[AdGuard Home] Ervaringen & discussie

[michelk31]

sjongenelen schreef op woensdag 28 september 2022 @ 14:12:
Het commando 'nslookup' is ook handig

E.g. 'nslookup www.tweakers.net' laat je zien welke dns server gebruikt wordt.
'nslookup www.tweakers.net 1.1.1.1' doet hetzelfde, maar gebruikt dan het gegeven IP als dns server.

Handig voor dns problemen debuggen

Hieronder zie je de resultaten van de NSlookup commando
1 x tweakers.net zonder een IP adres
1 x naar het ip adres dat men voorstelt

[ Voor 4% gewijzigd door michelk31 op 28-09-2022 14:25 ]

[ariekanari]

Dat is een overnamefout van mij 192.168.50.9 moet inderdaad 192.168.1.9 zijn.

(uit jouw eerdere post https://gathering.tweakers.net/forum/list_message/72936654#72936654, met een screenshot van de Asus en AdGuardHome op 192.168.1.9.)
Uit hetzelfde screenshot: heb je ook geprobeerd om "Advertise routers IP in addition to user specified DNS" uit te zetten? Al heb ik geen idee wat deze functie precies doet.

[michelk31]

ariekanari schreef op woensdag 28 september 2022 @ 15:18:
Dat is een overnamefout van mij 192.168.50.9 moet inderdaad 192.168.1.9 zijn.

(uit jouw eerdere post https://gathering.tweakers.net/forum/list_message/72936654#72936654, met een screenshot van de Asus en AdGuardHome op 192.168.1.9.)
Uit hetzelfde screenshot: heb je ook geprobeerd om "Advertise routers IP in addition to user specified DNS" uit te zetten? Al heb ik geen idee wat deze functie precies doet.

Ok, ik heb ondertussen één en andere geprobeerd.
De DNS staat op 192.168.1.9 op de router. Maar ik blijf reclame binnenkrijgen.
Ik heb daarnaast ook een aantal DNS blokkeer lijsten toegevoegd. (zie bijlage)
Ik heb ondertussen 13.000 queries en 32 daarvan zijn geblokeerd door filters .
Ik heb het gevoel dat er geen filter staat ingesteld?

Heeft iemand anders nog tips?

[ Voor 12% gewijzigd door michelk31 op 28-09-2022 15:30 ]

[sjongenelen]

De blocking list van een tweaker is erg nice en is eigenlijk mijn einige

https://abp.oisd.nl/

[ Voor 17% gewijzigd door sjongenelen op 28-09-2022 16:24 ]

[sjongenelen]

Oh ja: als je cliënt het IP van een DNS heeft gekregen, blijft die even geldig. Mogelijk staat de vlboel dus goed bij je

[Airw0lf]

michelk31 schreef op woensdag 28 september 2022 @ 14:17:

[...]

Ik begrijp de situatie in de afbeeldingen niet zo.
Ik weet niet beter als onder WAN-IP heb je één IP adres staan.

Als daar een router voor zit dan is het een private IP adres.
Bijvoorbeeld 192.168.1.1 of 192.168.1.9.

Is het een Ziggo modem in bridge mode dan is het een publiek IP-adres.
Bijvoorbeeld 109.132.175.160.

In een van de afbeeldingen staan onder kopje "WAN-IP" en "Gateway" vier verschillende IP adressen genoemd? Hoe zou dit moeten werken?

=====

Uitgaande van één IP adres op je WAN-poort van je Asus router:
De bijbehorende WAN-DNS-instellingen voorzien van de twee Adguard DNS-servers.

=====

Dan de LAN-kant - als je hier wil werken met subnet 192.168.50.0/24 zet dan:

• De LAN-poort op 192.168.50.1
• De DHCP-reeks op 192.168.50.10 - 192.168.50.250
• De DNS-server alleen op 192.168.50.1 (d.w.z. de Asus router)

Als je hier een tweede DNS-IP bijsteekt (bijvoorbeeld 192.168.1.9), dan gaat een deel van de DNS aanvragen via de een en een deel via de ander => is niet effectief i.c.m. Adguard.

=====

Hiermee zou het eigenlijk goed moeten komen...
Kun je hier wat mee?

[ Voor 15% gewijzigd door Airw0lf op 28-09-2022 17:35 ]

[Jazco2nd]

michelk31 schreef op woensdag 28 september 2022 @ 06:21:
Ik heb adguard geïnstalleerd op de router (merlinwrt). Na de installatie kan ik inloggen op de adguard "server"

Adguard geeft de volgende adressen:
127.0.0.1
127.0.1.1
192.168.50.1
109.132.175.160
Maw het lijkt alsof adguard functioneel is.
In de lan sectie van de router heb ik het volgende ingesteld.
Dchp server:
DNS server 1: 192.168.50.1
DNS server 2: 127.0.1.1

Ik merk echter na de installatie en de instellingen dat ik nog steeds reclame zie.
Wat doe ik mis of wat moet ik nog bijkomend instellen?

Alvast bedankt voor de tips.

Nogal logisch, waarom vul je 2 servers in, je hebt maar 1.
Daarnaast is 127.0.1.1 gewoon localhost, dus gewoon je router dns.

In je Asus router wil dns 2 server niet zeggen "de backup van server 1". Ze zullen random worden gebruikt.
Je moet dat dus weghalen. En zeker zijn dat je het bij dhcp invult en niet bij Wan.

[michelk31]

Airw0lf schreef op woensdag 28 september 2022 @ 17:10:
[...]


Ik begrijp de situatie in de afbeeldingen niet zo.
Ik weet niet beter als onder WAN-IP heb je één IP adres staan.

Als daar een router voor zit dan is het een private IP adres.
Bijvoorbeeld 192.168.1.1 of 192.168.1.9.

Is het een Ziggo modem in bridge mode dan is het een publiek IP-adres.
Bijvoorbeeld 109.132.175.160.

In een van de afbeeldingen staan onder kopje "WAN-IP" en "Gateway" vier verschillende IP adressen genoemd? Hoe zou dit moeten werken?

=====

Uitgaande van één IP adres op je WAN-poort van je Asus router:
De bijbehorende WAN-DNS-instellingen voorzien van de twee Adguard DNS-servers.

=====

Dan de LAN-kant - als je hier wil werken met subnet 192.168.50.0/24 zet dan:

• De LAN-poort op 192.168.50.1
• De DHCP-reeks op 192.168.50.10 - 192.168.50.250
• De DNS-server alleen op 192.168.50.1 (d.w.z. de Asus router)

Als je hier een tweede DNS-IP bijsteekt (bijvoorbeeld 192.168.1.9), dan gaat een deel van de DNS aanvragen via de een en een deel via de ander => is niet effectief i.c.m. Adguard.

=====

Hiermee zou het eigenlijk goed moeten komen...
Kun je hier wat mee?

Ik vermoed dat ik als het volgt dan moet invullen op de router.
Zie screenshots.
Ik krijg echter nog steeds reclame.

[Jazco2nd]

michelk31 schreef op woensdag 28 september 2022 @ 18:27:
[...]


Ik vermoed dat ik als het volgt dan moet invullen op de router.
Zie screenshots.
Ik krijg echter nog steeds reclame.

[Afbeelding]

[Afbeelding]

Ik snap geen bal meer van. Geef je nou je router het IP adres van je server?
Welk ip adres heeft je server nu dan?

Je maakt het onnodig ingewikkeld. In je 2e screenshot hier hoefde je alleen het IP adres van je server bij DNS1 in te vullen en DNS2 leegmaken. Klaar.

Verder ervoor zorgen dat je devices niet een eigen DNS gebruiken. Vooral nieuwe telefoons hebben die eigenschap.
En sommige devices gebruiken altijd hun eigen dns, zodat ze altijd ads kunnen tonen. Als je dat wil voorkomen moet je met je firewall aan de slag

[michelk31]

Bedankt voor de feedback.
Het is echter voor mij duidelijk dat zelfs experts dit niet krijgen opgelost.
Op een andere forum heb ik deze vraag ook gesteld.
Ik heb besloten om adguard terug te verwijderen en terug over te gaan op diversion.
Nu stel ik echter vast dat Diversion ook geen reclame meer blokkeert op mijn telefoon.

Ik vermoed dat een app rotzooi heeft geïnstalleerd op mijn telefoon waardoor de reclame niet meer geblokkeerd wordt. De telefoon van mijn partner heeft dit probleem niet.
Ik vermoed dat de next DNS app die ik kort heb geïnstalleerd op vakantie dit heeft veroorzaakt.
Private DNS setting vind ik niet op mijn telefoon. Bah.

[Jazco2nd]

Maar het gaat hier echt allang niet meer om hoe je AdGuard moet instellen of je router.

Het is puur een kwestie van de Asus interface begrijpend lezen. Dat is echt alles. Als je dat hebt gedaan, valt het kwartje.

Bijvoorbeeld je eerste screenshot van je vorige post. "LAN IP". Lees dat hele screenshot eens van bovenaf door?

Ik lees bovenaan "ASUS" en dan GT AXE 16heleboel nullen".
Vervolgens lees ik onder het menu "Configure LAN IP for GT AXE 160000".
Toch? Maar wat houd dit dan in?

Als dat niet duidelijk is: hier kies je welk IP adres je toewijst aan je router.
Aan deze pagina hoef je niet te komen, je wist immers je router IP al, anders kon je niet inloggen.

Toch lees ik daar nu het IP adres van je server: 192.168.50.1. Kan je dat uitleggen? Zo niet, kan je het weer herstellen naar wat het was?
Vervolgens hoef je nooit meer naar deze pagina toe.

Dan je 2e screenshot. Hier moet je zijn. Hier staat nu netjes DNS2 leeg. Prima.
Bij DNS 1 moet je het adres van je server waarop Adguard Home draait invullen. Op dit moment, afgaande van screenshot 1, zeg je "voor DNS verzoeken, gebruik de dns server van de router zelf, NIET mijn server met Adguard", immers, je hebt 192.168.50.1 ingevuld en dat is ingesteld als het adres van je router.

Ofwel, je moet je adres van je server weten, die kan niet hetzelfde zijn als het adres van je router.

Daarna kan je het beste je router restarten, want het wijzigen van je router ip adres kan anders voor gedoe zorgen.

Vervolgens hoop ik dat je in Adguard Home ook wel een filter hebt ingesteld aangezet etc.
Op je telefoon moet onder je internet en wifi instellingen dingen als private dns etc wel uitzetten. IOS heeft dat standaard aanstaan dus gaat dns via een Apple partner.

Als je vervolgens naar Nu.nl gaat, kan je in Adguard home op de frontpage zien dat er dns verzoeken voor nu.nl en 3rd parties waarvoor je cookies hebt geselecteerd voorbij komen.

[Beun]

Jazco2nd schreef op woensdag 28 september 2022 @ 20:27:
Maar het gaat hier echt allang niet meer om hoe je AdGuard moet instellen of je router.

Het is puur een kwestie van de Asus interface begrijpend lezen. Dat is echt alles. Als je dat hebt gedaan, valt het kwartje.

Bijvoorbeeld je eerste screenshot van je vorige post. "LAN IP". Lees dat hele screenshot eens van bovenaf door?

Ik lees bovenaan "ASUS" en dan GT AXE 16heleboel nullen".
Vervolgens lees ik onder het menu "Configure LAN IP for GT AXE 160000".
Toch? Maar wat houd dit dan in?

Als dat niet duidelijk is: hier kies je welk IP adres je toewijst aan je router.
Aan deze pagina hoef je niet te komen, je wist immers je router IP al, anders kon je niet inloggen.

Toch lees ik daar nu het IP adres van je server: 192.168.50.1. Kan je dat uitleggen? Zo niet, kan je het weer herstellen naar wat het was?
Vervolgens hoef je nooit meer naar deze pagina toe.

Dan je 2e screenshot. Hier moet je zijn. Hier staat nu netjes DNS2 leeg. Prima.
Bij DNS 1 moet je het adres van je server waarop Adguard Home draait invullen. Op dit moment, afgaande van screenshot 1, zeg je "voor DNS verzoeken, gebruik de dns server van de router zelf, NIET mijn server met Adguard", immers, je hebt 192.168.50.1 ingevuld en dat is ingesteld als het adres van je router.

Ofwel, je moet je adres van je server weten, die kan niet hetzelfde zijn als het adres van je router.

Daarna kan je het beste je router restarten, want het wijzigen van je router ip adres kan anders voor gedoe zorgen.

Vervolgens hoop ik dat je in Adguard Home ook wel een filter hebt ingesteld aangezet etc.
Op je telefoon moet onder je internet en wifi instellingen dingen als private dns etc wel uitzetten. IOS heeft dat standaard aanstaan dus gaat dns via een Apple partner.

Als je vervolgens naar Nu.nl gaat, kan je in Adguard home op de frontpage zien dat er dns verzoeken voor nu.nl en 3rd parties waarvoor je cookies hebt geselecteerd voorbij komen.

Het lijkt mij ook dat je een hoop gedoe kan voorkomen door DHCP op de router uit te zetten en dit door Adguard af laten handelen.

[Airw0lf]

michelk31 schreef op woensdag 28 september 2022 @ 18:27:
[...]


Ik vermoed dat ik als het volgt dan moet invullen op de router.
Zie screenshots.
Ik krijg echter nog steeds reclame.

[Afbeelding]

[Afbeelding]

Even terug (ik had het niet helemaal goed gelezen).

Je wil gebruik maken van Adguard Home? Zonder de Aguard-dns.io-diensten?

Met de aanname dat Adguard Home IP adres 192.168.50.9 heeft en tevens DHCP-server is:
- Op de Asus-router DHCP uitschakelen.
- De eerder genoemde reeks opvoeren in Adguard Home
- Aanvullen met 192.168.50.9 als DNS server zodat die ook toegewezen wordt aan clients
- Op de Asus router ook invullen als (enige!) DNS-server

=====

Wat zou je aan de WAN-kant als DNS-forwarder willen gebruiken?
Die moet dan ingevuld worden aan de WAN-IP kant van de Asus router.

[ Voor 35% gewijzigd door Airw0lf op 28-09-2022 22:11 ]

[Boukiej88]

Draai al maanden tot grote tevredenheid AdGuard binnen Home Assistant op een PI. Heb een FritzBox! router met dhcp aan

Sinds een week heb ik het issue dat op (o.a.) mijn iPhone de advertenties niet meer geblokt worden. In de logging zie ik ook amper meer queries vanaf mijn iPhone voorbij komen (zowel geblokte als niet-geblokte). Andere devices zie ik wel netjes (geblokte) queries voorbij komen.

Heb zelf het idee dat dit mogelijk door ipv6 kan komen, maar heb zowel voor ipv4 en ipv6 de dns lokale ip’s van ad guard ingegeven. En daarnaast verwacht ik dit issue dan niet ‘opeens’.

Een volledige her installatie biedt geen soelaas helaas.

Iemand een idee?

[Centauriprime]

Boukiej88 schreef op zondag 2 oktober 2022 @ 20:53:
Draai al maanden tot grote tevredenheid AdGuard binnen Home Assistant op een PI. Heb een FritzBox! router met dhcp aan

Sinds een week heb ik het issue dat op (o.a.) mijn iPhone de advertenties niet meer geblokt worden. In de logging zie ik ook amper meer queries vanaf mijn iPhone voorbij komen (zowel geblokte als niet-geblokte). Andere devices zie ik wel netjes (geblokte) queries voorbij komen.

Heb zelf het idee dat dit mogelijk door ipv6 kan komen, maar heb zowel voor ipv4 en ipv6 de dns lokale ip’s van ad guard ingegeven. En daarnaast verwacht ik dit issue dan niet ‘opeens’.

Een volledige her installatie biedt geen soelaas helaas.

Iemand een idee?

Al gekeken of je niet onder je wifi op je iphone "limit IP address Tracking" aan heb t staan. Want dan gaat je iphone via de DNS van de private relay.

[Boukiej88]

Centauriprime schreef op zondag 2 oktober 2022 @ 21:38:
[...]


Al gekeken of je niet onder je wifi op je iphone "limit IP address Tracking" aan heb t staan. Want dan gaat je iphone via de DNS van de private relay.

Die stond inderdaad aan, uitzetten lijkt het op te lossen. Merci! Helemaal blij 😀

[TheCeet]

v0.107.15 is live ondertussen.

Updaten lukt hier niet, krijg melding dat ik manueel moet updaten.
Ben ik enige of nog mensen die dit ervaren?

[ Voor 21% gewijzigd door TheCeet op 03-10-2022 21:26 ]

[lolgast]

@TheCeet Update knop doet hier ook niets. Dan maar niet updaten

[TheCeet]

Blijkbaar algemeen issue:
https://github.com/AdguardTeam/AdGuardHome/issues/4987

[Stormtrooper]

Hier ook maar even de Windows versie manueel de update gegeven. Doen ze wel erg ingewikkeld in de uitleg.

[TheCeet]

Hier iemand tips om te achterhalen welke AGH Package momenteel installed is op de Pi?
Ik twijfel of het in mijn geval ARMv6 of ARMv7 is.
Dietpi 64-bit is het OS.

FAQ van AdGuardHome brengt me niet echt wijzer of ik dit ergens kan achterhalen

EDIT:
uname -a

[ Voor 4% gewijzigd door TheCeet op 04-10-2022 11:40 ]

[Valigarmanda]

Ik heb met een QNAP NAS het probleem dat ik de ingebouwde dns niet uit kan zetten op port 53 en daardoor Adguard niet als host kan draaien. Ik vind wel het één en ander terug in deze topic, maar dat is voornamelijk voor Ubuntu.

Mijn setup nu laat alle dns request in adguard zien vanaf de IP van de NAS, dus kan ik geen client specifieke instellingen maken. Is het iemand gelukt Adguard als host te draaien in docker op een TS-253-D?

[EverLast2002]

ariekanari schreef op woensdag 28 september 2022 @ 14:03:

De DNS is ingesteld op 192.168.178.25 (het adres van AdGuardHome op een Zyxel NAS) en het tweede DNS-adres (1.1.1.1) is een externe in het geval AdGuardHome niet werkt en het web bereikbaar is/blijft.

Heb jij weleens grondig getest of er eventueel toch soms reclame door komt?
Want de door DHCP toegewezen twee DNS servers worden willekeurig gekozen door je clients (zeker door Windows).

[TheCeet]

Wie issues heeft met upgraden van v0.107.14 naar .15:

code:

curl -H 'Content-Type: application/json' -X POST -v 'http://LOGIN:PASSWORD@127.0.0.1/control/update'

Where LOGIN and PASSWORD are your web interface login data and 127.0.0.1 is the address of AdGuard Home's web UI. That successfully updates AdGuard Home from v0.107.14 to v0.107.15 for me.

Bron:
https://github.com/Adguar...discussioncomment-3798085

[EverLast2002]

michelk31 schreef op woensdag 28 september 2022 @ 11:12:
[...]


Geachte,

Bijgevoegd vindt u de ipconfig all.
Daarnaast heb ik het volgende toegevoegd.
* Adguard dashboard (er wordt niks geblockt)
* adguard installatie tips
* asus lan & wan configuratie.

Hopelijk helpt dit verder om mij op de juiste weg te zetten.
[Afbeelding]

[Afbeelding]

[Afbeelding]

[Afbeelding]

[Afbeelding]

Alvast bedankt

Ik heb je topics zitten lezen en volgens mij was je zoooo dichtbij de oplossing!
In ieder geval zou ik "Advertise router's IP in addition to user-specified DNS" uitzetten....
Zorg dat je je AGH IP adres als enige DNS server invult in DHCP settings.
En hoe je aan 192.168.1.9 en 192.168.50.1 in AGH Setup Guide komt....??
Toch benieuwd of het je gaat lukken. Zou jammer zijn als je de moed zou opgeven...

[Hmmbob]

TheCeet schreef op dinsdag 4 oktober 2022 @ 21:37:
Wie issues heeft met upgraden van v0.107.14 naar .15:

code:

curl -H 'Content-Type: application/json' -X POST -v 'http://LOGIN:PASSWORD@127.0.0.1/control/update'

Where LOGIN and PASSWORD are your web interface login data and 127.0.0.1 is the address of AdGuard Home's web UI. That successfully updates AdGuard Home from v0.107.14 to v0.107.15 for me.

Bron:
https://github.com/Adguar...discussioncomment-3798085

Works! Dank voor het delen.

[EverLast2002]

michelk31 schreef op woensdag 28 september 2022 @ 06:21:
Ik heb adguard geïnstalleerd op de router (merlinwrt). Na de installatie kan ik inloggen op de adguard "server"

Adguard geeft de volgende adressen:
127.0.0.1
127.0.1.1
192.168.50.1
109.132.175.160
Maw het lijkt alsof adguard functioneel is.
In de lan sectie van de router heb ik het volgende ingesteld.
Dchp server:
DNS server 1: 192.168.50.1
DNS server 2: 127.0.1.1

Ik merk echter na de installatie en de instellingen dat ik nog steeds reclame zie.
Wat doe ik mis of wat moet ik nog bijkomend instellen?

Alvast bedankt voor de tips.

"geinstalleerd op de router" schrijf je. Bedoel je dit letterlijk of bedoel je ik heb de IP adressen aangepast in de router en AGH draait (fysiek of als vm) elders in mijn netwerk ?

[Glassertje]

Security release: Adguard Home v0.107.16

ull Changelog
Security

Go version has been updated to prevent the possibility of exploiting the CVE-2022-2879, CVE-2022-2880, and CVE-2022-41715 Go vulnerabilities fixed in Go 1.18.7.

[Hmmbob]

Kan Android's 'prive-DNS' optie overweg met Adguard Home's DoH integratie?

Lang verhaal kort: ik draai AGH op een losse VM. Intern gebruiken mijn clients het gewone IP adres van deze VM voor reguliere DNS - werkt prima. Al het https verkeer wordt afgehandeld door een Traefik reverse proxy - dit werkt ook prima, zowel naar de admin page als DNS-over-HTTPS als ik dat handmatig in Chrome aanzet. Zowel intern als extern kan ik gewoon op hostname bij mijn AGH komen. Conclusie: de hele chain Traefik <> AGH werkt correct, ik zie in de admin page keurig de requests voorbij komen met DoH markering. Ook als ik ten behoeve van troubleshooting naar https://mijndomin/dns-query surf, krijg ik een keurige 'bad request' terug van AGH zelf.

Ik probeer nu op mijn Android 12 telefoon de 'prive DNS' functie te gebruiken om, waar ik ook ben, mijn eigen DNS server te kunnen gebruiken. Als ik nu 'mijndomein.nl' in de hostname zet, dan krijg ik de error dat hij niet kan verbinden (zowel op 4g als wifi). Nochthans zou Android 12 wel ondersteuning moeten hebben voor DoH.

Wie weet wat er mis gaat?

[Airw0lf]

Hmmbob schreef op woensdag 12 oktober 2022 @ 13:44:
Kan Android's 'prive-DNS' optie overweg met Adguard Home's DoH integratie?

[...]

Ik probeer nu op mijn Android 12 telefoon de 'prive DNS' functie te gebruiken om, waar ik ook ben, mijn eigen DNS server te kunnen gebruiken. Als ik nu 'mijndomein.nl' in de hostname zet, dan krijg ik de error dat hij niet kan verbinden (zowel op 4g als wifi). Nochthans zou Android 12 wel ondersteuning moeten hebben voor DoH.

Wie weet wat er mis gaat?

Wat ik er van begrijp is dat die functie bedoeld is voor DNS-over-TLS:
https://www.howtogeek.com...e-private-dns-on-android/

De werking van DoH is principieel anders: elke aanvraag wordt eerst verpakt in http. En pas daarna versleuteld. Die http-stap wordt bij DoT overgeslagen.

[ Voor 41% gewijzigd door Airw0lf op 12-10-2022 15:10 ]

[sjongenelen]

Ja dat werkt bij mij, met reguliere portforwarding voor DoH. Geen ervaring met traefik.
Je certificaat chain moet overigens ook helemaal goed zijn

[gerritjan]

Hmmbob schreef op woensdag 12 oktober 2022 @ 13:44:
Kan Android's 'prive-DNS' optie overweg met Adguard Home's DoH integratie?
Wie weet wat er mis gaat?

Bij mij wel.
Volgens mij verwacht Android dat poort 853 wordt gebruikt dus die poort heb ik ingevuld bij de DNS-over-TLS port.
En natuurlijk het poortje opengezet in de router.

[Airw0lf]

gerritjan schreef op woensdag 12 oktober 2022 @ 14:50:
[...]

Bij mij wel.
Volgens mij verwacht Android dat poort 853 wordt gebruikt dus die poort heb ik ingevuld bij de DNS-over-TLS port.
En natuurlijk het poortje opengezet in de router.

Maar DoH is toch wezenlijk anders als DoT?
Bij DoH wordt alles ingepakt in http en vervolgens versleuteld.
Bij DoT wordt het http-deel overgeslagen.

Of zit ik er ergens naast?

[Hmmbob]

sjongenelen schreef op woensdag 12 oktober 2022 @ 14:41:
Ja dat werkt bij mij, met reguliere portforwarding voor DoH. Geen ervaring met traefik.
Je certificaat chain moet overigens ook helemaal goed zijn

De Traefik tussenstap is essentieel, er komt meer binnen op poort 443

Chain is goed - alle andere services zijn prima benaderbaar. En zoals gezet, handmatig naar https://mijndomein/dns-query browsen levert een keurige "bad request" van AGH op, dus dat path werkt ook.

Ik denk eerder dat dit aan de hand is:

Airw0lf schreef op woensdag 12 oktober 2022 @ 13:55:
Wat ik er van begrijp is dat die functie bedoeld is voor DNS-over-TLS:
https://www.howtogeek.com...e-private-dns-on-android/

De werking van DoH is principieel anders: elke aanvraag wordt eerst verpakt in http. En pas daarna versleuteld. Die http-stap wordt bij DoT overgeslagen.

Dat zou het verklaren.... Beetje jammer dat ik online lees dat DoH ondertussen ook in Android 9+ zou moeten zitten dankzij een Play Services update.

[ Voor 5% gewijzigd door Hmmbob op 12-10-2022 15:35 ]

[sjongenelen]

Tsjah, essentieel zou ik heb niet noemen. Je weet dat het hele internet over poort 443 werkt? Traefik / rever proxying is handig als je geen infra setup hebt.

Als je letsencrypt gebruikt, kan de chain fout zijn, omdat de Android implementatie outdated is.

https://scotthelme.co.uk/lets-encrypt-old-root-expiration/

[ Voor 10% gewijzigd door sjongenelen op 12-10-2022 17:54 ]

[glaswerk]

Airw0lf schreef op woensdag 12 oktober 2022 @ 15:08:
[...]


Maar DoH is toch wezenlijk anders als DoT?
Bij DoH wordt alles ingepakt in http en vervolgens versleuteld.
Bij DoT wordt het http-deel overgeslagen.

Of zit ik er ergens naast?

Android werkt met DoT. Dat betekent dat je poort 853 moet openzetten, zowel op je router als op je server firewall uiteraard.
Waar je verder even op moet letten, is dat als je hier stopt, iedereen je server met DoT kan gebruiken én misbruiken. Dat probleem kun je gelukkig vrij eenvoudig verkleinen (niet volledig oplossen) door alleen clients toe te staan in je lokale IP-reeks en met een specifieke (random) naam, bijv. abcd. Vervolgens vul je in Android private DNS als server abcd.jouwdomein.nl in. Als poort 853 openstaat en je een wildcard certificate hebt (via Letsencrypt bijv) die ook nog eens volledig goed staat in AGH (viel mij nog niet mee), dan moet het werken. Potentiële misbruikers moeten dan jouw subdomein abcd raden om door AGH geaccepteerd te worden.

[sjongenelen]

Yes, dat icm source filtering op firewall (iig geo blocking sommige regio s)

Ik heb geen connecties meer binnen gehad:)


Edit: ik zie dat je HA gebruikt! je kunt met HomeAssistant companion app je IP ontvangen en je firewall rules zo dynamisch updaten als je wil

[ Voor 37% gewijzigd door sjongenelen op 12-10-2022 18:09 ]

[Airw0lf]

glaswerk schreef op woensdag 12 oktober 2022 @ 17:57:
[...]
Waar je verder even op moet letten, is dat als je hier stopt, iedereen je server met DoT kan gebruiken én misbruiken. Dat probleem kun je gelukkig vrij eenvoudig verkleinen (niet volledig oplossen) door alleen clients toe te staan in je lokale IP-reeks en met een specifieke (random) naam, bijv. abcd. Vervolgens vul je in Android private DNS als server abcd.jouwdomein.nl in. Als poort 853 openstaat en je een wildcard certificate hebt (via Letsencrypt bijv) die ook nog eens volledig goed staat in AGH (viel mij nog niet mee), dan moet het werken. Potentiële misbruikers moeten dan jouw subdomein abcd raden om door AGH geaccepteerd te worden.

Bedankt voor de toelichting.

Ik heb een wildcard certificaat van Letsencrypt waarmee ik e.e.a. zou kunnen optuigen.
Wat viel precies tegen bij dat certificaat stuk?

Ik heb op dit moment een proxy server draaien met GeoIP en Fail2BAN.
De GeoIP blokkeert alle landen behalve NL, BE en DE.
Die proxy server genereerd en update de wildcard certificaten van de (sub-)domeinen.

Bij elkaar heb ik hiermee voor een aantal web-apps de zaak dichtgespijkerd.
Afgaande op de logging komt er nu af en toe nog wel eens een botje langs - maar dat is het dan ook

Een van die wildcard certificaten wil ik dan inzetten voor AdguardHome.

[ Voor 4% gewijzigd door Airw0lf op 12-10-2022 18:37 ]

[Hmmbob]

sjongenelen schreef op woensdag 12 oktober 2022 @ 17:49:
Tsjah, essentieel zou ik heb niet noemen. Je weet dat het hele internet over poort 443 werkt? Traefik / rever proxying is handig als je geen infra setup hebt.

Als je letsencrypt gebruikt, kan de chain fout zijn, omdat de Android implementatie outdated is.

https://scotthelme.co.uk/lets-encrypt-old-root-expiration/

Voor mijn setup is die wel essentieel, op mijn externe IP poort 443 draaien heel wat meer services. Traefik houdt die lekker uit elkaar.

En zoals aangegeven: de certificate chain is correct.

Het zal erin zitten dat Android DoT doet bij "private dns", en niet DoH. Ik wil graag DoH gebruiken.

[sjongenelen]

Ah ja. Is er een reden dan dat je op https wil ipv tls als ik vragen mag? Buiten dat niemand het kan blokkeren (want https traffic) ken ik eigenlijk geen voordelen?

Ik denk te lezen dat Android wel DNS over https support (vanaf bepaalde versie), maar dan alleen HTTP3? Volgens mij betekend dat dat udp QUIC ook moet forward worden.

Logisch dat DOH(TTP3) dus inderdaad sneller zal zijn en dat wil dus ook hebben

[ Voor 45% gewijzigd door sjongenelen op 12-10-2022 19:52 ]

[Hmmbob]

sjongenelen schreef op woensdag 12 oktober 2022 @ 19:48:
Ah ja. Is er een reden dan dat je op https wil ipv tls als ik vragen mag? Buiten dat niemand het kan blokkeren (want https traffic) ken ik eigenlijk geen voordelen?

Dat is de reden Iets met wifi op de zaak en firewalls enzo.

Plus dat je met DoT achter Traefik geen client-id trucjes van AGH kan gebruiken (het lijkt in AGH of alle verzoeken van de Traefik proxy komen), dat kan met DoH wel (dan kan je de client-id in de query-url stoppen).


Ik heb net DoT aan de praat gekregen, redelijk straightforward inderdaad.

[glaswerk]

Hmmbob schreef op woensdag 12 oktober 2022 @ 21:49:
[...]

Plus dat je met DoT achter Traefik geen client-id trucjes van AGH kan gebruiken (het lijkt in AGH of alle verzoeken van de Traefik proxy komen), dat kan met DoH wel (dan kan je de client-id in de query-url stoppen).

Dat kan met DoT ook hoor, zie mijn vorige post: client-id.domein.nl

[Hmmbob]

Niet als Traefik er tussen zit. Die handelt alles TLS af, dus AGH heeft geen idee.

[ Voor 45% gewijzigd door Hmmbob op 12-10-2022 22:04 ]

[glaswerk]

Airw0lf schreef op woensdag 12 oktober 2022 @ 18:36:
[...]

Ik heb een wildcard certificaat van Letsencrypt waarmee ik e.e.a. zou kunnen optuigen.
Wat viel precies tegen bij dat certificaat stuk?

Ik draai AGH als snap op Ubuntu, en vanwege rechtenkwesties kan ik vanuit AGH niet direct linken naar de door Letsencrypt gegenereerde certificate keyfile. Duurde even voordat ik daar achter was. Moet nu dus na iedere automatische certificate update een scriptje laten draaien dat de keyfile naar een (alleen) voor AGH toegankelijke locatie kopieert.
Verder had ik zelf ook nog wat moeite om de DNS challenge geautomatiseed aan de praat te krijgen met een zelfbouw-custom script voor mijn hosting provider, maar dat heb je al draaiend begrijp ik.

Geoblocking met GeoIP kende ik nog niet, dank voor de tip, daar ga ik nog eens naar kijken. Heb m'n IMAP en SMTP-servers nu achter een VPN zitten omdat de fail2ban-meldingen niet bij te houden waren. Maar met GeoIP is dat misschien weer eens te proberen.
Hmmm trouwens... ik ben net blij dat ik IPv6 grotendeels draaiend heb thuis... ik neem aan dat geoblocken op IPv6 niet werkt..?

[ Voor 5% gewijzigd door glaswerk op 12-10-2022 22:15 ]

[glaswerk]

Hmmbob schreef op woensdag 12 oktober 2022 @ 22:02:
Niet als Traefik er tussen zit. Die handelt alles TLS af, dus AGH heeft geen idee.

Maar vangt die dan ook poort 853 af? Niet gehinderd door enige kennis over Traefik, zou ik zeggen: laat die lekker 443 managen, en stuur 853 direct door naar AGH?

[Hmmbob]

glaswerk schreef op woensdag 12 oktober 2022 @ 22:09:
[...]

Maar vangt die dan ook poort 853 af? Niet gehinderd door enige kennis over Traefik, zou ik zeggen: laat die lekker 443 managen, en stuur 853 direct door naar AGH?

Goed idee. Ja, Traefik zit daar nu ook tussen - is de enige link met de buitenwereld. Maar Traefik heeft ook de Let's Encrypt certificaten, waarvan AGH geen weet heeft. Als ik daar een oplossing voor heb, dan kan het!

[Airw0lf]

Hmmbob schreef op woensdag 12 oktober 2022 @ 22:16:
[...]

Goed idee. Ja, Traefik zit daar nu ook tussen - is de enige link met de buitenwereld. Maar Traefik heeft ook de Let's Encrypt certificaten, waarvan AGH geen weet heeft. Als ik daar een oplossing voor heb, dan kan het!

Wat voor soort certificaten zijn dat dan?
Misschien dat deze pagina een oplossing biedt (of een begin daartoe):
https://github.com/AdguardTeam/AdGuardHome/wiki/Encryption

Bij certificaten buiten de proxy om werk ik met Certbot in Ubuntu-snap: elke server die certificaten nodig heeft heeft op deze manier Certbot draaien voor de betreffende (sub-)domeinen.
Wat ik nog moet uitvogelen is hoe die automatisch verlengd kunnen worden met Cronjobs.
Distributie binnen een server gebeurd via /etc/letsencrypt/live/<(sub-)domein>.

[Airw0lf]

glaswerk schreef op woensdag 12 oktober 2022 @ 22:07:
[...]

Ik draai AGH als snap op Ubuntu, en vanwege rechtenkwesties kan ik vanuit AGH niet direct linken naar de door Letsencrypt gegenereerde certificate keyfile. Duurde even voordat ik daar achter was. Moet nu dus na iedere automatische certificate update een scriptje laten draaien dat de keyfile naar een (alleen) voor AGH toegankelijke locatie kopieert.
Verder had ik zelf ook nog wat moeite om de DNS challenge geautomatiseed aan de praat te krijgen met een zelfbouw-custom script voor mijn hosting provider, maar dat heb je al draaiend begrijp ik.

Geoblocking met GeoIP kende ik nog niet, dank voor de tip, daar ga ik nog eens naar kijken. Heb m'n IMAP en SMTP-servers nu achter een VPN zitten omdat de fail2ban-meldingen niet bij te houden waren. Maar met GeoIP is dat misschien weer eens te proberen.
Hmmm trouwens... ik ben net blij dat ik IPv6 grotendeels draaiend heb thuis... ik neem aan dat geoblocken op IPv6 niet werkt..?

Ik begrijp niet hoe dat met snap en rechten dan in elkaar steekt.
De kracht van snap is toch juist dat je een (soort van) Docker hebt zonder de beperkingen als het gaat om toegang tot bestanden. Of ben ik nu te kort door de bocht?

Die DNS-challenge doet Certbot (al dan niet via de proxy service) - draait ook in snap en heeft hier verschillende soorten scripts voor - waaronder voor Cloudflare en via DNS-entries. Nu alleen de auto-update nog uitvogelen...

GeoIP werkt via Maxmind. De Github-site van de proxy server heeft daar voorbeeld scripts staan. De gebruikte proxy server is SWAG (via een Docker container).

[ Voor 7% gewijzigd door Airw0lf op 12-10-2022 23:47 ]

[sjongenelen]

Fwiw
https://github.com/AdguardTeam/AdGuardHome/issues/3955

[glaswerk]

Airw0lf schreef op woensdag 12 oktober 2022 @ 23:44:
[...]

Ik begrijp niet hoe dat met snap en rechten dan in elkaar steekt.
De kracht van snap is toch juist dat je een (soort van) Docker hebt zonder de beperkingen als het gaat om toegang tot bestanden. Of ben ik nu te kort door de bocht?

Die DNS-challenge doet Certbot (al dan niet via de proxy service) - draait ook in snap en heeft hier verschillende soorten scripts voor - waaronder voor Cloudflare en via DNS-entries. Nu alleen de auto-update nog uitvogelen...

Keyfile wordt (hier) door Certbot als root gegenereerd met restricted reading rights -- en terecht natuurlijk. Snap kan daar niet zomaar bij (draait weliswaar als root, maar ik neem aan zonder dat onbeperkt met rootrechten het hele systeem gesloopt kan worden). Helemaal snappen doe ik het niet, maar met een copy naar de directory van AGH is het geregeld.

DNS-challenge via Certbot kostte hier ook wat moeite. Heb een dns-script voor Cloudflare aangepast voor mijn Nederlandse hosting provider. Werkt na wat tweaking ook met automatic updates.

[Airw0lf]

glaswerk schreef op donderdag 13 oktober 2022 @ 17:10:
[...]

DNS-challenge via Certbot kostte hier ook wat moeite. Heb een dns-script voor Cloudflare aangepast voor mijn Nederlandse hosting provider. Werkt na wat tweaking ook met automatic updates.

Hoe doe je dat met die automatic updates dan?
Kan/wil je dat script delen?

[glaswerk]

Airw0lf schreef op donderdag 13 oktober 2022 @ 17:19:
[...]

Hoe doe je dat met die automatic updates dan?
Kan/wil je dat script delen?

Tuurlijk, al gaan we wellicht wat off-topic. Grootste uitdaging voor mij was dat Certbot twee challenges moet doorlopen, één voor domein.nl en één voor *.domein.nl. Daar waren voorbeeldscripts (althans die ik zag) niet op ingesteld. In principe kun je die eerste challenge via HTTP doen en de tweede via DNS. Maar ik moest zonodig beide via DNS doen, dat kostte wat tijd.

De Certbot-commandline: certbot -d DOMEIN.nl *.DOMEIN.nl --manual certonly --manual-auth-hook RENEWSCRIPT.sh --manual-cleanup-hook CLEANUPSCRIPT.sh --manual-public-ip-logging-ok
-m [e-mail] --agree-tos --preferred-challenges dns

Hoewel er allerlei "manual"-opties in staan, verloopt deze operatie geheel automatisch.

Het renewscript, aangepast voor mijn hostingbedrijf bHosted:

code:

# Script to input Certbot DNS challenge into BHosted DNS.
# Adapted from: https://chariotsolutions.com/blog/post/automating-lets-encrypt-certificate-renewal-using-dns-challenge-type/
#
# See bHosted documentation for webservices at https://mijn.bhosted.nl/webservice
# Be careful to have bHosted accept our IPv4-address -- or disable IP-check by bHosted.
#
# Test script by running sudo certbot renew --dry-run --manual --preferred-challenges dns -v

BHOSTED_USER="CENSORED"
BHOSTED_PWD="CENSORED"
BHOSTED_URL="URL VOOR SUBMITTEN DNS CHANGES"

# Letsencrypt creates two DNS-challenges, one for DOMAIN.nl and one for *.DOMAIN.nl
# We use two separate DNS TXT-records to show these two validations; each is named _acme-challenge.
# Certbot runs this script twice, we use variable CERTBOT_REMAINING_CHALLENGES to distinguish the two runs,
#  and input the validation in the two separate TXT fields

if [[ $CERTBOT_REMAINING_CHALLENGES = 1 ]]; then
  BHOSTED_ID="ID-NR VAN EERSTE ACME_CHALLENGE DNS RECORD"
else
  BHOSTED_ID="ID-NR VAN TWEEDE ACME_CHALLENGE DNS RECORD"
fi

############################################################
# Replace all of a Domain's type of DNS Records

DNS_REC_TYPE=TXT
DNS_REC_NAME="_acme-challenge"
DNS_REC_DATA="$CERTBOT_VALIDATION"
DNS_REC_TTL="600"

IFS='.' read -ra ADDR <<< $CERTBOT_DOMAIN
if [[ ${#ADDR[@]} > 2 ]]; then
        DNS_REC_NAME=`echo $CERTBOT_DOMAIN | cut --delimiter="." -f 1`;
        DNS_REC_NAME=`echo _acme-challenge.$DNS_REC_NAME`;
fi

echo Remaining challenges $CERTBOT_REMAINING_CHALLENGES
echo Modifying DNS record no $BHOSTED_ID
# Add option -4 to force wget to use IPv4 address - because BHosted IP-address screening only works via IPv4
wget -4 -qO- ${BHOSTED_URL}editrecord?user=${BHOSTED_USER}'&'password=${BHOSTED_PWD}'&'tld=nl'&'sld=DOMAIN'&'id=${BHOSTED_ID}'&'type=${DNS_REC_TYPE}'&'name=${DNS_REC_NAME}'&'content=${DNS_REC_DATA}'&'ttl=${DNS_REC_TTL}

# Sleep to make sure DNS propagates before Letsencrypt validates.
# Only sleep after the second of the two runs, identified by zero remaing challenges
if [[ $CERTBOT_REMAINING_CHALLENGES = 0 ]]; then
  sleep 30
fi

Het clean-up script voor Certbot is nagenoeg hetzelfde, alleen worden nu de twee DNS-entries weer leeggemaakt.

[Oesie]

Dit is waarschijnlijk een hele simpele vraag maar waar ik het antwoord niet op kan vinden. Wat is de 'beste/meest efficiente' manier om Adguard te installeren op een NUC waar Proxmox op draait?

Binnen Proxmox

• Linux VM met Adguard
• LXC container met Aguard
• Linux VM met Docker en dan Adguard

Zag overigens ook dat het in te stellen is op een USG of Synology NAS (welke beide hier draaien). Echter lijkt het mij verstandig om de 'core' infra niet te koppelen aan deze apparaten met het hoog op uitvallen.

Uiteindelijk lijkt het me logisch om op de NUC ook VM's/containers te draaien voor:

• Home Assistant
• OpenVPN

[ Voor 12% gewijzigd door Oesie op 15-10-2022 10:51 ]

[Centauriprime]

Oesie schreef op zaterdag 15 oktober 2022 @ 10:49:

Binnen Proxmox

• Linux VM met Adguard
• LXC container met Aguard
• Linux VM met Docker en dan Adguard

LXC met Alpine linux

[Oesie]

Centauriprime schreef op zaterdag 15 oktober 2022 @ 11:18:
[...]


LXC met Alpine linux

De optie Adguard als integration van Home Assistant had ik nog niet genoemd (wist niet dat dat ook kon). Overigens draait die prima in de LXC. Echter probeer nu de Adguard LXC te benaderen vanuit Home Assistant en krijg de volgende melding "Set up your AdGuard Home instance to allow monitoring and control."

In de Adguard instellingen zie ik daar nergens een optie voor, klopt dat?

[Centauriprime]

Oesie schreef op zondag 16 oktober 2022 @ 11:10:
[...]

De optie Adguard als integration van Home Assistant had ik nog niet genoemd (wist niet dat dat ook kon). Overigens draait die prima. Echter probeer nu de Adguard LXC te benaderen vanuit Home Assistant en krijg de volgende melding "Set up your AdGuard Home instance to allow monitoring and control."

In de Adguard instellingen zie ik daar nergens een optie voor, klopt dat?

Ze bedoelen dat je de gegevens van je Adguard server invult. Je hoeft aan de Adguard kant niets in te stellen.
Dus juiste IP en poort als je die gewijzigd hebt. En eventueel gebruiker en ww als je die hebt aangemaakt.

[Oesie]

Centauriprime schreef op zondag 16 oktober 2022 @ 12:59:
[...]


Ze bedoelen dat je de gegevens van je Adguard server invult. Je hoeft aan de Adguard kant niets in te stellen.
Dus juiste IP en poort als je die gewijzigd hebt. En eventueel gebruiker en ww als je die hebt aangemaakt.

Waarom heb ik niet eerder geprobeerd de container te rebooten
Is daarmee gelijk opgelost.

[groxgrox]

Ik zit op mijn raspberry pi 4 met home assistant nog op versie v0.107.13. ik krijg alleen de update niet aangeboden. Hoe kan ik deze updaten?
Ik kan er niet met putty naar toe via ssh, welke instelling staat niet goed?

[sjongenelen]

Dat is de laatste versie in de HomeAssistant repository.

Edit: dat is dus niet waar. Wel de versie die ik ook nog heb.

https://github.com/hassio...lls?q=is%3Apr+is%3Aclosed

[ Voor 57% gewijzigd door sjongenelen op 16-10-2022 15:29 ]

[groxgrox]

sjongenelen schreef op zondag 16 oktober 2022 @ 15:27:
Dat is de laatste versie in de HomeAssistant repository.

Edit: dat is dus niet waar. Wel de versie die ik ook nog heb.

https://github.com/hassio...lls?q=is%3Apr+is%3Aclosed

Betekend dat die dan later nog gaat komen? Gewoon even afwachten dus...

[marciej123]

Goedemorgen,

Sinds enkele weken heb ik last dat 1 samsung telefoon geen 'normale' query's meer doet maar alles wordt verborgen gehouden:


Op het apparaat staat de optie 'privacy DNS' uitgeschakeld (instellingen > Verbindingen > meer verbindingsopties > Privacy DNS) maar deze blijft dit aangeven.

Wat is hieraan te doen?

[sjongenelen]

De Privacy optie verbond je telefoon juist alleen met Google dns. Je omzeilt dus (bewust) eigen dns. Alleen het adres van Google wordt aan je Adguard gevraagd.

Edit: je kunt van je Adguard ook een Private dns server maken, maar dan moet je wel encryptie gebruiken

[ Voor 45% gewijzigd door sjongenelen op 31-10-2022 10:28 ]

[marciej123]

@sjongenelen
Deze optie stond eerst op automatisch maar heb ik juist Uitgeschakeld, maar dat maakte geen verschil

[sjongenelen]

Ah sorry, ochtend. Mogelijk staat het ingesteld in je browser (in Chrome onder privacy)?

[Jazco2nd]

Vreemd probleem: Adguard Home werkt hier altijd probleemloos. Ineens werkt DNS niet. Ondanks dat de test in DNS Settings succesvol verloopt.
Dus ipv mijn eigen Unbound ip heb ik 1.1.1.1 ingevuld in Adguard.
Nog altijd kan geen enkel apparaat adressen resolven.

Mijn router draait een script dat elke minuut checkt of mijn server een domein kan resolven. Faalt dat, dan worden de dns servers die ik in de router heb ingesteld geforceerd.
Dat script, de test is succesvol. Daardoor vind de switchover niet plaats.

Forceer ik die, heb ik alsnog geen werkende DNS. Mijn router gebruikt de publieke Adguard DNS servers. Dat omgezet naar 8.8.8.8 en poef direct alle apparaten kunnen weer dns resolven.

Het lijkt er dus op dat er even iets mis is met Adguard DNS servers. Waarom dit ook effect heeft op Adguard Home weet ik niet.

30min geleden geen enkel probleem. Het probleem is ongeveer 15min geleden ontstaan. Zonder enige wijziging van mijn kant.

[Homeland]

Hier hetzelfde, Adguard DNS werkt niet, op hun status website staat echter dat alles online zou moeten zijn.

[Jazco2nd]

Maar Adguard Home met met 1.1.1.1 of 8.8.8.8 ingesteld werkt ook niet.

Ik heb ff via Portainer de container recreated. Geen effect.

[TheCeet]

Hier geen issues met AdGuard Home icm Unbound servers.
Heb je de AdGuard Home service al eens herstart toevallig@Jazco2nd ?

[bifi_G60]

Zelfde probleem hier, schakel ik de bescherming uit dan werkt alles wel

[Jamoru]

Hier ook geen werkende DNS meer, maar als ik hier en Twitter zo lees zijn we niet de enige. Voor nu maar op 1.1.1.1 als workaround.

[Stormtrooper]

Inderdaad vaag, hier Adguard Home. Alles gaat heel traag of niet. Bescherming uit en alles loopt weer.. Toch ook maar eens gaan zitten voor unbound...

[Homeland]

Hier ben ik maar weer teruggegaan naar NextDNS en ben nog net binnen de 30 dagen on geld voor Adguard DNS terug te krijgen.

[AppleFan2007]

Homeland schreef op maandag 31 oktober 2022 @ 21:55:
Hier hetzelfde, Adguard DNS werkt niet, op hun status website staat echter dat alles online zou moeten zijn.

Daarjuist ook problemen gehad, na het herstarten van de Raspberry pi werkte het weer.
Geen idee of dat toeval was of niet.

[Jazco2nd]

Stormtrooper schreef op maandag 31 oktober 2022 @ 22:34:
Inderdaad vaag, hier Adguard Home. Alles gaat heel traag of niet. Bescherming uit en alles loopt weer.. Toch ook maar eens gaan zitten voor unbound...

Werkt hier ook niet met eigen Unbound of welke andere dns provider dan ook.

TheCeet schreef op maandag 31 oktober 2022 @ 22:07:
Hier geen issues met AdGuard Home icm Unbound servers.
Heb je de AdGuard Home service al eens herstart toevallig@Jazco2nd ?

Zoals ik schreef ben ik nog verder gegaan. Container recreated.

bifi_G60 schreef op maandag 31 oktober 2022 @ 22:10:
Zelfde probleem hier, schakel ik de bescherming uit dan werkt alles wel

Idem! Dit is de oplossing. Ik heb maar 1 filter: OISD, oftewel er is iets mis met het aanbevolen filter.
Of.. Adguard heeft stiekem een eigen filter ingebouwd dat nu faalt omdat het afhankelijk is van hun eigen DNS servers die ook offline zijn?

Een foutje in OISD kan ik snappen..
Dat AdGuard Home niet meer werkt door een verborgen afhankelijkheid van hun eigen servers niet..

[ Voor 30% gewijzigd door Jazco2nd op 31-10-2022 22:48 ]

[Blackouts]

Hier ook problemen met dns.adguard.com als privé dns server. Adguard home heb ik niet draaien.
Lijkt iets mis te gaan bij adguard dus...

[Homeland]

Zal niet aan OISD liggen, die is bij zowel NextDNS als Adguard 10 uur geleden bijgewerkt en het is rond 21.00 dat Adguard DNS ineens problemen geeft.

[Homeland]

Blijf me er vooral over verbazen dat hier dus geen enkele storing zichtbaar is.

https://status.adguard.com/

[Jazco2nd]

Ok de oorzaak zit bij deze instelling:

General Settings > Use Adguard browsing security web service

Schakel dat uit, vervolgens bij Dashboard schakel je Protection weer in.

Nu werkt alles gewoon weer!

Edit:
Wilde het rapporteren maar dat is gelukkig al gedaan: https://github.com/AdguardTeam/AdGuardHome/issues/5085

[ Voor 20% gewijzigd door Jazco2nd op 31-10-2022 23:09 ]

[lolgast]

Ik heb die functie al heel lang uitstaan, altijd het gevoel gehad dat die van tijd tot tijd voor erg veel vertraging zorgde. Het voelt ook tegenstrijdig, zelf Unbound draaien, zelf AGH draaien, om vervolgens alle DNS verzoeken tóch nog via hun clouddienst te laten verifiëren..

[Jazco2nd]

lolgast schreef op dinsdag 1 november 2022 @ 08:53:
Ik heb die functie al heel lang uitstaan, altijd het gevoel gehad dat die van tijd tot tijd voor erg veel vertraging zorgde. Het voelt ook tegenstrijdig, zelf Unbound draaien, zelf AGH draaien, om vervolgens alle DNS verzoeken tóch nog via hun clouddienst te laten verifiëren..

Je hebt echt helemaal gelijk.
Stom dat ik me hier niet in heb verdiept. Ik deed een aanname dat er 1 of ander slim model achter zat dat onbekende malware ofzo kon herkennen.

Standaard uitzetten dus.

[Harmen]

Sinds gisteravond wat issues met Ziggo en Dns. Viel mij op dat de processing time wel erg hoog op liep. +/- 100-200ms.

Vanmorgen configuratie doorgenomen: Opnsense, AdH upstream naar Unbound: dns over tls google dns.
Zojuist even de upstream servers aangepast: https://cln.io/blog/adguard-parallel-requests/
Wat is wijsheid? Processing tijd is nu meer dan gehalveerd.

Edit, lees net bovenstaande issue met de security web service. Heb deze maar even uitgezet, alles via unbound. Processing time is nu weer laag. Maar ff in de gaten houden.

[ Voor 11% gewijzigd door Harmen op 01-11-2022 10:08 ]

[Jazco2nd]

Harmen schreef op dinsdag 1 november 2022 @ 09:58:
Sinds gisteravond wat issues met Ziggo en Dns. Viel mij op dat de processing time wel erg hoog op liep. +/- 100-200ms.
[Afbeelding]
Vanmorgen configuratie doorgenomen: Opnsense, AdH upstream naar Unbound: dns over tls google dns.
Zojuist even de upstream servers aangepast: https://cln.io/blog/adguard-parallel-requests/
Wat is wijsheid? Processing tijd is nu meer dan gehalveerd.

Edit, lees net bovenstaande issue met de security web service. Heb deze maar even uitgezet, alles via unbound. Processing time is nu weer laag. Maar ff in de gaten houden.

Als je wil weten waar de bottleneck zit, ga je toch juist niet meerdere dingen toevoegen met parallel requests? Je wil toch zoveel mogelijk uitsluiten?
Ook begrijp ik niet dat je tls dns over google gebruikt, maar ook unbound hebt. Klinkt nogal tegenstrijdig. Google moet je requests decrypten, dus dat hele tls doet niks als het om privacy gaat (is alleen het stukje transport van jou naar Google servers). Google ziet gewoon al je DNS requests en zo dus je gehele internethistory zowat.
Unbound (ervan uitgaande dat je Klutchell Unbound image gebruikt of zelf recursive DNS hebt geconfigureerd) is juist zodat je zoveel mogelijk lokaal oplost en niet 1 partij in de wereld je hele dns verzoek ziet.

[ Voor 21% gewijzigd door Jazco2nd op 01-11-2022 10:47 ]

[Harmen]

Vermoedelijk was de storing met die webservice de oorzaak, heb alles weer terug gezet naar hoe het was.
Gebruik de standaard Unbound welke in Opnsense zit ingebakken.

[ Voor 23% gewijzigd door Harmen op 01-11-2022 10:51 ]

[Jazco2nd]

Ik heb nu, ter vervanging van AdGuard Browsing security web service, een 2e filter toegevoegd die mij zowel actueel als goed lijkt zonder teveel te blokken (sommige malware lijsten die je kan kiezen in AdGuard zijn verouderd, leeg of blokkeren complete land TLDs):

Van URLHaus, de URL-based Adguard versie en dan de Lite versie:
https://gitlab.com/malwar...-filter#url-based-adguard
Die bevat alleen domeinen die nu online zijn. Mocht je de online-test van URLHaus niet vertrouwen kan je voor de full versie gaan natuurlijk.

Deze samen met OISD full: https://oisd.nl/downloads (de eerste).

Is volgens mij een hele goede combi.

[ Voor 29% gewijzigd door Jazco2nd op 01-11-2022 10:53 ]

[3raser]

De DNS server dns.adguard.com lijkt weer te werken.

Hello! Sorry for the inconvenience.
The issue was due to routing issues, Amsterdam started receiving a much heavier load which led to its outage. The issue affected about 3% of AdGuard DNS customers. We The traffic is rerouted now and the issue has been resolved.

— AdGuard (@AdGuard) 1 november 2022

[ Voor 41% gewijzigd door 3raser op 01-11-2022 10:54 ]

[Yukkie]

Misschien niet zo zeer een Adguard vraagje, maar meer een Docker vraagstuk:

Sinds ik IPV6 heb van Ziggo, kwamen er af en toe nog wel eens advertenties door die niet door Adguard werden afgevangen. Ik moest dus ook mijn Adguard bereikbaar maken over ipv6. Nadat ik docker ipv6-ready had gemaakt, heb ik het mijn docker-compose file als volgt aangepast:

YAML:

services:
  adguard:
    container_name: adguard
    image: adguard/adguardhome:latest
(..)
    networks:
      dns_network:
        ipv4_address: 10.16.199.199
        ipv6_address: 2001:<<van ziggo gekregen >> # <-- added for IPV6         
(..)
networks:
  dns_network:
    enable_ipv6: true  # <-- added for IPV6
    driver: macvlan
    driver_opts:
      parent: ovs_eth0
    ipam:
      config:
        - subnet: 10.16.199.1/24
          gateway: 10.16.199.1
          ip_range: 10.16.199.199/32
        - subnet: 2001:<<van ziggo gekregen>>::/56   # <-- added for IPV6
          gateway: 2001:<<ipv6 van router>>   # <-- added for IPV6

Hiermee de container gestart zonder ipv6 adres gedefinieerd in de server. Daarna in de service het ipv6 address opgegeven dat ik opgevraagd heb in de container zelf (docker exec adguard ifconfig)

Van de week merkte ik dat ik toch wel advertenties te zien kreeg, en toen bleek dat ik een nieuw ipv6-adres gekregen had van Ziggo, dus kon alles weer opnieuw instellen (ook de DNS configuratie in de router enzo). Natuurlijk is het vervelend dat Ziggo opeens een ander IPV6 adres uitgeeft, maar er is ook onderhoud geweest aan het netwerk hier inde buurt, wellicht heeft dat er mee te maken. Maar ik vraag me dus een beetje af of dit dan wel de beste manier is om het zo te configureren. Kan ik niet beter een meer statisch ipv6 adres opgeven, wat niet meer veranderd als mijn verbinding met Ziggo weer weg valt? Of gaat dat nooit werken ivm. routering?

[lolgast]

Dan zul je een eigen IPv6 pool moeten maken. Daar is de fd00::/8 range voor. Vanuit die pool zul je een adres moeten toekennen aan je container. Het IPv6 subnet dat je van je provider krijgt wil je eigenlijk altijd gewoon vanuit DHCP krijgen, zonder fixed adressen. Want dan krijg je dit soort gedoe

Dus:
Zorg voor een extra, intern, IPv6 adres op je container en connect je adressen daar naartoe.

Meteen een vraag: Waarom wil je een IPv6 adres aan je AGH? Heb je IPv6 only devices in je netwerk? Ik maak voor DNS gewoon gebruik van IPv4, dat werkt prima.

[Yukkie]

Het waarom: Ik merkte dat mijn Android toestellen nog wel eens ipv6 gebruikten en dan kwamen er dus advertenties tussen door. op deze manier heb ik dat ook opgelost

Dat extra, interne ipv6 adres: Moet dat ook ergens in mijn router bekend maken, of is het voldoende om dat in mijn docker-compose te definieren?

[Yukkie]

Gelukt! Ik moest inderdaad ook mijn router even vertellen over het interne ipv6 netwerk en adres

[marciej123]

sjongenelen schreef op maandag 31 oktober 2022 @ 12:11:
Ah sorry, ochtend. Mogelijk staat het ingesteld in je browser (in Chrome onder privacy)?

Ook in de Chrome settings heb ik deze aanpassing gedaan maar nog steeds hetzelfde resultaat..

Tijdens mijn speurtocht op het web kwam ik ook tegen om IPv6 uit te schakelen, deze heb ik inderdaad uit gezet dus de telefoon heeft alleen een LinkLocal IPv6 adres (FE80).

De DNS staat rechtstreeks ingesteld naar het IP-adres van m'n Adguard Home server (en geen 2e naar 8.8.8.8 of iets dergelijks).

Iemand nog een ander idee waarom al het netwerkverkeer van 1 android telefoon wordt gemaskeerd door google? Waarom heeft dit maanden goed gewerkt en ineens sinds 2 weken +- niet meer. (vermoedelijk met een android update)
En nog belangrijker, wat kan ik doen om dit op te lossen?

[sjongenelen]

Misschien dit https://www.xda-developers.com/android-13-dns-https-support/

Lijkt er op dat Samsung dit default aan zet?
Je kunt het checken met ADB..

[ Voor 11% gewijzigd door sjongenelen op 02-11-2022 13:35 ]

[Jazco2nd]

Sinds ik "AdGuard Browsing security web service" heb uitgezet is de average processing time gedaald naar 1ms 😂
Dit is met Unbound, Klutchell image.

[Glassertje]

Release: AdGuard Home v0.107.17

ull Changelog

See also the v0.107.17 GitHub milestone.
Security

Go version has been updated to prevent the possibility of exploiting the CVE-2022-41716 Go vulnerability fixed in Go 1.18.8.

Added

The warning message when adding a certificate having no IP addresses (#4898).
Several new blockable services (#3972). Those will now be more in sync with the services that are already blockable in AdGuard DNS.
A new HTTP API, GET /control/blocked_services/all, that lists all available blocked services and their data, such as SVG icons (#3972).
The new optional tls.override_tls_ciphers property, which allows overriding TLS ciphers used by AdGuard Home (#4925, #4990).
The ability to serve DNS on link-local IPv6 addresses (#2926).
The ability to put ClientIDs into DNS-over-HTTPS hostnames as opposed to URL paths (#3418). Note that AdGuard Home checks the server name only if the URL does not contain a ClientID.

Changed

DNS-over-TLS resolvers aren't returned anymore when the configured TLS certificate contains no IP addresses (#4927).
Responses with SERVFAIL code are now cached for at least 30 seconds.

Deprecated

The GET /control/blocked_services/services HTTP API; use the new GET /control/blocked_services/all API instead (#3972).

Fixed

ClientIDs not working when using DNS-over-HTTPS with HTTP/3.
Editing the URL of an enabled rule list also includes validation of the filter contents preventing from saving a bad one (#4916).
The default value of dns.cache_size accidentally set to 0 has now been reverted to 4 MiB (#5010).
Responses for which the DNSSEC validation had explicitly been omitted aren't cached now (#4942).
Web UI not switching to HTTP/3 (#4986, #4993).

Zie overigs dat zowel Cloudflare en Google DNS DNS-over-HTTPS HTTP/3 ondersteunen. Die kun je geforceerd instellen met:
h3://dns.cloudflare.com/dns-query
h3://dns.google/dns-query

Is terug te vinden onder upsteam instellingen voorbeelden. Quad9 werkt nog niet op die manier.

[ Voor 6% gewijzigd door Glassertje op 03-11-2022 02:21 ]

[Glassertje]

Release AdGuard Home v0.107.18

[OmeAnne]

Hier een vraagje van een AdGuard noob. Tot vorige week geen problemen met AdGuard, filtering deed het prima. Maar nu krijg ik sinds een paar dagen weer reclame in de achtergrond bij AD.nl en ook op Dumpert zie ik weer reclame.
Heb het idee dus dat de filtering niet meer goed werkt. Iemand enig idee waar ik het moet zoeken? Alvast bedankt.

AdGuard draait bij mij trouwens in een eigen container op Proxmox.

[ Voor 9% gewijzigd door OmeAnne op 09-11-2022 09:29 ]

[TheCeet]

OmeAnne schreef op woensdag 9 november 2022 @ 09:16:
Hier een vraagje van een AdGuard noob. Tot vorige week geen problemen met AdGuard, filtering deed het prima. Maar nu krijg ik sinds een paar dagen weer reclame in de achtergrond bij AD.nl en ook op Dumpert zie ik weer reclame.
Heb het idee dus dat de filtering niet meer goed werkt. Iemand enig idee waar ik het moet zoeken? Alvast bedankt.

AdGuard draait bij mij trouwens in een eigen container op Proxmox.

Welk type device gebruik je?
Android staat erom bekend dat deze hardcoded DNS aan boord heeft en zo jouw ingestelde DNS settings omzeilt.

Wat heb jezelf allemaal al gecheckt?
Update van jouw blockfilters?

[ Voor 5% gewijzigd door TheCeet op 09-11-2022 15:25 ]

[OmeAnne]

In dit geval op mijn Windows PC in mijn Chrome browser, heb de andere devices nog niet gecheckt.

Ik zie wel dat AdGuards eigen DNS filter net rond het middaguur is geupdate en de reclames zijn nu ook weer weg!

[marciej123]

TheCeet schreef op woensdag 9 november 2022 @ 15:24:
[...]

Welk type device gebruik je?
Android staat erom bekend dat deze hardcoded DNS aan boord heeft en zo jouw ingestelde DNS settings omzeilt.

Wat heb jezelf allemaal al gecheckt?
Update van jouw blockfilters?

Hoe kan je die hardcoded DNS omzeilen / zorgen dat toch alle via AGH loopt?

[Jazco2nd]

@TheCeet volgens mij ben je in de war met iOS? Ik ben nog geen Android device tegen gekomen die dat heeft?

[sjongenelen]

Nee hij heeft gelijk. In sommige apps zit een hardcoded dns calls. In Netflix bijvoorbeeld, om je locatie te bepalen via DNS.
Algeheel op Android weet ik niet, maar ik heb Google dns geblokkeerd op mn Firewall en er komt genoeg traffic binnen