurde, ob die hosts Datei konsultiert wird oder nicht? Das sollte doch immer gleich funktionieren, egal wer oder was den DNS gesetzt hat?

Danke liebe Kollegen

 

[blurrrr]

Btw nur mal so am Rande... Die Auflösungseinstellungen sind lokal auf dem Client vorhanden. Da ist nichts zu überschreiben an der Reihenfolge, was via DHCP übermittelt werden könnte. Gruppenrichtlinien/Registry - das sind die Anlaufstellen... Ein normaler DHCP-Request bringt sowas nicht mit sich - manuell oder automatisch verteilter DNS spielt da überhaupt keine Rolle. Wäre auch ein Knaller, wenn das einfach so funktionieren würde...

EDIT: Bug oder neuerdings geändertes Verhalten natürlich nicht ausgeschlossen, ich kenn es aber auch nicht anders.

EDIT2: (anscheinend wurde Dein Beitrag grade freigeschaltet)

Vielleicht weiss da jemand mehr dazu?

Punkt 1 beschreibend den DNS-Server, welchen die Fritzbox für die Kommunikation nach aussen benutzt. Der zweite wird an die internen Clients verteilt. Somit Fragen die internen Clients bei der Fritzbox (Punkt 2) nach und die Fritzbox ihrerseits fragt bei ihrem DNS-Server nach (Punkt 1).

Warum soll es eine Rolle spielen wie der DNS gesetzt wurde, ob die hosts Datei konsultiert wird oder nicht? Das sollte doch immer gleich funktionieren, egal wer oder was den DNS gesetzt hat?

Jop, meines Erachtens nach schon, solange nicht an der Reihenfolge rumgeschraubt wurde.

 

[the other]

Moinsen,

Der Tipp mit der FritzBox einmal manuell als DNS zu setzen in Windows, hat mich auf die richtige Fährte gebracht

Freut mich und gut, dass es jetzt geht...

Der 2. DNS Eintrag (Heimnetz) wäre dann idT für zB Pihole...
Dazu gibt es hier im Bereich "Anleitungen" bereits ein paar Texte...
Ansonsten ergänzend zu meinem Beitrag: wenn deine Clients (bzw. deren Browser) DoH oder DoT nutzen, dann wird es mit dem DNS-Filter natürlich schwierig, denn das umgeht das Ganze...
Bei weiteren Fragen gerne wieder melden...