[Pi-Hole] Ervaringen & discussie

[deHakkelaar]

Miki schreef op maandag 23 mei 2022 @ 17:13:
mask.icloud.com
mask-h2.icloud.com

BLOCK_ICLOUD_PR=true|false (PR #1171)¶

Should Pi-hole always replies with NXDOMAIN to A and AAAA queries of mask.icloud.com and mask-h2.icloud.com to disable Apple's iCloud Private Relay to prevent Apple devices from bypassing Pi-hole? This is following the recommendation on https://developer.apple.c...-for-icloud-private-relay

https://docs.pi-hole.net/...ile/#icloud_private_relay

pi@ph5b:~ $ dig +noall +comments +answer @localhost a mask.icloud.com
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 9286
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232

Tov van Google @8.8.8.8 vragen:

pi@ph5b:~ $ dig +noall +comments +answer @8.8.8.8 a mask.icloud.com
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 18624
;; flags: qr rd ra; QUERY: 1, ANSWER: 9, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; ANSWER SECTION:
mask.icloud.com.        2142    IN      CNAME   mask.apple-dns.net.
mask.apple-dns.net.     60      IN      A       17.248.176.71
mask.apple-dns.net.     60      IN      A       17.248.176.5
mask.apple-dns.net.     60      IN      A       17.248.176.72
mask.apple-dns.net.     60      IN      A       17.248.176.7
mask.apple-dns.net.     60      IN      A       17.248.176.73
mask.apple-dns.net.     60      IN      A       17.248.176.6
mask.apple-dns.net.     60      IN      A       17.248.176.70
mask.apple-dns.net.     60      IN      A       17.248.176.4

[ Voor 50% gewijzigd door deHakkelaar op 24-05-2022 23:16 . Reden: dig voorbeeld toegevoegd ]

[S023]

Miki schreef op maandag 23 mei 2022 @ 17:13:
mask.icloud.com
mask-h2.icloud.com

Misschien een korte toelichting hoe je dit instelt in de webinterface? Zou mij als leek in ieder geval helpen.

[Erulezz]

S023 schreef op dinsdag 24 mei 2022 @ 21:56:
[...]


Misschien een korte toelichting hoe je dit instelt in de webinterface? Zou mij als leek in ieder geval helpen.

Menu -> Blacklist -> Domain



Zat de afgelopen week al te zoeken waarom sommige sites het niet deden… bleek dit dus te zijn

[deHakkelaar]

S023 schreef op dinsdag 24 mei 2022 @ 21:56:
[...]


Misschien een korte toelichting hoe je dit instelt in de webinterface? Zou mij als leek in ieder geval helpen.

De reactie/het antwoord op die twee kanarie domeinen valt niet in te stellen via de Pi-hole webGUI.
Dat kan alleen door een config bestandje aan te maken zoals in dat linkje welke ik plaatste wordt beschreven:

You can create a file /etc/pihole/pihole-FTL.conf that will be read by FTLDNS on startup.

https://docs.pi-hole.net/ftldns/configfile/

Default OOTB antwoord pihole-FTL met een NXDOMAIN status op die twee kanarie domeinen welke ervoor zou moeten zorgen dat Apple clients automatisch niet "Private Relay" gebruiken.
Als dit niet werkt en clients alsnog Pi-hole omzeilen, kan dat te maken hebben met dat je zelf deze instelling op je Apple client hebt gewijzigd.
Tenminste zo werkt het ook voor het DoH kanarie domein use-application-dns.net:

MOZILLA_CANARY=true|false (PR #1148)¶
Should Pi-hole always replies with NXDOMAIN to A and AAAA queries of use-application-dns.net to disable Firefox automatic DNS-over-HTTP? This is following the recommendation on https://support.mozilla.o...ks-disable-dns-over-https

https://docs.pi-hole.net/ftldns/configfile/#mozilla_canary

[ Voor 2% gewijzigd door deHakkelaar op 24-05-2022 23:51 . Reden: typos ]

[deHakkelaar]

Erulezz schreef op dinsdag 24 mei 2022 @ 22:00:
[...]


Menu -> Blacklist -> Domain

[Afbeelding]

Zat de afgelopen week al te zoeken waarom sommige sites het niet deden… bleek dit dus te zijn

Zo werkt het niet.
Met blacklisten krijg je niet het gewenste resultaat van een NXDOMAIN status antwoord.
Met blacklisten zal de status zijn NOERROR en wordt 0.0.0.0 als antwoord gegeven.

[Freee!!]

deHakkelaar schreef op dinsdag 24 mei 2022 @ 22:35:
[...]
Zo werkt het niet.
Met blacklisten krijg je niet het gewenste resultaat van een NXDOMAIN status antwoord.
Met blacklisten zal de status zijn NOERROR en wordt 0.0.0.0 als antwoord gegeven.

Hangt af van je instellingen, ik heb BLOCKINGMODE=NXDOMAIN.

[deHakkelaar]

@Freee!! , uiteraard valt er vanalles te wijzigen.
Maar ik heb het over de OOTB situatie

[deHakkelaar]

deHakkelaar schreef op dinsdag 24 mei 2022 @ 22:34:
Als dit niet werkt en clients alsnog Pi-hole omzeilen, kan dat te maken hebben met dat je zelf deze intelling op je Apple client hebt gewijzigt.

Ow een ander situatie die ik kan bedenken waarom de twee kanarie domeinen niet het gewenste resultaat geeft is dat je clients alsnog een andere DNS server naast Pi-hole gebruiken.
Voor MacOS heb je onderstaande commando om geconfigureerde DNS servers te controleren:

code:

scutil --dns

Geen idee hoe te achterhalen met iOS.

[Windows95]

Ik heb mijn oude raspberry pi vanavond maar eens onder het stof vandaan gehaald. DietPi geinstalleerd, vervolgens pi-hole. Hij draait nu op een static ip. De webinterface werkt ook prima.

Bij mijn Genexis router heb ik het ipadres van de raspberry pi ingevuld als DNS server ( bij internet -> internet status -> DNS Server Configuration -> Domain Name Server 1). Zodra ik dan op save druk, kan ik geen websites meer bezoeken.Ik zie dan in mijn unifi logs (heb alleen AP's) het volgende:
Client is having trouble resolving a domain name to an IP address (DNS timeout).

Ik heb ook geprobeerd om de raspberry pi rechtstreeks aan de modem te hangen (ipv via de AP). Hoe kan ik het beste beginnen met de oorzaak van het probleem te vinden, en hopelijk ook een oplossing?

[deHakkelaar]

@Windows95 , controleren ofdat ie draait:

pi@ph5b:~ $ pihole status
  [✓] FTL is listening on port 53
     [✓] UDP (IPv4)
     [✓] TCP (IPv4)
     [✓] UDP (IPv6)
     [✓] TCP (IPv6)

  [✓] Pi-hole blocking is enabled

Controleren ofdat ie lokaal antwoord:

pi@ph5b:~ $ nslookup pi.hole. localhost
Server:         localhost
Address:        ::1#53

Name:   pi.hole
Address: 127.0.0.1
Name:   pi.hole
Address: ::1

Hetzelfde draaien op een client (Windows/MacOS/Linux) om verbinding te testen.
Alleen dan bovenstaande localhost vervangen met je Pi-hole IP adres:

C:\>nslookup pi.hole. 10.0.0.4
Server:  pi.hole
Address:  10.0.0.4

Name:    pi.hole
Addresses:  fe80::22e5:XXXX:XXXX:XXXX
          10.0.0.4

Gelijktijdig de logs live volgen:

pi@ph5b:~ $ pihole -t
  [i] Press Ctrl-C to exit
00:01:17: query[PTR] 4.0.0.10.in-addr.arpa from 10.0.0.11
00:01:17: config 4.0.0.10.in-addr.arpa is <PTR>
00:01:17: query[A] pi.hole from 10.0.0.11
00:01:17: Pi-hole hostname pi.hole is 10.0.0.4
00:01:17: query[AAAA] pi.hole from 10.0.0.11
00:01:17: Pi-hole hostname pi.hole is fe80::22e5:XXXX:XXXX:XXXX

Zorg dat je de "rebind protection" instelling op de router uit hebt staan of wat voorkeur heeft, een uitzondering instellen voor de Pi-hole host.
Soms heeft het beestje een andere naam.

[ Voor 2% gewijzigd door deHakkelaar op 25-05-2022 00:39 . Reden: redact + linkje ]

[thaMini]

Zijn er meer mensen die na de update naar iOS 15.5 en MacOS 12.4 slecht ladende pagina's hebben?
Dit alleen in combinatie met Pi-hole.
Ik kwam op Reddit dit draadje tegen.

Schakel "beperk IP-adrestracking" uit en pagina's laden weer normaal.

Een nadeel, je moet dit per WiFinetwerk uitschakelen

Weet iemand nog een andere oplossing, want ik voorzie gedoe met de WAF als zij straks update.

[Koepert]

thaMini schreef op woensdag 25 mei 2022 @ 08:48:
Zijn er meer mensen die na de update naar iOS 15.5 en MacOS 12.4 slecht ladende pagina's hebben?
Dit alleen in combinatie met Pi-hole.
Ik kwam op Reddit dit draadje tegen.

Schakel "beperk IP-adrestracking" uit en pagina's laden weer normaal.

Een nadeel, je moet dit per WiFinetwerk uitschakelen

Weet iemand nog een andere oplossing, want ik voorzie gedoe met de WAF als zij straks update.

Scroll naar boven deHakkelaar gaat hier verder op in (config file)

[Koepert]

deHakkelaar schreef op dinsdag 24 mei 2022 @ 22:34:
[...]


De reactie/het antwoord op die twee kanarie domeinen valt niet in te stellen via de Pi-hole webGUI.
Dat kan alleen door een config bestandje aan te maken zoals in dat linkje welke ik plaatste wordt beschreven:

[...]

https://docs.pi-hole.net/ftldns/configfile/

Default OOTB antwoord pihole-FTL met een NXDOMAIN status op die twee kanarie domeinen welke ervoor zou moeten zorgen dat Apple clients automatisch niet "Private Relay" gebruiken.
Als dit niet werkt en clients alsnog Pi-hole omzeilen, kan dat te maken hebben met dat je zelf deze instelling op je Apple client hebt gewijzigd.
Tenminste zo werkt het ook voor het DoH kanarie domein use-application-dns.net:

[...]

https://docs.pi-hole.net/ftldns/configfile/#mozilla_canary

Even noob hier he.. maar is het dan afdoende om een configfile aan te maken met 1 regel er in?

code:

BLOCK_ICLOUD_PR=true

Of moet je bij gebruik van die file grootste deel van je default config daar ook in opnemen? (Lees: Is het aanvullend op je config of in plaats van?)

[jpgview]

Koepert schreef op woensdag 25 mei 2022 @ 09:06:
[...]
is het dan afdoende om een configfile aan te maken met 1 regel er in?

je moet helemaal niets toevoegen aan de config file. de default van deze setting is true, code hier.

[Windows95]

deHakkelaar schreef op woensdag 25 mei 2022 @ 00:09:
@Windows95 , controleren ofdat ie draait:

pi@ph5b:~ $ pihole status
  [✓] FTL is listening on port 53
     [✓] UDP (IPv4)
     [✓] TCP (IPv4)
     [✓] UDP (IPv6)
     [✓] TCP (IPv6)

  [✓] Pi-hole blocking is enabled

Controleren ofdat ie lokaal antwoord:

pi@ph5b:~ $ nslookup pi.hole. localhost
Server:         localhost
Address:        ::1#53

Name:   pi.hole
Address: 127.0.0.1
Name:   pi.hole
Address: ::1

Hetzelfde draaien op een client (Windows/MacOS/Linux) om verbinding te testen.
Alleen dan bovenstaande localhost vervangen met je Pi-hole IP adres:

C:\>nslookup pi.hole. 10.0.0.4
Server:  pi.hole
Address:  10.0.0.4

Name:    pi.hole
Addresses:  fe80::22e5:XXXX:XXXX:XXXX
          10.0.0.4

Gelijktijdig de logs live volgen:

pi@ph5b:~ $ pihole -t
  [i] Press Ctrl-C to exit
00:01:17: query[PTR] 4.0.0.10.in-addr.arpa from 10.0.0.11
00:01:17: config 4.0.0.10.in-addr.arpa is <PTR>
00:01:17: query[A] pi.hole from 10.0.0.11
00:01:17: Pi-hole hostname pi.hole is 10.0.0.4
00:01:17: query[AAAA] pi.hole from 10.0.0.11
00:01:17: Pi-hole hostname pi.hole is fe80::22e5:XXXX:XXXX:XXXX

Zorg dat je de "rebind protection" instelling op de router uit hebt staan of wat voorkeur heeft, een uitzondering instellen voor de Pi-hole host.
Soms heeft het beestje een andere naam.

root@DietPi:~# pihole status
  [✓] FTL is listening on port 53
     [✓] UDP (IPv4)
     [✓] TCP (IPv4)
     [✓] UDP (IPv6)
     [✓] TCP (IPv6)

  [✓] Pi-hole blocking is enabled

root@DietPi:~# nslookup pi.hole. localhost
Server:         localhost
Address:        127.0.0.1#53

Name:   pi.hole
Address: 127.0.0.1

PS C:\Users\Windows95> nslookup pi.hole. 192.168.1.5
Server:  pi.hole
Address:  192.168.1.5

Name:    pi.hole
Address:  192.168.1.5

root@DietPi:~# pihole -t
  [i] Press Ctrl-C to exit
12:22:48: query[PTR] 5.1.168.192.in-addr.arpa from 192.168.1.187
12:22:48: config 5.1.168.192.in-addr.arpa is <PTR>
12:22:48: query[A] pi.hole from 192.168.1.187
12:22:48: Pi-hole hostname pi.hole is 192.168.1.5
12:22:48: query[AAAA] pi.hole from 192.168.1.187
12:22:48: Pi-hole hostname pi.hole is NODATA

Dit alles heb ik uitgevoerd zonder dat ik mijn pihole in de router heb geconfigureerd. Ik heb alleen IPv4.
Ik heb nu een Genexis Platinum, maar krijg nu de titanium van mijn internet provider. Ik kon nergens iets vinden over de rebind protection. Misschien nog een eigen router aanschaffen?

[nero355]

Windows95 schreef op dinsdag 24 mei 2022 @ 23:50:
Ik heb mijn oude raspberry pi vanavond maar eens onder het stof vandaan gehaald. DietPi geinstalleerd, vervolgens pi-hole. Hij draait nu op een static ip. De webinterface werkt ook prima.

Bij mijn Genexis router heb ik het ipadres van de raspberry pi ingevuld als DNS server ( bij internet -> internet status -> DNS Server Configuration -> Domain Name Server 1). Zodra ik dan op save druk, kan ik geen websites meer bezoeken.Ik zie dan in mijn unifi logs (heb alleen AP's) het volgende:
Client is having trouble resolving a domain name to an IP address (DNS timeout).

Ik heb ook geprobeerd om de raspberry pi rechtstreeks aan de modem te hangen (ipv via de AP). Hoe kan ik het beste beginnen met de oorzaak van het probleem te vinden, en hopelijk ook een oplossing?

Windows95 schreef op woensdag 25 mei 2022 @ 13:33:
Dit alles heb ik uitgevoerd zonder dat ik mijn pihole in de router heb geconfigureerd. Ik heb alleen IPv4.
Ik heb nu een Genexis Platinum, maar krijg nu de titanium van mijn internet provider. Ik kon nergens iets vinden over de rebind protection. Misschien nog een eigen router aanschaffen?

Wat heb je NU

Dit ding : https://content.hwigroup....genexis-platinum-7840.jpg
Of dit ding : https://www.veendamkrijgt...012/12/Genexis-Hybrid.png

Als je de eerste hebt dan heb je waarschijnlijk de instellingen op de verkeerde plek ingevuld : WAN i.p.v. LAN
En dat de Router dat niet leuk vindt, want er zijn er genoeg die dat niet tof vinden!

Het tweede model is echter een model dat vaak als "Bridged Modem" wordt gebruikt en dien je een eigen Router achter te zetten!

[Windows95]

@nero355


Hier heb ik hem ingevuld. Ik heb de platinum 7840. Maar ik krijg de titanium nu. Dus ben van plan om een eigen router aan te schaffen, om hem dan in de bridge te zetten.

[deHakkelaar]

Koepert schreef op woensdag 25 mei 2022 @ 09:06:
Even noob hier he.. maar is het dan afdoende om een configfile aan te maken met 1 regel er in?

code:

BLOCK_ICLOUD_PR=true

Zoals jpgview al aangaf staat die BLOCK_ICLOUD_PR= instelling default OOTB al goed ingesteld op true zodat Apple clients zelf kunnen bepalen ofdat ze "Private Relay" moeten toepassen of niet.
Je kunt dit testen met het nslookup commando op een client:

C:\>nslookup -type=a mask.icloud.com
Server:  pi.hole
Address:  10.0.0.4

*** pi.hole can't find mask.icloud.com: Non-existent domain

"Non-existent domain" is hetzelfde als "NXDOMAIN".

Dus in theorie zou je niks hoeven in te stellen op Apple apparaten.
Als je toch ervaart dat je Apple clients "Private Relay" gebruiken vermoed ik dat je een lek hebt:
deHakkelaar in "[Pi-Hole] Ervaringen & discussie"
Of je hebt ooit zelf deze instelling op je Apple apparaat gewijzigd.

Koepert schreef op woensdag 25 mei 2022 @ 09:06:
Of moet je bij gebruik van die file grootste deel van je default config daar ook in opnemen? (Lees: Is het aanvullend op je config of in plaats van?)

Je kunt meerder directives toepassen in dat /etc/pihole/pihole-FTL.conf bestandje en het is "in plaats van" de defaults.

[nero355]

Windows95 schreef op woensdag 25 mei 2022 @ 22:55:
@nero355
[Afbeelding]

Hier heb ik hem ingevuld. Ik heb de platinum 7840. Maar ik krijg de titanium nu. Dus ben van plan om een eigen router aan te schaffen, om hem dan in de bridge te zetten.

Bij mij is de Genexis 7840 in een apart VLAN actief en daarin is ook Pi-Hole actief nadat ik tweemaal hetzelfde IP adres heb ingevuld in die twee velden als het goed is!

[deHakkelaar]

Windows95 schreef op woensdag 25 mei 2022 @ 13:33:
[...]

root@DietPi:~# pihole status
  [✓] FTL is listening on port 53
     [✓] UDP (IPv4)
     [✓] TCP (IPv4)
     [✓] UDP (IPv6)
     [✓] TCP (IPv6)

  [✓] Pi-hole blocking is enabled

root@DietPi:~# nslookup pi.hole. localhost
Server:         localhost
Address:        127.0.0.1#53

Name:   pi.hole
Address: 127.0.0.1

PS C:\Users\Windows95> nslookup pi.hole. 192.168.1.5
Server:  pi.hole
Address:  192.168.1.5

Name:    pi.hole
Address:  192.168.1.5

root@DietPi:~# pihole -t
  [i] Press Ctrl-C to exit
12:22:48: query[PTR] 5.1.168.192.in-addr.arpa from 192.168.1.187
12:22:48: config 5.1.168.192.in-addr.arpa is <PTR>
12:22:48: query[A] pi.hole from 192.168.1.187
12:22:48: Pi-hole hostname pi.hole is 192.168.1.5
12:22:48: query[AAAA] pi.hole from 192.168.1.187
12:22:48: Pi-hole hostname pi.hole is NODATA

Dit alles heb ik uitgevoerd zonder dat ik mijn pihole in de router heb geconfigureerd. Ik heb alleen IPv4.
Ik heb nu een Genexis Platinum, maar krijg nu de titanium van mijn internet provider. Ik kon nergens iets vinden over de rebind protection. Misschien nog een eigen router aanschaffen?

Ziet er goed uit.
Controleer ook even op de Pi-hole host ofdat de pihole-FTL daemon via z'n eigen geconfigureerde upstream DNS server(s) publieke domeinen kan oplossen:

pi@ph5a:~ $ nslookup tweakers.net. localhost
Server:         localhost
Address:        ::1#53

Non-authoritative answer:
Name:   tweakers.net
Address: 213.239.154.31
Name:   tweakers.net
Address: 2001:9a8:0:e:1337:0:80:2

Volgende stap is een client handmatig configureren om alleen Pi-hole te gebruiken voor DNS om te testen voordat je het uitrolt voor je gehele netwerk.
Meestal iets in de trend van:
Settings --> Netwerk --> TCP/IPv4(6) --> DNS

Met het nslookup commando op deze client hoef je dan niet meer het Pi-hole IP op te geven als goed gaat:

C:\>nslookup pi.hole
Server:  ph5a.home.dehkkelaar.nl
Address:  10.0.0.2

Name:    pi.hole
Address:  10.0.0.2

En testen met een browser.
EDIT: https://flurry.com/ is een goede want die hoort default geblokkeerd te zijn dus zou de browser deze niet horen te kunnen laden:

pi@ph5a:~ $ pihole -q flurry.com
 Match found in https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts:
   flurry.com
   adlog.flurry.com
   ads.flurry.com
   cdn.flurry.com
   cfg.flurry.com
   data.flurry.com
   gw.flurry.com
   proton.flurry.com
   dev.flurry.com

Als dat goed werkt is de volgende stap je DHCP service configureren zodat deze het Pi-hole IP adverteert naar al je netwerk clients (als enige DNS server!).
Jouw methode om in de WAN/Internet DNS instellingen van de router het Pi-hole IP op te voeren werkt wel maar is niet gewenst/optimaal.
Voorkeur heeft één van de twee onderstaande methodes (het "Making your Pi-hole host use Pi-hole" gedeelte is niet nodig!):
https://docs.pi-hole.net/...take-advantage-of-pi-hole

En houdt er rekening mee dat de clients hun DHCP lease moeten vernieuwen om de gewijzigde DHCP --> DNS instelling op te pikken!
Vernieuwen kun je oa doen door op de client kort het netwerk te verbreken.
Vergeet ook niet je test client netwerk instellingen te herstellen/defaulten zodat deze automatisch via DHCP de geadverteerde DNS server(s) aanneemt!

[ Voor 6% gewijzigd door deHakkelaar op 26-05-2022 00:58 ]

[Windows95]

@deHakkelaar

root@DietPi:~# nslookup tweakers.net localhost
Server:         localhost
Address:        127.0.0.1#53

Non-authoritative answer:
Name:   tweakers.net
Address: 213.239.154.30
Name:   tweakers.net
Address: 2001:9a8:0:e:1337:0:80:2

Wanneer ik de DNS server via mijn router op mijn pihole zet, dan krijg ik het volgende:

PS C:\Users\Windows95> nslookup pi.hole
Server:  router.domain_not_set.invalid
Address:  192.168.1.254

DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
*** Request to router.domain_not_set.invalid timed-out

Zet ik hem via mijn network adapter settings op mijn pihole ip:

PS C:\Users\Windows95> nslookup pi.hole
Server:  pi.hole
Address:  192.168.1.5

Name:    pi.hole
Address:  192.168.1.5

Maar dan kan ik ook gewoon browsen, dus lijkt alsof hij hem dan niet goed pakt.

Met DHCP en pihole heb ik nog niets gedaan, zit het hem daarin?

root@DietPi:~# pihole -q flurry.com
 Match found in https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts:
   flurry.com
   adlog.flurry.com
   ads.flurry.com
   cdn.flurry.com
   cfg.flurry.com
   data.flurry.com
   gw.flurry.com
   proton.flurry.com
   dev.flurry.com

[ Voor 27% gewijzigd door Windows95 op 26-05-2022 00:35 ]

[deHakkelaar]

@Windows95 , gaarne mijn posting van boven naar beneden doorlopen.
Had je al mijn eerste nslookup vermelding gedaan?

EDIT: Deze:

deHakkelaar schreef op donderdag 26 mei 2022 @ 00:10:
Controleer ook even op de Pi-hole host ofdat de pihole-FTL daemon via z'n eigen geconfigureerde upstream DNS server(s) publieke domeinen kan oplossen:

pi@ph5a:~ $ nslookup tweakers.net. localhost
Server:         localhost
Address:        ::1#53

Non-authoritative answer:
Name:   tweakers.net
Address: 213.239.154.31
Name:   tweakers.net
Address: 2001:9a8:0:e:1337:0:80:2

[ Voor 67% gewijzigd door deHakkelaar op 26-05-2022 00:29 ]

[Windows95]

@deHakkelaar
Ik heb mijn post bijgewerkt.

PS C:\Users\Windows95> nslookup pi.hole
Server:  router.domain_not_set.invalid
Address:  192.168.1.254

DNS request timed out.
    timeout was 2 seconds.
DNS request timed out.
    timeout was 2 seconds.
*** Request to router.domain_not_set.invalid timed-out

Is dat wel goed? Kan ik nu het beste dat gedeelte over DHCP gaan proberen, of zit er nog wat fout in het bovenstaande gedeelte wat eerst opgelost moet worden?

[deHakkelaar]

@Windows95 , ow ik dacht meteen een reactie te krijgen omdat je zo snel op m'n vorige posting reageerde.

Ja ik zou dat hele idee om het Pi-hole IP op te voeren in het WAN/Internet gedeelte van de router laten varen (default deze setting weer!).
Uiteindelijk wil je toch het Pi-hole IP adverteren via de DHCP service vanwege de vele voordelen en omdat sommige Pi-hole opties dan niet optimaal of helemaal niet werken.

[ Voor 3% gewijzigd door deHakkelaar op 26-05-2022 00:41 ]

[deHakkelaar]

@Windows95 , ik heb bovenstaande posting een paar keer moeten wijzigen dus lees nog een keer

Dat het IP opvoeren in je router WAN/Internet settings niet werkt is een router probleem.
Bewezen heb je al dat clients direct met Pi-hole kunnen communiceren voor DNS.

[Windows95]

deHakkelaar schreef op donderdag 26 mei 2022 @ 00:45:
@Windows95 , ik heb bovenstaande posting een paar keer moeten wijzigen dus lees nog een keer

Dat het IP opvoeren in je router WAN/Internet settings niet werkt is een router probleem.
Bewezen heb je al dat clients direct met Pi-hole kunnen communiceren voor DNS.

Bedankt voor je snelle reacties. Ik ga dat stukje wat je schreef over DHCP dan maar proberen.

[deHakkelaar]

@Windows95 , ow ik was met een ander probleem bezig en realiseerde me dat er nog een reden kan zijn dat je time-outs ervaart als je het Pi-hole IP opvoert in de WAN/Internet DNS instelingen vd router.
Default OOTB is Pi-hole geconfigureerd met onderstaande instelling:

pi@ph5b:~ $ cat /etc/dnsmasq.d/01-pihole.conf
[..]
local-service

Wat betekent:

pi@ph5b:~ $ man dnsmasq
[..]
       --local-service
              Accept  DNS  queries only from hosts whose address is on a
              local subnet, ie a subnet for which an interface exists on
              the  server.  This  option only has effect if there are no
              --interface,   --except-interface,   --listen-address   or
              --auth-server  options.  It is intended to be set as a de‐
              fault on installation, to allow unconfigured installations
              to  be useful but also safe from being used for DNS ampli‐
              fication attacks.

Dus als je router probeert met z'n publieke WAN IP adres contact te maken met Pi-hole, wordt deze geweigerd.
Ik weet alleen niet zeker of dit dan resulteerd in time-outs maar ik vermoed van wel.

Je kunt deze instelling wijzigen met:

pi@ph5b:~ $ pihole -a -i -h
Usage: pihole -a -i [interface]
Example: 'pihole -a -i local'
Specify dnsmasq's network interface listening behavior

Interfaces:
  local               Only respond to queries from devices that
                      are at most one hop away (local devices)
  single              Respond only on interface eth0
  bind                Bind only on interface eth0
  all                 Listen on all interfaces, permit all origins

Je zou als experiment onderstaande kunnen proberen en het Pi-hole IP opvoeren in het WAN/Internet gedeelte vd router:

pi@ph5b:~ $ pihole -a -i all
  [i] Listening on all interfaces, permitting all origins. Please use a firewall!
  [✓] Restarting DNS server

Maar voorkeur blijft toch om alleen via DHCP het Pi-hole IP te laten adverteren als enige DNS server voor de clients!

EDIT: Om weer terug te gaan naar de default veiligste situatie:

pi@ph5b:~ $ pihole -a -i local
  [i] Listening on all interfaces, permitting origins from one hop away (LAN)
  [✓] Restarting DNS server

[ Voor 5% gewijzigd door deHakkelaar op 28-05-2022 01:24 ]

[Windows95]

@deHakkelaar
Bedankt voor je hulp. Nu met mijn eigen router werkte het vrijwel direct.

[deHakkelaar]

@Windows95 , ik zou alle DNS velden daar voorzien van het Pi-hole IP.
Sommige Android apparaten willen nog wel eens zelf het Google DNS IP 8.8.8.8 automatisch toevoegen als alleen maar 1 DNS server wordt geadverteerd via DHCP en dan heb je een lek.
Vermoedelijk voor redundancy.

Je kunt controleren welke DNS servers je router (DHCP service) uitdeelt met onderstaande:

pi@ph5b:~ $ pihole-FTL dhcp-discover
Scanning all your interfaces for DHCP servers
[..]
   dns-server: 10.0.0.2
   dns-server: 10.0.0.4

[nero355]

Windows95 schreef op zondag 29 mei 2022 @ 13:47:
@deHakkelaar
Bedankt voor je hulp. Nu met mijn eigen router werkte het vrijwel direct.
[Afbeelding]

Welke Router is dit precies ?

Het viel me namelijk op dat DNSmasq en Unbound worden genoemd! Interessant!

[deHakkelaar]

@nero355 , dnsmasq vermoedelijk omdat deze hostnamen, die worden geadverteerd door de clients tijdens de DHCP lease transactie, automatisch registreert in DNS:
https://wiki.dd-wrt.com/w...hp/DNSMasq_as_DHCP_server

pi@ph5a:~ $ sudo tcpdump -nvi any udp port 67 and udp port 68
[..]
    10.0.0.11.68 > 255.255.255.255.67: BOOTP/DHCP, Request from 00:1e:0b:XX:XX:XX, length 300, xid 0x7a45a3b6, Flags [Broadcast]
[..]
            Hostname Option 12, length 6: "hak-pc"

[nero355]

deHakkelaar schreef op zondag 29 mei 2022 @ 15:04:
Vermoedelijk omdat deze hostnamen, die worden geadverteerd door de clients tijdens de DHCP lease transactie, automatisch registreert in DNS

Een beetje zichzelf respecterende DHCP Server doet dat sowieso!

[deHakkelaar]

@nero355 , nope.
Daarvoor moet je meestal appart een soort "hook" opzeten zodat de DHCP hostnamen bij je favoriete DNS service wordt geregistreerd.
Het ddns-rev-domainname gedeelte in onderstaande "BIND9 with ISC-DHCP-SERVER" howto:
https://talk-about-it.ca/...ynamic-host-registration/

[nero355]

@deHakkelaar
Dan is ISC-DHCP-SERVER bij deze "Banned for Life" wat mij betreft!

[deHakkelaar]

@nero355 , ISC-DHCP-SERVER is zo'n beetje de moeder van alle andere DHCP services

[nero355]

deHakkelaar schreef op zondag 29 mei 2022 @ 15:22:
ISC-DHCP-SERVER is zo'n beetje de moeder van alle andere DHCP services die blijkbaar niet met de tijd mee is gegaan!

[deHakkelaar]

Developer(s) Internet Systems Consortium
Initial release 1999; 23 years ago

Wikipedia: DHCPD

EDIT:
Even terug komend op dnsmasq z'n alles in 1 vs bv de bind9 en isc-dhcp combo, die laatste is heel modulair opgezet net als bv de DHCP client.
Je kunt met isc-dhcp van allerlij DNS services en andere gerelateerde diensten voorzien van data, of via hooks of via API's.
De DHCP client bv hookt ook vanalles extern:
De iproute2 stack voor IP adres zaken en routing;
resolvconfig of openresolv om het resolv.conf bestandje te voorzien van DNS servers;
Een hook om je timekeeper/NTP daemon te voorzien van NTP servers;
Ga zo maar door:

pi@ph5b:~ $ pihole-FTL -- --help dhcp
Known DHCP options:
  1 netmask
  2 time-offset
  3 router
  6 dns-server
  7 log-server
  9 lpr-server
 13 boot-file-size
 15 domain-name
 16 swap-server
 17 root-path
 18 extension-path
 19 ip-forward-enable
 20 non-local-source-routing
 21 policy-filter
 22 max-datagram-reassembly
 23 default-ttl
 26 mtu
 27 all-subnets-local
 31 router-discovery
 32 router-solicitation
 33 static-route
 34 trailer-encapsulation
 35 arp-timeout
 36 ethernet-encap
 37 tcp-ttl
 38 tcp-keepalive
 40 nis-domain
 41 nis-server
 42 ntp-server
 44 netbios-ns
 45 netbios-dd
 46 netbios-nodetype
 47 netbios-scope
 48 x-windows-fs
 49 x-windows-dm
 58 T1
 59 T2
 60 vendor-class
 64 nis+-domain
 65 nis+-server
 66 tftp-server
 67 bootfile-name
 68 mobile-ip-home
 69 smtp-server
 70 pop3-server
 71 nntp-server
 74 irc-server
 77 user-class
 80 rapid-commit
 93 client-arch
 94 client-interface-id
 97 client-machine-id
100 posix-timezone
101 tzdb-timezone
119 domain-search
120 sip-server
121 classless-static-route
125 vendor-id-encap
150 tftp-server-address
255 server-ip-address

[ Voor 127% gewijzigd door deHakkelaar op 29-05-2022 17:48 ]

[jpgview]

voor de GitHub gebruikers.

Er is een nieuw domain te voorschijn gekomen in een easylist: collector.github.com

tot de laatste gravity run was dit domain niet geblocked, opgemerkt door de gravity diff queries. Gravity diff queries melden domains die ik werkelijk gebruik(t heb) in de periode voor de gravity update (normaal in de nacht van zaterdag op zondag).



Indien GitHub raar doet (en je gebruikt bovenstaande lijst), kan je hier eventueel naar kijken; voor mij voorlopig geen problemen.

[Windows95]

deHakkelaar schreef op zondag 29 mei 2022 @ 14:38:
@Windows95 , ik zou alle DNS velden daar voorzien van het Pi-hole IP.
Sommige Android apparaten willen nog wel eens zelf het Google DNS IP 8.8.8.8 automatisch toevoegen als alleen maar 1 DNS server wordt geadverteerd via DHCP en dan heb je een lek.
Vermoedelijk voor redundancy.

Je kunt controleren welke DNS servers je router (DHCP service) uitdeelt met onderstaande:

pi@ph5b:~ $ pihole-FTL dhcp-discover
Scanning all your interfaces for DHCP servers
[..]
   dns-server: 10.0.0.2
   dns-server: 10.0.0.4

Heb het aangepast.

root@DietPi:~# pihole-FTL dhcp-discover
Scanning all your interfaces for DHCP servers
Timeout: 10 seconds

* Received 300 bytes from eth0:192.168.1.1
  Offered IP address: 192.168.1.126
  Server IP address: 192.168.1.1
  Relay-agent IP address: N/A
  BOOTP server: (empty)
  BOOTP file: (empty)
  DHCP options:
   Message type: DHCPOFFER (2)
   server-identifier: 192.168.1.1
   lease-time: 86400 ( 1d )
   renewal-time: 43200 ( 12h )
   rebinding-time: 75600 ( 21h )
   netmask: 255.255.255.0
   broadcast: 192.168.1.255
   dns-server: 192.168.1.1
   wpad-server: "\n"
   router: 192.168.1.1
   --- end of options ---

DHCP packets received on interface lo: 0
DHCP packets received on interface eth0: 1

Als ik trouwens zie wat er in de pihole logs voorbij komt, dan denk ik dat ik sowieso niet de Google DNS server wil gebruiken. Kon mijn ISP dat ook allemaal in principe zien? (En nu niet meer of nog steeds?)

@nero355
Ik gebruik een Netgear Nighthawk R7000, met de DD-WRT firmware erop.

[deHakkelaar]

Je router IP antwoord:

Windows95 schreef op zondag 29 mei 2022 @ 19:40:

Server IP address: 192.168.1.1

Maar hij adverteert nog steeds z'n eigen IP adres voor DNS ipv die van Pi-hole:

Windows95 schreef op zondag 29 mei 2022 @ 19:40:

   dns-server: 192.168.1.1

Ergens gaat er dus iets mis met het configureren van de LAN-->DHCP-->DNS servers ... lijkt mij?

De dhcp-discover zou de Pi-hole IP's moeten weergeven voor DNS als de DHCP service goed is geconfigureerd zoals in mijn voorbeeld met 2 Pi-hole nodes:

deHakkelaar schreef op zondag 29 mei 2022 @ 14:38:

pi@ph5b:~ $ pihole-FTL dhcp-discover
Scanning all your interfaces for DHCP servers
[..]
   dns-server: 10.0.0.2
   dns-server: 10.0.0.4

Windows95 schreef op zondag 29 mei 2022 @ 19:40:
Kon mijn ISP dat ook allemaal in principe zien? (En nu niet meer of nog steeds?)

Je ISP kan met alles meekijken wat niet encrypted is inclusief normale DNS (Do53) verzoekjes.

[Windows95]

@deHakkelaar
Ik gebruik nu de pihole als DHCP server.

root@DietPi:~# pihole-FTL dhcp-discover
Scanning all your interfaces for DHCP servers
Timeout: 10 seconds

* Received 300 bytes from eth0:192.168.1.5
  Offered IP address: 192.168.1.24
  Server IP address: 192.168.1.5
  Relay-agent IP address: N/A
  BOOTP server: (empty)
  BOOTP file: (empty)
  DHCP options:
   Message type: DHCPOFFER (2)
   server-identifier: 192.168.1.5
   lease-time: 86400 ( 1d )
   renewal-time: 43200 ( 12h )
   rebinding-time: 75600 ( 21h )
   netmask: 255.255.255.0
   broadcast: 192.168.1.255
   dns-server: 192.168.1.5
   domain-name: "lan"
   router: 192.168.1.1
   --- end of options ---

DHCP packets received on interface eth0: 1
DHCP packets received on interface lo: 0

Nu krijg ik wel bij dns-server het ip adres van de pihole. Staat het zo goed?

[deHakkelaar]

@Windows95 , ja dat ziet er beter uit.
Vernieuw de DHCP lease op 1 van je clients om te testen (EDIT: ipconfig /renew geloof ook voor Win95 .
En probeer onderstaande te laden:
https://flurry.com
Als dat niet lukt en andere sites wel ben je geslaagd.

[ Voor 12% gewijzigd door deHakkelaar op 29-05-2022 20:26 ]

[jojost1]

*knip*. Goed bedoeld, maar wordt gezien als spam.

[ Voor 95% gewijzigd door rens-br op 31-05-2022 10:50 ]

[jpgview]

Windows 10 now bypassing pihole?

Ga het hele verhaal niet opnieuw schrijven, lees het hier

het redirect log (setup hier) geeft aan dat mijn windows 10 laptop pogingen doet om pihole te omzeilen.



edit
een paar extra testen geven meer informatie (lees het topic). Windows update appears to be the culprit...
/edit

edit2
dankzij een tip van een pihole moderator (Bucking_Horn), het IP address kan gevonden worden in de registry, lees hier. Er staat een hint in de xml info: DNSResiliency-CloudFlare-Live
/edit2

[ Voor 30% gewijzigd door jpgview op 02-06-2022 00:16 . Reden: cause? // solved ]

[Verwijderd]

Wacht maar totdat Microft de oorlog gaat verklaren door DoH te gaan gebruiken omdat ze de eigenaar van het netwerk maar lastig vinden.

[jpgview]

Verwijderd schreef op woensdag 1 juni 2022 @ 12:33:
door DoH te gaan gebruiken ...

manual hier

Ik ga er vanuit dat het niet heel lang zal duren voor de (o)DoH servers in een van de (momenteel 12 gevonden) (o)DoH lijsten te voorschijn zal komen. MS kan het zich niet permiteren dat services niet langer werken omdat (o)DoH niet beschikbaar is (blocked).

Er zijn (enterprise) oplossingen die dit standaard aan boord hebben, b.v. infoblox

<quote1>
To combat this, Infoblox recommends that companies block DoH traffic between internal IP addresses and external DNS servers, forcing employees to use their company’s IT-managed DNS infrastructure and ensuring that security policies are enforced.
</quote1>

<quote2>
DoH-Policy feed for known DoH IPs and DoH domains added to Threat Intelligence Data Exchange, Infoblox’s threat intelligence aggregation and distribution platform, which can then be used by other security tools like NGFWs to block DoH traffic to external servers.
</quote2>

Waarom geen (o)DoH?

<quote3>
For example, recent versions of PsiXBot malware use DoH to encrypt malicious communications allowing it to hide in normal HTTPS traffic, and install malware that can steal data or add a victim to a botnet.
</quote3>

spijtig genoeg zijn infoblox (o)DoH lijsten niet publiek beschikbaar...

[nero355]

Verwijderd schreef op woensdag 1 juni 2022 @ 12:33:
Wacht maar totdat Microsoft de oorlog gaat verklaren door DoH te gaan gebruiken omdat ze de eigenaar van het netwerk maar lastig vinden.

Dat zit eraan te komen en niet alleen vanuit Microsoft maar ook Apple/Google/allerlei crApps op je telefoon/tablet en nog veel meer andere ellende!

De toekomst gaat mensen zoals wij een heleboel uitdagingen opleveren wat betreft Ads/Trackers Blocking op DNS niveau!

jpgview schreef op woensdag 1 juni 2022 @ 19:11:
spijtig genoeg zijn infoblox (o)DoH lijsten niet publiek beschikbaar...

Het is dan ook vreselijk duur Enterprise spul dus zo raar vind ik dat niet

Nogmaals bedankt voor je oplettendheid en uitzoekwerk wat dit soort dingen betreft!

[jpgview]

nero355 schreef op woensdag 1 juni 2022 @ 19:19:
Dat zit eraan te komen en niet alleen vanuit Microsoft maar ook Apple/Google/allerlei ...

Ik ga er vanuit dat DNS (port 53) nooit zal verdwijnen, hooguit word je, als admin, verplicht (o)DoH uit te schakelen om een en ander aan de praat te krijgen (actueel voorbeeld is de icloud private relay). Er zijn ontieglijk veel legacy applicaties die DNS (port 53) ingebakken hebben, en dus in een (o)DoH omgeving gewoon niet meer werken.

nero355 schreef op woensdag 1 juni 2022 @ 19:19:
oplettendheid en uitzoekwerk ...

daarvoor de scripts, zoals o.a. hier, door sommigen als overkill beschouwd, maar vroeg of laat brengt het wat op. De pihole uitbreiding (manual) die dit probleem (cause found) vandaag aan het licht bracht, draait al sinds Fri 05 Nov 2021 12:27 CET, vandaag voor het eerst een belangrijk (mijn interpretatie) resultaat.

[ Voor 1% gewijzigd door jpgview op 02-06-2022 00:08 . Reden: cause found ]

[MAdD]

Ik weet niet of deze vraag hier hoort... maar ik probeer het gewoon

Op een VM (Ubuntu 20.04.1 met upgrades) heb ik Pi-Hole draaien met unbound.
Deze heb geinstalleerd volgens de guide op pihole zelf

Nu las ik op de frontpage van tweakers dat er een nieuwe versie (1.16.0) is van unbound.

Alleen als ik dit controleer op mijn VM blijkt unbound versie 1.9.4 te zijn.

De vraag is, of je makkelijk deze stappen kan uitvoeren om te upgrade

Indien ik dit ergens anders moet plaatsen... let me know!

[dss58]

MAdD schreef op vrijdag 3 juni 2022 @ 13:05:
Ik weet niet of deze vraag hier hoort... maar ik probeer het gewoon

Op een VM (Ubuntu 20.04.1 met upgrades) heb ik Pi-Hole draaien met unbound.
Deze heb geinstalleerd volgens de guide op pihole zelf

Nu las ik op de frontpage van tweakers dat er een nieuwe versie (1.16.0) is van unbound.

Alleen als ik dit controleer op mijn VM blijkt unbound versie 1.9.4 te zijn.

De vraag is, of je makkelijk deze stappen kan uitvoeren om te upgrade

Indien ik dit ergens anders moet plaatsen... let me know!

Volgens mij heeft dat met ARM te maken, als je de laatste updates draait van de raspberry pi heb je ook niet de laatste kernel, volgens mij is dat de oorzaak, maar ik kan het mis hebben omdat ik daar dan niet zo goed in thuis ben.

[Airw0lf]

MAdD schreef op vrijdag 3 juni 2022 @ 13:05:
Ik weet niet of deze vraag hier hoort... maar ik probeer het gewoon

Op een VM (Ubuntu 20.04.1 met upgrades) heb ik Pi-Hole draaien met unbound.
Deze heb geinstalleerd volgens de guide op pihole zelf

Nu las ik op de frontpage van tweakers dat er een nieuwe versie (1.16.0) is van unbound.

Alleen als ik dit controleer op mijn VM blijkt unbound versie 1.9.4 te zijn.

De vraag is, of je makkelijk deze stappen kan uitvoeren om te upgrade

Indien ik dit ergens anders moet plaatsen... let me know!

Komt doordat je de standaard apt install gebruikt zonder een "voorbwerking" zoals download van de laatste binaries of een zelf-gecompileerde versie. Dat laatste is geen eenvoudige - dependencies willen nogal eens problemen veroorzaken. En een upgrade naar een nieuwere Ubuntu-versie wil dan ook niet altijd probleemloos verlopen.

Overigens is het in ieder raadzaam een upgrade te doen naar 20.04.04. Daar zitten de nodig security fixes in.
Verbaasd me wel dat je een zo oude Ubuntu-versie gebruikt. Maar wel de laatste Unbound wil inzetten?!

[nero355]

MAdD schreef op vrijdag 3 juni 2022 @ 13:05:
Ik weet niet of deze vraag hier hoort... maar ik probeer het gewoon

Op een VM (Ubuntu 20.04.1 met upgrades) heb ik Pi-Hole draaien met unbound.
Deze heb geinstalleerd volgens de guide op pihole zelf

Nu las ik op de frontpage van tweakers dat er een nieuwe versie (1.16.0) is van unbound.

Alleen als ik dit controleer op mijn VM blijkt unbound versie 1.9.4 te zijn.

De vraag is, of je makkelijk deze stappen kan uitvoeren om te upgrade

Indien ik dit ergens anders moet plaatsen... let me know!

dss58 schreef op vrijdag 3 juni 2022 @ 16:45:
Volgens mij heeft dat met ARM te maken, als je de laatste updates draait van de raspberry pi heb je ook niet de laatste kernel, volgens mij is dat de oorzaak, maar ik kan het mis hebben omdat ik daar dan niet zo goed in thuis ben.

Airw0lf schreef op vrijdag 3 juni 2022 @ 17:25:
Komt doordat je de standaard apt install gebruikt zonder een "voorbwerking" zoals download van de laatste binaries of een zelf-gecompileerde versie. Dat laatste is geen eenvoudige - dependencies willen nogal eens problemen veroorzaken. En een upgrade naar een nieuwere Ubuntu-versie wil dan ook niet altijd probleemloos verlopen.

Overigens is het in ieder raadzaam een upgrade te doen naar 20.04.04. Daar zitten de nodig security fixes in.
Verbaasd me wel dat je een zo oude Ubuntu-versie gebruikt. Maar wel de laatste Unbound wil inzetten?!

Het juiste antwoord waar jullie naar op zoek zijn is dat de versie die je vermeld ziet staan misleidend is en eigenlijk niks zegt over de aanwezige patches van je software!

Zo was bijvoorbeeld DNSmasq heel vaak "outdated" als je naar de versie ervan keek, terwijl deze gewoon 100% up-to-date was en er niks aan de hand was in de periode voordat FTLDNS door het Pi-Hole Team werd bedacht!

Je had toen zoiets :
- Actuele versie 2.94 of zo...
- Geïnstalleerde versie 2.84 maar dan wel met alle patches erin die 2.94 ook heeft!


TL;DR : Niks aan de hand

[Airw0lf]

nero355 schreef op vrijdag 3 juni 2022 @ 17:30:

Het juiste antwoord waar jullie naar op zoek zijn is dat de versie die je vermeld ziet staan misleidend is en eigenlijk niks zegt over de aanwezige patches van je software!

Zo was bijvoorbeeld DNSmasq heel vaak "outdated" als je naar de versie ervan keek, terwijl deze gewoon 100% up-to-date was en er niks aan de hand was in de periode voordat FTLDNS door het Pi-Hole Team werd bedacht!

Je had toen zoiets :
- Actuele versie 2.94 of zo...
- Geïnstalleerde versie 2.84 maar dan wel met alle patches erin die 2.94 ook heeft!


TL;DR : Niks aan de hand

Mmm... ik betwijfel of het allemaal zo zwart/wit is als je doet voorkomen.
.
Ubuntu 20.04-LTS heeft standaard Unbound 1.9.4 aan boord; de nodige Ubuntu-upgrades veranderen hier niets aan - tenminste niet voor Unbound. De enige manier om daar wat aan te doen is zelf een nieuwere versie ophalen, eventueel compileren en installeren.

In 22.04-LTS wordt standaard Unbound 1.13 meegeleverd en (desgewenst) geïnstalleerd met "apt install". Maar ook hier geldt dat er geen 1.16 geïnstalleerd wordt - tenzij je die zelf ophaalt en (eventueel) compileert.

Voor andere packages kan het inderdaad anders zijn - zoals bijvoorbeeld bij browsers. Maar ook hier geldt dat ze niet altijd alle tussenversies installeren als je gebruik maakt van de standaard Ubuntu repositories.

Kortom - it depends... en voor specifiek Unbound geldt dat een upgrade naar de laatste versie alleen mogelijk is door hem zelf op te halen, de oude Ubuntu-versie te verwijderen en de nieuwe te installeren - alles handmatig; ook voor toekomstige Unbound versies.

[Verwijderd]

Debian gaat wat sneller en 1.15 is beschikbaar voor de test versies, 1.16 is al in het oog.

https://packages.debian.org/sid/unbound

[nero355]

Airw0lf schreef op vrijdag 3 juni 2022 @ 18:53:
Mmm... ik betwijfel of het allemaal zo zwart/wit is als je doet voorkomen.

Ik zou zeggen pak dit erbij : [Pi-Hole] Ervaringen & discussie

En lees de reacties van @ninjazx9r98 en @ed1703 onder andere heel goed door!

Ubuntu 20.04-LTS heeft standaard Unbound 1.9.4 aan boord; de nodige Ubuntu-upgrades veranderen hier niets aan - tenminste niet voor Unbound. De enige manier om daar wat aan te doen is zelf een nieuwere versie ophalen, eventueel compileren en installeren.

In 22.04-LTS wordt standaard Unbound 1.13 meegeleverd en (desgewenst) geïnstalleerd met "apt install". Maar ook hier geldt dat er geen 1.16 geïnstalleerd wordt - tenzij je die zelf ophaalt en (eventueel) compileert.

Alles op het gebied van Security wordt gewoon toegepast!

Voor andere packages kan het inderdaad anders zijn - zoals bijvoorbeeld bij browsers. Maar ook hier geldt dat ze niet altijd alle tussenversies installeren als je gebruik maakt van de standaard Ubuntu repositories.

Mijn Kubuntu Firefox versie is het niet met je eens!

Kortom - it depends... en voor specifiek Unbound geldt dat een upgrade naar de laatste versie alleen mogelijk is door hem zelf op te halen, de oude Ubuntu-versie te verwijderen en de nieuwe te installeren - alles handmatig; ook voor toekomstige Unbound versies.

Als je aan het versie nummertje gehecht bent, maar verder wordt de boel gewoon netjes onderhouden op het gebied van Security issues!

[deHakkelaar]

@MAdD , als je niet weet wat je doet zou ik gewoon de versies installeren die default met je package manager meekomen.
Belangrijke patches zoals voor security etc worden toch ge-backport zolang niet EOL.
En je raakt niet verdwaald in "dependency forrest" als je apt upgrade etc draait in de toekomst.

Pas als je je gaat verdiepen in welke changes er gemaakt zijn kun je een goede keuze maken ofdat je bepaalde nieuwe features of patches nodig hebt:
https://github.com/NLnetL...blob/master/doc/Changelog

code:

zless /usr/share/doc/unbound/changelog.Debian.gz

code:

zless /usr/share/doc/unbound/changelog.gz

Wel zou ik de major versie van je Unbuntu release up to date houden! (EDIT: als je hogere versies beschikbaar wilt hebben)

pi@ph5a:~ $ lsb_release -d
Description:    Raspbian GNU/Linux 10 (buster)

pi@ph5a:~ $ apt policy unbound
unbound:
  Installed: 1.9.0-2+deb10u2
  Candidate: 1.9.0-2+deb10u2

Vs:

pi@ph5b:~ $ lsb_release -d
Description:    Raspbian GNU/Linux 11 (bullseye)

pi@ph5b:~ $ apt policy unbound
unbound:
  Installed: 1.13.1-1
  Candidate: 1.13.1-1

[Airw0lf]

nero355 schreef op vrijdag 3 juni 2022 @ 19:18:

[...]

Als je aan het versie nummertje gehecht bent, maar verder wordt de boel gewoon netjes onderhouden op het gebied van Security issues!

Ik ben niet direct gehecht aan versienummers. Maar weet geen andere manier waaraan je kan herkennen dat een security update ook echt is uitgevoerd/geactiveerd. Suggesties?

[mrdemc]

Airw0lf schreef op zaterdag 4 juni 2022 @ 10:31:
[...]


Ik ben niet direct gehecht aan versienummers. Maar weet geen andere manier waaraan je kan herkennen dat een security update ook echt is uitgevoerd/geactiveerd. Suggesties?

Mogelijk heb je hier wat aan dan:

https://launchpad.net/ubuntu/+source/unbound

https://launchpad.net/ubu...nbound/+publishinghistory

En volgens mij is dit dan de laatste release van jouw versie:
https://launchpad.net/ubu.../unbound/1.9.4-2ubuntu1.2

[ Voor 12% gewijzigd door mrdemc op 04-06-2022 11:12 ]

[deHakkelaar]

Airw0lf schreef op zaterdag 4 juni 2022 @ 10:31:
Ik ben niet direct gehecht aan versienummers. Maar weet geen andere manier waaraan je kan herkennen dat een security update ook echt is uitgevoerd/geactiveerd. Suggesties?

Changelog toch
EDIT:

code:

apt changelog unbound

[ Voor 6% gewijzigd door deHakkelaar op 04-06-2022 13:10 ]

[nero355]

Airw0lf schreef op zaterdag 4 juni 2022 @ 10:31:
Ik ben niet direct gehecht aan versienummers. Maar weet geen andere manier waaraan je kan herkennen dat een security update ook echt is uitgevoerd/geactiveerd. Suggesties?

Dan heb je de Search link die ik je gaf niet goed gelezen!

[Airw0lf]

deHakkelaar schreef op zaterdag 4 juni 2022 @ 13:02:
[...]

Changelog toch
EDIT:

code:

apt changelog unbound

nero355 schreef op zaterdag 4 juni 2022 @ 14:30:
[...]

Dan heb je de Search link die ik je gaf niet goed gelezen!

Ja - voor een (of een paar) is dat goed te doen.
Maar hoe zie je dat voor alle andere packages?

[ Voor 24% gewijzigd door Airw0lf op 04-06-2022 17:23 ]

[ed1703]

Airw0lf schreef op zaterdag 4 juni 2022 @ 17:20:
Ja - voor een (of een paar) is dat goed te doen.
Maar hoe zie je dat voor alle andere packages?

Even hoor.. je gaat toch niet voor alle packages de release-notes lezen?
En alle packages waarvan er mogelijk de behoefte leeft om dit vanaf source te compilen, hoop ik voor je dat je over voldoende vrije tijd beschikt. Je bent namelijk veel meer tijd kwijt om het allemaal bij te houden.

Als dit alleen voor unbound is, valt het natuurlijk nog wel te overzien.

Package systemen zijn er niet voor niets gekomen

Ik heb het ooit wel eens gedaan met nginx, postfix, dovecot en nog wat andere server-software, maar het is allemaal een hoop werk

[ Voor 3% gewijzigd door ed1703 op 04-06-2022 18:12 ]

[Airw0lf]

ed1703 schreef op zaterdag 4 juni 2022 @ 18:11:
[...]

Even hoor.. je gaat toch niet voor alle packages de release-notes lezen?
En alle packages waarvan er mogelijk de behoefte leeft om dit vanaf source te compilen, hoop ik voor je dat je over voldoende vrije tijd beschikt. Je bent namelijk veel meer tijd kwijt om het allemaal bij te houden.

Als dit alleen voor unbound is, valt het natuurlijk nog wel te overzien.

Package systemen zijn er niet voor niets gekomen

Ik heb het ooit wel eens gedaan met nginx, postfix, dovecot en nog wat andere server-software, maar het is allemaal een hoop werk

Nee - de release notes ga ik zeker niet allemaal lezen.
Ik zoek "iets" om te achterhalen of (en zo ja: welke) security patches niet geactiveerd zijn doordat ze ergens tegen een problem aanlopen.

[Remco Tr]

Graag zou ik heel graag Pihole met Wireguard draaien. Alleen vind ik de handleiding van Pihole zelf iets te ingewikkeld. https://docs.pi-hole.net/guides/vpn/wireguard/server/


Heb Wireguard geinstalleerd en alle stappen doorlopen maar ergens gaat het mis met de setup van de server/client. Snap niet zo goed welke gegevens ik moet aanpassen en welke niet.


Weet iemand ergens een simpelere handleiding?

[Webgnome]

@Remco Tr Een melding in de trend 'te ingewikkeld, pleh!' hebben wij natuurlijk net zoveel aan als jij. Dus wat heb je al geprobeerd. Waar in de, vrij duidelijke tutorial, liep je vast en wat lukt er nu dus nog niet?

[ed1703]

Airw0lf schreef op zaterdag 4 juni 2022 @ 18:17:
[...]


Nee - de release notes ga ik zeker niet allemaal lezen.
Ik zoek "iets" om te achterhalen of (en zo ja: welke) security patches niet geactiveerd zijn.

Dat iets is toch echt de release-notes lezen.. net zo goed of het voor jouw platform valide is om te upgraden vanaf source als er patch of compleet nieuwe versie is. Misschien heeft @deHakkelaar nog tips, maar ik ken ze niet.

[Remco Tr]

Webgnome schreef op zaterdag 4 juni 2022 @ 18:28:
@Remco Tr Een melding in de trend 'te ingewikkeld, pleh!' hebben wij natuurlijk net zoveel aan als jij. Dus wat heb je al geprobeerd. Waarin de, vrij duidelijke tutorial, liep je vast en wat lukt er nu dus nog niet?

Pleh! Je hebt gelijk. Nou eigenlijk liep ik nergens op vast. Heb hem niet werkend omdat ik hem mogelijk niet goed heb geconfigureerd. Is mij niet duidelijk welke gegevens je moet aanpassen op ie eigen config. Adressen en bv name= “clientname” moet ik clientname vervangen voor een eigen naam?

[Airw0lf]

ed1703 schreef op zaterdag 4 juni 2022 @ 18:29:
[...]

Dat iets is toch echt de release-notes lezen.. net zo goed of het voor jouw platform valide is om te upgraden vanaf source als er patch of compleet nieuwe versie is. Misschien heeft @deHakkelaar nog tips, maar ik ken ze niet.

Al had ik alleen maar een manier om een overzicht te krijgen van alle standaard packages die niet gepatched konden worden (om wat voor reden dan ook). Dus niet alleen die van Unbound - maar voor allemaal.

[deHakkelaar]

ed1703 schreef op zaterdag 4 juni 2022 @ 18:29:
[...]

Dat iets is toch echt de release-notes lezen.. net zo goed of het voor jouw platform valide is om te upgraden vanaf source als er patch of compleet nieuwe versie is. Misschien heeft @deHakkelaar nog tips, maar ik ken ze niet.

Nope.
Ik vertrouw op de package maintainers en lees ze soms vluchtig.
Meeste ervan begrijp ik toch niet

[Webgnome]

Remco Tr schreef op zaterdag 4 juni 2022 @ 18:32:
[...]


Pleh! Je hebt gelijk. Nou eigenlijk liep ik nergens op vast. Heb hem niet werkend omdat ik hem mogelijk niet goed heb geconfigureerd. Is mij niet duidelijk welke gegevens je moet aanpassen op ie eigen config. Adressen en bv name= “clientname” moet ik clientname vervangen voor een eigen naam?

niet om het een of ander maar .. Wat is een client? En waarom zou je een naam van een client client_name willen noemen?

[nero355]

Remco Tr schreef op zaterdag 4 juni 2022 @ 18:32:
Adressen en bv name= “clientname” moet ik clientname vervangen voor een eigen naam?

Dat lijkt mij redelijk logisch en waarschijnlijk inderdaad het geval, maar dat heeft niks met Pi-Hole te maken en eerder met Wireguard zelf of eventueel de manier waarop PiVPN zowel Wireguard als OpenVPN integreert met Pi-Hole

deHakkelaar schreef op zaterdag 4 juni 2022 @ 18:45:
Ik vertrouw op de package maintainers en lees ze soms vluchtig.
Meeste ervan begrijp ik toch niet

Op mijn laptop heb ik Kubuntu en dus KDE als DE en die heeft weer Discover en daarmee lees ik eigenlijk vrijwel altijd de Release Notes/Changes Log omdat er een heleboel dingen ook op mijn Raspberry Pi toepasselijk zijn, want SSH/SystemD/curl/enz. die ook daarop draaien!

ed1703 schreef op zaterdag 4 juni 2022 @ 18:11:
En alle packages waarvan er mogelijk de behoefte leeft om dit vanaf source te compilen, hoop ik voor je dat je over voldoende vrije tijd beschikt. Je bent namelijk veel meer tijd kwijt om het allemaal bij te houden.

Ik heb het ooit wel eens gedaan met nginx, postfix, dovecot en nog wat andere server-software, maar het is allemaal een hoop werk

FreeBSD + usr/ports en /usr/src + CVSup en alles wat er verder bij kwam kijken ging vroeger anders best wel vlot op een toen al oude P4 met 2 GB RAM en maar 1 Core + HT en dat ook nog een i.c.m. een simpele HDD omdat SSD's toen niet eens bestonden!

Binnen een paar uur een eigen Kernel + rest van het OS + alle programma's compilen en zelfs van 5.x naar 6.x upgraden ging redelijk makkelijk!

Echt een prachtig OS als je "De wereld van make install clean" beter wilt leren kennen!

[jpgview]

Als opvolging van deze posts (hier en hier) en de sql queries, nodig om deze info te verzamelen (hier), toch weer even een nieuw resultaat.

Waarom? tweakers domains toegevoegd aan een blocklist:

code:

 pihole -q aa.tweakers.nl
 Match found in https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts:
   aa.tweakers.nl
 Match found in https://dbl.oisd.nl:
   aa.tweakers.nl
 Match found in http://someonewhocares.org/hosts/:
   aa.tweakers.nl
 Match found in https://someonewhocares.org/hosts/zero/hosts:
   aa.tweakers.nl
 Match found in https://v.firebog.net/hosts/AdguardDNS.txt:
   aa.tweakers.nl

Alle domains (dit is het resultaat van mijn surf gedrag van de afgelopen week -> verschillend voor iedere pihole implementatie):



Dit (de laatste twee) is duidelijk een reactie op deze wijziging bij tweakers (Tweakers’ overstap naar advertenties zonder thirdpartytracking is een feit). Info om tweakers te whitelisten vind je hier.

[deHakkelaar]

nero355 schreef op zaterdag 4 juni 2022 @ 22:24:
... dat ook nog een i.c.m. een simpele HDD omdat SSD's toen niet eens bestonden!

Off-topic, SSD's gaan al een poosje mee alleen niet te betalen toen

An early—if not the first—semiconductor storage device compatible with a hard drive interface (e.g. an SSD as defined) was the 1978 StorageTek STC 4305.

Wikipedia: Solid-state drive

[deHakkelaar]

jpgview schreef op zondag 5 juni 2022 @ 10:42:
Dit (de laatste twee) is duidelijk een reactie op deze wijziging bij tweakers (Tweakers’ overstap naar advertenties zonder thirdpartytracking is een feit). Info om tweakers te whitelisten vind je hier.

Valt me tegen dat niemand dit eerder hier melde
Mijn steun hebben ze als ze redelijkerwijze kunnen garanderen dat er geen malware etc meekomt ... en de ads niet de spuigaten uitlopen.

code:

pihole -w {aa,ab}.tweakers.nl --comment "tweakers.net advertenties"

[nero355]

deHakkelaar schreef op zondag 5 juni 2022 @ 14:34:
Off-topic, SSD's gaan al een poosje mee alleen niet te betalen toen

Ik weet nog heel goed wanneer ik mijn 4 x 60 SSD's heb gekocht om in RAID 0 te zetten, maar de PC waarmee ik het een en ander deed was nóg ouder en uiteraard niet van een SSD van € 240 of zo voorzien om alleen af en toe wat te testen!

Foto en screenshot uit die tijd :

SSD SSD Pics/Benchmarks

_{Zie net pas dat de Raptors in die map staan... LOL! Die had ik dus vervangen met de SSD's}

deHakkelaar schreef op zondag 5 juni 2022 @ 14:41:
Valt me tegen dat niemand dit eerder hier melde

Tja, abonnee en zo dus /care

[PhilipsFan]

Ik heb een maf probleem met Pihole. Ik draai Pihole in een Docker container op een Raspberry Pi 4. Totnutoe werkte dat altijd feilloos. Ik gebruik Pihole niet als DHCP-server, dat doet m'n router nog, en ik heb ook niet het ip-nummer van de Pihole als standaard DHCP in de router. Daardoor kunnen de clients zelf kiezen of ze adblocking willen: wil je het niet, dan hoef je niks te doen. Wil je het wel, dan moet je handmatig even het adres van de DNS server veranderen in het lokale IP van de Raspberry Pi. Tot zover alles goed.

Maar de laatste tijd heb ik wat problemen. Ik kan op clients die als DNS de Raspberry Pi gebruiken, sommige websites niet meer openen. Op m'n iPad bijvoorbeeld, de spinner blijft maar draaien maar er komt geen data binnen. Als ik in de query log van Pihole kijk, dan staat daar niks bijzonders. Er worden geen domeinen geblokkeerd die tot het niet-inladen van de site kunnen leiden. Maar als ik Pihole op 'disabled' zet (en de wifi-verbinding van de iPad even verbreek) dan werkt het ineens wel. Als ik Pihole dan weer aan zet, dan werkt het na verloop van tijd niet meer.

De problemen zijn begonnen toen ik een tijdje met IPv6 heb gexperimenteerd. Mijn provider biedt dat sinds kort aan, dus ik heb dat even geprobeerd. De Raspberry Pi kreeg een IPv6 adres (de iPad ook) en dat werkte wel. Vanwege andere problemen heb ik IPv6 weer uitgezet in m'n netwerk, de iPad krijgt ook geen IPv6 adres meer en ik heb de IPv6 DNS server weggehaald bij de configuratie van het wifi-netwerk. Ik heb ook de IPv6 upstream servers weggehaald in de configuratie van Pihole.

Wat het extra vreemd maakt, is dat het wel werkt als ik de iPad opnieuw opstart. Dan zijn de sites normaal te benaderen, ook met Pihole enabled.

Dat is toch gek? Als Pihole iets blokkeert en het daardoor niet werkt, dan zou je toch een regel in de query log verwachten met welk domein geblokkeerd is?

Pihole V5.10, officiele Docker image met tag 2022.5, maar met de vorige Docker tag was het probleem ook al aanwezig. Op de iPad draait gewoon IOS15.5.

[O085105116N]

PhilipsFan schreef op maandag 6 juni 2022 @ 04:02:
Ik heb een maf probleem met Pihole. Ik draai Pihole in een Docker container op een Raspberry Pi 4. Totnutoe werkte dat altijd feilloos. Ik gebruik Pihole niet als DHCP-server, dat doet m'n router nog, en ik heb ook niet het ip-nummer van de Pihole als standaard DHCP in de router. Daardoor kunnen de clients zelf kiezen of ze adblocking willen: wil je het niet, dan hoef je niks te doen. Wil je het wel, dan moet je handmatig even het adres van de DNS server veranderen in het lokale IP van de Raspberry Pi. Tot zover alles goed.

Maar de laatste tijd heb ik wat problemen. Ik kan op clients die als DNS de Raspberry Pi gebruiken, sommige websites niet meer openen. Op m'n iPad bijvoorbeeld, de spinner blijft maar draaien maar er komt geen data binnen. Als ik in de query log van Pihole kijk, dan staat daar niks bijzonders. Er worden geen domeinen geblokkeerd die tot het niet-inladen van de site kunnen leiden. Maar als ik Pihole op 'disabled' zet (en de wifi-verbinding van de iPad even verbreek) dan werkt het ineens wel. Als ik Pihole dan weer aan zet, dan werkt het na verloop van tijd niet meer.

De problemen zijn begonnen toen ik een tijdje met IPv6 heb gexperimenteerd. Mijn provider biedt dat sinds kort aan, dus ik heb dat even geprobeerd. De Raspberry Pi kreeg een IPv6 adres (de iPad ook) en dat werkte wel. Vanwege andere problemen heb ik IPv6 weer uitgezet in m'n netwerk, de iPad krijgt ook geen IPv6 adres meer en ik heb de IPv6 DNS server weggehaald bij de configuratie van het wifi-netwerk. Ik heb ook de IPv6 upstream servers weggehaald in de configuratie van Pihole.

Wat het extra vreemd maakt, is dat het wel werkt als ik de iPad opnieuw opstart. Dan zijn de sites normaal te benaderen, ook met Pihole enabled.

Dat is toch gek? Als Pihole iets blokkeert en het daardoor niet werkt, dan zou je toch een regel in de query log verwachten met welk domein geblokkeerd is?

Pihole V5.10, officiele Docker image met tag 2022.5, maar met de vorige Docker tag was het probleem ook al aanwezig. Op de iPad draait gewoon IOS15.5.

Zet “beperk ip adres tracking” uit op je apple devices. Dat doe je in de settings van je netwerkdevice.

[Miki]

PhilipsFan schreef op maandag 6 juni 2022 @ 04:02:
Ik heb een maf probleem met Pihole. Ik draai Pihole in een Docker container op een Raspberry Pi 4. Totnutoe werkte dat altijd feilloos. Ik gebruik Pihole niet als DHCP-server, dat doet m'n router nog, en ik heb ook niet het ip-nummer van de Pihole als standaard DHCP in de router. Daardoor kunnen de clients zelf kiezen of ze adblocking willen: wil je het niet, dan hoef je niks te doen. Wil je het wel, dan moet je handmatig even het adres van de DNS server veranderen in het lokale IP van de Raspberry Pi. Tot zover alles goed.

Maar de laatste tijd heb ik wat problemen. Ik kan op clients die als DNS de Raspberry Pi gebruiken, sommige websites niet meer openen. Op m'n iPad bijvoorbeeld, de spinner blijft maar draaien maar er komt geen data binnen. Als ik in de query log van Pihole kijk, dan staat daar niks bijzonders. Er worden geen domeinen geblokkeerd die tot het niet-inladen van de site kunnen leiden. Maar als ik Pihole op 'disabled' zet (en de wifi-verbinding van de iPad even verbreek) dan werkt het ineens wel. Als ik Pihole dan weer aan zet, dan werkt het na verloop van tijd niet meer.

De problemen zijn begonnen toen ik een tijdje met IPv6 heb gexperimenteerd. Mijn provider biedt dat sinds kort aan, dus ik heb dat even geprobeerd. De Raspberry Pi kreeg een IPv6 adres (de iPad ook) en dat werkte wel. Vanwege andere problemen heb ik IPv6 weer uitgezet in m'n netwerk, de iPad krijgt ook geen IPv6 adres meer en ik heb de IPv6 DNS server weggehaald bij de configuratie van het wifi-netwerk. Ik heb ook de IPv6 upstream servers weggehaald in de configuratie van Pihole.

Wat het extra vreemd maakt, is dat het wel werkt als ik de iPad opnieuw opstart. Dan zijn de sites normaal te benaderen, ook met Pihole enabled.

Dat is toch gek? Als Pihole iets blokkeert en het daardoor niet werkt, dan zou je toch een regel in de query log verwachten met welk domein geblokkeerd is?

Pihole V5.10, officiele Docker image met tag 2022.5, maar met de vorige Docker tag was het probleem ook al aanwezig. Op de iPad draait gewoon IOS15.5.

Je vraag is al een paar keer voorbij gekomen

Bij de laatste updates heeft Apple private relay aangezet maw beperk ip tracking. Hierdoor loopt de boel in de soep met icm Pihole. Je kunt het vinkje onder het WiFi netwerk uitzetten en/of een filter regel toevoegen. Lees de laatste pagina’s van dit topic even terug of gebruik de zoekfunctie.

[Raven]

nero355 schreef op zondag 5 juni 2022 @ 19:24:
[...]

Ik weet nog heel goed wanneer ik mijn 4 x 60 SSD's heb gekocht om in RAID 0 te zetten, maar de PC waarmee ik het een en ander deed was nóg ouder en uiteraard niet van een SSD van € 240 of zo voorzien om alleen af en toe wat te testen!

Foto en screenshot uit die tijd :

SSD SSD Pics/Benchmarks
[Afbeelding: RAID 0 4 Maal OCZ Vertex 60GB Windows/Boot]	[Afbeelding: Raptors onderin Stacker STC-T01]

_{Zie net pas dat de Raptors in die map staan... LOL! Die had ik dus vervangen met de SSD's}

offtopic:
En nu heb je maar één ssd nodig die daar zonder druppel zweet omheen rent

.... maar uhm, Vertex?

[PhilipsFan]

Miki schreef op maandag 6 juni 2022 @ 07:46:
[...]

Je vraag is al een paar keer voorbij gekomen

Bij de laatste updates heeft Apple private relay aangezet maw beperk ip tracking. Hierdoor loopt de boel in de soep met icm Pihole. Je kunt het vinkje onder het WiFi netwerk uitzetten en/of een filter regel toevoegen. Lees de laatste pagina’s van dit topic even terug of gebruik de zoekfunctie.

O085105116N schreef op maandag 6 juni 2022 @ 07:33:
[...]


Zet “beperk ip adres tracking” uit op je apple devices. Dat doe je in de settings van je netwerkdevice.

Thanks! Dat knopje uitzetten lost het probleem inderdaad op. Ik had nog niet het verband gelegd met Apple devices of een IOS versie, ook omdat het probleem zich niet op al m'n IOS devices voordoet en ik eigenlijk geen andere devices heb (op m'n Windows machines doe ik adblocking via een extensie in de webbrowser). Vandaar ook dat ik geen oplossing heb kunnen vinden. Ik heb wel gegoogled, maar met de combinatie IPv6 omdat ik daar ook mee aan het knoeien ben geweest.

[nero355]

Raven schreef op maandag 6 juni 2022 @ 10:28:

offtopic:
En nu heb je maar één ssd nodig die daar zonder druppel zweet omheen rent

.... maar uhm, Vertex?

offtopic:
Zie : V&A aangeboden: OCZ Vertex Series SATA II 2.5" 60GB 60GB

Daarna alleen nog maar Intel 320 en Crucial M500 gekocht

[Raven]

nero355 schreef op maandag 6 juni 2022 @ 14:46:
[...]

offtopic:
Zie : V&A aangeboden: OCZ Vertex Series SATA II 2.5" 60GB 60GB

Daarna alleen nog maar Intel 320 en Crucial M500 gekocht

offtopic:
Die van mij ging binnen garantie stuk, gelukkig alleen VM's kwijtgeraakt. Dankzij reputatie en met kleine bijbetaling M4 genomen die sinds de komst van NVMe drives in pricewatch: Zalman ZM-VE300 Zwart zit

[jpgview]

Ik las hier (AdGuard Home 0.107.7 - af en toe lezen welke nieuwe dingen zij verzinnen/toevoegen) dat RFC9250 (DoQ - DNS over QuiC) geacepteerd is, wat natuurlijk niet goed is voor pihole gebruikers, zodra er apps, browsers, devices te voorschijn komen die dit kunnen gebruiken.

Na wat zoeken vond ik hier een document, waarin de mogelijke poorten staan vermeld:

<quote>
using all proposed ports (UDP/784, /853, and /8853)
</quote>

Er slingert ergens een pfsense (netgate) document rond, met aanbevelingen voor een firewall setup. Het aanbevolen princiepe: block everything, allow what you need.
- Wie zijn firewall op die manier heeft ingericht hoeft eigelijk alleen maar te controleren of de aangegeven poorten niet voor een of andere reden toegelaten zijn.
- Wie echter alles toelaat, en alleen specifieke dingen blocked, heeft waarschijnlijk al een block toegevoegd voor TCP port 853 (DoT). Nakijken of aanpassen, nu ook dus UDP + block rule (UDP only) voor de twee andere poorten (784 en 8853)

Voor zover ik alles correct lees en begrijp, zou dit voldoende zijn om DoQ queries te blokkeren.

Toch even aangeven dat ik reeds lange tijd QUIC block ( UDP port 80 & 443), zonder problemen; slechts een uitzondering: devices met whatsapp (port UDP/443), reden: voice calls. Weer een voordeel van signal, waarvoor helemaal geen uitzonderingen hoeven gemaakt te worden.

[ Voor 3% gewijzigd door jpgview op 06-06-2022 23:45 ]

[nero355]

jpgview schreef op maandag 6 juni 2022 @ 23:35:
Toch even aangeven dat ik reeds lange tijd QUIC block ( UDP port 80 & 443), zonder problemen; slechts een uitzondering: devices met whatsapp (port UDP/443), reden: voice calls.

WhatsApp moet gewoon dood !!!

Daarnaast moet je QUIC sowieso slopen via chrome://flags van Google Chrome bijvoorbeeld die daar heel lang geleden als eerste mee kwam en de boel om zeep hielp als je Pi-Hole op je netwerk hebt draaien!

[Zjemm]

nu tweakers zelf advertenties host, is het met pihole zeker ook niet meer mogelijk deze te blokkeren?
ik noem tweakters als voorbeeld, maar er zijn vast meer partijen die dat doen.

of kan dit op de een of andere manier alsnog met pihole

[Verwijderd]

Je kunt inderdaad die advertenties via Piholr blokkeren als je dat wil. Je neemt dan wel de rest van Tweakers mee en ziet niet veel meer.

Dit komt omdat Pihole werkt op basis van het domein en niet kijkt naar de rest in de URL.

[ Voor 22% gewijzigd door Verwijderd op 07-06-2022 09:21 ]

[mrdemc]

Zjemm schreef op dinsdag 7 juni 2022 @ 09:12:
nu tweakers zelf advertenties host, is het met pihole zeker ook niet meer mogelijk deze te blokkeren?
ik noem tweakters als voorbeeld, maar er zijn vast meer partijen die dat doen.

of kan dit op de een of andere manier alsnog met pihole

Het domein waarop de advertenties geblokkeerd worden is anders dan het domein van de website zelf. In feite kun je de genoemde 'whitelist' instructies omkeren voor blacklisting. Maar ik nodig je uit om vooral even dit artikel te lezen: reviews: Advertenties zonder tracking - De techniek achter trackingvrij adver...

Wat @Verwijderd aangeeft klopt niet. Youtube serveert het daadwerkelijk op hetzelfde domein als het gaat om de aangeleverde advertentie video's. Dit is dus niet het geval bij Tweakers. De rest van Tweakers zal blijven werken.

[ Voor 11% gewijzigd door mrdemc op 07-06-2022 09:24 ]

[Webgnome]

Zjemm schreef op dinsdag 7 juni 2022 @ 09:12:
nu tweakers zelf advertenties host, is het met pihole zeker ook niet meer mogelijk deze te blokkeren?
ik noem tweakters als voorbeeld, maar er zijn vast meer partijen die dat doen.

of kan dit op de een of andere manier alsnog met pihole

Voor zolang het duurt, de adds zijn van een subdomein van tweakers. Die kun je dus eventueel blokkeren. Of je kunt dat niet doen en tweakers een beetje sponsoren. Een andere oplossing is natuurlijk een abbo.

[Verwijderd]

Ah, ik zie het nu. Ik gebruik NoScript en ik dat sub-domein nooit aangezet en daarom ook nooit iets van gemerkt of iets gezien.

NoScript staat geen scripts toe totdat die, toestaat. Een soort negatieve grondhouding.

[Zjemm]

Webgnome schreef op dinsdag 7 juni 2022 @ 09:36:
[...]


Voor zolang het duurt, de adds zijn van een subdomein van tweakers. Die kun je dus eventueel blokkeren. Of je kunt dat niet doen en tweakers een beetje sponsoren. Een andere oplossing is natuurlijk een abbo.

snap ik, ik neem tweakers even als voorbeeld vanwege de recente wijziging. maar oké helder verhaal

[MAdD]

deHakkelaar schreef op vrijdag 3 juni 2022 @ 19:51:
@MAdD , als je niet weet wat je doet zou ik gewoon de versies installeren die default met je package manager meekomen.
Belangrijke patches zoals voor security etc worden toch ge-backport zolang niet EOL.
En je raakt niet verdwaald in "dependency forrest" als je apt upgrade etc draait in de toekomst.

Pas als je je gaat verdiepen in welke changes er gemaakt zijn kun je een goede keuze maken ofdat je bepaalde nieuwe features of patches nodig hebt:
https://github.com/NLnetL...blob/master/doc/Changelog

code:

zless /usr/share/doc/unbound/changelog.Debian.gz

code:

zless /usr/share/doc/unbound/changelog.gz

Wel zou ik de major versie van je Unbuntu release up to date houden! (EDIT: als je hogere versies beschikbaar wilt hebben)

pi@ph5a:~ $ lsb_release -d
Description:    Raspbian GNU/Linux 10 (buster)

pi@ph5a:~ $ apt policy unbound
unbound:
  Installed: 1.9.0-2+deb10u2
  Candidate: 1.9.0-2+deb10u2

Vs:

pi@ph5b:~ $ lsb_release -d
Description:    Raspbian GNU/Linux 11 (bullseye)

pi@ph5b:~ $ apt policy unbound
unbound:
  Installed: 1.13.1-1
  Candidate: 1.13.1-1

Thanks @deHakkelaar inmiddels de commands gedraaid met het volgende resultaat:

code:

madd@pihole-01-10-20-40-50:~$ lsb_release -d
Description:    Ubuntu 20.04.4 LTS


madd@pihole-01-10-20-40-50:~$ apt policy unbound
unbound:
  Installed: 1.9.4-2ubuntu1.2
  Candidate: 1.9.4-2ubuntu1.2
  Version table:
 *** 1.9.4-2ubuntu1.2 500
        500 http://nl.archive.ubuntu.com/ubuntu focal-updates/universe amd64 Packages
        500 http://nl.archive.ubuntu.com/ubuntu focal-security/universe amd64 Packages
        100 /var/lib/dpkg/status
     1.9.4-2ubuntu1 500
        500 http://nl.archive.ubuntu.com/ubuntu focal/universe amd64 Packages
madd@pihole-01-10-20-40-50:~$

voor nu laat ik even voor wat het is.... misschien een nieuwe VM opzetten om er mee te gaan spelen ..

[jpgview]

voor diegenen die google mail (msmtp) gebruiken om (alert) mails te sturen, zie ook mijn manual, sectie 4.10, deze wijziging bij google zorgt ervoor dat dit niet meer werkt ("authentication failed (method PLAIN)" en "server message: 535-5.7.8 Username and Password not accepted"

Om dit op te lossen moet je:
- 2FA activeren op je google acount (zorg voor voldoende alternatieven, zoals "phone", "google authenticator app", "backup codes"). 2FA is nodig om de optie app password te activeren.
- App password, zie hier, "Create & use App Passwords"

Zodra je het app password hebt, vervang je het password in /etc/msmtprc door het app password, mail verzenden lukt dan opnieuw.

[Stimulate14]

Ik heb hier een Pi4 over, ga deze wellicht inzetten als Hole. Eerst even goed inlezen.

[nero355]

Stimulate14 schreef op woensdag 8 juni 2022 @ 10:42:
Ik heb hier een Pi4 over, ga deze wellicht inzetten als Hole. Eerst even goed inlezen.

Misschien handig om te weten :

Dingen zoals Pi-Hole of PiVPN hebben niet gelijk een Raspberry Pi nodig om te draaien!

Er is geen speciale dependency die aan de hardware gerelateerd is of zo...
Dus je kan ook gewoon een VM/LXC Container of een Intel Atom NUCje of zo ervoor gebruiken!

/EDIT :

Mr.Viper schreef op woensdag 8 juni 2022 @ 16:34:
Of in een docker-container draaien

Dat kan uiteraard ook, maar ik vind het maar ellende dus ik zal dat niemand gauw aanraden...

[ Voor 21% gewijzigd door nero355 op 09-06-2022 15:05 ]

[Mr.Viper]

nero355 schreef op woensdag 8 juni 2022 @ 15:12:
[...]

Misschien handig om te weten :

Dingen zoals Pi-Hole of PiVPN hebben niet gelijk een Raspberry Pi nodig om te draaien!

Er is geen speciale dependency die aan de hardware gerelateerd is of zo...
Dus je kan ook gewoon een VM/LXC Container of een Intel Atom NUCje of zo ervoor gebruiken!

Of in een docker-container draaien

[deHakkelaar]

MAdD schreef op woensdag 8 juni 2022 @ 09:55:
voor nu laat ik even voor wat het is.... misschien een nieuwe VM opzetten om er mee te gaan spelen ..

Verstandig.
Zelf compileren of andere repo's toevoegen met hogere versies geeft vaak later problemen met versies van de dependencies zoals bv als je apt upgrade draait:

pi@ph5b:~ $ apt depends unbound
unbound
  Depends: adduser
  Depends: dns-root-data
  Depends: lsb-base (>= 3.0-6)
  Depends: openssl
  Depends: unbound-anchor
  Depends: libc6 (>= 2.28)
  Depends: libevent-2.1-7 (>= 2.1.8-stable)
  Depends: libprotobuf-c1 (>= 1.0.1)
  Depends: libpython3.9 (>= 3.9.0~b4)
  Depends: libssl1.1 (>= 1.1.1)
  Depends: libsystemd0

pi@ph5b:~ $ apt depends openssl
openssl
  Depends: libc6 (>= 2.15)
  Depends: libssl1.1 (>= 1.1.1)

pi@ph5b:~ $ apt depends libssl1.1
libssl1.1
  Depends: libc6 (>= 2.28)
 |Depends: debconf (>= 0.5)
  Depends: <debconf-2.0>

pi@ph5b:~ $ apt depends libc6
libc6
  Depends: libgcc-s1
  Depends: libcrypt1

Pas als je wat handiger wordt met Linux etc zou ik me er pas aan wagen om zelf te gaan compileren of stoeien met apt repos.
Voordat je het weet zit je tot je nek in de sh.t

[BladeSlayer1000]

Ik heb hier momenteel ook last van dat mijn Oneplus 8 Pro een 2de DNS server insteld met ip 8.8.8.8 de welbekende standaard google DNS...

Ik heb al private DNS uitgezet, en 2* het IP van mijn pihole server ingesteld als DNS server, maar dan blijft de google DNS server nog steeds actief.

Weet iemand hier een oplossing voor?

[nero355]

BladeSlayer1000 schreef op woensdag 15 juni 2022 @ 00:04:
Ik heb hier momenteel ook last van dat mijn Oneplus 8 Pro een 2de DNS server insteld met ip 8.8.8.8 de welbekende standaard google DNS...

Ik heb al private DNS uitgezet, en 2* het IP van mijn pihole server ingesteld als DNS server, maar dan blijft de google DNS server nog steeds actief.

Weet iemand hier een oplossing voor?

DHCP van je Router meerdere keren het IP van Pi-Hole laten uitdelen : 2 tot 4 keer zelfs!

En als die dat niet toelaat dan maak je effe een IP Alias aan en koppel je die aan FTLDNS/DNSmasq in een apart bestandje!

[deHakkelaar]

nero355 schreef op woensdag 15 juni 2022 @ 00:31:
DHCP van je Router meerdere keren het IP van Pi-Hole laten uitdelen : 2 tot 4 keer zelfs!

2 is het minimum.
3 is aangeraden.
4 is overkill

@BladeSlayer1000 , met onderstaande kun je zien/controleren welke DNS server(s) je router uitdeelt:

pi@ph5b:~ $ pihole-FTL dhcp-discover
Scanning all your interfaces for DHCP servers
[..]
   dns-server: 10.0.0.2
   dns-server: 10.0.0.4

En als je router instellingen het niet toelaat om meerdere keren hezelfde Pi-hole IP te laten adverteren voor DNS via DHCP, zou je ook kunnen besluiten om Pi-hole het DHCP gedeelte voor je netwerk over te laten nemen:
https://discourse.pi-hole...-why-would-i-want-to/3026

Zie helemaal onderaan onderstaande berichtje hoe dan meerdere DNS servers te adverteren:
deHakkelaar in "[Pi-Hole] Ervaringen & discussie"

[Stimulate14]

Welke DNS raden jullie aan? Daar lees ik verschillende verhalen over. Zoals ik al had gemeld, heb een Pi4 over die ik wil gaan inzetten als Hole. Gewoon omdat het kan, verder geen spannende andere wensen .