[Pi-Hole] Ervaringen & discussie

[Freee!!]

Verwijderd schreef op donderdag 15 april 2021 @ 11:29:
Hallo iedereen, ik ben momenteel een nieuwe netwerk opzet aan het maken en zoek een goede oplossing voor DNS en DHCP management (in docker).

Uiteraard staat Pi-hole en Adguard op de lijst (nog geen ervaring) maar ik wil ook alternatieven onderzoeken.
Ik zoek in principe niet eens een AD-blocking DNS server maar vooral eenvoudig host management en statistieken met de mogelijkheid om deze met features uit te breiden waar nodig.

Ik zit nu ook te kijken naar CoreDNS en NextDNS maar mogelijk hebben mensen hier ook deze zoektocht gemaakt?

DNS doe ik met Pi-Hole en twee Unbounds (* 2, twee RPi's ) in Docker, DHCP doe ik (helaas niet in Docker) op mijn RPi4B.

[Freee!!]

TheCeet schreef op donderdag 15 april 2021 @ 13:45:
[...]
pihole -up command moet voldoende zijn om de update binnen te halen.

5.3.0 werd uitgebracht gisteren maar er zaten kleine bugs in die zéér snel gefixed werden waardoor het atm 5.3.1 is.

Zitten nog bugs in de webinterface.

[Webgnome]

Ik hoor het alweer ik wacht wel even een weekje of twee met upgraden

[nero355]

Webgnome schreef op donderdag 15 april 2021 @ 14:56:
Ik hoor het alweer ik wacht wel even een weekje of twee met upgraden

Ik doe met je mee!

Dit soort bugs :

Lizard schreef op donderdag 15 april 2021 @ 09:50:
Er zijn meerdere privilege escalations gevonden in pi-hole, ik verwacht dat er nog een fix komt...
https://github.com/pi-hol...ories/GHSA-3597-244c-wrpj

Zijn namelijk totaal niet boeiend zolang ik als enige toegang heb tot mijn Pi-Hole + Unbound draaiende Raspberry Pi 3B die ook niet via het Internet bereikbaar is via SSH/HTTP of wat dan ook!

[jaspov]

Voor ik pi-hole update werk ik altijd het systeem bij met:

sudo apt-get update
sudo apt-get dist-upgrade

Is daarna een reboot nodig?

[dss58]

jaspov schreef op donderdag 15 april 2021 @ 20:35:
Voor ik pi-hole update werk ik altijd het systeem bij met:


[...]


Is daarna een reboot nodig?

volgens mij niet, alleen als er een nieuwe kernel is dan is het hoogstens wenselijk naar mijn idee

[nero355]

jaspov schreef op donderdag 15 april 2021 @ 20:35:
Voor ik pi-hole update werk ik altijd het systeem bij met:

[...]

Is daarna een reboot nodig?

Dat is prima!

Ik doe altijd een beetje ongeveer dit :

beerns schreef op donderdag 15 april 2021 @ 10:39:
Zo doe ik het altijd ja. Vind je het enorm boeiend of dat wel of niet kan? FF snel een ssh sessie opzetten en pihole -up doen is toch te overzien?

Volg. mij is t officiele standpunt dat de server herstart wordt tijdens de update en dat dit hierdoor niet kan (zou het process interrupten).

Persoonlijk werk ik dan ook gelijk de root hints file van Unbound bij (ja; met het handje, dat vind ik prettig) en het OS zelf.
Soort van algehele update vh systeem doe ik op dat moment.

En of het nou wel of niet moet : Ik geef dat ding altijd een schop daarna!

Verder eens met :

dss58 schreef op donderdag 15 april 2021 @ 20:37:
volgens mij niet, alleen als er een nieuwe kernel is dan is het hoogstens wenselijk naar mijn idee

[jaspov]

Helder thx.

[andregroeneveld]

Freee!! schreef op donderdag 8 april 2021 @ 07:56:
[...]

Hoe heb je die backup gemaakt?

Remove the SD card from the Raspberry Pi.
Use Win32DiskImager to create an image
- Insert the SD card into your computer.
- Start Win32DiskImager.
- Image File: Select a location and name for the image, e.g. C:\temp\pi-hole.img
- Device (source): Select the drive, holding the SD card, multiple partitions (drives) exist on the SD card, select the first one (all partitions will be processed).
- Select Read
Wait…
Use Win32DiskImager to write the image
- Insert the new (or used) SD card into your computer.
- Format the SD card, using SDFormatter.
- Start Win32DiskImager.
- Image File: Select a location and name for the image, e.g. C:\temp\pi-hole.img
- Device (target): Select the drive, holding the SD card.
- Select Write

[Videopac]

beerns schreef op donderdag 15 april 2021 @ 10:39:
Zo doe ik het altijd ja. Vind je het enorm boeiend of dat wel of niet kan? FF snel een ssh sessie opzetten en pihole -up doen is toch te overzien?

Volg. mij is t officiele standpunt dat de server herstart wordt tijdens de update en dat dit hierdoor niet kan (zou het process interrupten).

Persoonlijk werk ik dan ook gelijk de root hints file van Unbound bij (ja; met het handje, dat vind ik prettig) en het OS zelf.
Soort van algehele update vh systeem doe ik op dat moment.

Hoe doe je dit, al dan niet met de hand?

[deHakkelaar]

jaspov schreef op donderdag 15 april 2021 @ 20:35:
Voor ik pi-hole update werk ik altijd het systeem bij met:

code:

sudo apt-get update
sudo apt-get dist-upgrade

Is daarna een reboot nodig?

Waarom doe je een dist-upgrade ?
Wil je soms expres iets stuk maken

pi@ph5b:~ $ man apt-get
[..]
       dist-upgrade
           dist-upgrade in addition to performing the function of upgrade,
           also intelligently handles changing dependencies with new versions
           of packages; apt-get has a "smart" conflict resolution system, and
           it will attempt to upgrade the most important packages at the
           expense of less important ones if necessary. The dist-upgrade
           command may therefore remove some packages. The
           /etc/apt/sources.list file contains a list of locations from which
           to retrieve desired package files. See also apt_preferences(5) for
           a mechanism for overriding the general settings for individual
           packages.

Een dist-upgrade doe je als je de major versie van je Linux distro wilt upgraden eg van Debian Stretch naar Buster of Bullseye.
Er kunnen namelijk packages zomaar verwijderd worden waarvan je afhankelijk bent, allemaal om je systeem compliant te maken voor de nieuwe major release.
Onderstaand is voldoende om je systeem up to date te houden:

code:

sudo apt update && sudo apt upgrade

[jaspov]

deHakkelaar schreef op vrijdag 16 april 2021 @ 07:16:
[...]


Waarom doe je een dist-upgrade ?
Wil je soms expres iets stuk maken
Een dist-upgrade doe je als je de major versie van je Linux distro wilt upgraden eg van Stretch naar Buster of Bullseye.
Er kunnen namelijk packages zomaar verwijderd worden waarvan je afhankelijk bent, allemaal om je systeem compliant te maken voor de nieuwe major release.
Onderstaand is voldoende om je systeem up to date te houden:

code:

sudo apt update && sudo apt upgrade

Dank ik heb wat geleerd vandaag 👍🏼😀
En hierna is geen reboot nodig?

[deHakkelaar]

Ow ps. ik update de root.hints niet met het handje.
Die root.hints worden al mee geinstalleerd met unbound:

pi@ph5b:~ $ apt depends unbound
unbound
[..]
  Depends: dns-root-data
[..]

pi@ph5b:~ $ dpkg -L dns-root-data
[..]
/usr/share/dns/root.hints
[..]

En worden dus ook ge-update met sudo apt update && sudo apt upgrade.

[deHakkelaar]

jaspov schreef op vrijdag 16 april 2021 @ 07:27:
[...]
En hierna is geen reboot nodig?

Ik reboot eigenlijk alleen als er een kernel update beschikbaar is.
Maar het kan geen kwaad om een reboot te geven als veel packages zijn ge-update.
Is goede test ofdat systeem weer UP komt na bv een stroom uitval etc.

[Church of Noise]

deHakkelaar schreef op vrijdag 16 april 2021 @ 07:35:
Ow ps. ik update de root.hints niet met het handje.
Die root.hints worden al mee geinstalleerd met unbound:

pi@ph5b:~ $ apt depends unbound
unbound
[..]
  Depends: dns-root-data
[..]

pi@ph5b:~ $ dpkg -L dns-root-data
[..]
/usr/share/dns/root.hints
[..]

En worden dus ook ge-update met sudo apt update && sudo apt upgrade.

Als je Unbound via apt installeerde
(ik compile Unbound telkens, en heb dus een cron activiteitje opgezet om elke maand de root hints te updaten)

[beerns]

Videopac schreef op vrijdag 16 april 2021 @ 07:03:
[...]

Hoe doe je dit, al dan niet met de hand?

zo: sudo wget https://www.internic.net/domain/named.root -O /etc/unbound/root.hints
Om daarna nog even een herstart vd service te doen: systemctl restart unbound.service

[ Voor 14% gewijzigd door beerns op 16-04-2021 09:19 ]

[jpgview]

Videopac schreef op vrijdag 16 april 2021 @ 07:03:
Hoe doe je dit, al dan niet met de hand?

Zelf gebruik ik regelmatig verschillende versies van unbound (raspbian of compiled), dnscrypt-proxy, knot resolver. Helaas heben al die packages een andere locatie voor de root hints. Dit scriptje zorgt ervoor dat alle, mij bekende, root hint locaties de update krijgen (if exists):

#!/usr/bin/env bash

# Make sure only root can run our script
if [ "$(id -u)" != "0" ]; then
echo "This script must be run as root" 1>&2
exit 1
fi

# unbound (compiled)
if [ -f /etc/unbound/root.hints ]; then
sudo wget https://www.internic.net/domain/named.root -O /etc/unbound/root.hints
fi

# unbound (raspbian)
if [ -f /var/lib/unbound/root.hints ]; then
sudo wget https://www.internic.net/domain/named.root -O /var/lib/unbound/root.hints
fi

# system
if [ -f /usr/share/dns/root.hints ]; then
sudo wget https://www.internic.net/domain/named.root -O /usr/share/dns/root.hints
fi

wekelijkse (of whatever interval you want) cron job...

[ Voor 36% gewijzigd door jpgview op 16-04-2021 09:58 ]

[nero355]

Videopac schreef op vrijdag 16 april 2021 @ 07:03:
Hoe doe je dit, al dan niet met de hand?

Mijn scriptje is niet zo fancy, maar het voldoet voor mij :

code:

wget -O root.hints https://www.internic.net/domain/named.root
read -p "Waiting 5 seconds to make sure download is complete" -t 5
mv root.hints /var/lib/unbound/
echo -e "\nroot.hints has been moved to the Unbound directory"
sleep 2
cp /var/lib/unbound/root.hints /home/pi/BACKUP/
echo -e "\nLatest root.hints has been stored in the Backup!\n"
sleep 2
systemctl restart unbound
sleep 2
systemctl status unbound
echo -e "\nStatus of Unbound has been shown."
sleep 2
echo "."
echo ".."
echo "..."
printf "\nAlles zou nu weer moeten draaien! :)\n"

En dan tussendoor zelf effe op Q rammen om de status weg te krijgen

En ja, ik ben hier vreselijk slecht in en het kan waarschijnlijk vele malen beter, maar hey... it works!

deHakkelaar schreef op vrijdag 16 april 2021 @ 07:16:
Waarom doe je een dist-upgrade ?
Wil je soms expres iets stuk maken

Omdat ik een hekel heb aan achteraf schoonmaken en APT/APT-GET dat allemaal gewoon prima regelt!

Een dist-upgrade doe je als je de major versie van je Linux distro wilt upgraden eg van Debian Stretch naar Buster of Bullseye.
Er kunnen namelijk packages zomaar verwijderd worden waarvan je afhankelijk bent, allemaal om je systeem compliant te maken voor de nieuwe major release.
Onderstaand is voldoende om je systeem up to date te houden:

code:

sudo apt update && sudo apt upgrade

Doe mij maar gewoon apt full-upgrade / apt-get dist-upgrade of zelfs het volgende : apt dist-upgrade

Dat werkt namelijk ook en is uit legacy redenen stiekem gewoon aan de opties toegevoegd!

deHakkelaar schreef op vrijdag 16 april 2021 @ 07:35:
Ow ps. ik update de root.hints niet met het handje.
Die root.hints worden al mee geinstalleerd met unbound:

pi@ph5b:~ $ apt depends unbound
unbound
[..]
  Depends: dns-root-data
[..]

pi@ph5b:~ $ dpkg -L dns-root-data
[..]
/usr/share/dns/root.hints
[..]

En worden dus ook ge-update met sudo apt update && sudo apt upgrade.

Dat wist ik dan weer niet, maar de boel zelf updaten tussen de eventuele updates/patches door is opzich geen gek idee

[Church of Noise]

Om eerlijk te zijn, gebruikte ik ook sudo apt full-upgrade tot nu toe.
Had er niet bij stilgestaan dat sommige zaken die niet via apt gaan, mogelijks de packages waar een dependency mee bestaat verliezen... Geldt dat bvb ook voor Unbound, als ik die zelf compile?

@nero355 en @deHakkelaar: dank voor het delen van de scripts!
Ik poog Unbound zo min mogelijk te herstarten, om m'n cache niet telkens te verliezen (zelfs met het dumpen en herladen van de cache zie ik dat er een en ander verloren gaat onderhand). Daarom laad ik maandelijks de nieuwe root.hints, en ga ik er van uit dat ze meegeladen worden eens er dan toch eens een herstart is (bvb omwille van een nieuwe kernel).
Ik ga me eens inlezen in het hele REDIS gebeuren om te zien hoe dat nog verder kan helpen mbt het hele cache verhaal.

[nero355]

Church of Noise schreef op vrijdag 16 april 2021 @ 16:24:
Om eerlijk te zijn, gebruikte ik ook sudo apt full-upgrade tot nu toe.
Had er niet bij stilgestaan dat sommige zaken die niet via apt gaan, mogelijks de packages waar een dependency mee bestaat verliezen... Geldt dat bvb ook voor Unbound, als ik die zelf compile?

In principe zou het kunnen gebeuren dat als jij de boel tegen een bepaalde library compiled, laten we zeggen versie 2, dat als er een upgrade naar versie 3 gebeurt jouw applicatie daar misschien niet goed mee kan omgaan...

Maar zeker durf ik dat niet te zeggen, want voor mij zijn er maar twee opties om een systeem te onderhouden :

- Binary methode, zoals APT/APT-GET/YUM/PKG/enz...
- De heerlijke "controle freak methode" die /usr/src en /usr/ports heet in FreeBSD

[deHakkelaar]

Snap al die moeite niet zo met scripts en cron jobs etc voor de root hints.
Die root hints/servers veranderen bijna nooit.
Ik heb even de root hints van een bind9 installatie uit 2013 vergeleken.
Als ik een diff doe tussen die uit 2013 en de huidige, zie ik dat sinds 2013, 2 vd 13 IPv4 root servers zijn verandert.
En 2 vd 13 IPv6 root server IP's zijn verandert plus 3 zijn voorzien van een extra IPv6 adres welke in 2013 nog ontbrak.
Als er 2 of 4 niet werken, zijn er altijd nog 11 of 9 anderen die antwoorden.
Dus zo kritisch is het niet dat die root hints niet up to date zijn.

Als je dan toch unbound/bind9/knot etc zelf gaat compileren kun je ook gewoon die dns-root-data package installeren (is maar paar KB).
En de root.hints uit de package symlinken naar daar waar ie wordt verwacht door je DNS software eg:

pi@ph5b:~ $ sudo ln -s /usr/share/dns/root.hints /etc/unbound/root.hints
pi@ph5b:~ $

pi@ph5b:~ $ cat /etc/unbound/root.hints
;       This file holds the information on root name servers needed to
;       initialize cache of Internet domain name servers
[..]

Als dan de root.hints van de package wordt ge-update, werkt dat automatisch door naar de symlink.

Of gewoon de DNS software configuratie vertellen dat de root.hints staan in /usr/share/dns/root.hints
Bottom line, als die root hints maar 1 keer per jaar ge-update worden met bv een apt upgrade etc, zul je totaal geen problemen ondervinden.

[deHakkelaar]

nero355 schreef op vrijdag 16 april 2021 @ 15:53:
[...]
Doe mij maar gewoon apt full-upgrade / apt-get dist-upgrade of zelfs het volgende : apt dist-upgrade
Dat werkt namelijk ook en is uit legacy redenen stiekem gewoon aan de opties toegevoegd!
[...]

Church of Noise schreef op vrijdag 16 april 2021 @ 16:24:
Om eerlijk te zijn, gebruikte ik ook sudo apt full-upgrade tot nu toe.
Had er niet bij stilgestaan dat sommige zaken die niet via apt gaan, mogelijks de packages waar een dependency mee bestaat verliezen...

Dan loop je het risico dat er dingen breken.
dist-upgrade is niet bedoeld voor reguliere updates.
Idem voor full-upgrade:

pi@ph5b:~ $ man apt
[..]
       full-upgrade (apt-get(8))
           full-upgrade performs the function of upgrade but will remove
           currently installed packages if this is needed to upgrade the
           system as a whole.

[nero355]

deHakkelaar schreef op vrijdag 16 april 2021 @ 18:04:
Snap al die moeite niet zo met scripts en cron jobs etc voor de root hints.
Die root hints/servers veranderen bijna nooit.
Ik heb even de root hints van een bind9 installatie uit 2013 vergeleken.
Als ik een diff doe tussen die uit 2013 en de huidige, zie ik dat sinds 2013, 2 vd 13 IPv4 root servers zijn verandert.
En 2 vd 13 IPv6 root server IP's zijn verandert plus 3 zijn voorzien van een extra IPv6 adres welke in 2013 nog ontbrak.
Als er 2 of 4 niet werken, zijn er altijd nog 11 of 9 anderen die antwoorden.
Dus zo kritisch is het niet dat die root hints niet up to date zijn.

Als je dan toch unbound/bind9/knot etc zelf gaat compileren kun je ook gewoon die dns-root-data package installeren (is maar paar KB).
En de root.hints uit de package symlinken naar daar waar ie wordt verwacht door je DNS software eg:

pi@ph5b:~ $ sudo ln -s /usr/share/dns/root.hints /etc/unbound/root.hints
pi@ph5b:~ $

pi@ph5b:~ $ cat /etc/unbound/root.hints
;       This file holds the information on root name servers needed to
;       initialize cache of Internet domain name servers
[..]

Als dan de root.hints van de package wordt ge-update, werkt dat automatisch door naar de symlink.

Of gewoon de DNS software configuratie vertellen dat de root.hints staan in /usr/share/dns/root.hints
Bottom line, als die root hints maar 1 keer per jaar ge-update worden met bv een apt upgrade etc, zul je totaal geen problemen ondervinden.

In principe heb je gelijk, maar het kost me niks om dat toch effe 1 keer per maand te doen dus waarom ook niet!

deHakkelaar schreef op vrijdag 16 april 2021 @ 18:18:
Dan loop je het risico dat er dingen breken.
dist-upgrade is niet bedoeld voor reguliere updates.
Idem voor full-upgrade:

pi@ph5b:~ $ man apt
[..]
       full-upgrade (apt-get(8))
           full-upgrade performs the function of upgrade but will remove
           currently installed packages if this is needed to upgrade the
           system as a whole.

Tot nu toe nooit problemen gehad en op andere systemen draai ik Debian Testing die een rolling release is en daar gaat er ook nooit wat mis dus ik vind het best zo!

[jpgview]

Vraagje...

Iedereen kent de oplossing om unbound als upstream resolver te gebruiken.

Er is was vandaag een discussie over domain redirection, en het feit dat AGH er in slaagt om dit te doen (voorbeeldje met de NTP client requests naar time.andoid.com die dan omgeleid worden naar een andere NTP server).
Na een paar testen blijkt dat pihole-FTL (dnsmasq) dit niet kan (CNAME configuratie geeft geen IP address voor een external domain) AGH doet dit blijkbaar wel.
dnsmasq kan het niet (redirection) als je géén preconfigured IP address wil gebruiken voor het target domain (address=).

De commentaar, die door de developer gegeven wordt, doet vermoeden dat dit ook nooit in pihole-FTL zal kunnen (hopelijk ben ik hier mis).

Nu vraag ik mij af, overweeg dit te testen, of er iemand al ooit AGH vóór pihole heeft geplaatst, e.g., AGH luistert op poort 53, forward naar dnsmasq (luistert op een andere poort (port=) en/of IP address (listen-address=)) en forward op zijn beurt naar unbound, die het dan oplost.

Waarom zou ik dit overwegen?
- de DNS rewrites feature, die op AGH wel werkt (hoewel ik momenteel een NAT rule heb op de firewall om dit op te vangen).
- je kan AGH blijkbaar ook configuren om te luisteren als DoH of DoT server, e.g. je clients doen DoH requests naar AGH, AGH forward ze als reguliere DNS request naar pihole. Als er in de toekomst dingen te voorschijn komen die allleen DoH of DoT willen gebruiken heb je zelf zo'n ding in huis, en kan je toch nog blocken (met pihole).
- features die in AGH wel, en in pihole niet aanwezig zijn, kan je in AGH enablen, de rest laat je door pihole afhandelen.

Groot nadeel natuurlijk is, dat alle requests van de AGH server komen (in pihole), maar je kan er ook voor kiezen om bepaalde devices via AGH requests te laten doen, andere devices (die zich wel correct gedragen) rechtstreeks naar pihole te verwijzen.

Is er iemand die hier al mee geëxperimenteerd heeft (dit is toch tweakers, niet)?

[deHakkelaar]

NTP is wel een slecht voorbeeld.
NTP zelf gebruikt geen hostnamen/domeinen in het protocol zoals HTTPS(SNI) of welk ander protocol met TLS.
Ik snap um ook niet helemaal.
Is het niet zoiets simpels als gewoon een CNAME aan maken ?
M'n NAS 10.0.0.3 doet oa NTP dus goed als target:

pi@ph5a:~ $ sudo tee /etc/dnsmasq.d/99-my-settings.conf <<< $'cname=willekeurige.ntp.server,nas.dehakkelaar.nl'
cname=willekeurige.ntp.server,nas.dehakkelaar.nl

pi@ph5a:~ $ sudo service pihole-FTL reload
pi@ph5a:~ $

Ik had al een "Local DNS Record" aangemaakt in de web GUI voor het target domein nas.dehakkelaar.nl (dit is een vereiste om "authoritive" te worden voor het target domein):

pi@ph5a:~ $ cat /etc/pihole/custom.list
[..]
10.0.0.3 nas.dehakkelaar.nl

Als ik dan m'n laptop pak:

dehakkelaar@laptop:~$ host willekeurige.ntp.server
willekeurige.ntp.server is an alias for nas.dehakkelaar.nl.
nas.dehakkelaar.nl has address 10.0.0.3

dehakkelaar@laptop:~$ sudo ntpdate -q willekeurige.ntp.server
server 10.0.0.3, stratum 2, offset 0.044334, delay 0.02626
17 Apr 23:51:54 ntpdate[6585]: adjust time server 10.0.0.3 offset 0.044334 sec

Direct werkt natuurlijk ook:

dehakkelaar@laptop:~$ sudo ntpdate -q nas.dehakkelaar.nl
server 10.0.0.3, stratum 2, offset 0.038632, delay 0.02623
17 Apr 23:53:00 ntpdate[6593]: adjust time server 10.0.0.3 offset 0.038632 sec

Dus wat is het probleem precies met NTP ?

EDIT: Oeps was vergeten dat je tegenwoordig ook via de web GUI CNAME's kunt aan maken:
http://pi.hole/admin/cname_records.php

[ Voor 4% gewijzigd door deHakkelaar op 18-04-2021 00:39 ]

[JeroenE]

deHakkelaar schreef op zondag 18 april 2021 @ 00:13:
Is het niet zoiets simpels als gewoon een CNAME aan maken ?

Als ik het goed begrijp kan dit allemaal prima als het je eigen lokale domein is. Maar als je dit wil doorsturen naar de NTP server van iemand anders dan werkt dat niet.

Je kan wel doen alsof je wel de eigenaar bent, maar dan moet je alle wijzigingen die de echte eigenaar maakt in de namen en ip adressen ook steeds zelf in je configuratie doen.

[deHakkelaar]

Ok het probleem is dus dat embedded dnsmasq "authoritive" moet zijn voor het target domein van een CNAME/alias definitie.
Het "There are significant limitations..." gedeelte op de man page:

pi@ph5a:~ $ man dnsmasq
[..]
       --cname=<cname>,[<cname>,]<target>[,<TTL>]
              Return  a  CNAME  record  which indicates that <cname> is really
              <target>. There are significant limitations on  the  target;  it
              must be a DNS name which is known to dnsmasq from /etc/hosts (or
              additional hosts files), from  DHCP,  from  --interface-name  or
              from  another --cname.  If the target does not satisfy this cri‐
              teria, the whole cname is ignored. The cname must be unique, but
              it  is  permissible  to have more than one cname pointing to the
              same target. Indeed it's possible to declare multiple cnames  to
              a target in a single line, like so: --cname=cname1,cname2,target

              If the time-to-live is given, it overrides the default, which is
              zero or the value of --local-ttl. The value is a positive  inte‐
              ger and gives the time-to-live in seconds.

Authoritive worden voor het doel domein kan ook met een lokale TXT record ipv een A record.
Stel ik wil een alias aanmaken time.android.com die verwijst naar het doel time.windows.com:

pi@ph5a:~ $ sudo tee /etc/dnsmasq.d/99-my-settings.conf <<< $'txt-record=time.windows.com,"kaap dit domein"'
txt-record=time.windows.com,"kaap dit domein"

pi@ph5a:~ $ pihole-FTL --test -c /etc/dnsmasq.d/99-my-settings.conf
dnsmasq: syntax check OK.

pi@ph5a:~ $ sudo service pihole-FTL reload
pi@ph5a:~ $

En even een CNAME aanmaken via the web GUI voor time.android.com --> time.windows.com.
Als ik dan test op de laptop:

dehakkelaar@laptop:~$ host -t txt time.windows.com
time.windows.com descriptive text "kaap dit domein"

dehakkelaar@laptop:~$ host time.android.com
time.android.com is an alias for time.windows.com.
time.windows.com is an alias for time.microsoft.akadns.net.
time.microsoft.akadns.net has address 51.105.208.173

dehakkelaar@laptop:~$ sudo ntpdate -q time.android.com
server 51.105.208.173, stratum 3, offset 0.039942, delay 0.03683
18 Apr 17:45:34 ntpdate[7647]: adjust time server 51.105.208.173 offset 0.039942 sec

Het IP 51.105.208.173 is van M$:

dehakkelaar@laptop:~$ whois 51.105.208.173
[..]
netname:        MICROSOFT

Maar ik zou dat niet zo doen voor NTP.
Ik zou gewoon een NTP server(s) meegeven via DHCP (mijn Pi-hole doet ook DHCP):

pi@ph5a:~ $ sudo tee /etc/dnsmasq.d/99-my-settings.conf <<< $'dhcp-option=option:ntp-server,10.0.0.3'
dhcp-option=option:ntp-server,10.0.0.3

pi@ph5a:~ $ pihole-FTL --test -c /etc/dnsmasq.d/99-my-settings.conf
dnsmasq: syntax check OK.

pi@ph5a:~ $ sudo service pihole-FTL reload
pi@ph5a:~ $

Op die manier forceer je al je DHCP clients om jouw NTP server te gebruiken ipv de OS default:

pi@ph5a:~ $ pihole-FTL dhcp-discover
Scanning all your interfaces for DHCP servers
[..]
   ntp-server: 10.0.0.3

EDIT: Als je ntp installeert op je Pi-hole host, kan deze ook gebruikt worden als NTP server voor je clients:

pi@ph5a:~ $ apt show ntp
[..]
Description: Network Time Protocol daemon and utility programs
 NTP, the Network Time Protocol, is used to keep computer clocks
 accurate by synchronizing them over the Internet or a local network,
 or by following an accurate hardware receiver that interprets GPS,
 DCF-77, NIST or similar time signals.
 .
 This package contains the NTP daemon and utility programs.  An NTP
 daemon needs to be running on each host that is to have its clock
 accuracy controlled by NTP.  The same NTP daemon is also used to
 provide NTP service to other hosts.
 .
 For more information about the NTP protocol and NTP server
 configuration and operation, install the package "ntp-doc".

[ Voor 11% gewijzigd door deHakkelaar op 18-04-2021 18:21 ]

[Webgnome]

@deHakkelaar voor de noobs onder ons. Waarom zou je een eigen NTP server draaien?

[Freee!!]

Webgnome schreef op zondag 18 april 2021 @ 18:43:
@deHakkelaar voor de noobs onder ons. Waarom zou je een eigen NTP server draaien?

Om ervoor te zorgen, dat alle computers en andere apparaten op jouw netwerk dezelfde tijd hanteren.

[deHakkelaar]

Webgnome schreef op zondag 18 april 2021 @ 18:43:
@deHakkelaar voor de noobs onder ons. Waarom zou je een eigen NTP server draaien?

De oorsponkelijke poster wou dat alle clients één source gebruiken als NTP bron ipv dat je telefoon time.android.com gebruikt en je Windhoos PC time.windows.com.

[ Voor 28% gewijzigd door deHakkelaar op 18-04-2021 18:47 ]

[Webgnome]

Freee!! schreef op zondag 18 april 2021 @ 18:47:
[...]

Om ervoor te zorgen, dat alle computers en andere apparaten op jouw netwerk dezelfde tijd hanteren.

Ja no shi.. Ik wist al wel wat NTP servers zijn maar waarom je perse je eigen server zou willen draaien of forceren dat alles dezelfde server gebruikt?

deHakkelaar schreef op zondag 18 april 2021 @ 18:47:
[...]

De oorsponkelijke poster wou dat alle clients één source gebruiken als NTP bron ipv dat je telefoon time.android.com gebruikt en je Windhoos PC time.windows.com.

Maar het is dus om te zorgen dat alle devices dezelfde NTP server gebruiken om zo je 'footprint' te verkleinen begrijp ik?

[ Voor 41% gewijzigd door Webgnome op 18-04-2021 18:52 ]

[deHakkelaar]

Webgnome schreef op zondag 18 april 2021 @ 18:51:
[...]
Maar het is dus om te zorgen dat alle devices dezelfde NTP server gebruiken om zo je 'footprint' te verkleinen begrijp ik?

Oa.
Ik heb in broadcasting gewerkt en daar was tijd critisch voor op het juiste moment uitzenden van TV items etc.
De DNS servers functioneerden daar ook tegelijk als NTP servers.

[ Voor 8% gewijzigd door deHakkelaar op 18-04-2021 18:58 . Reden: typos etc ]

[jpgview]

deHakkelaar schreef op zondag 18 april 2021 @ 18:14:
Ok het probleem is dus dat embedded dnsmasq "authoritive" moet zijn voor het target domein van een CNAME/alias definitie.

Ben momenteel met iets anders bezig, maar als ik het snel even lees, zou jij dus een oplossing hebben gevonden om een CNAME die verwijst naar een extern domain wel aan de praat te krijgen.

Ik begrijp dat je een en ander hier post, maar zou je toch willen vragen om dit ook te posten in dit topic, bij voorkeur met als voorbeeld de domains van de originele poster (So I think, rewriting time.android.com to (for example) 1.pool.ntp.org wouldn´t work)

Ik vind, (nog niet getest) het een geweldige oplossing (TRUE, complex, maar dus wel mogelijk), waarvoor JIJ het krediet moet krijgen, Weer een argument minder om op AGH over te stappen. Hopelijk zijn er géén vervelende neven effecten...

[deHakkelaar]

@jpgview, ik drop wel een bommetje

[deHakkelaar]

Ow ps. als je full out wilt gaan, regel je een USB GPS dongle zodat je ntpd daemon synct met de atoom klokken van de GPS satelieten en dus stratum 1 kan bereiken:
Wikipedia: Network Time Protocol

[deHakkelaar]

jpgview schreef op zondag 18 april 2021 @ 19:00:
[...]
Ik begrijp dat je een en ander hier post, maar zou je toch willen vragen om dit ook te posten in dit topic, bij voorkeur met als voorbeeld de domains van de originele poster (So I think, rewriting time.android.com to (for example) 1.pool.ntp.org wouldn´t work)

Done:
https://discourse.pi-hole.net/t/domain-rewriting/46352/34

[To_Tall]

Webgnome schreef op zondag 18 april 2021 @ 18:51:
[...]


Ja no shi.. Ik wist al wel wat NTP servers zijn maar waarom je perse je eigen server zou willen draaien of forceren dat alles dezelfde server gebruikt?


[...]


Maar het is dus om te zorgen dat alle devices dezelfde NTP server gebruiken om zo je 'footprint' te verkleinen begrijp ik?

Als je zelf bepaalde diensten host. Die je niet met de buiten wereld direct wil laten praten. Bv je Home automatisme server. Of je netwerk camera’s.

[Verwijderd]

Jayke Peters en ik zijn ooit bezig geweest met Safesearch welk de methode toepast van CNAME en host-record en dat werkt ook voor HTTPS zolang de certificaten kloppen.

https://github.com/jaykepeters/PSS/

PS. je kunt dit...na lang wachten...nu ook via de webinterface van Pihole invoeren dus de scripts zijn niet meer nodig.

[ Voor 22% gewijzigd door Verwijderd op 19-04-2021 16:22 ]

[nero355]

deHakkelaar schreef op zondag 18 april 2021 @ 18:14:
Maar ik zou dat niet zo doen voor NTP.
Ik zou gewoon een NTP server(s) meegeven via DHCP (mijn Pi-hole doet ook DHCP)

Ik ook, maar...

Op die manier forceer je al je DHCP clients om jouw NTP server te gebruiken ipv de OS default.

Dat werkt net zo goed/slecht als de DNS Servers die je meegeeft vrees ik...

Daarom zou ik alles wat je kan/moet afvangen met DNAT/SNAT regels op je Router gewoon daar afvangen!

[deHakkelaar]

nero355 schreef op maandag 19 april 2021 @ 20:22:
Dat werkt net zo goed/slecht als de DNS Servers die je meegeeft vrees ik...

Daarom zou ik alles wat je kan/moet afvangen met DNAT/SNAT regels op je Router gewoon daar afvangen!

Ja mijn verwoording is verkeerd.
Je adverteert de NTP server(s) via DHCP en het is aan de clients ofdat ze deze honereren.

Niet iedereen heeft een firewall die geconfigureerd kan worden voor NAT/manglen etc.
Maar iedereen kan de DHCP optie configureren.
Zelfs als hun router dat niet kan want je kunt dan altijd nog Pi-hole DHCP laten doen.
Er is met embedded dnsmasq vaak meer mogelijk met DHCP dan menig huis tuin en keuken routertje toelaat via hun GUI (terwijl velen ook dnsmasq draaien onder de motorkap).

EDIT: M'n Asus routertje zonder DHCP NTP optie

$ ps
  PID USER       VSZ STAT COMMAND
[..]
  354 nobody    1036 S    dnsmasq --log-async

[ Voor 11% gewijzigd door deHakkelaar op 19-04-2021 23:11 ]

[Arjan1986]

https://discourse.pi-hole...-8-1-hotfix-release/46474

[Freee!!]

Arjan1986 schreef op woensdag 21 april 2021 @ 22:23:
https://discourse.pi-hole...-8-1-hotfix-release/46474

Werkt weer naar behoren.

[wiljums]

Sinds een paar weken kan ik pvoutput.org niet meer bereiken via mijn laptop, krijg de volgende melding:


Ik heb 2 pi-holes draaien icm unbound. als ik beide pauzeer, kan ik de website nog steeds niet bereiken. Via mijn android telefoon wel, ook al draait pi-hole wel.

In de query log zie ik dit terug:


Wat zou de oorzaak kunnen zijn?

[grote_oever]

wiljums schreef op donderdag 22 april 2021 @ 16:45:
Sinds een paar weken kan ik pvoutput.org niet meer bereiken via mijn laptop, krijg de volgende melding:
[Afbeelding]

Ik heb 2 pi-holes draaien icm unbound. als ik beide pauzeer, kan ik de website nog steeds niet bereiken. Via mijn android telefoon wel, ook al draait pi-hole wel.

In de query log zie ik dit terug:
[Afbeelding]

Wat zou de oorzaak kunnen zijn?

Cache al keer leeg gegooid? Lijkt niet helemaal een probleem van je Pihole.

[nero355]

wiljums schreef op donderdag 22 april 2021 @ 16:45:
Sinds een paar weken kan ik pvoutput.org niet meer bereiken via mijn laptop

Ik had nog nooit van die website gehoord en mijn Pi-Hole + Unbound setup verwerkt de pagina zonder enig probleem :

Welcome, PVOutput is a free service for sharing and comparing PV output data.

If you own a solar system please contribute your power output readings.

Dus er gaat iets mis aan jouw kant...

[wiljums]

grote_oever schreef op donderdag 22 april 2021 @ 17:53:
[...]

Cache al keer leeg gegooid? Lijkt niet helemaal een probleem van je Pihole.

Cache leeg gegooid in Chrome, maar heeft geen effect. Ook in edge en firefox wordt de website niet geladen.

Melding edge:
Deze pagina werkt momenteel niet pvoutput.org heeft geen gegevens verzonden.
ERR_EMPTY_RESPONSE

Melding firefox:
Beveiligde verbinding mislukt

Fout tijdens het verbinden met pvoutput.org.

De pagina die u wilt bekijken kan niet worden weergegeven, omdat de echtheid van de ontvangen gegevens niet kon worden geverifieerd.
Neem contact op met de website-eigenaars om ze over dit probleem te informeren.

[deHakkelaar]

@wiljums , wat krijg je voor output met onderstaande vier op de Pi-hole host?

code:

dig +noall +comments +answer pvoutput.org @localhost

code:

dig +noall +comments +answer pvoutput.org @localhost -p5335

code:

curl -ILSs pvoutput.org --resolve pvoutput.org:80:45.56.66.169

code:

grep pvoutput.org /var/log/pihole.log | tail -5

EDIT: Ow nog eentje om zeker te zijn dat ie niet op de blocklists staat:

code:

pihole -q pvoutput.org

[ Voor 13% gewijzigd door deHakkelaar op 22-04-2021 21:46 ]

[wiljums]

deHakkelaar schreef op donderdag 22 april 2021 @ 21:30:
@wiljums , wat krijg je voor output met onderstaande vier op de Pi-hole host?

code:

dig +noall +comments +answer pvoutput.org @localhost

code:

dig +noall +comments +answer pvoutput.org @localhost -p5335

code:

curl -ILSs pvoutput.org --resolve pvoutput.org:80:45.56.66.169

code:

grep pvoutput.org /var/log/pihole.log | tail -5

code:

dig +noall +comments +answer pvoutput.org @localhost

;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 23693
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; ANSWER SECTION:
pvoutput.org.           55585   IN      A       45.56.66.169

code:

dig +noall +comments +answer pvoutput.org @localhost -p5335

;; connection timed out; no servers could be reached

code:

curl -ILSs pvoutput.org --resolve pvoutput.org:80:45.56.66.169

HTTP/1.1 301 Moved Permanently
Content-length: 0
Location: https://pvoutput.org/
Connection: close

HTTP/1.1 200 OK
Date: Thu, 22 Apr 2021 19:47:03 GMT
Content-Type: text/html;charset=UTF-8
Set-Cookie: JSESSIONID=webprd1~1glpkhzg9xns51aax1dz2cm8vv;Path=/; Secure
Expires: Thu, 01 Jan 1970 00:00:00 GMT
Content-Length: 0
Server: Jetty(7.6.17.v20150415)
Strict-Transport-Security: max-age=15768000

code:

grep pvoutput.org /var/log/pihole.log | tail -5

Apr 22 21:47:02 dnsmasq[5966]: cached pvoutput.org is NODATA-IPv6
Apr 22 21:47:03 dnsmasq[5966]: query[A] pvoutput.org from 127.0.0.1
Apr 22 21:47:03 dnsmasq[5966]: cached pvoutput.org is 45.56.66.169
Apr 22 21:47:03 dnsmasq[5966]: query[AAAA] pvoutput.org from 127.0.0.1
Apr 22 21:47:03 dnsmasq[5966]: cached pvoutput.org is NODATA-IPv6

[deHakkelaar]

wiljums schreef op donderdag 22 april 2021 @ 21:48:

code:

dig +noall +comments +answer pvoutput.org @localhost -p5335
;; connection timed out; no servers could be reached

Je melde eerder dat je unbound gebruikt, draait deze soms op een andere host of luistert hij naar een andere poort dan 5335 van de "guide"?

Voor de rest ziet alles er goed uit.
Het lijkt mij dat er wat mis is met je client.
Windows toevallig?
Worden er andere DNS servers weergegeven als het Pi-hole adres met onderstaande in een Windhoos command prompt?

code:

netsh interface ip show dnsservers

EDIT: Ow ps. en als je de tag [cmd] gebruikt voor de code output en [/cmd] na de code output wordt deze lekker in een zwart boxje geplaatst hier op het forum.

[ Voor 10% gewijzigd door deHakkelaar op 22-04-2021 22:05 ]

[wiljums]

deHakkelaar schreef op donderdag 22 april 2021 @ 22:00:
[...]

Je melde eerder dat je unbound gebruikt, draait deze soms op een andere host of luistert hij naar een andere poort dan 5335 van de "guide"?

Voor de rest ziet alles er goed uit.
Het lijkt mij dat er wat mis is met je client.
Windows toevallig?
Worden er andere DNS servers weergegeven als het Pi-hole adres met onderstaande in een Windhoos command prompt?

code:

netsh interface ip show dnsservers

Poort is 5353:

code:

dig +noall +comments +answer pvoutput.org @localhost -p5353

;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 53260
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1472
;; ANSWER SECTION:
pvoutput.org.           54424   IN      A       45.56.66.169

windows 10 ja, de ip-adressen van beide rpi's met pihole en unbound worden gegeven als dns servers. verder geen.

[deHakkelaar]

wiljums schreef op donderdag 22 april 2021 @ 22:08:
[...]
Poort is 5353:

Aha, 5353 werdt heel vroeger in de guide gebuikt totdat ze erachter kwamen dat deze kon conflicteren met Bonjour/mDNS en toen is gewijzigt naar 5335.
Mogelijk heb jij nog wat anders draaien op 5353.
Wat is output voor onderstaand?

code:

sudo netstat -nltup | grep 'Proto\|:53 \|:5335 \|:5353 '

Ow en dit:

[b]deHakkelaar in "[Pi-Hole] Ervaringen & discussie"deHakkelaar schreef op donderdag 22 april 2021 @
EDIT: Ow ps. en als je de tag [cmd] gebruikt voor de code output en [/cmd] na de code output wordt deze lekker in een zwart boxje geplaatst hier op het forum.

[ Voor 27% gewijzigd door deHakkelaar op 22-04-2021 22:15 ]

[wiljums]

deHakkelaar schreef op donderdag 22 april 2021 @ 22:13:
[...]

Aha, 5353 werdt heel vroeger in de guide gebuikt totdat ze erachter kwamen dat deze kon conflicteren met Bonjour/mDNS en toen is gewijzigt naar 5335.
Mogelijk heb jij nog wat anders draaien op 5353.
Wat is output voor onderstaand?

code:

sudo netstat -nltup | grep 'Proto\|:53 \|:5335 \|:5353 '

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program na                         me
tcp        0      0 0.0.0.0:5353            0.0.0.0:*               LISTEN      676/unbound                            
tcp        0      0 0.0.0.0:53              0.0.0.0:*               LISTEN      5966/pihole-FT                         L
tcp6       0      0 :::53                   :::*                    LISTEN      5966/pihole-FT                         L
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           676/unbound                            
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           366/avahi-daem                         on: r
udp        0      0 0.0.0.0:53              0.0.0.0:*                           5966/pihole-FT                         L
udp6       0      0 :::5353                 :::*                                366/avahi-daem                         on: r
udp6       0      0 :::53                   :::*                                5966/pihole-FT                        

Zit hier wat tussen? Het vreemde vind ik dat pvoutput de enige website is waar ik dit probleem ervaar (voor zover ik heb gezien). Daarnaast de laatste tijd nauwelijks wat veranderd aan de rpi's.

[deHakkelaar]

Met dit soort problemen is alles een "suspect".

En ja je hebt een Bonjour/mDNS daemon draaien avahi-daemon op poort 5353 samen met unbound wat problemen kan opleveren.
Of verander de poort naar 5335 in de unbound en de Pi-hole configuraties.
Of disable/mask die daemon die toch niks heeft toe te voegen voor een Pi-hole host:

code:

sudo systemctl mask avahi-daemon

code:

sudo systemctl stop avahi-daemon

En test weer op je client (houdt rekening met cache).

[wiljums]

deHakkelaar schreef op donderdag 22 april 2021 @ 22:25:
Met dit soort problemen is alles een "suspect".

En ja je hebt een Bonjour/mDNS daemon draaien avahi-daemon op poort 5353 samen met unbound wat problemen kan opleveren.
Of verander de poort naar 5335 in de unbound en de Pi-hole configuraties.
Of disable/mask die daemon die toch niks heeft toe te voegen voor een Pi-hole host:

code:

sudo systemctl mask avahi-daemon

code:

sudo systemctl stop avahi-daemon

En test weer op je client (houdt rekening met cache).

Poort aangepast op beide rpi's naar 5335:

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:53              0.0.0.0:*               LISTEN      14487/pihole-FTL
tcp6       0      0 :::53                   :::*                    LISTEN      14487/pihole-FTL
udp        0      0 0.0.0.0:53              0.0.0.0:*                           14487/pihole-FTL
udp6       0      0 :::53                   :::*                                14487/pihole-FTL

na cache wissen in edge en firefox is het probleem nog niet opgelost..

[TheCeet]

In cmd al eens een ipconfig /flushdns uitgevoerd?

[deHakkelaar]

^^^ of reboot die client to be sure!

EDIT: ow ik zie helemaal geen unbound in de netstat ouptut?

code:

sudo netstat -nltup | grep 'Proto\|:53 \|:5335 \|:5353 '

[ Voor 70% gewijzigd door deHakkelaar op 22-04-2021 22:43 ]

[wiljums]

deHakkelaar schreef op donderdag 22 april 2021 @ 22:41:
^^^ of reboot die client to be sure!

EDIT: ow ik zie helemaal geen unbound in de netstat ouptut?

code:

sudo netstat -nltup | grep 'Proto\|:53 \|:5335 \|:5353 '

Flushdns en reboot uitgevoerd. nog niet het gewenste effect.

bij die netstat was een foutje, ik had maar één keer de poort aangepast. hier nogmaals:

Proto Recv-Q Send-Q Local Address           Foreign Address         State                                                      PID/Program name
tcp        0      0 0.0.0.0:5335            0.0.0.0:*               LISTEN                                                     680/unbound
tcp        0      0 0.0.0.0:53              0.0.0.0:*               LISTEN                                                     791/pihole-FTL
tcp6       0      0 :::53                   :::*                    LISTEN                                                     791/pihole-FTL
udp        0      0 0.0.0.0:5335            0.0.0.0:*                                                                          680/unbound
udp        0      0 0.0.0.0:53              0.0.0.0:*                                                                          791/pihole-FTL
udp6       0      0 :::53                   :::*                                                                               791/pihole-FTL

[deHakkelaar]

En je hebt ook avahi-daemon geschopt zie ik?
Maar is er wat verandert nu? Werkt het wel/niet?
Kan ff niks anders bedenken wat mis kan gaan.
EDIT: Maar "suspect" blijft nog wel steeds die Windhoos client.

[ Voor 38% gewijzigd door deHakkelaar op 22-04-2021 22:56 ]

[deHakkelaar]

Mogelijk dat nslookup in een cmd prompt op die Win client wat afwijkends aangeeft?

C:\>nslookup pvoutput.org
Server:  ph5a
Address:  10.0.0.2

Non-authoritative answer:
Name:    pvoutput.org
Address:  45.56.66.169

C:\>ping pvoutput.org

Pinging pvoutput.org [45.56.66.169] with 32 bytes of data:
Reply from 45.56.66.169: bytes=32 time=129ms TTL=50
Reply from 45.56.66.169: bytes=32 time=129ms TTL=50
Reply from 45.56.66.169: bytes=32 time=130ms TTL=50
Reply from 45.56.66.169: bytes=32 time=130ms TTL=50

Ping statistics for 45.56.66.169:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 129ms, Maximum = 130ms, Average = 129ms

[ Voor 51% gewijzigd door deHakkelaar op 22-04-2021 23:02 ]

[wiljums]

deHakkelaar schreef op donderdag 22 april 2021 @ 22:52:
En je hebt ook avahi-daemon geschopt zie ik?
Maar is er wat verandert nu? Werkt het wel/niet?
Kan ff niks anders bedenken wat mis kan gaan.
EDIT: Maar "suspect" blijft nog wel steeds die Windhoos client.

dat had ik nog niet gedaan, maar nu wel. daarna dns flush, cache wissen, maar nog geen effect

code:

sudo netstat -nltup | grep 'Proto\|:53 \|:5335 \|:5353 '

Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 0.0.0.0:5335            0.0.0.0:*               LISTEN      680/unbound
tcp        0      0 0.0.0.0:53              0.0.0.0:*               LISTEN      791/pihole-FTL
tcp6       0      0 :::53                   :::*                    LISTEN      791/pihole-FTL
udp        0      0 0.0.0.0:5335            0.0.0.0:*                           680/unbound
udp        0      0 0.0.0.0:53              0.0.0.0:*                           791/pihole-FTL
udp6       0      0 :::53                   :::*                                791/pihole-FTL

[wiljums]

deHakkelaar schreef op donderdag 22 april 2021 @ 23:00:
Mogelijk dat nslookup in een cmd prompt op die Win client wat afwijkends aangeeft?

C:\>nslookup pvoutput.org
Server:  ph5a
Address:  10.0.0.2

Non-authoritative answer:
Name:    pvoutput.org
Address:  45.56.66.169

C:\>ping pvoutput.org

Pinging pvoutput.org [45.56.66.169] with 32 bytes of data:
Reply from 45.56.66.169: bytes=32 time=129ms TTL=50
Reply from 45.56.66.169: bytes=32 time=129ms TTL=50
Reply from 45.56.66.169: bytes=32 time=130ms TTL=50
Reply from 45.56.66.169: bytes=32 time=130ms TTL=50

Ping statistics for 45.56.66.169:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 129ms, Maximum = 130ms, Average = 129ms

C:\>nslookup pvoutput.org
Server:  raspberrypi
Address:  192.168.1.124

Non-authoritative answer:
Name:    pvoutput.org
Address:  45.56.66.169

C:\>ping pvoutput.org

Pinging pvoutput.org [45.56.66.169] with 32 bytes of data:
Reply from 45.56.66.169: bytes=32 time=224ms TTL=56
Reply from 45.56.66.169: bytes=32 time=119ms TTL=56
Reply from 45.56.66.169: bytes=32 time=219ms TTL=56
Reply from 45.56.66.169: bytes=32 time=117ms TTL=56

Ping statistics for 45.56.66.169:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 117ms, Maximum = 224ms, Average = 169ms

[deHakkelaar]

Laatste wat ik kan bedenken client side als je al Chrome, Edge en FF hebt getest, een virus scanner of iets dergelijks?
Server side ziet/zag alles er namelijk goed uit wbt DNS.

[ Voor 3% gewijzigd door deHakkelaar op 22-04-2021 23:30 ]

[ninjazx9r98]

@wiljums
Hoe staat het met de datum/tijd van je laptop?

[deHakkelaar]

ninjazx9r98 schreef op donderdag 22 april 2021 @ 23:30:
@wiljums
Hoe staat het met de datum/tijd van je laptop?

En die
Certs zijn afhankelijk van juiste tijd/datum voor een SSL/TLS verbinding zoals HTTPS.
Tuurlijk

EDIT: Als de laptop Linux draaide, dan had ik je gevraagt om de curl op deze te draaien want die geeft dan meteen aan ofdat er wat mis ging met het cert zoals date/time:

code:

curl -ILSs pvoutput.org --resolve pvoutput.org:80:45.56.66.169

EDIT2: Verklaart niet waarom andere HTTPS sites wel laden helaas.

[ Voor 35% gewijzigd door deHakkelaar op 22-04-2021 23:43 ]

[nero355]

ninjazx9r98 schreef op donderdag 22 april 2021 @ 23:30:
@wiljums
Hoe staat het met de datum/tijd van je laptop?

Zelfs Windows XP doet aan NTP tijdens het opstarten dus dat zou wel heel erg raar zijn, tenzij :

deHakkelaar schreef op donderdag 22 april 2021 @ 23:25:
Laatste wat ik kan bedenken client side als je al Chrome, Edge en FF hebt getest, een virus scanner of iets dergelijks?

Inderdaad een of ander AV pakket roet in het eten gooit of de geconfigureerde NTP server niet klopt of die Service zit te buggen

[deHakkelaar]

nero355 schreef op vrijdag 23 april 2021 @ 00:51:
[...]
Zelfs Windows XP doet aan NTP tijdens het opstarten dus dat zou wel heel erg raar zijn, tenzij :
[...]

Ja maar het is toch iets om rekening mee te houden.
De drie hoofd oorzaken waardoor iets mis kan gaan met een SSL/TLS verbinding zijn:
1) Het domein welke aangeroepen wordt staat niet in het cert vermeldt (subject of SAN);
2) Het cert is verlopen (ze hebben een "expire date");
3) Of datum/tijd aan server of client kant is niet juist.

Ik geloof dat voor browsers het niet uitmaakt dat de tijd een klein beetje verschilt.
Maar als dit verschil tussen server en client te groot wordt weigert je browser en ontvang je meestal een warning/error.

https://serverfault.com/q...secure-protocols-tolerate

[wiljums]

ninjazx9r98 schreef op donderdag 22 april 2021 @ 23:30:
@wiljums
Hoe staat het met de datum/tijd van je laptop?

Datum/tijd is ok, staat op 'tijd automatisch instellen'. Nu ook 'tijdzone automatisch instellen' aangezet en opnieuw gesynchroniseerd. Maar probleem blijft bestaan.

[wiljums]

nero355 schreef op vrijdag 23 april 2021 @ 00:51:
[...]

Zelfs Windows XP doet aan NTP tijdens het opstarten dus dat zou wel heel erg raar zijn, tenzij :

[...]

Inderdaad een of ander AV pakket roet in het eten gooit of de geconfigureerde NTP server niet klopt of die Service zit te buggen

Dat is m! Als ik BitDefender Antivirus Free uitschakel, dan laadt pvoutput.org wel....
Heb in Bitdefender nu een exclusion toegevoegd voor pvoutput.org en nu blijft de url wel bereikbaar.
Dank voor jullie hulp! En excuses voor de vervuiling van het pi-hole topic.

[nero355]

wiljums schreef op vrijdag 23 april 2021 @ 09:09:
Dat is m! Als ik BitDefender Antivirus Free uitschakel, dan laadt pvoutput.org wel....
Heb in Bitdefender nu een exclusion toegevoegd voor pvoutput.org en nu blijft de url wel bereikbaar.

Mooi!

Dank voor jullie hulp! En excuses voor de vervuiling van het pi-hole topic.

Tja, je bent niet de eerste die het overkomt en waarschijnlijk ook niet de laatste!

Als ik even heeeeel eerlijk mag zijn :

Op voorwaarde dat je niet constant allerlei illegale software/games zit te downloaden op allerlei rare websites zou ik je aanraden om die software te dumpen zodra je daar tijd voor hebt en gewoon de ingebouwde Windows Security Essentials/Windows Defender/of hoe dat ding tegenwoordig ook heet te gebruiken!
Gewoon hele simpele software die 99,99% van de tijd niet de gebruiker in de weg zit (i.t.t. de rest van Windows ) en doet wat het moet doen die eene keer dat het wat tegenkomt

Of nog beter : Ga eens met een leuke Linux distro aan de gang voor al je browsing bezigheden, want aan de software verandert er weinig, terwijl het OS minder zeurt en op de achtergrond actief is!
IMHO word je daar als gebruiker veel gelukkiger van!

[Riqy]

Misschien niet 100% pihole gerelateerd, maar ik heb sinds vorige week het probleem dat bepaalde domeinen niet meer gevonden worden als ik de unbound DNS resolver gebruik. Is er iemand die daar een oplossing voor heeft? Kwam er van de week achter omdat de domeinen voor de internetbankieren van ING niet meer bereikbaar waren vanuit mijn netwerk.

Ik gebruik pihole (nieuwste versie) op een VM samen met unbound DNS(sec) resolver.

Via elke andere DNS server werken de domeinen wel gewoon...

[Webgnome]

Riqy schreef op zaterdag 24 april 2021 @ 16:40:
Misschien niet 100% pihole gerelateerd, maar ik heb sinds vorige week het probleem dat bepaalde domeinen niet meer gevonden worden als ik de unbound DNS resolver gebruik. Is er iemand die daar een oplossing voor heeft? Kwam er van de week achter omdat de domeinen voor de internetbankieren van ING niet meer bereikbaar waren vanuit mijn netwerk.

Ik gebruik pihole (nieuwste versie) op een VM samen met unbound DNS(sec) resolver.

Via elke andere DNS server werken de domeinen wel gewoon...

Staan ze dan niet toevallig gewoon op je blocklists?

[Riqy]

Nee dat had ik in de query list op pihole al bekeken. Via cmd vanaf de pihole linux krijg ik ook geen reactie als ik dns resolve op het domein via de unbound dns, via iedere andere DNS service wel gewoon...

[Lizard]

Riqy schreef op zaterdag 24 april 2021 @ 18:07:
Nee dat had ik in de query list op pihole al bekeken. Via cmd vanaf de pihole linux krijg ik ook geen reactie als ik dns resolve op het domein via de unbound dns, via iedere andere DNS service wel gewoon...

Heb je een voorbeeld domein? Ik draai hier ook unboumd icm unbound, ben wel benieuwd.

[Riqy]

gewoon het domein ing.nl resolved hij bij mij niet en tevens services.ing.nl

[deHakkelaar]

wiljums schreef op vrijdag 23 april 2021 @ 09:09:
[...]
En excuses voor de vervuiling van het pi-hole topic.

Ach dan zien anderen ook eens hoe je dit soort problemen kan diagnotiseren.
Mooi dat het weer werkt!

[deHakkelaar]

Riqy schreef op zaterdag 24 april 2021 @ 18:15:
gewoon het domein ing.nl resolved hij bij mij niet en tevens services.ing.nl

Volg ééns onderstaande conversatie en vervang pvoutput.org met ing.nl en services.ing.nl:
wiljums in "[Pi-Hole] Ervaringen & discussie"

[ Voor 3% gewijzigd door deHakkelaar op 24-04-2021 18:31 ]

[Webgnome]

Riqy schreef op zaterdag 24 april 2021 @ 18:15:
gewoon het domein ing.nl resolved hij bij mij niet en tevens services.ing.nl

Resolved hier prima nslookup services.ing.nl

Server: pihole.jeroensomhorst.local
Address: 192.168.0.49

Non-authoritative answer:
Name: services.ing.nl
Addresses: 145.221.215.241
145.221.183.241

[ Voor 3% gewijzigd door Webgnome op 24-04-2021 18:58 ]

[deHakkelaar]

Webgnome schreef op zaterdag 24 april 2021 @ 18:57:
[...]


Resolved hier prima nslookup services.ing.nl

Server: pihole.jeroensomhorst.local
Address: 192.168.0.49

Non-authoritative answer:
Name: services.ing.nl
Addresses: 145.221.215.241
145.221.183.241

Hmmm bij jou wordt de FQDN weergegeven van je Pi-hole host:

C:\>nslookup services.ing.nl
Server:  ph5a
Address:  10.0.0.2

Non-authoritative answer:
Name:    services.ing.nl
Addresses:  145.221.183.241
          145.221.215.241

Heb je in onderstaand het net iets anders geconfigureerd?

pi@ph5a:~ $ tail /etc/dhcpcd.conf
[..]
interface eth0
  static ip_address=10.0.0.2/24
  static routers=10.0.0.1
  static domain_name=dehakkelaar.nl
  static domain_name_servers=10.0.0.1

pi@ph5a:~ $ cat /etc/hosts
127.0.0.1       localhost
::1             localhost ip6-localhost ip6-loopback
ff02::1         ip6-allnodes
ff02::2         ip6-allrouters

10.0.0.2        ph5a.dehakkelaar.nl  ph5a

pi@ph5a:~ $ cat /etc/hostname
ph5a

pi@ph5a:~ $ hostname
ph5a

pi@ph5a:~ $ hostname -f
ph5a.dehakkelaar.nl

pi@ph5a:~ $ dnsdomainname
dehakkelaar.nl

EDIT: Ik heb inmiddels de /etc/hosts file aangepast naar aanleiding van onderstaande:
https://discourse.pi-hole...1-1-from-a-client/46595/6

[ Voor 11% gewijzigd door deHakkelaar op 29-04-2021 02:12 ]

[Webgnome]

deHakkelaar schreef op zaterdag 24 april 2021 @ 19:18:
[...]

Hmmm bij jou wordt de FQDN weergegeven van je Pi-hole host:

C:\>nslookup services.ing.nl
Server:  ph5a
Address:  10.0.0.2

Non-authoritative answer:
Name:    services.ing.nl
Addresses:  145.221.183.241
          145.221.215.241

Heb je in onderstaand het net iets anders geconfigureerd?

pi@ph5a:~ $ tail /etc/dhcpcd.conf
[..]
interface eth0
  static ip_address=10.0.0.2/24
  static routers=10.0.0.1
  static domain_name=dehakkelaar.nl
  static domain_name_servers=10.0.0.1

pi@ph5a:~ $ cat /etc/hosts
127.0.0.1       localhost
::1             localhost ip6-localhost ip6-loopback
ff02::1         ip6-allnodes
ff02::2         ip6-allrouters

127.0.1.1       ph5a.dehakkelaar.nl  ph5a

pi@ph5a:~ $ cat /etc/hostname
ph5a

pi@ph5a:~ $ hostname
ph5a

pi@ph5a:~ $ hostname -f
ph5a.dehakkelaar.nl

Nee hoor, gewoon als dhcp server ingesteld:

[deHakkelaar]

Webgnome schreef op zaterdag 24 april 2021 @ 19:48:
[...]
Nee hoor, gewoon als dhcp server ingesteld:

Idem:

pi@ph5a:~ $ cat /etc/dnsmasq.d/02-pihole-dhcp.conf
[..]
domain=dehakkelaar.nl

Bijft dan toch vreemd.
En wat als je onderstaande (reverse lookup) doet op je Win client maar dan met jouw Pi-hole IP?

C:\>nslookup 10.0.0.2
Server:  ph5a
Address:  10.0.0.2

Name:    ph5a
Address:  10.0.0.2

EDIT: En wat geeft hostname en hostname -f dan weer op je Pi-hole host?

[ Voor 9% gewijzigd door deHakkelaar op 24-04-2021 20:04 ]

[Webgnome]

nslookup 192.168.0.49
Server:  pihole.jeroensomhorst.local
Address:  192.168.0.49

Name:    pihole.jeroensomhorst.local
Address:  192.168.0.49

[deHakkelaar]

En dit:

deHakkelaar schreef op zaterdag 24 april 2021 @ 19:55:
EDIT: En wat geeft hostname en hostname -f dan weer op je Pi-hole host?

[Webgnome]

zoek je dit misschien:

cat /etc/dnsmasq.d/04-pihole-static-dhcp.conf
dhcp-host=6C:AD:F8:1D:12:43,192.168.0.24,homey.jeroensomhorst.local
dhcp-host=40:BD:32:99:46:4F,192.168.0.25,stoffie.jeroensomhorst.local
dhcp-host=B8:27:EB:3C:16:BF,192.168.0.46,pihole.jeroensomhorst.local
dhcp-host=B8:27:EB:24:4E:7A,192.168.0.49,pihole2.jeroensomhorst.local
dhcp-host=D8:47:32:8E:D9:AF,192.168.0.21,switch.jeroensomhorst.local
dhcp-host=00:09:B0:D9:BB:69,192.168.0.22,onkyo.jeroensomhorst.local

cat 02-pihole-dhcp.conf
###############################################################################
#  DHCP SERVER CONFIG FILE AUTOMATICALLY POPULATED BY PI-HOLE WEB INTERFACE.  #
#            ANY CHANGES MADE TO THIS FILE WILL BE LOST ON CHANGE             #
###############################################################################
dhcp-authoritative
dhcp-range=192.168.0.50,192.168.0.255,24h
dhcp-option=option:router,192.168.0.1
dhcp-leasefile=/etc/pihole/dhcp.leases
#quiet-dhcp

domain=jeroensomhorst.local
local=/jeroensomhorst.local/
dhcp-rapid-commit

[ Voor 37% gewijzigd door Webgnome op 24-04-2021 20:21 ]

[deHakkelaar]

Je hoeft geen records op te voeren voor de eigen host.
Die naam pikt Pi-hole zelf op en maakt automatisch records aan ...
als alles goed ge-configureerd is op de Pi-hole host zoals ik liet zien.

[Webgnome]

ach ja zo werkt het ook

[deHakkelaar]

Sorry, was ook een beetje in de war omdat ik een ander antwoord verwachte.
Maar het heeft natuurlijk weining zin om een DHCP reservering te maken voor de eigen host.
De eigen host hoort een static IP te hebben onafhankelijk van DHCP (dus niet zelf als DHCP client funtioneren).
En zelfs als de eigen host als DHCP client staat ingesteld, hoe kan de eigen DHCP service nou werken alstie zelf nog geen IP heeft?
Ik zou die reservering voor de eigen host weg knikkeren want die heeft toch geen nut.

EDIT: DHCP-client en DHCP-server zijn twee totaal verschillende processen die niet met elkaar in vebinding staan ofzo (buiten het netwerk om).
De DHCP client doet een verzoekje op het broadcast adres zodat alle eindpunten in het broadcast domein deze ontvangen inclusief DHCP servers.
Daarna gaat de conversatie over op unicast (waarvoor je dus een IP nodig hebt) want de rest van het netwerk hoeft het niet te weten:
Wikipedia: Broadcasting (networking)

[ Voor 34% gewijzigd door deHakkelaar op 24-04-2021 21:12 ]

[Webgnome]

Ik snap het probleem niet helemaal? Het werkt de piholes hebben , natuurlijk, een vast ip en dat die pihole via pihole.domein.local bereikbaar is ja ach.. is leuk maar echt heel erg boeiend?

[deHakkelaar]

Webgnome schreef op zaterdag 24 april 2021 @ 21:26:
Ik snap het probleem niet helemaal? Het werkt de piholes hebben , natuurlijk, een vast ip en dat die pihole via pihole.domein.local bereikbaar is ja ach.. is leuk maar echt heel erg boeiend?

Nou door dit geneuzel heb ik denk ik wel een bug gevonden.
Ik merkte dat het voor mij niet werkte zoals geconfigureerd zou moeten zijn vanaf een client:

C:\>nslookup ph5a
Server:  ph5a
Address:  10.0.0.2

Name:    ph5a.dehakkelaar.nl
Address:  127.0.1.1

Dat 127.0.1.1 IP is het localhost adres en werk dus niet op de client.
Deze is afkomstig uit de hosts file:

pi@ph5a:~ $ cat /etc/hosts
[..]
127.0.1.1       ph5a.dehakkelaar.nl  ph5a

En niet uit onderstaande bestand wat Pi-hole zelf creért:

pi@ph5a:~ $ cat /etc/pihole/local.list
10.0.0.2 ph5a
10.0.0.2 pi.hole

Blijkt dat welke naam ik ook in dat local.list bestand plaats welke niet een FQDN is, gewoon genegeerd wordt.
Zodra ik daar de volle naam in zet en pihole-FTL herstart:

pi@ph5a:~ $ cat /etc/pihole/local.list
10.0.0.2 ph5a.dehakkelaar.nl
10.0.0.2 pi.hole

Werkt het wel zoals het hoort vanaf een client:

C:\>nslookup ph5a
Server:  ph5a.dehakkelaar.nl
Address:  10.0.0.2

Name:    ph5a.dehakkelaar.nl
Address:  10.0.0.2

Als ik even tijd heb maak ik wel een Github issue aan of als het iets simpels is, creér ik zelf wel een pull.

[Riqy]

Uiteindelijk op kunnen lossen door in de pihole.conf een forward zone in te stellen, in geval dat unbound het adres dan niet kan vinden, wordt de DNS via een zelf te kiezen service dan alsnog gevonden.

[deHakkelaar]

Riqy schreef op zondag 25 april 2021 @ 11:40:
Uiteindelijk op kunnen lossen door in de pihole.conf een forward zone in te stellen, in geval dat unbound het adres dan niet kan vinden, wordt de DNS via een zelf te kiezen service dan alsnog gevonden.

Ik snap niet helemaal wat je oplossing nu is ... laat staan hoe jouw probleem zich manifisteert (fout codes/logs etc).
Er is helemaal geen pihole.conf bestand als dat is wat je bedoelt?

code:

pi@ph5a:~ $ sudo find / -name '*pihole.conf*'
/etc/.pihole/advanced/01-pihole.conf
/etc/dnsmasq.d/01-pihole.conf

En als je toch bovenstaand bestand bedoeld, het is niet de bedoeling dat je deze wijzigt want die wijzigingen worden gewoon overschreven zodra je via de web GUI wat verandert of een Pi-hole update of repair uitvoert:

code:

pi@ph5a:~ $ cat /etc/dnsmasq.d/01-pihole.conf
[..]
###############################################################################
#      FILE AUTOMATICALLY POPULATED BY PI-HOLE INSTALL/UPDATE PROCEDURE.      #
# ANY CHANGES MADE TO THIS FILE AFTER INSTALL WILL BE LOST ON THE NEXT UPDATE #
#                                                                             #
#        IF YOU WISH TO CHANGE THE UPSTREAM SERVERS, CHANGE THEM IN:          #
#                      /etc/pihole/setupVars.conf                             #
#                                                                             #
#        ANY OTHER CHANGES SHOULD BE MADE IN A SEPARATE CONFIG FILE           #
#                    WITHIN /etc/dnsmasq.d/yourname.conf                      #
###############################################################################
[..]

Ook snap ik niet wat je met "forward zone" bedoelt of je begrijpt dit concept zelf verkeerd:
https://duckduckgo.com/?t...q=dns+forward+zone&ia=web

En in welk geval zal unbound, die resursief de "authoritative" DNS servers langs gaat, een publiekelijk domein niet kunnen vinden terwijl een andere service, bv Cloudflare of Google, deze wel zou kunnen vinden?
Cloudflare en Google vragen aan exact dezelfde authoritative DNS servers als dat unbound dat doet:
deHakkelaar in "[Pi-Hole] Ervaringen & discussie"

[ Voor 0% gewijzigd door deHakkelaar op 26-04-2021 00:18 . Reden: "publiekelijk" toegevoegt en authoritative typo ]

[Riqy]

Ik bedoel de pihole.conf in deze handleiding https://docs.pi-hole.net/guides/dns/unbound/, die wel degelijk bestaat als je pihole en unbound op dezelfde VM draait.
En blijkbaar heb ik de dns forward zone wel begrepen, want mijn pihole resolved het domein nu gewoon weer via unbound. (even voor de uitleg: indien unbound het domein niet kan vinden vanuit zijn eigen gegevens, doet hij de aanvraag doorsturen naar 1.1.1.1 en 8.8.8.8, die in dit geval het domein wel kunnen vinden)

Tevens vind ik dat je bovenstaande wel op een iets andere toon mag zeggen, vind dat je een beetje betweterig overkomt nu...

[ Voor 48% gewijzigd door rens-br op 26-04-2021 21:16 ]

[deHakkelaar]

Het is lastig al die termen uit elkaar te houden en te begrijpen.
Zoek het zelf maar uit!

EDIT: pi-hole.conf != pihole.conf

[ Voor 17% gewijzigd door deHakkelaar op 26-04-2021 00:23 ]

[deHakkelaar]

Mijn verontschuldigingen voor dat laatste, maar gewoon niks in jouw postings komt duidelijk over.
En als ik betweterig over kom, sorry daarvoor maar ik heb een aanzienlijke meer dan 20 jaar ervaring met DNS.
Sinds dat aller eerste thuis Windows NT4 doosje waarop ik m'n eigen mail daemon draaide met publiekelijk MX record.
Voer voor de grap maar eens volgende uit om unbound remote control aan te zetten:

code:

sudo tee /etc/unbound/unbound.conf.d/remote-control.conf <<< $'remote-control:\n    control-enable: yes'

code:

sudo service unbound reload

En voer onderstaande uit om te zien welke DNS servers unbound gaat vragen om dat service.ing.nl domein te resolven:

pi@ph5a:~ $ sudo unbound-control lookup service.ing.nl
The following name servers are used for lookup of service.ing.nl.
;rrset 84662 3 0 2 0
nl.     84662   IN      NS      ns1.dns.nl.
nl.     84662   IN      NS      ns2.dns.nl.
nl.     84662   IN      NS      ns3.dns.nl.
[..]

EDIT: Ow ps. worden andere domeinen nog wel recursief opgelost?

pi@ph5a:~ $ sudo unbound-control lookup gathering.tweakers.net
The following name servers are used for lookup of gathering.tweakers.net.
;rrset 79474 3 0 2 0
tweakers.net.   79474   IN      NS      tweakdns.be.
tweakers.net.   79474   IN      NS      tweakdns.nl.
tweakers.net.   79474   IN      NS      tweakdns.eu.
[..]

[ Voor 40% gewijzigd door deHakkelaar op 26-04-2021 03:19 . Reden: typo in het domein ]

[deHakkelaar]

Aha ik snap nu wat je bedoelt met "zone forward".
Ik verwarde dit met DNS zone transfers (primary/secondary etc).
Jij hebt het over de forward-zone: "directive" in unbound:

pi@ph5a:~ $ man unbound.conf
[..]
   Forward Zone Options
       There may be multiple forward-zone: clauses. Each with a name: and zero
       or more hostnames or IP addresses.  For the forward zone this  list  of
       nameservers  is  used  to forward the queries to. The servers listed as
       forward-host: and forward-addr: have to handle  further  recursion  for
       the  query.   Thus,  those  servers  are not authority servers, but are
       (just like unbound is) recursive servers too; unbound does not  perform
       recursion itself for the forward zone, it lets the remote server do it.
       Class IN is assumed.  CNAMEs are chased by unbound itself,  asking  the
       remote  server  for every name in the indirection chain, to protect the
       local cache from illegal indirect referenced items.  A forward-zone en‐
       try with name "." and a forward-addr target will forward all queries to
       that other server (unless it can answer from the cache).

       name: <domain name>
              Name of the forward zone.

       forward-host: <domain name>
              Name of server to forward to. Is itself resolved  before  it  is
              used.

       forward-addr: <IP address>
              IP address of server to forward to. Can be IP 4 or IP 6.  To use
              a nondefault port for DNS communication append '@' with the port
              number.   If  tls  is  enabled,  then you can append a '#' and a
              name, then it'll check the tls authentication certificates  with
              that name.  If you combine the '@' and '#', the '@' comes first.

pi@ph5a:~ $ sudo nano /etc/unbound/unbound.conf.d/forward-zone.conf
forward-zone:
        name: "services.ing.nl."
        forward-addr: 1.1.1.1
        forward-addr: 8.8.8.8

pi@ph5a:~ $ sudo service unbound reload
pi@ph5a:~ $

pi@ph5a:~ $ sudo unbound-control lookup services.ing.nl
The following name servers are used for lookup of services.ing.nl.
forwarding request:
Delegation with 0 names, of which 0 can be examined to query further addresses.
It provides 2 IP addresses.
1.1.1.1                 not in infra cache.
8.8.8.8                 not in infra cache.

pi@ph5a:~ $ sudo unbound-control lookup gathering.tweakers.net
The following name servers are used for lookup of gathering.tweakers.net.
;rrset 86379 3 0 2 0
tweakers.net.   86379   IN      NS      tweakdns.be.
tweakers.net.   86379   IN      NS      tweakdns.nl.
tweakers.net.   86379   IN      NS      tweakdns.eu.
[..]

Mijn foutje ... oops
Maar dat had je wel even kunnen vermelden in wat meer details
Het raadsel blijft helaas waarom je dit moet doen omdat het recursief niet lukt???

[Riqy]

Excuus als mijn berichten niet helemaal duidelijk waren, ik zal de commando's die je doorstuurt vanavond thuis nog eens uitproberen.

Ik heb inderdaad onderstaande in de pi-hole.conf van unbound gezet:

/etc/unbound/unbound.conf.d/pi-hole.conf

forward-zone:
        name: "*.*"
        forward-addr: 1.1.1.1
        forward-addr: 8.8.8.8

Dit zodat de DNS wel opgevraagd wordt als deze vanuit unbound niet bekend is of niet geresolved wordt. Vreemd genoeg levert google of cloudflare wel DNS gegevens aan als ik deze opvraag op ing.nl of services.ing.nl

Ik laat vanavond wel even weten wat eruit komt als ik die commando's uitvoer. Ik had nog geprobeerd om unbound te verwijderen (via apt remove) en opnieuw te installeren (via apt install), maar dit gaf geen verschil.

[Webgnome]

Weet iemand of pihole ondersteuning heeft voor symlinks? Ik probeer nu al een tijdje om pihole op een andere plek neer te zetten. Of nou ja om precies te zijn probeer ik om de db files te verplaatsen naar mijn usb ssd. Heb daarvoor een symlink gemaakt van /etc/pihole/gravity.db /mnt/usb/pihole/gravity.db. De symlink heb ik aangemaakt met ln -s /etc/pihole/gravity.db / mnt/usb/pihole/gravity.db (of andersom dat weet ik even niet). Die lijkt er te zijn maar als ik vervolgens een blocklist probeer toe te voegen krijg ik fout dat de database niet geschreven kon worden.

DAt zelfde heb ik met de FTL database gedaan en dat lijkt geen enkel probleem te zijn?

offtopic:
De reden dat ik dit wil doen is omdat de sd card vanmorgen is overleden en wil dus eigenlijk pihole inclusief logs op de ssd zetten.

[jpgview]

Webgnome schreef op maandag 26 april 2021 @ 21:39:
om precies te zijn probeer ik om de db files te verplaatsen naar mijn usb ssd.

Lees de documentatie, bevat enorm veel info, pihole-FTL.db, gravity.db, géén symlinks nodig.

[Downstar2]

Meer mensen die last hebben van reclames in de kijk app (terug kijken van SBS content etc.) Sinds enkele dagen?

Tot nu toe nooit geen problemen gehad met advertenties, die skipte hij altijd.
In querylogs kom ik niks tegen anders dan

freewheel-nl.prd.talpatvcdn.nl
vod-nl.prd.talpatvcdn.nl

Dat lijken de benodigdheden voor de content zelf. Is Talpa ook zijn eigen reclames op de zelfde servers als content aan het hosten om de blokkering tegen te gaan ofzo?

[nero355]

@Downstar2

- Al eens één van de twee geblokkeerd
- Al een keer het netwerkverkeer zitten sniffen ?
Misschien iets van eigen DNS Servers of DoH en zo ?!

Zomaar wat ideeën

[Riqy]

Ik krijg de volgende respons op de commando's (zie eerste regel van de cmd vakken):

root@pihole:~# dig services.ing.nl @127.0.0.1 -p5335

; <<>> DiG 9.11.5-P4-5.1+deb10u3-Debian <<>> services.ing.nl @127.0.0.1 -p5335
;; global options: +cmd
;; connection timed out; no servers could be reached

root@pihole:~# unbound-control lookup service.ing.nl
The following name servers are used for lookup of service.ing.nl.
;rrset 3477 8 0 2 0
ing.nl. 3477    IN      NS      eur6.akam.net.
ing.nl. 3477    IN      NS      usw1.akam.net.
ing.nl. 3477    IN      NS      eur2.akam.net.
ing.nl. 3477    IN      NS      use9.akam.net.
ing.nl. 3477    IN      NS      usw2.akam.net.
ing.nl. 3477    IN      NS      usc4.akam.net.
ing.nl. 3477    IN      NS      ns1-229.akam.net.
ing.nl. 3477    IN      NS      ns1-34.akam.net.
;rrset 3477 1 1 11 5
ing.nl. 3477    IN      DS      29116 8 2 72BA4B8B341361D36AFA33605FD66E3BA848E08A3E8E0E65A9960020009DB615
ing.nl. 3477    IN      RRSIG   DS 8 2 3600 20210505032204 20210421062556 59668 nl. fpWc2z1koeb+qIvsXpDL01beJwNkkXeJUmz/pJaAijaLYM2SClyXkvq66s2+9r/fezI5wNGM7utyu6HwDJ8ZG8W8Q/tIi3gt4HHAQpUxo9zUGXGzXbPXlyinWNgWscBmDo6SPv0HnOVRt+zw+k4nBxMqbrshx5w9rpIEkfJpl/8= ;{id = 59668}
;rrset 86277 1 0 8 0
ns1-34.akam.net.        86277   IN      A       193.108.91.34
;rrset 86277 1 0 8 0
ns1-229.akam.net.       86277   IN      A       193.108.91.229
;rrset 86277 1 0 8 0
usc4.akam.net.  86277   IN      A       184.26.160.65
;rrset 86277 1 0 8 0
usw2.akam.net.  86277   IN      A       184.26.161.64
;rrset 86266 1 0 8 0
use9.akam.net.  86266   IN      A       72.246.46.65
;rrset 86265 1 0 8 0
eur2.akam.net.  86265   IN      A       95.100.173.64
;rrset 86266 1 0 8 0
usw1.akam.net.  86266   IN      A       23.61.199.66
;rrset 86277 1 0 8 0
eur6.akam.net.  86277   IN      A       2.22.230.64
Delegation with 8 names, of which 8 can be examined to query further addresses.
It provides 8 IP addresses.
2.22.230.64             rto 6016 msec, ttl 789, ping 0 var 94 rtt 376, tA 0, tAAAA 0, tother 3, EDNS 0 assumed.
23.61.199.66            rto 6016 msec, ttl 780, ping 0 var 94 rtt 376, tA 0, tAAAA 0, tother 3, EDNS 0 assumed.
95.100.173.64           rto 6016 msec, ttl 778, ping 0 var 94 rtt 376, tA 0, tAAAA 0, tother 3, EDNS 0 assumed.
72.246.46.65            rto 7616 msec, ttl 777, ping 2 var 59 rtt 238, tA 0, tAAAA 0, tother 3, EDNS 0 probed.
184.26.161.64           rto 12032 msec, ttl 778, ping 0 var 94 rtt 376, tA 0, tAAAA 0, tother 3, EDNS 0 assumed.
184.26.160.65           rto 6016 msec, ttl 791, ping 0 var 94 rtt 376, tA 0, tAAAA 0, tother 3, EDNS 0 assumed.
193.108.91.229          rto 12032 msec, ttl 777, ping 0 var 94 rtt 376, tA 0, tAAAA 0, tother 3, EDNS 0 assumed.
193.108.91.34           rto 6016 msec, ttl 779, ping 0 var 94 rtt 376, tA 0, tAAAA 0, tother 3, EDNS 0 assumed.

Hij lijkt vanuit unbound wel de gegevens te zien, maar bij een DNS opvraging, krijgt ie niks terug...
Ik heb hiervoor de forward zone tijdelijk even uitgecomment, anders krijg ik bij alles onderstaande terug:

root@pihole:~# unbound-control lookup service.ing.nl
The following name servers are used for lookup of service.ing.nl.
forwarding request:
Delegation with 0 names, of which 0 can be examined to query further addresses.
It provides 2 IP addresses.
1.1.1.1                 not in infra cache.
8.8.8.8                 not in infra cache.

Bij andere sites krijg ik wel gewoon netjes de informatie als ik deze opvraag met dig op 127.0.0.1 op poort 5335