[Pi-Hole] Ervaringen & discussie

[jpgview]

Verwijderd schreef op maandag 16 januari 2023 @ 16:51:
Ik las vandaag over de mogelijk om een Pi-Hole gebruik te laten maken van Secure DNS, zodat je met android apparaten via Private DNS gebruik kunt maken van je Pi-Hole. Weet iemand hier een goede complete handleiding voor, die voor een relatieve leek te gebruiken is?

Ik vermoed dat je een paar dingen (termen) door elkaar haalt.
- om met android van pi-hole gebruik te kunnen maken zijn er twee mogelijk heden, beide gedocumenteerd op de pi-hole docs site: wireguard of openVPN

Verder is de aanbeveling van het pi-hole development team om pihole zelf gebruik te laten maken van unbound als upstream, handleiding hier, omdat je niet wil dat één provider (cloudflare, google, apple, ...) alle queries ziet (dus de domains die jij bezoekt). Door unbound te gebruiken, voorbeeld, weet tweakers dat jij tweakers bezoekt, maar ze hebben géén idee wat je verder nog doet. Wanneer je cloudflared (secure dns - ook gedocumenteerd) als upstream gebruikt hebben ze de mogelijkheid om een overzicht op te bouwen van alle domains die je bezoekt.

Ik verwacht een reply/comment met de privacy statement van cloudflare (ze verzamelen géén data), leuk, tot er weer één of ander misloopt, en je profiel toch op straat ligt...

[Verwijderd]

Ik refereer hier naar: onedutch in 'Pi-hole Core 5.15 / Web 5.18.1 / FTL 5.20.1'

[jpgview]

Verwijderd schreef op maandag 16 januari 2023 @ 17:46:
Ik refereer hier naar: onedutch in 'Pi-hole Core 5.15 / Web 5.18.1 / FTL 5.20.1'

dat is een complex stappenplan, geen idee of het werkt, voor DoT, wat hetzelde probleem geeft als DoH, welliswaar encrypted, maar vanuit het privacy oogpunt géén oplossing die mijn (en de developers) voorkeur geniet.

edit
voor de handleidingen op de pi-hole doc site is het eenvoudig om support te krijgen, open hier een topic als iets niet werkt. Om support te krijgen voor de handleiding (stappenplan), waar je naar verwijst in het tweakers artikel, zal dat iets moeilijker verlopen (denk ik).
/edit

Ik las ook jouw comment (dnscrypt), die oplossing is een gelijkaardige oplossing. Dnscrypt:
- je installeert een client op je pihole.
- aan de receiving end draait een dnscrypt server, met daarachter unbound.
probleem is hier, dat er weliswaar in de lijst word aangegeven welke dnscrypt server loggen, maar, zoals de developpers het zeggen, "The problem: Whom can you trust?"

dnscrypt heeft ook de oDoH (Oblivious DNS over HTTPS) mogelijkheid, vergelijkbaar met icloud private relay. alle queries gaan naar de relay (apple noemt het een proxy), geen logging, de relay stuurt het door naar de DNS server, de DNS server ziet alleen het address van de relay. Dat is de theorie, de relay is ook in beheer van de provider, opnieuw, "Whom can you trust?".

edit2
Misschien een vertekend beeld, maar hier, "Bijna 8 op 10 Vlamingen vertrouwen grote internetbedrijven niet met persoonlijke data"
/edit2

[ Voor 24% gewijzigd door jpgview op 16-01-2023 18:51 . Reden: vrt nws link ]

[Verwijderd]

Ik heb wat meer zitten lezen inderdaad en ga eens even kijken naar Unbound. Thanks!

[Raymond P]

@Verwijderd Een willekeurige dns server die DOH/DOT ondersteunt met je pihole als upstream geconfigureerd kan ook gewoon.

Iets minder 'safe' dan een vpn/tunnel slaan maar de TLS laag + domain name houdt praktisch alle rare traffic tegen.

[Verwijderd]

Ondertussen zit ik een poging te doen om unbound aan de gang te krijgen en ik kom een heel eind, maar zodra ik probeer 127.0.0.1#5335 in te stellen als server in Pi-Hole komen er geen DNS requests meer door...


De commands van de instructie geven volgens mij wel de juiste output terug:

code:

$ dig pi-hole.net @127.0.0.1 -p 5335

; <<>> DiG 9.16.33-Raspbian <<>> pi-hole.net @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12390
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;pi-hole.net.                   IN      A

;; ANSWER SECTION:
pi-hole.net.            204     IN      A       3.18.136.52

;; Query time: 0 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1)
;; WHEN: Mon Jan 16 18:50:20 CET 2023
;; MSG SIZE  rcvd: 56

code:

dig fail01.dnssec.works @127.0.0.1 -p 5335

; <<>> DiG 9.16.33-Raspbian <<>> fail01.dnssec.works @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 4045
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;fail01.dnssec.works.           IN      A

;; Query time: 1619 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1)
;; WHEN: Mon Jan 16 18:50:29 CET 2023
;; MSG SIZE  rcvd: 48

code:

$ dig dnssec.works @127.0.0.1 -p 5335

; <<>> DiG 9.16.33-Raspbian <<>> dnssec.works @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 56782
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;dnssec.works.                  IN      A

;; ANSWER SECTION:
dnssec.works.           3252    IN      A       5.45.107.88

;; Query time: 0 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1)
;; WHEN: Mon Jan 16 18:50:33 CET 2023
;; MSG SIZE  rcvd: 57

Zien jullie iets geks? Moet ik nog specifiek poorten naar buiten open zetten?

[Kopernikus.1979]

Beste,

Graag had ik jullie advies.
Ik draai al een tijdje 2 Raspi 4B die met keepalived in HA staan.
Werkt super.
Echter had ik nu graag PiHole (docker) op mijn Unraid-server gezet en dan de 2de Raspi als backup Pi-Hole.
Nu de vraag is hoe stel ik hiervoor HA in met keepalived?
Misschien met een keepalived container?

[Webgnome]

@Verwijderd hoe heb je pihole geconfigureerd? bij dns 127.0.0.1#5335 opgegeven neem ik aan? Dns bij alle clients geflushed?

Kopernikus.1979 schreef op maandag 16 januari 2023 @ 19:25:
Beste,

Graag had ik jullie advies.
Ik draai al een tijdje 2 Raspi 4B die met keepalived in HA staan.
Werkt super.
Echter had ik nu graag PiHole (docker) op mijn Unraid-server gezet en dan de 2de Raspi als backup Pi-Hole.
Nu de vraag is hoe stel ik hiervoor HA in met keepalived?
Misschien met een keepalived container?

Wat is HA? bedoel je Home Assistent? of bedoel je iets anders?

[ Voor 71% gewijzigd door Webgnome op 16-01-2023 19:26 ]

[Wildfire]

Verwijderd schreef op maandag 16 januari 2023 @ 19:21:

Ondertussen zit ik een poging te doen om unbound aan de gang te krijgen en ik kom een heel eind, maar zodra ik probeer 127.0.0.1#5335 in te stellen als server in Pi-Hole komen er geen DNS requests meer door...

[..]

Ik heb een hele tijd terug de stappen op https://www.wundertech.ne...i-hole-on-a-raspberry-pi/ gevolgd en daarmee kreeg ik Unbound hier probleemloos aan de gang. Misschien eens kijken of je met die stappen het wel werkend krijgt?

[nero355]

Kopernikus.1979 schreef op maandag 16 januari 2023 @ 19:25:
Ik draai al een tijdje 2 Raspi 4B die met keepalived in HA staan.
Werkt super.
Echter had ik nu graag PiHole (docker) op mijn Unraid-server gezet en dan de 2de Raspi als backup Pi-Hole.
Nu de vraag is hoe stel ik hiervoor HA in met keepalived?
Misschien met een keepalived container?

KeepAliveD i.c.m. Pi-Hole FTLDNS Tutorials zijn gewoon @ https://discourse.pi-hole.net/ beschikbaar als je daar effe de Search erbij pakt!

Wildfire schreef op maandag 16 januari 2023 @ 19:25:
Ik heb een hele tijd terug de stappen op https://www.wundertech.ne...i-hole-on-a-raspberry-pi/ gevolgd en daarmee kreeg ik Unbound hier probleemloos aan de gang.

Misschien eens kijken of je met die stappen het wel werkend krijgt?

Letterlijke quote uit dat artikel :

The instructions that we will be following were taken straight from the Pi-hole website that shows how to configure Unbound.

Dus volg gewoon de instructies @ https://docs.pi-hole.net/guides/dns/unbound/ en het komt allemaal wel goed!

[Kopernikus.1979]

[quote]nero355 schreef op maandag 16 januari 2023 @ 19:34:
[...]

KeepAliveD i.c.m. Pi-Hole FTLDNS Tutorials zijn gewoon @ https://discourse.pi-hole.net/ beschikbaar als je daar effe de Search erbij pakt!

De config van KeepAliveD snap ik tussen mijn 2 Raspi Pi-hole's, maar hoe zou ik het aanpakken tussen de Raspi Pihole and deze die draait op een docker container (macvlan) ? Want in de container kan ik volgens ik weet niet KeepAliveD installeren, maar heb gezien dat er wel KeepAliveD containers zijn dus mss via die weg.

[EverLast2002]

Verwijderd schreef op maandag 16 januari 2023 @ 19:21:
Ondertussen zit ik een poging te doen om unbound aan de gang te krijgen en ik kom een heel eind, maar zodra ik probeer 127.0.0.1#5335 in te stellen als server in Pi-Hole komen er geen DNS requests meer door...


De commands van de instructie geven volgens mij wel de juiste output terug:

code:

$ dig pi-hole.net @127.0.0.1 -p 5335

; <<>> DiG 9.16.33-Raspbian <<>> pi-hole.net @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12390
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;pi-hole.net.                   IN      A

;; ANSWER SECTION:
pi-hole.net.            204     IN      A       3.18.136.52

;; Query time: 0 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1)
;; WHEN: Mon Jan 16 18:50:20 CET 2023
;; MSG SIZE  rcvd: 56

code:

dig fail01.dnssec.works @127.0.0.1 -p 5335

; <<>> DiG 9.16.33-Raspbian <<>> fail01.dnssec.works @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 4045
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;fail01.dnssec.works.           IN      A

;; Query time: 1619 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1)
;; WHEN: Mon Jan 16 18:50:29 CET 2023
;; MSG SIZE  rcvd: 48

code:

$ dig dnssec.works @127.0.0.1 -p 5335

; <<>> DiG 9.16.33-Raspbian <<>> dnssec.works @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 56782
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;dnssec.works.                  IN      A

;; ANSWER SECTION:
dnssec.works.           3252    IN      A       5.45.107.88

;; Query time: 0 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1)
;; WHEN: Mon Jan 16 18:50:33 CET 2023
;; MSG SIZE  rcvd: 57

Zien jullie iets geks? Moet ik nog specifiek poorten naar buiten open zetten?

Per ongeluk nergens een typo gemaakt met 5335 en 5353? (ik spreek uit eigen ervaring)

[Wildfire]

nero355 schreef op maandag 16 januari 2023 @ 19:34:
[...]

KeepAliveD i.c.m. Pi-Hole FTLDNS Tutorials zijn gewoon @ https://discourse.pi-hole.net/ beschikbaar als je daar effe de Search erbij pakt!


[...]

Letterlijke quote uit dat artikel :

[...]



Dus volg gewoon de instructies @ https://docs.pi-hole.net/guides/dns/unbound/ en het komt allemaal wel goed!

Klopt, alleen de site die ik noem geeft je puur het stappenplan, de PiHole website bevalt veel meer uitleg er rondom heen.

[Koepert]

Stomme vraag he.. maar als een blocklist " invalid domains" bevat.. Wat doet Pihole dan? Die domeinen eruit filteren of de bloklist dumpen?

Gezien mijn list van 1.7 naar 1.69 miljoen domains is gegaan gok ik dat eerste, maar is het te adviseren daar nog verder iets mee te doen?

[jpgview]

Verwijderd schreef op maandag 16 januari 2023 @ 19:21:
Ondertussen zit ik een poging te doen om unbound aan de gang te krijgen en ik kom een heel eind, maar zodra ik probeer 127.0.0.1#5335 in te stellen als server in Pi-Hole komen er geen DNS requests meer door...

helaas heb je niet gespecifieerd op welke hardware en welk OS je gebruikt. Om géén over en weer te moeten beantwoorden, heb je dit gelezen (raspios bullseye op raspberry pi)?

komt erop neer dat je de file /etc/unbound/unbound.conf.d/resolvconf_resolvers.conf moet deleten en in de file /etc/resolvconf.conf een comment teken voor de unbound lijn moet zetten (dus #unbound_conf=/etc/unb...), daarna unbound herstarten

Koepert schreef op maandag 16 januari 2023 @ 21:23:
Stomme vraag he.. maar als een blocklist " invalid domains" bevat.. Wat doet Pihole dan? Die domeinen eruit filteren of de bloklist dumpen?

invalid domains worden niet in gravity ingelezen, alle andere domains van die lijst worden gewoon toegevoegd. Je moet hier niets voor doen, je kan overwegen om de blocklist maintainer hiervan op de hoogte te brengen, maar meestal haalt dat niet veel uit, die dingen draaien meestal op automatische piloot.

[nero355]

Kopernikus.1979 schreef op maandag 16 januari 2023 @ 19:37:
De config van KeepAliveD snap ik tussen mijn 2 Raspi Pi-hole's, maar hoe zou ik het aanpakken tussen de Raspi Pihole and deze die draait op een docker container (macvlan) ? Want in de container kan ik volgens ik weet niet KeepAliveD installeren, maar heb gezien dat er wel KeepAliveD containers zijn dus mss via die weg.

Ik doe niks met Docker dus geen idee

Wildfire schreef op maandag 16 januari 2023 @ 19:49:
Klopt, alleen de site die ik noem geeft je puur het stappenplan, de PiHole website bevalt veel meer uitleg er rondom heen.

Sorry, maar die website heeft echt 0,0 meerwaarde op dit moment!

Als je gewoon de CODE blokken op de Pi-Hole website volgt dan krijg je hetzelfde resultaat...

[Verwijderd]

jpgview schreef op maandag 16 januari 2023 @ 21:39:
[...]


helaas heb je niet gespecifieerd op welke hardware en welk OS je gebruikt. Om géén over en weer te moeten beantwoorden, heb je dit gelezen (raspios bullseye op raspberry pi)?

komt erop neer dat je de file /etc/unbound/unbound.conf.d/resolvconf_resolvers.conf moet deleten en in de file /etc/resolvconf.conf een comment teken voor de unbound lijn moet zetten (dus #unbound_conf=/etc/unb...), daarna unbound herstarten

Excuses daarvoor. Ik denk dat je me op het juiste pad brengt, zal het later testen. Ik had de entry in de guide wel gelezen, maar had optioneel misschien niet juist geïnterpreteerd. Het hielp daarbij ook niet dat de impact van die optionele configuratie niet helder beschreven staat.

[deHakkelaar]

@Verwijderd , het komt erop neer dat de unbound package ervan uitgaat dat we unbound installeren zodat ook de lokale processen er gebruik van maken (caching etc).
En dat unbound gewoon op de DNS default poort 53 gaat luisteren.
Beiden is niet het geval zoals wij willen dat unbound functioneert in combinatie met pihole-FTL.
We willen namelijk dat unbound op poortje 5335 gaat luisteren en helemaal niet dat lokale processen de eigen DNS service gebruiken voor DNS resolutie.
Die unbound-resolvconf.service systemd unit vernachelt dat namelijk en houdt er totaal geen rekening mee dat we de default poort wijzigen.

Is het je duidelijk wat deze service/unit precies doet?
En hoe zou jij het dan verwoorden naar de gebruikers?

Ik ben de auteur van dat stukje namelijk en het is altijd makkelijker om iets te begrijpen dan dit ook daadwerkelijk te documenteren zodat anderen het snappen
Pull requests op Github zijn altijd welkom:
https://github.com/pi-hole/docs

[deHakkelaar]

Raymond P schreef op maandag 16 januari 2023 @ 18:53:
@Verwijderd Een willekeurige dns server die DOH/DOT ondersteunt met je pihole als upstream geconfigureerd kan ook gewoon.

Ik zou het precies andersom doen.
Dus de DoT/DoH server, bv unbound met DoT, als upstream configuren voor pihole-FTL.
Dan zie je individuele client details en zijn de meeste Pi-hole features beschikbaar zoals client groups etc.

[ Voor 3% gewijzigd door deHakkelaar op 17-01-2023 13:55 ]

[deHakkelaar]

Koepert schreef op maandag 16 januari 2023 @ 21:23:
Stomme vraag he.. maar als een blocklist " invalid domains" bevat.. Wat doet Pihole dan? Die domeinen eruit filteren of de bloklist dumpen?

Gezien mijn list van 1.7 naar 1.69 miljoen domains is gegaan gok ik dat eerste, maar is het te adviseren daar nog verder iets mee te doen?

Ik vermoed ook die eerste dus gewoon niet dat ongeldige domein in de gravity db opvoeren.
Volgens mij zie je hier ook iets van, een melding ofzo, als je de gravity run draait:

code:

pihole -g

[Raymond P]

deHakkelaar schreef op dinsdag 17 januari 2023 @ 13:46:
[...]

Ik zou het precies andersom doen.
Dus de DoT/DoH server, bv unbound met DoT, als upstream configuren voor pihole-FTL.
Dan zie je individuele client details en zijn de meeste Pi-hole features beschikbaar zoals client groups etc.

En wat is dan je entry point?

[deHakkelaar]

@Raymond P ,

code:

Client --> Pi-hole --> DoT service (unbound) --> DoT provider

De clients zelf gebruiken dan geen DoT op je LAN maar zodra het Internet opgaat zijn de verzoekjes encrypted.
EDIT: Anders raak je zoveel leuke PH features kwijt als anders doet.

[ Voor 14% gewijzigd door deHakkelaar op 17-01-2023 14:13 ]

[Raymond P]

@deHakkelaar Dat snap ik. Maar die mobile client buiten LAN dan?

Dat was waar @Verwijderd (volgens mij) en @onedutch naar refereerden.
DOT op je mobiele device zodat je buiten je netwerk ook (makkelijk) pi-hole dekking hebt.

(Upstream DOT/DOH vanaf pi-hole is in NL imho totaal overbodig.)

[deHakkelaar]

@Raymond P , ben soms traag van begrip als net wakker wordt van schoonheidslaapje
Dat betekent toch gewoon weer dat je poortjes op je router moet open gooien/port forwarden etc?
Als je dat toch al gaat doen, waarom dan niet gewoon meteen een VPN ipv je DoT/DoH service blootstellen aan het Internet?

EDIT: Eigenlijk is een VPN service met alleen DNS verzoekjes routed (geen full tunnel) al vergelijkbaar met DoT.
Maar dan zonder dat je DoT publiekelijk adverteert.

[ Voor 21% gewijzigd door deHakkelaar op 17-01-2023 14:29 ]

[Raymond P]

@deHakkelaar Dat klopt.
Een always-on VPN is niet altijd wenselijk of mogelijk en imho net wat lastiger op te zetten. Bij een heel gezin of meerdere gebruikers loop je ook snel tegen limieten/overhead aan.

Iets als Knot exposen met 2 regels config, achter tls en een beetje obfuscation dmv domeinnaam geeft relatief weinig risico.

Edit op jouw edit: yep, maar bij lange na niet zo fool-proof & easy als dot.

[ Voor 10% gewijzigd door Raymond P op 17-01-2023 14:34 ]

[deHakkelaar]

@Raymond P , maar dat is toch het mooie, dezelfde host die Pi-hole draait (always-on) is gemakkelijk om te toveren tot een VPN server voor alleen DNS verzoekjes (bijna DoT dus):
https://docs.pi-hole.net/...openvpn/only-dns-via-vpn/

[deHakkelaar]

Raymond P schreef op dinsdag 17 januari 2023 @ 14:33:
Edit op jouw edit: yep, maar bij lange na niet zo fool-proof & easy als dot.

Ik stel liever m'n VPN service bloot aan het Internet dan welk andere service.

[Raymond P]

@deHakkelaar VPN is niet altijd een optie. Voor mij in ieder geval vaker niet dan wel. (Voordat ik doh/dot ging gebruiken deed ik het ook zo.)
Met always-on bedoel ik overigens de VPN verbinding, niet de hardware/software-stack zelf.

Wat betreft blootstellen, hier is de entry haproxy voor tls offload. Voorheen Nginx en Knot. Ik heb geen enkel probleem met het exposen van ditto enterprise grade software.

[deHakkelaar]

@Raymond P , je praat nu over "edge cases".
Ik heb het over de gemakkelijke weg die wel doorgaans voor de gemiddelde gebruiker valt te bewandelen.
De gemiddelde gebruiker heeft natuurlijk geen haproxy etc

[deHakkelaar]

Ow en nog iets, mogelijk dat je andere zaken naast DoT op je LAN ook wilt kunnen benaderen buitens huis.
En dan is die ééne VPN ingang minder kopzorgen als dat je allemaal services gaat port forwarden op je router.

[Raymond P]

@deHakkelaar Knot met 1 regel config doet hetzelfde. Al komt daar letsencrypt/cert wel bij natuurlijk.
Vandaar mijn suggestie.

Dat mijn setup niet representatief is ben ik mij van bewust.

[Raymond P]

deHakkelaar schreef op dinsdag 17 januari 2023 @ 15:07:
Ow en nog iets, mogelijk dat je andere zaken naast DoT op je LAN ook wilt kunnen benaderen buitens huis.
En dan is die ééne VPN ingang minder kopzorgen als dat je allemaal services gaat port forwarden op je router.

Ja, als je meer wilt is een multitool wellicht handiger.
Ik heb ook een VPN draaien...

[deHakkelaar]

Raymond P schreef op dinsdag 17 januari 2023 @ 15:24:
Ik heb ook een VPN draaien...

Ik niet.
Maar heb wel een VPN service op m'n colo server.
Dan kan ik lekker met 2 PC's aan een multiplayer game deelnemen met 1 in spectator mode zonder dat de admins het door hebben omdat de spectator via VPN gaat (dus ander IP)

[nero355]

deHakkelaar schreef op dinsdag 17 januari 2023 @ 15:39:
Maar heb wel een VPN service op m'n colo server.
Dan kan ik lekker met 2 PC's aan een multiplayer game deelnemen met 1 in spectator mode zonder dat de admins het door hebben omdat de spectator via VPN gaat (dus ander IP)

CHEATER ALERT!!!

[Airw0lf]

Raymond P schreef op dinsdag 17 januari 2023 @ 14:33:
@deHakkelaar Dat klopt.

[...]

Iets als Knot exposen met 2 regels config, achter tls en een beetje obfuscation dmv domeinnaam geeft relatief weinig risico.

Dit klinkt wel heel erg simpel...
Waar kan ik daar meer over vinden (ik heb geen ervaring met KNOT)?

Zou je zoiets met OpnSense ook voor elkaar kunnen krijgen?
Daar draait Unbound al als resolver. Maar daar heb ik nog geen manier kunnen ontdekken om dit voor elkaar te krijgen.

[deHakkelaar]

@Airw0lf , voor unbound en DoT moet je een forward-zone configureren met TLS/SSL aan (zie helemaal onder):

code:

forward-zone:
    name: "."
    # Cloudflare
    forward-addr: 1.1.1.1@853
    forward-addr: 1.0.0.1@853
    # forward-addr: 2606:4700:4700::1111@853
    # forward-addr: 2606:4700:4700::1001@853
    forward-ssl-upstream: yes

https://gist.github.com/j...766258ad5ee6e309aa5ca0a3c

[ Voor 39% gewijzigd door deHakkelaar op 17-01-2023 16:15 ]

[Airw0lf]

deHakkelaar schreef op dinsdag 17 januari 2023 @ 16:13:
@Airw0lf , voor unbound en DoT moet je een forward-zone configureren met TLS/SSL aan (zie helemaal onder):

code:

forward-zone:
    name: "."
    # Cloudflare
    forward-addr: 1.1.1.1@853
    forward-addr: 1.0.0.1@853
    # forward-addr: 2606:4700:4700::1111@853
    # forward-addr: 2606:4700:4700::1001@853
    forward-ssl-upstream: yes

https://gist.github.com/j...766258ad5ee6e309aa5ca0a3c

Ja - die weet ik - en staan er ook zo in. Alleen dan met 1002 en 1112.
Maar dit is als forwarder voor interne clients - toch?

Ik bedoelde andersom:
Ik zou graag via een subdomein een publieke DoT DNS-service willen draaien.
Bijvoorbeeld zoiets als tls://dot.subdomein.nl en dan op poort 853 inclusief valide certificaten en/of wat andere toeters-en-bellen om de zaak onder controle te houden.

[ Voor 11% gewijzigd door Airw0lf op 17-01-2023 16:28 ]

[deHakkelaar]

@Airw0lf , ja ik realiseerde te laat.
Sorry!

[ Voor 25% gewijzigd door deHakkelaar op 17-01-2023 16:26 ]

[Raymond P]

Airw0lf schreef op dinsdag 17 januari 2023 @ 16:09:
[...]


Dit klinkt wel heel erg simpel...
Waar kan ik daar meer over vinden (ik heb geen ervaring met KNOT)?

Zou je zoiets met OpnSense ook voor elkaar kunnen krijgen?
Daar draait Unbound al als resolver. Maar daar heb ik nog geen manier kunnen ontdekken om dit voor elkaar te krijgen.

Knot is relatief simpel te configureren (dot en doh ingebakken): https://knot-resolver.rea...-bindings-net_tlssrv.html

Meer dan een net.listen(protocol) is niet nodig, bovenop de reference naar tls cert (en forward naar pi-hole)

code:

--- LE cert/key
net.tls([cert_path][, key_path])

net.listen('127.0.0.1', 443, { kind = 'doh2' })
net.listen('127.0.0.1', 853, { kind = 'tls' })

--- simpelweg alles forwarden naar pi-hole
policy.add(policy.all(
        policy.FORWARD(
                {'pihole-ip'})
        ))

Je kunt knot dus vrij makkelijk naast unbound draaien.

Unbound moet je builden met nghttp voor DoH: https://unbound.docs.nlne...over-https.html#using-doh
Of DoT ook kan weet ik niet.

Bind9 heeft het ingebakken in recentere builds, ook op basis van nghttp2: https://www.isc.org/blogs/bind-implements-doh-2021/

M.a.w. het is echt heel erg simpel geworden vergeleken met pakweg 4 jaar geleden.

[Verwijderd]

deHakkelaar schreef op dinsdag 17 januari 2023 @ 13:39:
@Verwijderd , het komt erop neer dat de unbound package ervan uitgaat dat we unbound installeren zodat ook de lokale processen er gebruik van maken (caching etc).
En dat unbound gewoon op de DNS default poort 53 gaat luisteren.
Beiden is niet het geval zoals wij willen dat unbound functioneert in combinatie met pihole-FTL.
We willen namelijk dat unbound op poortje 5335 gaat luisteren en helemaal niet dat lokale processen de eigen DNS service gebruiken voor DNS resolutie.
Die unbound-resolvconf.service systemd unit vernachelt dat namelijk en houdt er totaal geen rekening mee dat we de default poort wijzigen.

Is het je duidelijk wat deze service/unit precies doet?
En hoe zou jij het dan verwoorden naar de gebruikers?

Ik ben de auteur van dat stukje namelijk en het is altijd makkelijker om iets te begrijpen dan dit ook daadwerkelijk te documenteren zodat anderen het snappen
Pull requests op Github zijn altijd welkom:
https://github.com/pi-hole/docs

Deze uitleg helpt mij, als relatieve leek, al goed om te begrijpen wat unbound is en doet. Dus sowieso bedankt daarvoor!
Los daarvan had ik natuurlijk ook zelf meer achtergrond kunnen opzoeken, in plaats van alleen dom de handleiding uit te voeren en ervan uit te gaan dat het dan werkt. Zoals ik eerder al schreef heeft de term optioneel me daarin denk ik een beetje op het verkeerde been gezet.

[onedutch]

Hoi Allen,

Het is tweak werk, I did it omdat ik geen additionele software en of handelingen (root/vpn oid) nodig wil hebben op de android telefoons van wife and kids voor advertentie blokken. Privacy en open poorten waren voor mij geen verplichting, add blocking dat werkt seamless binnen & buiten met en zonder wifi of 4g waren wel verplichtingen.

Private DNS is op android telefoon een 'standaard' mogelijkheid, zou mooi zijn dat pi-hole dat ook toevoegd 😊

Grtz Onedutch

[deHakkelaar]

Verwijderd schreef op dinsdag 17 januari 2023 @ 18:35:
Zoals ik eerder al schreef heeft de term optioneel me daarin denk ik een beetje op het verkeerde been gezet.

Ja "recommended" was misschien beter geweest.
Maar omdat al de andere toevoegingen "optional" gebruikten had ik daar toen voor gekozen.
Voor volgende keer mocht ik of iemand anders dit aanpassen

[nero355]

onedutch schreef op dinsdag 17 januari 2023 @ 23:43:
Hoi Allen,

Hoi!

Het is tweak werk, I did it omdat ik geen additionele software en of handelingen (root/vpn oid) nodig wil hebben op de android telefoons van wife and kids voor advertentie blokken. Privacy en open poorten waren voor mij geen verplichting, add blocking dat werkt seamless binnen & buiten met en zonder wifi of 4g waren wel verplichtingen.

Private DNS is op android telefoon een 'standaard' mogelijkheid, zou mooi zijn dat pi-hole dat ook toevoegd 😊

Grtz Onedutch

En nou nog een keer in fatsoenlijk Nederlands met wat meer informatie erbij en zonder het gegroet, want wij Tweakers groeten elkaar constant!

[Ferruginous Hwk]

Hebben jullie ook problemen met https://dbl.oisd.nl?
Deze lijkt niet meer te updaten / te bestaan / of gewoon te weigeren? (pihole zit niet achter een VPN dus een IP-ban lijkt me niet logisch / reeël.

Kan natuurlijk zijn dat er even wat downtime is maar ik krijg een fout bij het updaten van gravity.

[ Voor 8% gewijzigd door Ferruginous Hwk op 18-01-2023 19:38 ]

[Erulezz]

Hier ook connection refused met “list contents were last updated : 10 days ago”

[Pierre]

Toen ik vanmiddag thuis kwam van kantoor even een gravity update gedaan toen had ik geen error nu dus weer wel, afgelopen maandag en gisteren ook die error.

Geen idee wat dat nu is. Ik negeer die error voorlopig

[Webgnome]

site lijkt gewoon plat .. shit happens..?

[deHakkelaar]

pi@ph5b:~ $ curl -IL https://dbl.oisd.nl
curl: (28) Failed to connect to dbl.oisd.nl port 443: Connection timed out

pi@ph5b:~ $ nc -vz dbl.oisd.nl 443
nc: connect to dbl.oisd.nl (51.178.86.254) port 443 (tcp) failed: Connection timed out
nc: connect to dbl.oisd.nl (2001:41d0:404:200::8473) port 443 (tcp) failed: Network is unreachable

EDIT: Plaats watch -n 600 voor 1 van bovenstaande commando's om elke 10 minuten te kijken ofdat hij weer on-line komt ... als ongeduldig bent

[ Voor 17% gewijzigd door deHakkelaar op 18-01-2023 20:12 ]

[bundit]

Op de Reddit pagina van OISD wordt het een en ander verder toegelicht, er is een opstapeling van problemen in de vorm van Murphy: https://www.reddit.com/r/...ecent_happeningsdowntime/

[deHakkelaar]

bundit schreef op woensdag 18 januari 2023 @ 20:34:
Op de Reddit pagina van OISD wordt het een en ander verder toegelicht, er is een opstapeling van problemen in de vorm van Murphy: https://www.reddit.com/r/...ecent_happeningsdowntime/

and pointing the domain to this VPS's IP's again

Ik hoop dat ie de TTL voor z'n DNS records omlaag heeft gebracht voor de werkzaamheden.
Als deze hoog stonden kan het wel even duren voordat dat door alle betrokken DNS systemen sijpelt/propageert.

EDIT: Ow valt wel mee nu op 300 seconde:

pi@ph5b:~ $ dig +short oisd.nl ns
nelci.ns.cloudflare.com.
kai.ns.cloudflare.com.

pi@ph5b:~ $ dig +short nelci.ns.cloudflare.com. a
172.64.34.152
162.159.38.152
108.162.194.152

pi@ph5b:~ $ dig +norecurse +noall +answer @108.162.194.152 dbl.oisd.nl. a
dbl.oisd.nl.            300     IN      A       51.178.86.254

[ Voor 24% gewijzigd door deHakkelaar op 18-01-2023 21:16 ]

[Quad]

https://raw.githubusercon...r/oisd/main/dblw_full.txt

Ik heb deze even gepakt van Github.

[Ferruginous Hwk]

Ik kon vanochtend weer updaten. Hopelijk zijn de issues zoals beschreven in de reddit link van @bundit snel verleden tijd.
Eigenlijk best 'shocking' maar tegelijkertijd erg fascinerend te lezen dat deze populaire lijsten een hele lange tijd ergens op een Nuc-je werden gehost. Laat wel zien hoe ideeen soms ontstaan maar ook hoe kwetsbaar een dienst kan zijn.

bundit schreef op woensdag 18 januari 2023 @ 20:34:
https://www.reddit.com/r/...ecent_happeningsdowntime/

[ Voor 74% gewijzigd door Ferruginous Hwk op 19-01-2023 10:51 . Reden: grote aanvulling. ]

[onedutch]

nero355 schreef op woensdag 18 januari 2023 @ 14:27:
En nou nog een keer in fatsoenlijk Nederlands.

Het zou leuk zijn als Pi-Hole als provider te gebruiken is als Private DNS. Dit zit standaard in Android en is wife/kids proof.

[Webgnome]

Private DNS is gewoon een andere benaming, zover ik zie voor, DOH. En ja dat kan Pihole icm unbound/cloudflare. De zoekfunctie is je vriend in deze.

[Raymond P]

@Webgnome Wat heeft cloudflare daarmee te maken? Unbound lijkt mij ook de meest lastige route die je kunt kiezen. Out of the box kan pi-hole dat momenteel niet.

[Webgnome]

Raymond P schreef op donderdag 19 januari 2023 @ 14:46:
@Webgnome Wat heeft cloudflare daarmee te maken? Unbound lijkt mij ook de meest lastige route die je kunt kiezen. Out of the box kan pi-hole dat momenteel niet.

dit heeft cloudflare er mee te maken. Maar het kan ook in combinatie met Unbound maar volgens mij is dat nog niet zo heel lang geleden besproken.. @deHakkelaar ?

[nero355]

Ferruginous Hwk schreef op woensdag 18 januari 2023 @ 19:36:
Hebben jullie ook problemen met https://dbl.oisd.nl?
Deze lijkt niet meer te updaten / te bestaan / of gewoon te weigeren? (pihole zit niet achter een VPN dus een IP-ban lijkt me niet logisch / reeël.

Kan natuurlijk zijn dat er even wat downtime is maar ik krijg een fout bij het updaten van gravity.

Erulezz schreef op woensdag 18 januari 2023 @ 19:39:
Hier ook connection refused met “list contents were last updated : 10 days ago”

Pierre schreef op woensdag 18 januari 2023 @ 19:45:
Toen ik vanmiddag thuis kwam van kantoor even een gravity update gedaan toen had ik geen error nu dus weer wel, afgelopen maandag en gisteren ook die error.

Geen idee wat dat nu is. Ik negeer die error voorlopig

Quad schreef op woensdag 18 januari 2023 @ 21:19:
https://raw.githubusercon...r/oisd/main/dblw_full.txt

Ik heb deze even gepakt van Github.

Ondertussen is dit blijkbaar de reden :

bundit schreef op woensdag 18 januari 2023 @ 20:34:
Op de Reddit pagina van OISD wordt het een en ander verder toegelicht, er is een opstapeling van problemen in de vorm van Murphy: https://www.reddit.com/r/...ecent_happeningsdowntime/

Maar in de toekomst kan je gewoon @sjhgvr taggen dan wel DM'en voor info of hulp!

Ferruginous Hwk schreef op donderdag 19 januari 2023 @ 10:46:
Ik kon vanochtend weer updaten. Hopelijk zijn de issues zoals beschreven in de reddit link van @bundit snel verleden tijd.
Eigenlijk best 'shocking' maar tegelijkertijd erg fascinerend te lezen dat deze populaire lijsten een hele lange tijd ergens op een Nuc-je werden gehost. Laat wel zien hoe ideeen soms ontstaan maar ook hoe kwetsbaar een dienst kan zijn.

Als ik mijn lijsten erbij pak :

code:

https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts
http://sysctl.org/cameleon/hosts
https://s3.amazonaws.com/lists.disconnect.me/simple_tracking.txt
https://s3.amazonaws.com/lists.disconnect.me/simple_ad.txt
https://raw.githubusercontent.com/jjtbsomhorst/pihole/main/flubot_blocklist.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1136_202106.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1136_202107.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1642_202106.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1642_202107.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1813_202106.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1813_202107.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1905_202106.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1905_202107.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1945_202106.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_1945_202107.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_2931_202106.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_2931_202107.txt
https://github.com/NCSC-NL/flubot/raw/main/dga/flubot_v4.7_202107.txt

Dan zie je dat alles op een of andere zwaar CDN-ed hosting plek staat dus waarom iemand dan de boel zelf zou hosten en dan ook nog eens i.c.m. een ISP die alleen aan dynamische IP adressen doet is mij een raadsel...

[Raymond P]

Webgnome schreef op donderdag 19 januari 2023 @ 15:13:
[...]


dit heeft cloudflare er mee te maken. Maar het kan ook in combinatie met Unbound maar volgens mij is dat nog niet zo heel lang geleden besproken.. @deHakkelaar ?

Dan configureer je pi-hole om upstream DoH te doen. Dat is niet wat bedoeld wordt.

[CH4OS]

schroevendraaier480 schreef op vrijdag 30 december 2022 @ 19:05:
Ik kon zo gauw niet terugvinden hier op het forum of iemand wel eens naar technitium dns server heeft gekeken, dus ik meld mijn ervaringen.

https://technitium.com/dns/

is gratis te gebruiken voor Windows, Mac, Linux, Raspi. Ook is er een docker versie, die gebruik ik zelf.

Installatie van docker container is eenvoudig

code:

docker pull technitium/dns-server:latest

dan met docker compose toevoegen en aanpassen naar behoefte
https://github.com/Techni...master/docker-compose.yml

dan eerste keer aanloggen en admin user aanmaken en vervolgens kan je los gaan op de instellingen. Installeer sowieso de *app* SQLite zodat je de logs in kan kijken.

Wat kan je instellen, anders dan Pihole kan je hier ook een DoT, DoH server van maken. Technitium kent ook allowlists en blocklists. Je kan er ook je eigen domein DNS mee hosten. Caching kan goed worden ingesteld.
Je kan recursive DNS doen, maar ook upstream DoH of DoT en natuurlijk traditioneel DNS. En uiteraard ook fancy grafiekjes over het gebruik.

Jammer dat er zo weinig over te vinden is want het werkt super. Ik heb vanaf mijn Macbook met dnsperf 100k queries er op afgeschoten en geen reconnects of drops, terwijl met diezelfde test Pihole en Aduard nog wel eens een steekje laten vallen.

Dus als je eens wilt experimenteren met zelf hosted DNS ad blockers, kijk dan ook eens naar Technitium DNS.

Interessant! Deze kende ik nog niet. Ik zit zelf met een schuin oog te kijken naar Blocky, als vervanging van mijn Pi-Hole, over deze mijzelf ook maar eens inlezen.

[Webgnome]

Raymond P schreef op donderdag 19 januari 2023 @ 15:28:
[...]


Dan configureer je pi-hole om upstream DoH te doen. Dat is niet wat bedoeld wordt.

ah nee het is precies verkeerd. Het is de bedoeling dat je pihole fungeert als een DOH provider. Volgens mij is dat ook wel eens voorbij gekomen. In ieder geval kon ik dit zo vinden https://scotthelme.co.uk/...relay-and-getting-pihole/

@CH4OS wat kan blocky wat hole niet kan? Want als ik de homepage bekijk lijkt dat aardig hetzelfde..

[ Voor 10% gewijzigd door Webgnome op 19-01-2023 15:37 ]

[CH4OS]

Webgnome schreef op donderdag 19 januari 2023 @ 15:36:
@CH4OS wat kan blocky wat hole niet kan? Want als ik de homepage bekijk lijkt dat aardig hetzelfde..

Is qua functionaliteiten exact hetzelfde. Blocky is echter in Go geschreven en heeft de overhead niet die Pi-Hole wel heeft tov AdGuard Home en Blocky. Zie ook deze video bijvoorbeeld: YouTube: Pi-hole vs AdguardHome vs Blocky En geen eigen admin/beheer pagina, zoals PiHole dat wel heeft. Je kunt namelijk voor Blocky een Grafana dashboard installeren.

[ Voor 11% gewijzigd door CH4OS op 19-01-2023 15:41 ]

[Raymond P]

Webgnome schreef op donderdag 19 januari 2023 @ 15:36:
[...]


ah nee het is precies verkeerd. Het is de bedoeling dat je pihole fungeert als een DOH provider. Volgens mij is dat ook wel eens voorbij gekomen. In ieder geval kon ik dit zo vinden https://scotthelme.co.uk/...relay-and-getting-pihole/

[...]

Yep. Maar zo ouderwets en gecompliceerd als in je link hoeft dus niet meer.

[nero355]

CH4OS schreef op donderdag 19 januari 2023 @ 15:40:
Blocky is echter in Go geschreven en heeft de overhead niet die Pi-Hole wel heeft tov en Blocky.

Die bijna IDLE LOAD haalt inderdaad elke keer mijn Raspberry Pi 3B onderuit!

En geen eigen admin/beheer pagina, zoals PiHole dat wel heeft. Je kunt namelijk voor Blocky een Grafana dashboard installeren.

Leuk als je toevallig Grafana hebt draaien, maar verder gewoon niet handig en Grafana heft ook weer je Go efficiëntie op

[Webgnome]

CH4OS schreef op donderdag 19 januari 2023 @ 15:40:
[...]
Is qua functionaliteiten exact hetzelfde. Blocky is echter in Go geschreven en heeft de overhead niet die Pi-Hole wel heeft tov AdGuard Home en Blocky. Zie ook deze video bijvoorbeeld: YouTube: Pi-hole vs AdguardHome vs Blocky En geen eigen admin/beheer pagina, zoals PiHole dat wel heeft. Je kunt namelijk voor Blocky een Grafana dashboard installeren.

overhead. Oh ja die. Ik weet niet hoe jij pihole gebruikt maar op mijn pi 3b+ met 30k / 40k requests per dag (op een thuiswerkdag) is de average load al te verwaarlozen. Maar iedereen moet doen waar hij zich goed bij voelt.

[Koepert]

Is wel grappig. Ik zit ook nog wel eens te kijken naar een alternatief voor pi-hole.. Omdat (zie ook topichistorie) ik in sommige dingen stukloop op commandline dingen enzo. En dan zie ik AdGuard en dat ziet er netjes uit, werkt prima, maar is in mijn beleving, trager dan pihole, kan ook niet alles en zit soms onlogisch in elkaar. (GUI menu op rare plekken).. Dus dan stap ik maar weer terug.. Want 90% wat IK in pihole moet, kan in de GUI. Dat ik voor die 10% dan soms als een blinde begeleiding nodig ben is dan maar zo..

Maar blocky kan dan snel zijn.. maar een adblocker zonder GUI.. Nope.. Als een site niet werkt wil ik met 3x klikken (bij wijze van) deze kunnen whitelisten ipv de hele config te moeten wroeten.

Als er een alternatief is dat sneller is dan pihole, logischer dan AdGuard en bijna alles in GUI kan hou ik me aanbevolen, maar tot die tijd.. blijf ik bij Pihole met een incidentele overstap naar AdGuard (test t soms ff bij migratie pihole host/onderhoud, dat soort dingen..

Oh en met 50K queries deze load: Load: 0.37 0.33 0.34.. Lijkt me prima.. MEM rond 9.X %.. Dat gaat AdGuard denk ik niet redden.

[ Voor 6% gewijzigd door Koepert op 19-01-2023 16:38 ]

[Airw0lf]

CH4OS schreef op donderdag 19 januari 2023 @ 15:40:
[...]
Is qua functionaliteiten exact hetzelfde. Blocky is echter in Go geschreven en heeft de overhead niet die Pi-Hole wel heeft tov AdGuard Home en Blocky. Zie ook deze video bijvoorbeeld: YouTube: Pi-hole vs AdguardHome vs Blocky En geen eigen admin/beheer pagina, zoals PiHole dat wel heeft. Je kunt namelijk voor Blocky een Grafana dashboard installeren.

Ik weet niet waar je op doelt met "overhead t.o.v. Adguard en Blocky". Maar op basis van een ouwe J1900 CPU haal ik hier een (piek)belasting van 3% met ongeveer 70.000 aanvragen per dag. En dat is dan pihole op bare-metal (met Ubuntu en 7 vlans) i.c.m. 4 docker containers.

Bovendien: mocht je die webGUI echt niet willen gebruiken dan kan dat prima - pihole is ook te gebruiken zonder de webUI!

En uiteraard is er ook een Grafana dashboard:
https://grafana.com/grafana/dashboards/14475-pi-hole-ui/

En v.w.b. de prestatieverschillen tussen de 3: maakt me wel nieuwsgierig - hoe zou de goede man zijn testopstelling eruit gezien hebben?

[Raymond P]

Nja, Go draai je normaliter vanaf een enkele binary die drag/drop zou moeten werken.
Wat dependencies betreft heeft pi-hole daar wel het nakijken.

Als je geen extra device in wilt zetten kan dat handig zijn... Om het voor performance te doen lijkt mij onzinnig, knal er gewoon een tweede enterprise grade dns server vóór die alle performance en functionaliteit biedt die je kan wensen.

[deHakkelaar]

Raymond P schreef op donderdag 19 januari 2023 @ 17:17:
Nja, Go draai je normaliter vanaf een enkele binary die drag/drop zou moeten werken.
Wat dependencies betreft heeft pi-hole daar wel het nakijken.

Er is ook een enkele musl binary voor pihole-FTL zonder deps:
https://github.com/pi-hole/FTL/releases/tag/v5.20.1

EDIT: En zoals @Airw0lf al aankaarte, je hebt geen web GUI nodig dus valt die dep ook weg als je wilt:

pi@ph5b:~ $ pihole -h
Usage: pihole [options]
Example: 'pihole -w -h'
Add '-h' after specific commands for more information on usage

Whitelist/Blacklist Options:
  -w, whitelist       Whitelist domain(s)
  -b, blacklist       Blacklist domain(s)
  --regex, regex      Regex blacklist domains(s)
  --white-regex       Regex whitelist domains(s)
  --wild, wildcard    Wildcard blacklist domain(s)
  --white-wild        Wildcard whitelist domain(s)
                        Add '-h' for more info on whitelist/blacklist usage

Debugging Options:
  -d, debug           Start a debugging session
                        Add '-c' or '--check-database' to include a Pi-hole database integrity check
                        Add '-a' to automatically upload the log to tricorder.pi-hole.net
  -f, flush           Flush the Pi-hole log
  -r, reconfigure     Reconfigure or Repair Pi-hole subsystems
  -t, tail [arg]      View the live output of the Pi-hole log.
                      Add an optional argument to filter the log
                      (regular expressions are supported)


Options:
  -a, admin           Web interface options
                        Add '-h' for more info on Web Interface usage
  -c, chronometer     Calculates stats and displays to an LCD
                        Add '-h' for more info on chronometer usage
  -g, updateGravity   Update the list of ad-serving domains
  -h, --help, help    Show this help dialog
  -l, logging         Specify whether the Pi-hole log should be used
                        Add '-h' for more info on logging usage
  -q, query           Query the adlists for a specified domain
                        Add '-h' for more info on query usage
  -up, updatePihole   Update Pi-hole subsystems
                        Add '--check-only' to exit script before update is performed.
  -v, version         Show installed versions of Pi-hole, Web Interface & FTL
                        Add '-h' for more info on version usage
  uninstall           Uninstall Pi-hole from your system
  status              Display the running status of Pi-hole subsystems
  enable              Enable Pi-hole subsystems
  disable             Disable Pi-hole subsystems
                        Add '-h' for more info on disable usage
  restartdns          Full restart Pi-hole subsystems
                        Add 'reload' to update the lists and flush the cache without restarting the DNS server
                        Add 'reload-lists' to only update the lists WITHOUT flushing the cache or restarting the DNS server
  checkout            Switch Pi-hole subsystems to a different GitHub branch
                        Add '-h' for more info on checkout usage
  arpflush            Flush information stored in Pi-hole's network tables

[ Voor 82% gewijzigd door deHakkelaar op 19-01-2023 18:05 ]

[nero355]

Raymond P schreef op donderdag 19 januari 2023 @ 17:17:
Nja, Go draai je normaliter vanaf een enkele binary die drag/drop zou moeten werken.
Wat dependencies betreft heeft pi-hole daar wel het nakijken.

Volgens mij is men daarmee bezig en moet PHP er als eerste aan geloven in de toekomst

[Raymond P]

@deHakkelaar Ah nice, ga ik zeker eens bekijken als ik tijd heb. Mijn installatie stamt uit het tijdperk dat een volledig schoon os required/recommended was voor een pi-hole install en draait dus in lxc.

[deHakkelaar]

@Raymond P , als ik goed lees istie in leven geroepen voor Alpine ondersteuning.
En als ik goed interpeteer wordt deze ook voor de Docker container toegepast.

EDIT:

dehakkelaar@laptop:~$ wget https://github.com/pi-hole/FTL/releases/download/v5.20.1/pihole-FTL-musl-linux-x86_64
[..]
2023-01-19 19:32:23 (2.86 MB/s) - ‘pihole-FTL-musl-linux-x86_64’ saved [16635208/16635208]

dehakkelaar@laptop:~$ chmod +x pihole-FTL-musl-linux-x86_64
dehakkelaar@laptop:~$

dehakkelaar@laptop:~$ ./pihole-FTL-musl-linux-x86_64 --version
v5.20.1

dehakkelaar@laptop:~$ sudo ./pihole-FTL-musl-linux-x86_64 dhcp-discover
Scanning all your interfaces for DHCP servers
[..]
  Server IP address: 10.0.0.2
[..]

dehakkelaar@laptop:~$ ./pihole-FTL-musl-linux-x86_64 sqlite3 database.db
Pi-hole FTL v5.20.1
SQLite version 3.40.0 2022-11-16 12:10:08
Enter ".help" for usage hints.
sqlite>

[ Voor 70% gewijzigd door deHakkelaar op 19-01-2023 19:38 ]

[Raymond P]

Ah sqlite ontkom je niet aan natuurlijk?

[deHakkelaar]

Idd, de gravity.db wordt gebruikt om de "self-balancing binary search tree" (BST) in RAM te voorzien van z'n data.
EDIT: Daarom noem ik pihole-FTL wel eens een Swiss army knife

[ Voor 25% gewijzigd door deHakkelaar op 19-01-2023 19:58 ]

[Gynnad]

Ik heb sinds gisteren pi-hole actief en volgens het dashboard zijn er 0 blocked queries (van de 8.611 queries in totaal) - ook als ik websites bezoek zie ik nog gewoon advertenties.



Ik maak gebruik van de lijst https://dbl.oisd.nl, echter staat het aantal domeinen in die lijst op N/A wat mij doet vermoeden dat er iets niet helemaal goed is?

Ik zit zelf op het Ziggo netwerk, heb DHCP (voor ipv4 uitgezet op de connectbox en aangezet in pi-hole) - volgens mij hoef je voor de ipv6 adressen niets te doen.

Wie kan mij de goede kant opsturen?

[DaRk PoIsOn]

Gynnad schreef op vrijdag 20 januari 2023 @ 18:46:
Ik heb sinds gisteren pi-hole actief en volgens het dashboard zijn er 0 blocked queries (van de 8.611 queries in totaal) - ook als ik websites bezoek zie ik nog gewoon advertenties.

[Afbeelding]

Ik maak gebruik van de lijst https://dbl.oisd.nl, echter staat het aantal domeinen in die lijst op N/A wat mij doet vermoeden dat er iets niet helemaal goed is?

Ik zit zelf op het Ziggo netwerk, heb DHCP (voor ipv4 uitgezet op de connectbox en aangezet in pi-hole) - volgens mij hoef je voor de ipv6 adressen niets te doen.

Wie kan mij de goede kant opsturen?

[Afbeelding]

De lijst hapert af en toe een beetje. Kon hem de afgelopen dagen ook niet updaten, maar vandaag werkte hij weer

[Webgnome]

@Gynnad zoals je misschien hebt gelezen was er de laatste paar dagen wat gedoe met die lijst. Dus als je nu een pihole -g / gravity update doet dan zou die lijst weer moeten werken

offtopic:
Zelf blijf ik fan van https://blocklist.site/. Aardig up to date en heel veel keuze

[Church of Noise]

Gezien je toch 168k domeinen op je adlist hebt, ligt het niet (alleen) aan het oisd gedoe.
Staat je Pi-Hole als dns server in je router of de relevante toestellen ingesteld?

Query log al bekeken?

Heb je misschien groepen ingesteld?

[Airw0lf]

Gynnad schreef op vrijdag 20 januari 2023 @ 18:46:
Ik heb sinds gisteren pi-hole actief en volgens het dashboard zijn er 0 blocked queries (van de 8.611 queries in totaal) - ook als ik websites bezoek zie ik nog gewoon advertenties.

[Afbeelding]

Ik maak gebruik van de lijst https://dbl.oisd.nl, echter staat het aantal domeinen in die lijst op N/A wat mij doet vermoeden dat er iets niet helemaal goed is?

Ik zit zelf op het Ziggo netwerk, heb DHCP (voor ipv4 uitgezet op de connectbox en aangezet in pi-hole) - volgens mij hoef je voor de ipv6 adressen niets te doen.

Wie kan mij de goede kant opsturen?

Zie ook onderstaande output van mijn Pi-hole: hoe ziet die output er bij jou uit?

# pihole status
  [✓] FTL is listening on port 53
     [✓] UDP (IPv4)
     [✓] TCP (IPv4)
     [✗] UDP (IPv6)
     [✗] TCP (IPv6)

  [✓] Pi-hole blocking is enabled

In de eerste afbeelding zie ik linksboven de onderste helft van iets wat lijkt op een oranje bolletje. Dat zou erop wijzen dat Pi-hole ergens een probleem heeft gedetecteerd.
Kijk eens bij "Tools >> Pi-hole diagnosis" of dat klopt. En wat dan als probleem wordt gezien?

[nero355]

Gynnad schreef op vrijdag 20 januari 2023 @ 18:46:
Ik maak gebruik van de lijst https://dbl.oisd.nl, echter staat het aantal domeinen in die lijst op N/A wat mij doet vermoeden dat er iets niet helemaal goed is?

Naast wat @Airw0lf voorstelt kan je ook effe die lijst wegpleuren en deze toepassen : nero355 in "[Pi-Hole] Ervaringen & discussie"

Dan heb je een bijna standaard configuratie en kan je verder gaan troubleshooten!

[Gynnad]

Webgnome schreef op vrijdag 20 januari 2023 @ 19:10:
@Gynnad zoals je misschien hebt gelezen was er de laatste paar dagen wat gedoe met die lijst. Dus als je nu een pihole -g / gravity update doet dan zou die lijst weer moeten werken

offtopic:
Zelf blijf ik fan van https://blocklist.site/. Aardig up to date en heel veel keuze

Thanks allen - dit lijkt inderdaad het probleem geweest te zijn - nu is er 1 query geblocked inmiddels dus het lijkt te werken - wellicht voor bepaalde websites zelf nog wat toevoegen.

[cocone]

Hallo ik wil graag een pihole op mijn raspberrypi opzetten.
Mijn netwerk ziet er als volgt uit ziggo connect box staat in Bridge Modus daarachter staat een asus ac68u waarvan alle bedrade uitgangen bezet zijn (ziggo TV kastje, nvidia shield en playstation etc)
De Asus is ingesteld als aimesh op eerste verdieping staat de andere asus.
Ik wil de raspberrypi graag bedraad op de Asus die achter de connect box staat aansluiten..
Kan iemand simpel uitleggen (voor een noob) hoe ik 't beste dit aan kan sluiten moet ik nog een netwerk switch aanschaffen??

[W1ck1e]

cocone schreef op maandag 23 januari 2023 @ 11:53:
Hallo ik wil graag een pihole op mijn raspberrypi opzetten.
Mijn netwerk ziet er als volgt uit ziggo connect box staat in Bridge Modus daarachter staat een asus ac68u waarvan alle bedrade uitgangen bezet zijn (ziggo TV kastje, nvidia shield en playstation etc)
De Asus is ingesteld als aimesh op eerste verdieping staat de andere asus.
Ik wil de raspberrypi graag bedraad op de Asus die achter de connect box staat aansluiten..
Kan iemand simpel uitleggen (voor een noob) hoe ik 't beste dit aan kan sluiten moet ik nog een netwerk switch aanschaffen??

Ik heb geen idee wat de "andere asus" is, maar dat zal wel niet veel uitmaken.
Waarschijnlijk heb je een switchje nodig (5 poorts, gigabit, action, tplink, ongeveer een tientje, is voldoende).
Ik neem aan dat van je apparaten (tv, playstation, tv kastje...) wel een aantal samen in één ruimte staan. Plaats de switch in die kamer. Sluit dan de switch aan op 1 van die ethernet kabels. Sluit alle spullen in die kamer aan op de switch. Daardoor heb je minimaal 1 poort vrij op de ac68u router. Sluit daar je pihole raspberry pi op aan.

[ Voor 40% gewijzigd door W1ck1e op 23-01-2023 14:16 ]

[dss58]

cocone schreef op maandag 23 januari 2023 @ 11:53:
Hallo ik wil graag een pihole op mijn raspberrypi opzetten.
Mijn netwerk ziet er als volgt uit ziggo connect box staat in Bridge Modus daarachter staat een asus ac68u waarvan alle bedrade uitgangen bezet zijn (ziggo TV kastje, nvidia shield en playstation etc)
De Asus is ingesteld als aimesh op eerste verdieping staat de andere asus.
Ik wil de raspberrypi graag bedraad op de Asus die achter de connect box staat aansluiten..
Kan iemand simpel uitleggen (voor een noob) hoe ik 't beste dit aan kan sluiten moet ik nog een netwerk switch aanschaffen??

nee

[Eraser127]

@cocone Als je de pi met pi-hole klaar hebt kun je deze gewoon bekabeld aan de router aansluiten en zorgen dat in de router bij je dns instellingen het statische ip-adres van de pi ingevuld is. Dan worden alle aanvragen via de pi doorgestuurd.

[Webgnome]

cocone schreef op maandag 23 januari 2023 @ 11:53:
Hallo ik wil graag een pihole op mijn raspberrypi opzetten.
Mijn netwerk ziet er als volgt uit ziggo connect box staat in Bridge Modus daarachter staat een asus ac68u waarvan alle bedrade uitgangen bezet zijn (ziggo TV kastje, nvidia shield en playstation etc)
De Asus is ingesteld als aimesh op eerste verdieping staat de andere asus.
Ik wil de raspberrypi graag bedraad op de Asus die achter de connect box staat aansluiten..
Kan iemand simpel uitleggen (voor een noob) hoe ik 't beste dit aan kan sluiten moet ik nog een netwerk switch aanschaffen??

• Pihole aan je router hangen via een utp kabel en die in een vrij slot steken op je router
• SSH naar je pihole
• Pihole op je rpi installeren volgens hier
• Eventueel je Ziggo router aanpassen zodat Pihole DHCP doet
• klaar

[andregroeneveld]

Ik blijf maar op deze pagina hangen nadat ik een gravity update gedaan heb.

[Gunner]

@andregroeneveld Wat zegt dat gele uitroepteken?

[andregroeneveld]

Gunner schreef op maandag 23 januari 2023 @ 14:17:
@andregroeneveld Wat zegt dat gele uitroepteken?

Dat de lijst niet aanwezig is maar ik kan hem ook niet handmatig toevoegen.

[Webgnome]

Als je via ssh pihole -g doet wat gebeurt er dan? Die pagina is een frontend daarvoor namelijk

[andregroeneveld]

Webgnome schreef op maandag 23 januari 2023 @ 14:26:
Als je via ssh pihole -g doet wat gebeurt er dan? Die pagina is een frontend daarvoor namelijk

blijft hij ook hangen.

[Webgnome]

wat is de output van de cli? M.a.w. op welk item blijft ie hangen? Kan goed zijn dat het gewoon veel tijd kost om die domeinen in de sqllite database te updaten

[andregroeneveld]

op de dbl.oisd.nl

[ Voor 84% gewijzigd door andregroeneveld op 23-01-2023 14:52 ]

[Eraser127]

@andregroeneveld Zie ook https://www.reddit.com/r/...ecent_happeningsdowntime/

[TheCeet]

Klopt de url wel?
Normaal moet het deze zijn "https://dbl.oisd.nl/"

[Webgnome]

@Eraser127 / @TheCeet De problemen zijn weer voorbij. Er staat retrieval succesfull. Als ik die url probeer krijg ik netjes een txt file terug. (die is dan wel weer 7 mb .) Kan het niet gewoon zo zijn dat de rpi heel veel moeite heeft om die die huge lijst te importeren en daar gewoon even mee bezig is?

@andregroeneveld als je een nieuwe terminal opent naar de rpi en je doet top dan zie je als het goed is dat je rpi heel druk bezig is. Ik weet niet hoe lang je wacht maar dat kan zomaar een paar minuten duren..

[sweetdude]

andregroeneveld schreef op maandag 23 januari 2023 @ 14:50:
op de dbl.oisd.nl

[Afbeelding]

Herkenbaar probleem, enige tijd geleden hier ook al gemeld in het toppic.
Oplossing is inderdaad om de juiste URL te gebruiken (gewoon HTTPS:// ervoorzetten)

[Freee!!]

Webgnome schreef op maandag 23 januari 2023 @ 14:02:
[...]

• Eventueel je Ziggo router aanpassen zodat Pihole DHCP doet

Daar is niks eventueels aan, bij Ziggo modems kan je de DNS niet instellen, dus moet je zorgen, dat je Pi-Hole ook de DHCP doet.

[andregroeneveld]

TheCeet schreef op maandag 23 januari 2023 @ 15:33:
Klopt de url wel?
Normaal moet het deze zijn "https://dbl.oisd.nl/"

Ja, die klopt. Het lijkt er op dat hij na een tijd klaar is en als je dan naar dashboard gaat dan hangt hij en kan ik nergens anders meer naar toe. Vis putty, sudo reboot en dan is hij er weer.

[ Voor 31% gewijzigd door andregroeneveld op 23-01-2023 17:57 ]

[nero355]

andregroeneveld schreef op maandag 23 januari 2023 @ 17:47:
Ja, die klopt. Het lijkt er op dat hij na een tijd klaar is en als je dan naar dashboard gaat dan hangt hij en kan ik nergens anders meer naar toe. Vis putty, sudo reboot en dan is hij er weer.

Ik heb steeds meer het idee dat je microSDXC kaartje corrupt is of misschien alleen wat Pi-Hole gerelateerde bestanden dus misschien is een herinstallatie een idee

/EDIT :

andregroeneveld schreef op dinsdag 24 januari 2023 @ 01:42:
Ik heb alles nieuw gekocht. Zit nu een SSD aan. Ik doe er niets mee. Ligt stil in een kast.

Sinds vanochtend werkt het weer goed

Mooi!

Ik had je dan waarschijnlijk verkeerd begrepen, want het kwam over alsof er meer stuk was dan alleen die eene lijst...

[ Voor 29% gewijzigd door nero355 op 24-01-2023 13:47 ]

[andregroeneveld]

nero355 schreef op maandag 23 januari 2023 @ 18:01:
[...]

Ik heb steeds meer het idee dat je microSDXC kaartje corrupt is of misschien alleen wat Pi-Hole gerelateerde bestanden dus misschien is een herinstallatie een idee

Ik heb alles nieuw gekocht. Zit nu een SSD aan. Ik doe er niets mee. Ligt stil in een kast. Krijg een melding dat hij die ene lijst niet wil laden en dan blijft het zo. Er staat nu een vraagteken bij de lijst en dit staat er dan bij als je op het vraagteken klikt:
Health status of this list: List was not downloaded so far
This list was added to Pi-hole 12 hours ago (2023-01-23 14:01:04)
Database entry was last modified 12 hours ago (2023-01-23 14:01:04)
The list contents were last updated N/A
Number of domains on this list: N/A
Number of non-domains on this list: N/A
Database ID of this list: 11


Sinds vanochtend werkt het weer goed

[ Voor 34% gewijzigd door andregroeneveld op 24-01-2023 11:31 ]