[Pi-Hole] Ervaringen & discussie

[deHakkelaar]

Ow apache2 voor Debian afgeleide doet precies hetzelfde:

$ tree /etc/apache2/conf-*
/etc/apache2/conf-available
|-- apache2-doc.conf
|-- charset.conf
|-- httpoxy.conf
[..]
/etc/apache2/conf-enabled
|-- apache2-doc.conf -> ../conf-available/apache2-doc.conf
|-- charset.conf -> ../conf-available/charset.conf
|-- httpoxy.conf -> ../conf-available/httpoxy.conf
[..]

$ man a2enconf
[..]
NAME
       a2enconf,  a2disconf  -  enable or disable an apache2 configuration file

[ Voor 45% gewijzigd door deHakkelaar op 11-05-2023 01:17 . Reden: verkeerde folders + man page ]

[Slonzo]

Draait er nog iemand de PiHole front-end achter een nginx rProxy? Sinds een aantal maanden/releases geleden krijg ik (via nginx) een hoop CORS errors op de API calls van de front-end. Enkel de API calls, de rest lijkt wel te werken. En enkel via de rProxy; als ik de admin interface rechtstreeks benader via IP, ook geen probleem.

Ik heb nog geen tijd (noch zin) gehad om het probleem verder te bekijken, heeft iemand misschien hetzelfde ervaren?

[nero355]

Slonzo schreef op donderdag 11 mei 2023 @ 09:47:
Draait er nog iemand de PiHole front-end achter een nginx rProxy?

Sinds een aantal maanden/releases geleden krijg ik (via nginx) een hoop CORS errors op de API calls van de front-end.

Volgens mij waren er werkende configs te vinden @ https://discourse.pi-hole.net/ maar zeker weten doe ik het niet, want het zouden ook reguliere "Virtual Hosts" kunnen zijn geweest...

[deHakkelaar]

Tjemig, ik ben ook soms blind

pi@ph5b:~ $ cat /etc/lighttpd/conf-available/README
ligghttpd Configuration under Debian GNU/Linux
==============================================

Files and Directories in /etc/lighttpd:
---------------------------------------

lighttpd.conf:
         main configuration file

conf-available/
        This directory contains a series of .conf files. These files contain
        configuration directives necessary to load and run webserver modules.
        If you want to create your own files they names should be
        build as nn-name.conf where "nn" is two digit number (number
        is used to find order for loading files)

conf-enabled/
        To actually enable a module for lighttpd, it is necessary to create a
        symlink in this directory to the .conf file in conf-available/.

Enabling and disabling modules could be done by provided
/usr/sbin/lighty-enable-mod and /usr/sbin/lighty-disable-mod scripts.

TJEMIG2: zijn dat typos?

ligghttpd Configuration ...

&

they names should be build as ...

[ Voor 5% gewijzigd door deHakkelaar op 11-05-2023 23:52 ]

[EmbarrassedBit]

Slonzo schreef op donderdag 11 mei 2023 @ 09:47:
Draait er nog iemand de PiHole front-end achter een nginx rProxy? Sinds een aantal maanden/releases geleden krijg ik (via nginx) een hoop CORS errors op de API calls van de front-end. Enkel de API calls, de rest lijkt wel te werken. En enkel via de rProxy; als ik de admin interface rechtstreeks benader via IP, ook geen probleem.

Ik heb nog geen tijd (noch zin) gehad om het probleem verder te bekijken, heeft iemand misschien hetzelfde ervaren?

Weet niet veel over webservers, maar deze werkt voor mij om de meegeleverde lighttpd server achter een nginx reverse proxy te plaatsen (om versleuteling toe te voegen en de bediende interfaces te beperken tot de WireGuard interface).

code:

server {
    if ($host = pihole.example.com) {
        return 301 https://$host$request_uri;
    } # managed by Certbot
    listen ubuntu-2gb-nbg1-1.example.com:80;
    server_name pihole.example.com;
    return 301 https://$host:443$request_uri;
}

server {
    listen ubuntu-2gb-nbg1-1.example.com:443 ssl http2;
    server_name pihole.example.com;
    client_max_body_size 0;
    underscores_in_headers on;
    location ~ {
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        add_header Front-End-Https on;  
        proxy_headers_hash_max_size 512;
        proxy_headers_hash_bucket_size 64;
        proxy_buffering off;
        proxy_redirect off;
        proxy_max_temp_file_size 0;
        proxy_pass http://127.0.0.1:60503;
    }
    access_log /var/log/nginx/pihole-server.access.log;
    error_log /var/log/nginx/pihole-server.error.log;
    ssl_certificate /etc/letsencrypt/live/example.com-0001/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com-0001/privkey.pem;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com-0001/chain.pem;
    ssl_stapling_verify on; # managed by Certbot
    ssl_session_tickets on;
    ssl_ciphers "ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305-SHA256:ECDHE-RSA-AES128-GCM-SHA256";
}

[crabe919]

Hello,

Sinds kort een pi hole opgezet, maar momenteel krijg ik mijn settings niet goed. Ik zit in het apple eco systeem.

Voorlopig heb ik volgende ingesteld:

-Ip adress van pihole in mijn router gezet als dns adres
-Gebruik van de iosd blocklist

Problemen:

Apple tv apparaat:
-ik kan niet naar vtmgo en vrt max kijken
-youtube start niet op

Ik heb reeds rond gezocht op internet, maar vind geen info voor vlaams/nederlandse setups.

Ipad / iphone:
-Sites laden zeer traag of niet als ik de dns in de router omleid naar de pihole.
-heb reeds Limit ip adress en priwate wifi afgezet op de apparaten.
-heb reeds BLOCK_ICLOUD_PR=false in pihole-FTL.conf gezet.

Op de vaste imacs werkt alles naar behoren, dit zowel over ethernet als over wifi.

Alle hulp is welkom.

[hjs]

Router? Niet in modem @crabe919 ?

[Eärendil]

hjs schreef op zondag 14 mei 2023 @ 09:51:
Router? Niet in modem @crabe919 ?

Als dat al in twee verschillende apparaten is ondergebracht is dit een functie die bij de router hoort, en niet bij de modem. Bij veel consumentenaansluitingen is de modem/router 1 apparaat.

[sweetdude]

crabe919 schreef op zondag 14 mei 2023 @ 09:16:
Hello,

Sinds kort een pi hole opgezet, maar momenteel krijg ik mijn settings niet goed. Ik zit in het apple eco systeem.

Voorlopig heb ik volgende ingesteld:

-Ip adress van pihole in mijn router gezet als dns adres
-Gebruik van de iosd blocklist

Problemen:

Apple tv apparaat:
-ik kan niet naar vtmgo en vrt max kijken
-youtube start niet op

Ik heb reeds rond gezocht op internet, maar vind geen info voor vlaams/nederlandse setups.

Ipad / iphone:
-Sites laden zeer traag of niet als ik de dns in de router omleid naar de pihole.
-heb reeds Limit ip adress en priwate wifi afgezet op de apparaten.
-heb reeds BLOCK_ICLOUD_PR=false in pihole-FTL.conf gezet.

Op de vaste imacs werkt alles naar behoren, dit zowel over ethernet als over wifi.

Alle hulp is welkom.

Eerste test die je kunt doen voordat je gaat knutselen, doe via de pihole interface even "disable voor 5 minuten" en kijk of het dan wel werkt. dan weet je of PiHole het probleem is of iets anders wat niet goed geconfigureerd is.

Je zegt dat je in het modem/ router je DNS hebt gezet op pihole. Bedoel je dan dat je je DNS die je modem/router gebruikt om webadressen te vinden op PiHole hebt gezet of dat je via DHCP je PiHole als DNS server naar je interne apparaten aan het publiceren bent?
Via DHCP je Pihole adres als DNS publiceren en in je modem/router de DNS van je provider, OpenDNS, cloudflare of iets dergelijks opnemen. is het beste. Je PiHole dient immers ook via je eigen modem/router naar buiten te kunnen om een DNS request te kunnen doen.

Eventueel is er een mooie uitgebreide handleiding van @jpgview die je eventueel nog eens stap voor stap kunt nalopen.

[crabe919]

Op de modem zelf kan ik geen eigen dns server ingeven.
Ik heb een telenet aansluiting met een e modem (lees modem en router in 1)
Deze staat in bridge mode zodat mijn eigen router de router is.
Hierop staat in de dns server het ip adres van de pihole opgegeven.

[sweetdude]

crabe919 schreef op zondag 14 mei 2023 @ 11:17:
Op de modem zelf kan ik geen eigen dns server ingeven.
Ik heb een telenet aansluiting met een e modem (lees modem en router in 1)
Deze staat in bridge mode zodat mijn eigen router de router is.
Hierop staat in de dns server het ip adres van de pihole opgegeven.

Wat heb je voor eigen router dan? want daar dien je dus in de DHCP configuratie aan te geven dat de pihole je DNS server is en de router gaat dat dan kenbaar maken aan alle clients.

Je PiHole gaat nu met je huidige configuratie ook niet naar buiten kunnen omdat je een loop gecreerd hebt.

[EmbarrassedBit]

Wat heb je als upstream DNS ingesteld in de Pi-hole? Je moet minstens iets instellen want anders zit je in een loop, zoals de vorige poster al aan gaf.

Beter is om lokaal een versleutelde DNS-client zoals stubby of dnscrypt-proxy te draaien op een aangepaste poort (ex. 5053) en dan 127.0.0.1#5053 in te geven als upstream DNS voor de Pi-hole.

[crabe919]

Eigen router is een oude apple timecapssule.
In bijlage de settings in mijn eigen router: Ip pihole = 10.0.1.199
dns upstream staat ingesteld op google.

Als ik de pihole naar behoren werkend krijg, ga ik kijken om unbound erbij te koppelen als upstream dns.

[Ferruginous Hwk]

crabe919 schreef op zondag 14 mei 2023 @ 19:52:
Eigen router is een oude apple timecapssule.
In bijlage de settings in mijn eigen router: Ip pihole = 10.0.1.199
dns upstream staat ingesteld op google.

Als ik de pihole naar behoren werkend krijg, ga ik kijken om unbound erbij te koppelen als upstream dns.

[Afbeelding]

Dat lijkt niet helemaal goed te gaan? Heb je nou een Public IP-adres aan de binnenkant geconfigureerd? Of heb je aan de WAN-zijde van je Router een Private IP-adres voor DNS ingesteld? Beiden zijn niet goed.

Je zou voor je interne DHCP-opties van je LAN-zijde dus - ik denk - in je 10.0.1.x reeks de DNS-server naar je pi-hole moeten laten wijzen.

[ Voor 9% gewijzigd door Ferruginous Hwk op 14-05-2023 21:47 ]

[nero355]

crabe919 schreef op zondag 14 mei 2023 @ 19:52:
Eigen router is een oude apple timecapssule.
In bijlage de settings in mijn eigen router: Ip pihole = 10.0.1.199
dns upstream staat ingesteld op google.

Als ik de pihole naar behoren werkend krijg, ga ik kijken om unbound erbij te koppelen als upstream dns.

[Afbeelding]

Het kan ook zo, maar ik vrees dat je Router dat niet leuk vindt net als sommige andere modellen (En het is ook niet echt handig...) dus configureer dat eens aan je LAN kant i.p.v. je WAN kant

[Toet3r]

Na meerdere keren in dit topic te hebben gelezen over pihole in elke vlan zijn eigen adres geven in plaats van zoals ik het nu heb gedaan, in firewall regels te maken die verkeer naar <ip pihole>:53 toestaan. Heb ik een poging ondernomen maar krijg het nog niet voor elkaar.

Dit is wat ik in configuratiebestanden heb toegevoegd, mis ik hierin iets? of wat anders dat ik ben vergeten?

----------------
/etc/dhcpcd.conf
----------------
interface eth0
  static ip_address=192.168.1.5/24
  static routers=192.168.1.1
  static domain_name_servers=127.0.0.1

interface eth0.20
  static ip_address=192.168.20.250/24

interface eth0.30
  static ip_address=192.168.30.250/24

-------------------------------
/etc/network/interfaces.d/vlans
-------------------------------
auto eth0.20
iface eth0.20 inet manual

auto eth0.30
iface eth0.30 inet manaul

-----------------------------
/etc/dnsmasq.d/05-custom.conf
-----------------------------
interface=eth0.20
interface=eth0.30

server=/iot/192.168.20.1
server=/20.168.192.in-addr.arpa/192.168.20.1

server=/guest/192.168.30.1
server=/30.168.192.in-addr.arpa/192.168.30.1

[deHakkelaar]

@Toet3r , er is wat veranderd met de laatste Bullseye release waardoor wat jij hebt gedaan met /etc/network/interfaces.d/vlans niet helemaal meer lekker werkt (naar beneden scrollen naar "Ik wou ff testen..."):
deHakkelaar in "[Pi-Hole] Ervaringen & discussie"

Alhoewel ik geen vlans heb zou ik onder aanraden/proberen.

/etc/dhcpcd.conf (wel <JOUW_DOMEIN> aanpassen!):

code:

[..]
interface eth0
  static ip_address=192.168.1.5/24
  static routers=192.168.1.1
  static domain_name=<JOUW_DOMEIN>
  static domain_name_servers=192.168.1.1

/etc/network/interfaces.d/vlans helemaal verwijderen en onder daarvoor in de plaats.

/lib/dhcpcd/dhcpcd-hooks/15-multihomed :

code:

# vlan20
ip addr del 192.168.20.250/24 dev eth0
ip addr add 192.168.20.250/24 dev eth0

# vlan30
ip addr del 192.168.30.250/24 dev eth0
ip addr add 192.168.30.250/24 dev eth0

/etc/dnsmasq.d/05-custom.conf :

code:

# vlan20
server=/iot/192.168.20.1
rev-server=192.168.20.0/24,192.168.20.1

# vlan30
server=/guest/192.168.30.1
rev-server=192.168.30.0/24,192.168.30.1

EDIT: Ter info voor die laatste wijziging:

pi@ph5b:~ $ man dnsmasq
[..]
       --rev-server=<ip-address>/<prefix-len>[,<ipaddr>][#<port>][@<inter‐
       face>][@<source-ip>[#<port>]]
              This  is  functionally the same as --server, but provides some
              syntactic sugar to  make  specifying  address-to-name  queries
              easier. For example --rev-server=1.2.3.0/24,192.168.0.1 is ex‐
              actly equivalent to --server=/3.2.1.in-addr.arpa/192.168.0.1

[ Voor 19% gewijzigd door deHakkelaar op 15-05-2023 13:29 . Reden: foutje + comments # ]

[deHakkelaar]

sweetdude schreef op zondag 14 mei 2023 @ 11:11:
Eventueel is er een mooie uitgebreide handleiding van @jpgview die je eventueel nog eens stap voor stap kunt nalopen.

Er zitten zoveel fouten/eigenaardigheden in dat ik geenens weet waar te beginnen:

Volledig Windows georienteerd;
"Raspberry Pi® 3 Model";
"Format the SD card";
"ifconfig";
"ssh-keygen -t rsa -C "raspberrypi";
"sudo chown pi:pi";
"Install Webmin";
"sudo nano /etc/systemd/timesyncd.conf";
"If you prefer to use a more robust NTP service";
"curl -L https://install.pi-hole.net | bash";
"You can automatically install updates".

Ik ben halverwege gestopt met lezen want er kraakt gewoon teveel.

EDIT: Tis jammer dat het PDFjes zijn anders had ik misschien nog wat willen corrigeren/bijdragen via Github.

[ Voor 8% gewijzigd door deHakkelaar op 15-05-2023 10:08 ]

[EverLast2002]

Toet3r schreef op maandag 15 mei 2023 @ 08:14:
Na meerdere keren in dit topic te hebben gelezen over pihole in elke vlan zijn eigen adres geven in plaats van zoals ik het nu heb gedaan, in firewall regels te maken die verkeer naar <ip pihole>:53 toestaan. Heb ik een poging ondernomen maar krijg het nog niet voor elkaar.

- wat voor firewall gebruik je
- ik heb zelf ook per vlan een allow rule voor poort 53 en dit werkt perfect
(ik draai OPNsense en AdGuard Home, maar het principe is hetzelfde).

[deHakkelaar]

@Toet3r , ik zag nog een foutje in domain_name_servers= dus nog een keer mijn eerder posting herzien!

[ Voor 16% gewijzigd door deHakkelaar op 15-05-2023 10:15 ]

[Airw0lf]

@Toet3r

Hieronder mijn aanpak uitgaande van Ubuntu (bare metal) en Debian (LXC container).
Met als vertrekpunt dat pihole zowel dhcp als dns server is.
En daarnaast chrony als ntp server.

Binnen de LXC container is enp1s0 vervangen door eth0.
Ook zijn de vlans en subnetten anders omdat het een ander netwerk is.
Maar de pihole aanpak (het format) is in beide netwerken dezelfde.

Of de aanpak via dhcpd en van @deHakkelaar kan werken weet ik niet.
Nooit op die manier iets geprobeerd.

De inhoud van /etc/network/interfaces:

code:

# Office - Wired
auto enp1s0.210
iface enp1s0.210 inet static
    address 192.168.210.235
    netmask 255.255.255.0
    gateway 192.168.210.240
    dns-nameserver 192.168.210.235

# Office - Wifi
auto enp1s0.220
iface enp1s0.220 inet static
    address 192.168.220.235
    netmask 255.255.255.0
    gateway 192.168.220.240
    dns-nameserver 192.168.220.235

# Domotica & IoT
auto enp1s0.230
iface enp1s0.230 inet static
    address 192.168.230.235
    netmask 255.255.255.0
    gateway 192.168.230.240
    dns-nameserver 192.168.230.235

De inhoud van /etc/dnsmasq.d/90-pihole-vlan.conf:

code:

# Office - Wired - 210
domain=wired.itv.lan,192.168.210.0/24,local
dhcp-range=enp1s0.210,192.168.210.11,192.168.210.59,168h
dhcp-option=enp1s0.210,option:router,192.168.210.240
dhcp-option=enp1s0.210,option:dns-server,192.168.210.235
dhcp-option=enp1s0.210,option:ntp-server,192.168.210.235

# Office - Wifi - 220
domain=wifi.itv.lan,192.168.220.0/24,local
dhcp-range=enp1s0.220,192.168.220.11,192.168.220.59,168h
dhcp-option=enp1s0.220,option:router,192.168.220.240
dhcp-option=enp1s0.220,option:dns-server,192.168.220.235
dhcp-option=enp1s0.220,option:ntp-server,192.168.220.235

# Domotica & IoT - 230
domain=iot.itv.lan,192.168.230.0/24,local
dhcp-range=enp1s0.230,192.168.230.11,192.168.230.59,168h
dhcp-option=enp1s0.230,option:router,192.168.230.240
dhcp-option=enp1s0.230,option:dns-server,192.168.230.235
dhcp-option=enp1s0.230,option:ntp-server,192.168.230.235

[ Voor 11% gewijzigd door Airw0lf op 15-05-2023 18:06 ]

[deHakkelaar]

Airw0lf schreef op maandag 15 mei 2023 @ 16:04:
Of de aanpak via dhcpd ne van @deHakkelaar kan werken weet ik niet.
Nooit op die manier iets geprobeerd.

Als je het linkje had geklikt zag je dat het werkt (in ieder geval kwa IP's).
Het is niet dhcpd (de DHCP client server daemon) maar dhcpcd (de DHCP client daemon).
dhcpcd komt standaard OOTB met Pi-OS/Raspbian.
Je kunt dhcpcd ook zien als een soort "network manager" omdat je ook statische gegevens kunt opvoeren (default functioneerd ie als een DHCP client).

Omdat server= en rev-server= door @Toet3r worden toegepast neem ik aan dat Pi-hole niet DHCP doet voor de clients.

[ Voor 1% gewijzigd door deHakkelaar op 27-05-2023 18:45 . Reden: foutje ]

[nero355]

Toet3r schreef op maandag 15 mei 2023 @ 08:14:
Na meerdere keren in dit topic te hebben gelezen over pihole in elke vlan zijn eigen adres geven in plaats van zoals ik het nu heb gedaan, in firewall regels te maken die verkeer naar <ip pihole>:53 toestaan. Heb ik een poging ondernomen maar krijg het nog niet voor elkaar.

Dit is wat ik in configuratiebestanden heb toegevoegd, mis ik hierin iets? of wat anders dat ik ben vergeten?

Het is allemaal prima, net als dit :

deHakkelaar schreef op maandag 15 mei 2023 @ 09:03:
- knip -

of dit :

Airw0lf schreef op maandag 15 mei 2023 @ 16:04:
- knip -

Maar ik zou dat allemaal lekker vergeten en naar dit kijken : nero355 in "Zelfbouw project: Firewall / Router / AP"

Dus alles qua VLAN Interfaces via SystemD regelen i.p.v. één van de andere manieren en de DNSmasq/FTLDNS configuratie kan je gewoon doen zoals je dat al hebt gedaan!

[deHakkelaar]

@nero355 , een mooie methode dat zeker maar die manier en de "old-school way" in datzelfde linkje zijn bedoeld als de host "vlan aware" moet zijn en dat hoeft niet voor Pi-hole ... KISS.
Er hoeft niets getagged te worden.
Dit pas je toe voor bv een virtual switch of als je een hypervisor draait waar trunks moeten propageren.
Corrigeer me als ik fout zit aub?
EDIT: En heb je het zelf al geprobeerd?

[ Voor 5% gewijzigd door deHakkelaar op 15-05-2023 19:00 ]

[nero355]

deHakkelaar schreef op maandag 15 mei 2023 @ 18:58:
@nero355 , een mooie methode dat zeker maar die manier en de "old-school way" in datzelfde linkje zijn bedoeld als de host "vlan aware" moet zijn en dat hoeft niet voor Pi-hole ... KISS.
Er hoeft niets getagged te worden.
Dit pas je toe voor bv een virtual switch of als je een hypervisor draait waar trunks moeten propageren.
Corrigeer me als ik fout zit aub?

Nee, dit zijn gewoon VLAN Interfaces en op die manier voorkom je dus hopelijk dat bijvoorbeeld OpenSSH Server wordt gestart en aan een VLAN Interface wil binden nog voordat die Interface daadwerkelijk UP/UP is

Ik gebruik het nog niet, maar bij de volgende herinstallatie (of als ik een keer flink wat tijd wil doden met zulke dingen) ga ik het dus echt wel zo doen!

Doe je het niet dan speel je in feit een soort Russische Roulette met de bereikbaarheid van je Linux OS via allerlei Services/Daemons en kan je dus niks eventueel eraan finetunen via "Start before/Wait for" statements...

[deHakkelaar]

nero355 schreef op maandag 15 mei 2023 @ 19:04:
Nee, dit zijn gewoon VLAN Interfaces en op die manier voorkom je dus hopelijk dat bijvoorbeeld OpenSSH Server wordt gestart en aan een VLAN Interface wil binden nog voordat die Interface daadwerkelijk UP/UP is

Daarvoor heb je toch onder?

pi@ph5b:~ $ systemctl cat dhcpcd.service
# /lib/systemd/system/dhcpcd.service
[Unit]
Description=DHCP Client Daemon
Wants=network.target
Before=network-online.target
[..]

pi@ph5b:~ $ systemctl cat sshd.service
# /lib/systemd/system/ssh.service
[Unit]
Description=OpenBSD Secure Shell server
Documentation=man:sshd(8) man:sshd_config(5)
After=network.target auditd.service
[..]

pi@ph5b:~ $ man systemd.unit
[..]
       Wants=
           Configures requirement dependencies on other units.
[..]
       Before=, After=
           These two settings expect a space-separated list of unit
           names. They may be specified more than once, in which case
           dependencies for all listed names are created.

           Those two settings configure ordering dependencies between
           units.

[nero355]

deHakkelaar schreef op maandag 15 mei 2023 @ 19:14:
Daarvoor heb je toch onder?

Uhuh!

Maar dat hielp dus echt totaal niet!

En na enkele uren op meerdere dagen ermee prutsen was ik er wel klaar mee...

[deHakkelaar]

@nero355 , wat ik nog kan herinneren was dat je sshd aan een socket had gebonden.
Als je dit niet doet kunnen default OOTB er interfaces met IP's bij komen of weer verdwijnen.
Dus gewoon de default 0.0.0.0 bind.

EDIT: Zie default:

pi@ph5b:~ $ man sshd_config
[..]
     ListenAddress
             Specifies the local addresses sshd(8) should listen on.  The
             following forms may be used:

                   ListenAddress hostname|address [rdomain domain]
                   ListenAddress hostname:port [rdomain domain]
                   ListenAddress IPv4_address:port [rdomain domain]
                   ListenAddress [hostname|address]:port [rdomain domain]

             The optional rdomain qualifier requests sshd(8) listen in an
             explicit routing domain.  If port is not specified, sshd
             will listen on the address and all Port options specified.
             The default is to listen on all local addresses on the cur‐
             rent default routing domain.

[ Voor 65% gewijzigd door deHakkelaar op 15-05-2023 19:25 ]

[nero355]

deHakkelaar schreef op maandag 15 mei 2023 @ 19:20:
@nero355 , wat ik nog kan herinneren was dat je sshd aan een socket had gebonden.
Als je dit niet doet kunnen default OOTB er interfaces met IP's bij komen of weer verdwijnen.
Dus gewoon de default 0.0.0.0 bind.

Ja, maar dan moet je dus ook weer met IPTables/NFTables o.i.d. gaan zitten klooien om je SSHd af te beschermen in een Guest VLAN en dergelijke...

Overigens was zelfs dat binden ook niet helemaal bug free helaas...
Tussen de Documentatie en de praktijk zat een flink verschil !!!

[deHakkelaar]

nero355 schreef op maandag 15 mei 2023 @ 19:25:
Ja, maar dan moet je dus ook weer met IPTables/NFTables o.i.d. gaan zitten klooien om je SSHd af te beschermen in een Guest VLAN en dergelijke...

pi@ph5b:~ $ man sshd_config
[..]
     AllowUsers
             This keyword can be followed by a list of user name pat‐
             terns, separated by spaces.  If specified, login is allowed
             only for user names that match one of the patterns.  Only
             user names are valid; a numerical user ID is not recognized.
             By default, login is allowed for all users.  If the pattern
             takes the form USER@HOST then USER and HOST are separately
             checked, restricting logins to particular users from partic‐
             ular hosts.  HOST criteria may additionally contain ad‐
             dresses to match in CIDR address/masklen format.  The al‐
             low/deny users directives are processed in the following or‐
             der: DenyUsers, AllowUsers.

             See PATTERNS in ssh_config(5) for more information on pat‐
             terns.

Bv:

code:

AllowUsers *@192.168.1.0/24 *@10.10.10.0/30

[ Voor 10% gewijzigd door deHakkelaar op 17-05-2023 08:52 . Reden: subnets ipv hosts ]

[Raymond P]

Een aantal LXC containers hier heeft niet eens sshd draaien.
Als het nodig is dan lxc-attach ik.

Maar een praktisch standaard sshd config is toch wel voldoende veilig? Zou je dat echt nog willen firewallen als je enkel met key auth op non-root users binnen komt (op je interne netwerk...)?

[deHakkelaar]

Raymond P schreef op maandag 15 mei 2023 @ 20:08:
Een aantal LXC containers hier heeft niet eens sshd draaien.
Als het nodig is dan lxc-attach ik.

• Images should contain the bare minimum amount of code necessary to run whichever service or application you are creating the image for. Exclude any non-essential services from the image. For example, in most cases there is no reason to include an SSH server inside a container image because you can log into the container in other, more secure ways. So don’t include SSH.

https://www.itbriefcase.n...ide-to-container-security

[Raymond P]

@deHakkelaar Dat voelt als een half schouderklopje.

Als je zo ver m'n (thuis)netwerk binnen bent dan is de enige belemmering de haperende [c] op het toetsenbord wat aan die server hangt. Een sshd meer of minder maakt dan denk ik niet uit.

[Toet3r]

Bedankt allemaal voor de reacties

nero355 schreef op maandag 15 mei 2023 @ 18:41:
[...]

Het is allemaal prima, net als dit :

[...]

of dit :

[...]

Maar ik zou dat allemaal lekker vergeten en naar dit kijken : nero355 in "Zelfbouw project: Firewall / Router / AP"

Dus alles qua VLAN Interfaces via SystemD regelen i.p.v. één van de andere manieren en de DNSmasq/FTLDNS configuratie kan je gewoon doen zoals je dat al hebt gedaan!

Wat is er beter aan deze methode ten opzichte van de andere die zijn genoemd?

[Raven]

nero355 schreef op maandag 15 mei 2023 @ 19:25:
[...]

Ja, maar dan moet je dus ook weer met IPTables/NFTables o.i.d. gaan zitten klooien om je SSHd af te beschermen in een Guest VLAN en dergelijke...

Default policy drop

[Toet3r]

Raven schreef op dinsdag 16 mei 2023 @ 09:50:
[...]

Default policy drop

Zo heb ik het nu ook ingesteld op mijn pi, en dan paar allow regels voor ssh, http, dns.
nftables gebruiken is eigenlijk beter maar ben te lui om nieuwe syntax te leren.

[Raven]

Toet3r schreef op dinsdag 16 mei 2023 @ 11:48:
[...]

Zo heb ik het nu ook ingesteld op mijn pi, en dan paar allow regels voor ssh, http, dns.
nftables gebruiken is eigenlijk beter maar ben te lui om nieuwe syntax te leren.

Ubuntu Manpage: iptables-translate — translation tool to migrate from iptables to nftables

Herkend overigens niet alles, tenzij die tool een update heeft gehad.

[nero355]

deHakkelaar schreef op maandag 15 mei 2023 @ 19:40:

pi@ph5b:~ $ man sshd_config
[..]
     AllowUsers
             This keyword can be followed by a list of user name pat‐
             terns, separated by spaces.  If specified, login is allowed
             only for user names that match one of the patterns.  Only
             user names are valid; a numerical user ID is not recognized.
             By default, login is allowed for all users.  If the pattern
             takes the form USER@HOST then USER and HOST are separately
             checked, restricting logins to particular users from partic‐
             ular hosts.  HOST criteria may additionally contain ad‐
             dresses to match in CIDR address/masklen format.  The al‐
             low/deny users directives are processed in the following or‐
             der: DenyUsers, AllowUsers.

             See PATTERNS in ssh_config(5) for more information on pat‐
             terns.

Bv:

code:

AllowUsers *@10.10.10.10/24 *@10.20.20.20/30

Dat ken ik allemaal ook wel
Maar dat is dus niet hoe ik het wil hebben!

_{Ik ken de hele LAMP+SSH+Mail zooi en nog wat andere dingen die ik vaak gebruik zowat uit mijn hoofd qua config files!}

deHakkelaar schreef op maandag 15 mei 2023 @ 20:18:
[...]

[...]

https://www.itbriefcase.n...ide-to-container-security

Raymond P schreef op maandag 15 mei 2023 @ 20:08:
Een aantal LXC containers hier heeft niet eens sshd draaien.
Als het nodig is dan lxc-attach ik.

Ik heb geen LXCtjes in gebruik!

Zelfs niet op mijn Proxmox Test bakkie die af en toe aan staat!

Maar een praktisch standaard sshd config is toch wel voldoende veilig?
Zou je dat echt nog willen firewallen als je enkel met key auth op non-root users binnen komt (op je interne netwerk...)?

Ik zeg niet dat die niet veilig is, maar ik wil gewoon graag het een en ander niet gebind hebben op alle Interfaces... dat is alles...

Raven schreef op dinsdag 16 mei 2023 @ 09:50:
Default policy drop

NO.

Toet3r schreef op dinsdag 16 mei 2023 @ 00:17:
Wat is er beter aan deze methode ten opzichte van de andere die zijn genoemd?

NOFI, maar dat heb ik ondertussen wel 3 keer vermeld dus lees effe alles nog een keer GOED door!

[Toet3r]

Raven schreef op dinsdag 16 mei 2023 @ 12:33:
[...]

Ubuntu Manpage: iptables-translate — translation tool to migrate from iptables to nftables

Herkend overigens niet alles, tenzij die tool een update heeft gehad.

Had ik gezien, moet me er misschien toch maar eens in verdiepen.

[Raven]

Toet3r schreef op dinsdag 16 mei 2023 @ 16:23:
[...]

Had ik gezien, moet me er misschien toch maar eens in verdiepen.

... en anders zou je iemand die al nftables gebruikt kunnen vragen naar voorbeelden

[Airw0lf]

nero355 schreef op maandag 15 mei 2023 @ 18:41:
[...]

Dus alles qua VLAN Interfaces via SystemD regelen i.p.v. één van de andere manieren en de DNSmasq/FTLDNS configuratie kan je gewoon doen zoals je dat al hebt gedaan!

Welk afweging(en) heb je hierbij gemaakt?

[deHakkelaar]

Raymond P schreef op maandag 15 mei 2023 @ 21:04:
@deHakkelaar Dat voelt als een half schouderklopje.

Ja zoiets ja
Er waren er wel meerderen die vroegen waarom je niet in je Pi-hole Docker container kunt SSHen.

[nero355]

Airw0lf schreef op woensdag 17 mei 2023 @ 05:52:
Welk afweging(en) heb je hierbij gemaakt?

Leest er dan niemand meer wat er wordt gepost

Speciaal voor jou en

Toet3r schreef op dinsdag 16 mei 2023 @ 00:17:
Wat is er beter aan deze methode ten opzichte van de andere die zijn genoemd?

dan maar nog één laatste keer :

- nero355 in "Zelfbouw project: Firewall / Router / AP"

&

nero355 schreef op maandag 15 mei 2023 @ 19:04:
Nee, dit zijn gewoon VLAN Interfaces en op die manier voorkom je dus hopelijk dat bijvoorbeeld OpenSSH Server wordt gestart en aan een VLAN Interface wil binden nog voordat die Interface daadwerkelijk UP/UP is

Ik gebruik het nog niet, maar bij de volgende herinstallatie (of als ik een keer flink wat tijd wil doden met zulke dingen) ga ik het dus echt wel zo doen!

Doe je het niet dan speel je in feit een soort Russische Roulette met de bereikbaarheid van je Linux OS via allerlei Services/Daemons en kan je dus niks eventueel eraan finetunen via "Start before/Wait for" statements...

&

nero355 schreef op maandag 15 mei 2023 @ 19:16:
[...]

Uhuh!

Maar dat hielp dus echt totaal niet!

En na enkele uren op meerdere dagen ermee prutsen was ik er wel klaar mee...

DUIDELIJK NU

[Airw0lf]

nero355 schreef op woensdag 17 mei 2023 @ 14:13:

[...]

DUIDELIJK NU

Nee - is nog steeds niet duidelijk.

Je schreef:

Dus alles qua VLAN Interfaces via SystemD regelen i.p.v. één van de andere manieren
en de DNSmasq/FTLDNS configuratie kan je gewoon doen zoals je dat al hebt gedaan!

En daar ging mijn vraag over - meer niet!
Dus nogmaals: wat is de afweging geweest om SystemD (versus Pihole) aan te bevelen voor DHCP?

Ik weet waar je voorkeuren liggen als het gaat om de inzet van routers en firewalls.
Maar nogmaals - daar ging mijn vraag niet over.

[ Voor 28% gewijzigd door Airw0lf op 17-05-2023 15:13 ]

[nero355]

Airw0lf schreef op woensdag 17 mei 2023 @ 15:04:
Dus nogmaals: wat is de afweging geweest om SystemD (versus Pihole) aan te bevelen voor DHCP?

Maar nogmaals - daar ging mijn vraag niet over.

En daar ging mijn verhaal ook niet over!

Het gaat hier om SystemD voor VLAN Interfaces gebruiken en niet als DHCP Server laten functioneren!

[Airw0lf]

nero355 schreef op woensdag 17 mei 2023 @ 17:42:
[...]

En daar ging mijn verhaal ook niet over!

Het gaat hier om SystemD voor VLAN Interfaces gebruiken en niet als DHCP Server laten functioneren!

Dat is dan mijn onwetendheid: een verband leggen wat er blijkbaar niet is...

Jaren terug ooit eens naar SystemD gekeken voor de inzet van vlans.
Maar per vlan meerdere losse config bestandjes vond ik maar gedoe.
Dus ben ik blijven hangen in de wereld van /etc/network/interfaces.

Met als resultaat één config bestand met alle vlan interfaces
Daarnaast via pihole/dnsmasq één config bestand met alles rondom dns en dhcp voor die vlans.
En via de webui van pihole alles rondom het management vlan.

Ik vond (en vindt!) dat handiger en overzichtelijker dan de route langs SystemD.
Idem voor de webUI van OpnSense/pfSense: net zo een rommeltje als SystemD.
Ook al omdat de meest essentiele resultaten rondom dhcp/dns zijn terug te vinden via de webUI van pihole.

En daarom ben ik (nog steeds) nieuwsgierig naar de afweging die je gemaakt hebt bij de eerder gedane suggestie.

[ Voor 5% gewijzigd door Airw0lf op 19-05-2023 07:35 ]

[crabe919]

Ferruginous Hwk schreef op zondag 14 mei 2023 @ 21:45:
[...]


Dat lijkt niet helemaal goed te gaan? Heb je nou een Public IP-adres aan de binnenkant geconfigureerd? Of heb je aan de WAN-zijde van je Router een Private IP-adres voor DNS ingesteld? Beiden zijn niet goed.

Je zou voor je interne DHCP-opties van je LAN-zijde dus - ik denk - in je 10.0.1.x reeks de DNS-server naar je pi-hole moeten laten wijzen.

nero355 schreef op zondag 14 mei 2023 @ 21:54:
[...]

Het kan ook zo, maar ik vrees dat je Router dat niet leuk vindt net als sommige andere modellen (En het is ook niet echt handig...) dus configureer dat eens aan je LAN kant i.p.v. je WAN kant

Beiden dezelfde opmerking!:-)
Deze week de pihole enkel met mijn eigen imac, ipad en iphone verbonden (dus niet over de router) en alles werkt naar behoren.
Wat betreft mijn router setup heb ik de info gebruikt die ik terug vond in een reddit post betreffende de connectie van een airport station en de pihole.
Het zal waarschijnlijk aan de router liggen, maar het inkomend adres (naast IPv4) en het router adress zijn idd externe adressen toegewezen door telenet? Deze kan ik zelf niet instellen op deze router.

De dns servers zou ik als pihole moeten istellen cfr reddit...

https://www.reddit.com/r/...tm_medium=web2x&context=3

K denk misschien op zoek te gaan naar een nieuwe router (omada er7206).

[nero355]

crabe919 schreef op donderdag 18 mei 2023 @ 07:53:
Deze week de pihole enkel met mijn eigen imac, ipad en iphone verbonden (dus niet over de router) en alles werkt naar behoren.

Wat betreft mijn router setup heb ik de info gebruikt die ik terug vond in een reddit post betreffende de connectie van een airport station en de pihole.
Het zal waarschijnlijk aan de router liggen, maar het inkomend adres (naast IPv4) en het router adress zijn idd externe adressen toegewezen door telenet? Deze kan ik zelf niet instellen op deze router.

De dns servers zou ik als pihole moeten instellen

Is het niet gewoon zo'n ding : https://www.macinstruct.c...ort-extremes-dns-servers/

Daar wordt dus aan de LAN kant de DNS aangepast als ik het goed zie...

[Nicj56]

Sinds vandaag heb ik Pi-Hole draaien. Werkt goed!

[ Voor 20% gewijzigd door Nicj56 op 20-05-2023 15:09 ]

[KabouterSuper]

Ziezo, eindelijk pihole eens fatsoenlijk werkend gemaakt in mijn huis. Ik werkte op v3.2.1-0-ge602008 via een synology die geen dockers ondersteunt. Nu eindelijk die raspberry pi zero 2 in gebruik genomen die ik al twee jaar klaar had liggen (met pihole v5.16.2).

[ Voor 4% gewijzigd door KabouterSuper op 24-05-2023 09:19 ]

[TheCeet]

Nieuwe update:

Pi-hole FTL v5.23, Web v5.20 and Core v5.17

https://pi-hole.net/blog/...-and-core-v5-17-released/

[bluecupra]

TheCeet schreef op zondag 28 mei 2023 @ 13:16:
Nieuwe update:

Pi-hole FTL v5.23, Web v5.20 and Core v5.17

https://pi-hole.net/blog/...-and-core-v5-17-released/

Met Watchtower nooit meer omkijken naar updates en altijd de laatste versie

[Church of Noise]

bluecupra schreef op zondag 28 mei 2023 @ 19:43:
[...]


Met Watchtower nooit meer omkijken naar updates en altijd de laatste versie

Maar als er eens een breaking change is... Dat is een risico dat je dan neemt natuurlijk.

Ongerelateerd: er is al een update van de update voor de webinterface (AdminLTE) naar v5.20.1, wegens een bug die de blocked queries van de top clients niet toonde. (https://github.com/pi-hol...ues/2596#event-9363105552)

[Freee!!]

Church of Noise schreef op zondag 28 mei 2023 @ 22:56:
[...]
Maar als er eens een breaking change is... Dat is een risico dat je dan neemt natuurlijk.

Daarom heb ik een aantal op een vaste versie gezet, die werk ik handmatig bij als de automatisch bijgewerkte na enige tijd geen problemen geven.

[Witte]

Afgelopen week ook maar eens mijn oude pi-2 uit het stof gehaal en pi-hole opgezet. Werkt briljant, en wordt gevoed door de usb-poort van mijn router

[Raven]

Witte schreef op dinsdag 30 mei 2023 @ 12:34:
en wordt gevoed door de usb-poort van mijn router

Hopelijk levert die wel meer dan de standaard 500mA, anders zou dat bij de wat zwaardere belasting issues kunnen veroorzaken.

[theredspecial]

Ik geloof nog niet dat iemand het al heeft genoemd, maar misschien wordt ik kippig...

Mijn oude OnePlus 6T had last van een verouderende batterij en wordt helaas niet meer ondersteund door Google's Android... dus heb ik er LineageOS op gezet, en hangt* ie nu bijna permanent aan de lader in de meterkast. Van GitHub heb ik Pi-hole for Android geplukt en nu doet de telefoon dienst als Pi-Hole. Mocht je geen Raspberry Pi willen aanschaffen, is dit wellicht een leuke optie om veel advertenties te blokken.

[nero355]

theredspecial schreef op woensdag 31 mei 2023 @ 15:19:
Ik geloof nog niet dat iemand het al heeft genoemd, maar misschien wordt ik kippig...

Mijn oude OnePlus 6T had last van een verouderende batterij en wordt helaas niet meer ondersteund door Google's Android... dus heb ik er LineageOS op gezet, en hangt* ie nu bijna permanent aan de lader in de meterkast. Van GitHub heb ik Pi-hole for Android geplukt en nu doet de telefoon dienst als Pi-Hole. Mocht je geen Raspberry Pi willen aanschaffen, is dit wellicht een leuke optie om veel advertenties te blokken.

[Afbeelding]

NICE!!!

Maar je mag hem ook aan mij doneren zodat ik wat met https://devices.ubuntu-touch.io/device/fajita kan rommelen... eventueel zelfs de batterij vervangen...

[theredspecial]

nero355 schreef op woensdag 31 mei 2023 @ 15:44:
[...]

NICE!!!

Maar je mag hem ook aan mij doneren zodat ik wat met https://devices.ubuntu-touch.io/device/fajita kan rommelen... eventueel zelfs de batterij vervangen...

Ik schrijf het op voor de volgende, want Ubuntu Touch is eigenlijk ook wel eens gaaf om zelf te proberen.

[hlubach]

Verwijderd schreef op woensdag 28 maart 2018 @ 18:16:
[...]

Hoe kunnen jouw apparaten een DNS adres van de Connectbox krijgen als ze hun DHCP request bij de Pi-Hole doen?

Dat de DNS van Ziggo in gebruik blijft op de Connectbox heeft geen invloed op de Pi-Hole werking. Die geeft DHCP (met zijn eigen IP als DNS) aan je apparaten, en Pi-Hole gebruikt weer OpenDNS, GoogleDNS, etc. (net wat jij ingesteld hebt)
Ik neem aan dat je niet de DNS servers van Ziggo hebt geconfigureerd in de Pi-Hole settings?

Heb sinds kort het zwarte ziggo smartwifi modenm
heb de Dhcp op modem uitgeschakeld en daarna in pi hole geactiveerd

Maar dan kan ik niks meer bereiken , kan dan ook niet meer inloggen op modem om het evt terug te zetten , moet modemn
dan resetten

[deHakkelaar]

@hlubach , ik weet niet ofdat dit de juiste plek is om te gaan diagnotiseren want kan wel landurig zijn met heen en weer berichten???
Ik zou voorstellen maak een nieuw draadje aan met details onder:

• HW;
• Bare metal, VM, container;
• OS en versies;
• Log en foutmeldingen;
• Koper of Wifi;
• Kleine uitleg netwerktopologie;
• En welke test clients je ter beschikking hebt om tooltjes op los te laten (Linux, MacOS of Windows).

Als je dan hier een linkje dropt kom ik wel ff kijken?

[jadjong]

hlubach schreef op dinsdag 13 juni 2023 @ 16:47:
[...]


Heb sinds kort het zwarte ziggo smartwifi modenm
heb de Dhcp op modem uitgeschakeld en daarna in pi hole geactiveerd

Maar dan kan ik niks meer bereiken , kan dan ook niet meer inloggen op modem om het evt terug te zetten , moet modemn
dan resetten

Je moet er wel voor zorgen dat de PiHole een vast IP heeft en de DHCP die hij uit geeft overeen komt met de disconnectbox van Ziggo.
Dus de PiHole vast instellen op 192.168.178.100 en DHCP laten beginnen op 192.168.168.101 met 192.168.178.1 als gateway en 192.168.101.1 als DNS.

[deHakkelaar]

jadjong schreef op dinsdag 13 juni 2023 @ 18:03:
[...]
Je moet er wel voor zorgen dat de PiHole een vast IP heeft en de DHCP die hij uit geeft overeen komt met de disconnectbox van Ziggo.
Dus de PiHole vast instellen op 192.168.178.100 en DHCP laten beginnen op 192.168.168.101 met 192.168.178.1 als gateway en 192.168.101.1 als DNS.

Onder gedeelte tussen haakjes is een beetje verwarrend:

Pi-hole needs a static IP address to properly function (a DHCP reservation is just fine).

https://docs.pi-hole.net/main/prerequisites/#ip-addressing

Want een DHCP reservering werkt natuurlijk niet meer als je Pi-hole DHCP laat overnemen

[hlubach]

jadjong schreef op dinsdag 13 juni 2023 @ 18:03:
[...]
Je moet er wel voor zorgen dat de PiHole een vast IP heeft en de DHCP die hij uit geeft overeen komt met de disconnectbox van Ziggo.
Dus de PiHole vast instellen op 192.168.178.100 en DHCP laten beginnen op 192.168.168.101 met 192.168.178.1 als gateway en 192.168.101.1 als DNS.

ik dacht dat het zo makkelijk was Pi hole installeren all vragen beantwoorden en dan dhcp uitschakelen in modem en in Pi hole inschakelen
Pi hole heeft adres 192.168,178,63

[jadjong]

Dit moet werken.

[Airw0lf]

@hlubach :

Mijn glazen bol werkt niet al te best met deze hitte - daarom: overweeg een schets te maken en te posten.

En ook (ik heb niet alles teruggelezen):

• Welke apparaten en IP's zijn verder eventueel in gebruik?
• Is pihole nu alleen dhcp server? Of ook dns server?
• Welk IP's zie je terug op een dhcp-client?
• Zie je clients terug in het pihole dashboard (dns aanvragen)?
• En in de client list van de dhcp settings (dhcp aanvragen)?
• Wie of wat is 192.168.101.1?

Kortom - die ene screenshot zegt niet zo heel veel om effectief te kunnen troubleshooten...

[ Voor 47% gewijzigd door Airw0lf op 14-06-2023 22:48 ]

[Miki]

hlubach schreef op dinsdag 13 juni 2023 @ 22:48:
[...]


ik dacht dat het zo makkelijk was Pi hole installeren all vragen beantwoorden en dan dhcp uitschakelen in modem en in Pi hole inschakelen
Pi hole heeft adres 192.168,178,63[Afbeelding]

Heb je je clients al een nieuwe verbinding laten maken door bijvoorbeeld even het WiFi schuifje van uit-aan te zetten?

En check daarbij ook of IPv6 verbinding onder DHCP instellingen van je Fritzbox nog aanstaat, die moet uit want anders loopt het verkeer niet naar je Pi toe.

[LOTG]

Ik heb een probleem met Pi-Hole en Ansible.

Ik probeer via Ansible in proxmox LXC containers op te zetten, en dan te wachten tot die online zijn zo dat ik het DHCP ip kan opvragen.

Probleem: Pi-hole cached NXDOMAIN responses waardoor de hostname niet meer te vinden is, zelfs na dat de container online is en ik hem in DD-WRT in de lijst van actieve hosts zie staan.

Dus op het moment dat ik een nog niet bestaande hostname query word dit gecached en krijg ik dus nooit meer een response.

Hoe kan ik dit omzeilen?

[Freee!!]

LOTG schreef op zaterdag 17 juni 2023 @ 18:31:
Ik heb een probleem met Pi-Hole en Ansible.

Ik probeer via Ansible in proxmox LXC containers op te zetten, en dan te wachten tot die online zijn zo dat ik het DHCP ip kan opvragen.

Probleem: Pi-hole cached NXDOMAIN responses waardoor de hostname niet meer te vinden is, zelfs na dat de container online is en ik hem in DD-WRT in de lijst van actieve hosts zie staan.

Dus op het moment dat ik een nog niet bestaande hostname query word dit gecached en krijg ik dus nooit meer een response.

Hoe kan ik dit omzeilen?

Cache tijd laag genoeg zetten / cache flushen.

[LOTG]

@Freee!! Het is mij niet helemaal duidelijk waar ik dit kan instellen.

Cache flushen is geen optie, het idee is juist dat ik automatisch een LXC kan aanmaken en starten.

Ik heb wat lopen zoeken maar vind wat tegenstrijdige info over de DNSmasq local-ttl optie en waar je dat zou moeten zetten.

Ook lees ik dat die 2 seconden zou moeten zijn by default maar dat lijkt niet het geval voor deze records.
Ook zie ik dat er een dhcp-ttl zou moeten zijn, maar ook daar weet ik niet waar ik dat moet instellen.

In de Pi-hole config is alleen een block-ttl, maar aangezien het geen block is maar een NXDOMAIN lijkt die mij ook niet van toepassing (en die staat ook standaard op 2).

[Airw0lf]

LOTG schreef op zaterdag 17 juni 2023 @ 18:31:
Ik heb een probleem met Pi-Hole en Ansible.

Ik probeer via Ansible in proxmox LXC containers op te zetten, en dan te wachten tot die online zijn zo dat ik het DHCP ip kan opvragen.

Probleem: Pi-hole cached NXDOMAIN responses waardoor de hostname niet meer te vinden is, zelfs na dat de container online is en ik hem in DD-WRT in de lijst van actieve hosts zie staan.

Dus op het moment dat ik een nog niet bestaande hostname query word dit gecached en krijg ik dus nooit meer een response.

Hoe kan ik dit omzeilen?

Ik begrijp je probleem (denk ik) niet helemaal.

Voor wat het waard is:
Ik maak gebruik van een Proxmox server met daarbinnen verschillende LXC containers en een aantal VM's. Een van die LXC containers bevat Pihole (met nog een paar docker containers).

Die LXC/Pihole container is de enige die een vast, voorgeconfigureerd IP adres heeft op de eth0 en eth0.<vlan> interfaces. De rest - waaronder de Proxmox server zelf(!) - krijgen allemaal een IP adres via DHCP van deze LXC/Pihole container.

Daarom: wat probeer je precies op te lossen met Ansible en "het opvragen van DHCP ip"?

[Freee!!]

LOTG schreef op zaterdag 17 juni 2023 @ 19:00:
@Freee!! Het is mij niet helemaal duidelijk waar ik dit kan instellen.

Cache flushen is geen optie, het idee is juist dat ik automatisch een LXC kan aanmaken en starten.

Ik heb wat lopen zoeken maar vind wat tegenstrijdige info over de DNSmasq local-ttl optie en waar je dat zou moeten zetten.

Ook lees ik dat die 2 seconden zou moeten zijn by default maar dat lijkt niet het geval voor deze records.
Ook zie ik dat er een dhcp-ttl zou moeten zijn, maar ook daar weet ik niet waar ik dat moet instellen.

In de Pi-hole config is alleen een block-ttl, maar aangezien het geen block is maar een NXDOMAIN lijkt die mij ook niet van toepassing (en die staat ook standaard op 2).

Kijk eens naar: https://docs.pi-hole.net/ftldns/dns-cache/
Daar wordt naar verwezen in Settings - System

[deHakkelaar]

LOTG schreef op zaterdag 17 juni 2023 @ 18:31:
Ik heb een probleem met Pi-Hole en Ansible.

Ik probeer via Ansible in proxmox LXC containers op te zetten, en dan te wachten tot die online zijn zo dat ik het DHCP ip kan opvragen.

Probleem: Pi-hole cached NXDOMAIN responses waardoor de hostname niet meer te vinden is, zelfs na dat de container online is en ik hem in DD-WRT in de lijst van actieve hosts zie staan.

Dus op het moment dat ik een nog niet bestaande hostname query word dit gecached en krijg ik dus nooit meer een response.

Hoe kan ik dit omzeilen?

Heb je al een SOA record voor je domein?

The TTL for negative caching is not arbitrary. It is taken from the SOA record at the top of the zone to which the requested record would have belonged, had it existed.

https://serverfault.com/q...ns-caching-typically-last

Mogelijk heb je wat aan onder als je het niet via een SOA kunt doen:

pi@ph5b:~ $ man dnsmasq
[..]
       --neg-ttl=<time>
              Negative replies from  upstream  servers  normally  contain
              time-to-live  information in SOA records which dnsmasq uses
              for caching. If the replies from upstream servers omit this
              information,  dnsmasq does not cache the reply. This option
              gives a default value for time-to-live (in  seconds)  which
              dnsmasq  uses to cache negative replies even in the absence
              of an SOA record.

Mogelijk een andere optie is om zelf een SOA record te adverteren voor je domein:

pi@ph5b:~ $ man dnsmasq
[..]
       --auth-soa=<serial>[,<hostmaster>[,<refresh>[,<retry>[,<ex‐
       piry>]]]]
              Specify fields in the SOA record associated with authorita‐
              tive  zones. Note that this is optional, all the values are
              set to sane defaults.

"Instellen" doe je door die directive (of meerdere) in een nieuw config bestandje te kwakken bv:

pi@ph5b:~ $ sudo nano /etc/dnsmasq.d/99-my-settings.conf
neg-ttl=2

En toepassen met:

code:

pihole restartdns

EDIT: Ow de "negative" TTL is voor onder voorbeeld 86400 seconden:

pi@ph5b:~ $ dig +short @localhost dehakkelaar.nl soa
ns0.XXX.nl. Postmaster.XXX.nl. 2015112001 14400 7200 604800 86400

[ Voor 4% gewijzigd door deHakkelaar op 17-06-2023 20:37 ]

[LOTG]

Freee!! schreef op zaterdag 17 juni 2023 @ 19:26:
[...]

Kijk eens naar: https://docs.pi-hole.net/ftldns/dns-cache/
Daar wordt naar verwezen in Settings - System

Daar is helemaal niets over TTL te vinden, alleen de DNS cache size. Bovendien is het alleen een tabel met waardes en je kunt niets instellen.

Sowieso kun je bijna niets in de UI instellen.

@deHakkelaar
Ik heb geen lokaal domein, tenminste niet op die manier. Ik forward (andere) hostnames naar traefik waar ik https met een certificaat op een lokaal subdomain regel.

Op dit punt heb ik alleen de hostname van de container (dus zonder domein, want gaat niet via traefik) die fijn de cache in gaat als NXDOMAIN omdat die door de router nog niet geadverteerd werd als DHCP record.

Negative TTL werkt ook niet, zowel local-ttl, dhcp-ttl als neg-ttl en geen van die opties lijkt te helpen.

[deHakkelaar]

LOTG schreef op zaterdag 17 juni 2023 @ 20:37:
Negative TTL werkt ook niet ...

Weet je dat zeker?
Had je de logs bekeken vergeleken op het moment van de lookups met en zonder?

code:

pihole -t

EDIT: Ow en kun je die dan ook hiero (redacted) plaatsen svp?

[ Voor 16% gewijzigd door deHakkelaar op 17-06-2023 20:49 ]

[deHakkelaar]

Sorry was een beetje aan het rotzooien met boven antwoord.
Ben nu klaar met gerommel dus ff browser verversen

[LOTG]

deHakkelaar schreef op zaterdag 17 juni 2023 @ 20:43:
[...]

Weet je dat zeker?
Had je de logs bekeken vergeleken op het moment van de lookup?

code:

pihole -t

EDIT: Ow en kun je die dan ook hiero (redacted) plaatsen svp?

Dat weet ik vrij zeker, aangezien de logs de enige plek is om zeker te weten dat het een cached response is.

20:48:09: query[A] test561 from <PC IP>
20:48:09: cached test561 is NXDOMAIN

Ik weet alleen niet hoe ik kan checken wat de dnsmasq config is die nu daadwerkelijk gebruikt word. Misschien wat verder in de logs graven.

Edit:
Er word niet meer dan dat gelogd, alleen nog dat voor de cache response komt de NXDOMAIN van de router komt. Dus alles daarna komt uit de cache en word de router niet meer gequeried.

Tot dat je de DNS resolver reboot, maar dan is de cache ook weg, dan krijg je meteen een record met IP.

[ Voor 18% gewijzigd door LOTG op 17-06-2023 20:56 ]

[deHakkelaar]

@LOTG , dat antwoord weet ik ook niet.
Ff afwachten ofdat iemand anders met wat slims komt.
Of je vraag op Pi-hole Discourse of de Kelleys mailing list plaatsen:

pi@ph5b:~ $ dig +short @localhost chaos txt authors.bind
"Simon Kelley"

[deHakkelaar]

@LOTG , Ik lees net dat je ook DHCP hooks kunt creeren (EDIT: voor Pi-hole's eigen DHCP service):

pi@ph5b:~ $ man dnsmasq
[..]
       -6 --dhcp-script=<path>
              Whenever a new DHCP lease is created, or  an  old  one  de‐
              stroyed,  or a TFTP file transfer completes, the executable
              specified by this option is run.
[..]
              If the client provides a  hostname,  DNSMASQ_SUPPLIED_HOST‐
              NAME

EDIT: Of in Lua:

pi@ph5b:~ $ man dnsmasq
[..]
       --dhcp-luascript=<path>
              Specify  a script written in Lua, to be run when leases are
              created, destroyed or changed.

Lees dat eens door en misschien dat je met wat hacken ea voor elkaar kunt boxen???

Die stukjes uit de man page kun je ook hier terug vinden als deze man page niet is geinstalleerd:
https://thekelleys.org.uk/dnsmasq/docs/dnsmasq-man.html

EDIT2: Ow en houd er rekening mee als welke user dit script wordt opgestart:

pi@ph5b:~ $ ps -C pihole-FTL -o uid,user,gid,group,pid,cmd
  UID USER       GID GROUP      PID CMD
  999 pihole     995 pihole    1396 /usr/bin/pihole-FTL

[ Voor 29% gewijzigd door deHakkelaar op 17-06-2023 22:01 ]

[Freee!!]

LOTG schreef op zaterdag 17 juni 2023 @ 20:37:
[...]
Daar is helemaal niets over TTL te vinden, alleen de DNS cache size. Bovendien is het alleen een tabel met waardes en je kunt niets instellen.

Even doorklikken naar Configuration, kom ik

code:

BLOCK_TTL=2

tegen.

[nero355]

LOTG schreef op zaterdag 17 juni 2023 @ 18:31:
Ik heb een probleem met Pi-Hole en Ansible.

Ik probeer via Ansible in proxmox LXC containers op te zetten, en dan te wachten tot die online zijn zo dat ik het DHCP ip kan opvragen.

Probleem: Pi-hole cached NXDOMAIN responses waardoor de hostname niet meer te vinden is, zelfs na dat de container online is en ik hem in DD-WRT in de lijst van actieve hosts zie staan.

Dus op het moment dat ik een nog niet bestaande hostname query word dit gecached en krijg ik dus nooit meer een response.

Hoe kan ik dit omzeilen?

Misschien een beetje flauw, maar ik moet je vraag met een tegenvraag beantwoorden : Waarom regel je dat niet in een aparte VLAN die niks met Pi-Hole te doen heeft

Bijvoorbeeld een omgeving waarin ook PXE BOOT en dergelijke functionaliteit aanwezig is en als je Host/VM/LXC Container klaar is met de installatie en helemaal geconfigureerd en wel is dat die dan in een ander "Productie VLAN" wordt gestopt

[LOTG]

@Freee!!
Dat is de TTL voor requests die geblokt zijn, mijn request is niet geblokt maar gewoon gecached dat die niet bestaat.

Mijn reactie ging sowieso over de configuratie pagina waar je naar verwees in de pihole UI.

@nero355 Omdat ik dat momenteel niets met VLANs doen en ook geen ervaring er mee heb.

Ik ben bezig om van alles stapsgewijs op te zetten en er staan nog andere dingen op de planning omtrent netwerk inrichting maar voor nu heb ik daar geen zin en tijd voor om dat uit te zoeken.

Mijn setup is nog vrij simpel, en ik ben nu vooral bezig met automatische backup en restore op een ander systeem, waar ik dus tegen dit probleem aan liep.

Ik vind ook vooral mensen met het zelfde issue maar nergens een echte oplossing. Helpt ook niet dat het niet echt duidelijk is hoe het aan de kant van PI-Hole werkt uit hun documentatie.

[Airw0lf]

LOTG schreef op maandag 19 juni 2023 @ 11:04:
Dat is de TTL voor requests die geblokt zijn, mijn request is niet geblokt maar gewoon gecached dat die niet bestaat.

Die vorm van caching kan je toch uit zetten in pihole/dnsmasq: no-negcache.
Of lees ik iets niet goed?

[deHakkelaar]

Airw0lf schreef op maandag 19 juni 2023 @ 11:43:
[...]


Die vorm van caching kan je toch uit zetten in dnsmasq: no-negcache.
Of lees ik iets niet goed?

Deze heb ik helemaal gemist:

pi@ph5b:~ $ man dnsmasq
[..]
       -N, --no-negcache
              Disable negative caching. Negative caching  allows  dnsmasq
              to  remember  "no  such domain" answers from upstream name‐
              servers and answer  identical  queries  without  forwarding
              them again.

[TheCeet]

Na upgrade van Debian Bullseye naar Bookworm werkt Unbound nog perfect, maar als ik de status van Unbound check zie ik:

code:

ExecStartPre=/usr/libexec/unbound-helper root_trust_anchor_update (code=exited, status=1/FAILURE)

Niet echt Pi-hole related, maar ik weet dat er hier verschillende zijn die ook Unbound draaien.
Ik heb wat zitten rondneuzen maar niet meteen iets gevonden wat dit kan oplossen.
Jullie idee?

Indien de post elders thuis hoort, laat ook maar weten

[ Voor 5% gewijzigd door TheCeet op 25-06-2023 23:10 ]

[Church of Noise]

Da's vreemd. Unbound al eens opnieuw geïnstalleerd / compiled?

[deHakkelaar]

TheCeet schreef op zondag 25 juni 2023 @ 23:09:

code:

ExecStartPre=/usr/libexec/unbound-helper root_trust_anchor_update (code=exited, status=1/FAILURE)

Een exit status code anders als nul, zoals 1 boven, is altijd fout.
Nog Bullseye maar:

pi@ph5b:~ $ systemctl cat unbound.service
[..]
ExecStartPre=-/usr/lib/unbound/package-helper root_trust_anchor_update

pi@ph5b:~ $ file /usr/lib/unbound/package-helper
/usr/lib/unbound/package-helper: POSIX shell script, ASCII text executable

pi@ph5b:~ $ less /usr/lib/unbound/package-helper
[..]
UNBOUND_CONF="/etc/unbound/unbound.conf"
UNBOUND_BASE_DIR="$(dirname $UNBOUND_CONF)"
CHROOT_DIR="$(unbound-checkconf -o chroot)"

DNS_ROOT_KEY_FILE="/usr/share/dns/root.key"
ROOT_TRUST_ANCHOR_FILE="/var/lib/unbound/root.key"
[..]
do_root_trust_anchor_update() {
    if $ROOT_TRUST_ANCHOR_UPDATE; then
        if [ -n "$ROOT_TRUST_ANCHOR_FILE" ]; then
            if [ -r "$DNS_ROOT_KEY_FILE" ]; then
                if [ ! -e "$ROOT_TRUST_ANCHOR_FILE" -o "$DNS_ROOT_KEY_FILE" -nt "$ROOT_TRUST_ANCHOR_FILE" ]; then
                    if [ ! -e "$ROOT_TRUST_ANCHOR_FILE" ]; then
                        echo "$ROOT_TRUST_ANCHOR_FILE does not exist, copying from $DNS_ROOT_KEY_FILE"
                    elif [ "$DNS_ROOT_KEY_FILE" -nt "$ROOT_TRUST_ANCHOR_FILE" ]; then
                        echo "Overwriting older file $ROOT_TRUST_ANCHOR_FILE with newer file $DNS_ROOT_KEY_FILE"
                    fi
                    install -m 0644 -o unbound -g unbound "$DNS_ROOT_KEY_FILE" "$ROOT_TRUST_ANCHOR_FILE"
                fi
            fi
        fi
    fi
}

Dat zal het script zijn wat je zult moeten debuggen.
Bij jou dus /usr/libexec/unbound-helper ... vermoed ik

[Airw0lf]

Van het weekend pihole overgezet van bare metal naar een LXC container.
Daarbij de config bestandjes hergebruikt.

Nu duurt het bij een reboot 5 minuten voordat de pihole-FTL service gestart is.
Dat was eerst niet het geval. En is ook niet het geval bij een andere LXC container.

Iemand enig idee wat er aan de hand kan zijn?

[EverLast2002]

Airw0lf schreef op maandag 26 juni 2023 @ 11:23:
Van het weekend pihole overgezet van bare metal naar een LXC container.
Daarbij de config bestandjes hergebruikt.

Nu duurt het bij een reboot 5 minuten voordat de pihole-FTL service gestart is.
Dat was eerst niet het geval. En is ook niet het geval bij een andere LXC container.

Iemand enig idee wat er aan de hand kan zijn?

Wellicht de log file even bekijken?
Ik begrijp je verhaal niet helemaal je hebt 2x pihole containers draaien
waarvan 1 die vertraging met FTL heeft?

[Airw0lf]

EverLast2002 schreef op maandag 26 juni 2023 @ 11:42:
[...]
Wellicht de log file even bekijken?

Heb ik gedaan - niks te zien - anders dan dat het 5 minuten duurt (iets langer zelfs)...

code:

[2023-06-26 08:19:46.066 1305M] ########## FTL terminated after 8h 17m 22s  (code 0)! ##########
[2023-06-26 08:27:22.978 1359M] Using log file /var/log/pihole/FTL.log
[2023-06-26 08:27:22.978 1359M] ########## FTL started on morpheus! ##########

Dit is de FTL-log van een reboot - gestopt om 8:19 en opnieuw gestart om 8:27.
Tot aan "FTL is running as user pihole" en "Blocking status is enabled" duurt 2 seconden

Terwijl ik om 8:20 wel via ssh kan inloggen en service pihole-FTL status kan doen.
Die dan uiteraard niet actief is.

Ik begrijp je verhaal niet helemaal je hebt 2x pihole containers draaien
waarvan 1 die vertraging met FTL heeft?

Ja - klopt - precies dat.
Voor de volledigheid (nogmaals) - het zijn LXC containers.

[ Voor 7% gewijzigd door Airw0lf op 26-06-2023 11:58 ]

[Raymond P]

@Airw0lf Als je enkel de service restart ipv een "volledige" reboot, duurt het dan ook 5 minuten?

[Airw0lf]

Raymond P schreef op maandag 26 juni 2023 @ 11:59:
@Airw0lf Als je enkel de service restart ipv een "volledige" reboot, duurt het dan ook 5 minuten?

Nee - dan niet - binnen 1-2 seconden is ie weer terug...

[Raymond P]

Service ff aanpassen, debug flag erbij zetten?

code:

ExecStart=/usr/bin/pihole-FTL d -f

Geen idee of handmatig runnen (als root) issues geeft, vast wel.

[EverLast2002]

Airw0lf schreef op maandag 26 juni 2023 @ 11:50:
[...]


Heb ik gedaan - niks te zien - anders dan dat het 5 minuten duurt (iets langer zelfs)...

code:

[2023-06-26 08:19:46.066 1305M] ########## FTL terminated after 8h 17m 22s  (code 0)! ##########
[2023-06-26 08:27:22.978 1359M] Using log file /var/log/pihole/FTL.log
[2023-06-26 08:27:22.978 1359M] ########## FTL started on morpheus! ##########

Dit is de FTL-log van een reboot - gestopt om 8:19 en opnieuw gestart om 8:27.
Tot aan "FTL is running as user pihole" en "Blocking status is enabled" duurt 2 seconden

Terwijl ik om 8:20 wel via ssh kan inloggen en service pihole-FTL status kan doen.
Die dan uiteraard niet actief is.


[...]

Ja - klopt - precies dat.
Voor de volledigheid (nogmaals) - het zijn LXC containers.

Ik denk dat je Proxmox gebruikt met LXC?
Anders even een clone maken van de goede snelle pihole, dat is zo gedaan.

[Airw0lf]

EverLast2002 schreef op maandag 26 juni 2023 @ 12:34:
[...]


Ik denk dat je Proxmox gebruikt met LXC?
Anders even een clone maken van de goede snelle pihole, dat is zo gedaan.

Klopt - maar deze move was (ook) gedaan om van Ubuntu af te komen (de snelle LXC container is gebaseerd op Ubuntu). Lees: een nieuwe, op Debian gebaseerde LXC container die dan gekopieerd wordt naar de anderen; waaronder die met pihole.

[EverLast2002]

Airw0lf schreef op maandag 26 juni 2023 @ 13:13:
[...]


Klopt - maar deze move was (ook) gedaan om van Ubuntu af te komen (de snelle LXC container is gebaseerd op Ubuntu). Lees: een nieuwe, op Debian gebaseerde LXC container die dan gekopieerd wordt naar de anderen; waaronder die met pihole.

En waarom de voorkeur voor Debian i.p.v. Ubuntu?
Als je echt een snelle container wilt draaien kijk dan eens naar Alpine LXC.

[GarBaGe]

Heeft iemand de PiHole docker image "pihole/pihole" draaien?
Hoeveel resources (RAM en disk) heeft deze ongeveer nodig?

Ik wil kijken of ik deze op mijn router kan draaien, maar deze heeft best weinig resources beschikbaar.
Voor disk, kan ik een USB stick gebruiken, maar voor RAM heeft de router slechts 256MB totaal, waarvan hooguit 180MB beschikbaar is voor Docker images.
Dus, ideaal zou 32 of 64MB zijn (als max).

[Airw0lf]

EverLast2002 schreef op maandag 26 juni 2023 @ 13:25:
[...]


En waarom de voorkeur voor Debian i.p.v. Ubuntu?
Als je echt een snelle container wilt draaien kijk dan eens naar Alpine LXC.

Ik wil zoveel mogelijk dezelfde OS-smaak gebruiken.
En aangezien Proxmox enkel met Debian wil draaien...

[EverLast2002]

Airw0lf schreef op maandag 26 juni 2023 @ 13:30:
[...]


Ik wil zoveel mogelijk dezelfde OS-smaak gebruiken.
En aangezien Proxmox enkel met Debian wil draaien...

Euh.........?
Proxmox draait onder de motorkap op Debian ja.
Maar je kan allerlei LXC smaken kiezen, van AlmaLinux tot Ubuntu.
doe maar eens "pveam update && pveam available" in je PVE Shell.....

[Airw0lf]

EverLast2002 schreef op maandag 26 juni 2023 @ 13:45:
[...]

Euh.........?
Proxmox draait onder de motorkap op Debian ja.
Maar je kan allerlei LXC smaken kiezen, van AlmaLinux tot Ubuntu.
doe maar eens "pveam update && pveam available" in je PVE Shell.....

Ja - ik ben me bewust van de mogelijkheden/flexibiliteit.
Maar tenzij het een voorgebakken Docker container is streef ik er naar om overal Debian in te zetten.