wenn pihole läuft, kann ich Qnap nicht nicht mehr anpingen

[Robertson23]

hi,
stehe gerade am Schlauch. Habe mr einen pihole container auf der Qnap installiert. Dann den pihole als dns auf dem dhcp server (windos server 2016) zusätzlich zu den 2 internen dns eingetragen. dann den pihole auf den 2 dns servern (windows server 2016) bei den Weiterleitungen eingetragen. im pihole noch die domäne eingetragen.
funktioniert soweit, bis ich heute bemerkt habe, dass ich nur das "main" interface meines Qnap anpingen kann. alle anderen nics sind nicht pingbar und auch nicht über http/https erreichbar. Habe pihole einstwielen ausgeschaltet und aus dem dhcp und server-dns entfernt. jetzt geht wieder alles.
Was ist da los? Warum geht die Haupt-NIC? Das ist die einzige Schnittstelle des Qnap, die ich auch als A-record im DNS der 2 Windows Server habe. Aber daran kann es doch nicht liegen, für ping brauchts doch keinen dns.

 

[rednag]

Gute Frage.
Kannst Du mit dem Setup keinerlei Geräte mehr anpingen oder nur die QNAP nicht mehr?

 

[Robertson23]

Alle anderen geräte gehen, sind aber auch alle im DNS Record meines Servers eingetragen. Die Qnaps sind die einzigen geräte, die halt mehrere IP-Adressen haben und da habe ich nur die Haupt-IP im DNS stehen. Ich werde pihole nochmal überall als DNS eintragen und zusätzlich einen a-record für die zusätzlichen IP-Adressen meines Qnaps im dns-Server eintragen und schauen, ob es dann geht. Aber wie gesagt kapiere ich den Zusammenhang (falls es nicht nur eine Koinzidenz war) zwischen Ping und dns-Einträgen nicht.

Ich frage mich auch, ob ich im pihole giu noch spezifische Einstellungen vornehmen muss, wegen der AD Domäne.
Ich werde es jetzt so machen, dass ich am dhcp Server nur die 2 windows-DNS-Server als zu vergebende DNS eintrage und am DNS-Server selbst an erster Stelle für die Weiterleitungen pihole. Umgekehrt, also pihole als primären dns Server zu verteilen wird wahrscheinlich nicht funktionieren, weil er die internen Geräte nicht kennt. Ich müsste in dann, falls das geht, meine internen DNS als Weitelreitung in pihole eintragen und diese würden dann an zb google 8.8.8.8 weiterleiten.
Also welche Reihenfolge ist besser:
client --> pihole --> windows Server DNS --> google
client --> windows server DNS -->pihole --> google

ich nehem an 2. Option.

 

[rednag]

Hier kenne ich mich zu wenig aus. Aber ich denke @blurrrr könnte hier das ein oder andere dazu schreiben.
Bei mir fragen die Geräte die Sophos. Diese hat als Forwarder den AdGuard eingetragen.
Das kommt Deiner Option #2 am nächsten.

 

[blurrrr]

Aber daran kann es doch nicht liegen, für ping brauchts doch keinen dns.

Hört sich ein wenig so an, als würdest Du das selbst irgendwo in Frage stellen. Lass Dich beruhigen: dem ist nicht so. DNS und ICMP haben nichts miteinander zu tun

Aber mal ernsthaft: Wie hast Du denn die Netzwerk-Config des Containers gestrickt? Einfach nur interne Netze + Portforwarding, macvlan, ipvlan, etc.? Ich hab zugegebenermaßen von dem ganzen Container-Kram nicht so die Ahnung... (Davon ab: auch von QNAP hab ich keine Ahnung )

alle anderen nics sind nicht pingbar und auch nicht über http/https erreichbar.

Waren sie denn vorher pingbar und via http/https erreichbar?

Geh ruhig insgesamt mal ein bisschen ins Detail....

 

[Robertson23]

Ja, vorher und auch jetzt (nachdem ich pihole wieder deaktiviert habe), ist alles pingbar.
Netzwerk habe ich einfach so gestrickt, dass die physische nic des Nas, wo der virtuelle Switch des Containers dran hängt, untagged in meinem Server VLan ist. Ich kann bei aktiviertem pihole nicht mal von Switch aus, an dem das qnap angechlossen ist, Pingen. Ich muss das ganze nochmal genau durchdenken, weil ich glaube, dass der virtuelle Switch das Problem ist, weniger pihole selbst. Dadurch entsteht irgendeine Schleife oder sowas im Netz.
Werde mir pihole jetzt sowieso als virtuelle Maschine auf meinem HP Server einrichten, um das Problem einstweilen zu umgehen.

 

[blurrrr]

So geht es natürlich auch...

 

[Robertson23]

Hatte noch ein apu2 Board rumliegen und habe debain 11 drauf installiert und Pi hole. Läuft.

Um lokale dns aufzulösen, auch wenn der pi hole nicht den dhcp server macht, kann man beim pi hole ja "condotional forwarding" aktivieren, allerdings lässt sich hier nur 1 subnet eintragen. Ich habe hier das vlan, in dem sich der dhcp server (und der pihole auch in meinem Fall) befindet eingetragen (zb 192.168.1.0/24) und natürlich den dhcp server (zb 192.168.1.100). Ich hab aber mehrere VLans, also habe ich nach der Lösung gegoogelt: über ssh in /etc/dnsmasq.d eine neue datei anlegen:

sudo nano /etc/dnsmasq.d/02-custom.conf

in diese Datei dann alle anderen subnets bzw. vlans eintragen, zb:

server=/2.168.192.in-addr.arpa/192.168.1.100
server=/3.168.192.in-addr.arpa/192.168.1.100

(der windows dhcp server ist auch mein interner dns server)

im dhcp Server (in meinem Fall der windows server) bei den Bereichsoptionen nur den pi hole als dns eintragen (clients fragen immer zuerst beim pi hole an). wenn nun eine lokale dns angefragt wird, leitet pihole an den windows server weiter, ansonsten erledigt er das selbst. Ich häte auch die Clients zuerst am windiws dns anfragen lassen können, aber dann sieht man im pi hole Log immer rnur den windows server als client, der beim pihole fragt. Man will aber wissen, welcher Client die Anfrage eigentlich gestellt hat.

In der Konstellation läuft es im Moment.

ps: es ist auch alles pingbar.

 

[blurrrr]

Kannst auch einfach ein domain-basiertes forwarding bzgl. Deiner internen Domäne auf die DCs machen und den Rest einfach direkt ins Internet jagen. Somit werden die DCs auch nur angesprochen, wenn es sich um Anfragen für die entsprechende Domain handelt. Hab hier auf meinem NAS (nebst Fileserver auch DNS für das lokale Netz hier) ein paar fowardings drin (und Zonentransfers) zu/von anderen Standorten.