[AdGuard Home] Ervaringen & discussie

[Hathi]

Dus nu je die instelling voor toegestane gebruikers hebt weg gehaald kan je vanaf de host wel DNS queries doen naar AGH?
Als een andere PC er dan nog niet bij kan dan zou ik eens gaan kijken of het tegen gehouden wordt door een firewall ofzo

[CH4OS]

Hathi schreef op zondag 10 september 2023 @ 23:58:
Dus nu je die instelling voor toegestane gebruikers hebt weg gehaald kan je vanaf de host wel DNS queries doen naar AGH?

Klopt.

Als een andere PC er dan nog niet bij kan dan zou ik eens gaan kijken of het tegen gehouden wordt door een firewall ofzo

Ik zou niet weten waarom dat een firewall issue kan zijn. Alle andere poorten die ik via Docker ingesteld heb (buiten de AdGuard Home container), werkten ook gelijk. Ga ik naar http://pc-debian:82 (op poort 80 heb ik immers Treafik draaien en op poort 81 ook weer wat anders) dan krijg ik "gewoon" de login pagina van AdGuard Home te zien.

EIDT:
Het lijkt erop dat poort 53 ook gewoon geforward is:

root@PC-DEBIAN:/home/plex/docker/networking# ss -tulpn | grep :53
tcp   LISTEN 0      4096          0.0.0.0:53         0.0.0.0:*    users:(("docker-proxy",pid=2724527,fd=4))
tcp   LISTEN 0      4096             [::]:53            [::]:*    users:(("docker-proxy",pid=2724535,fd=4))

[ Voor 20% gewijzigd door CH4OS op 11-09-2023 00:08 ]

[Hathi]

Tja, ik zou het inderdaad ook niet verwachten, maar volgens mij is verder het meeste uitgesloten.
Adguard home draait, upstream servers werken en vanaf de Docker host kan je requests doen naar AGH. Geen beperkingen meer in de clients die requests mogen doen (in een bridge netwerk zal AGH altijd de gateway van het bridge netwerk zien als client denk ik), dus dan is er nog iets wat de DNS requests tegen houdt waardoor ze niet bij je container komen.

[CH4OS]

Wel is iptables aanwezig zie ik, als ik daarin check op poort 53, vind ik het volgende:

root@PC-DEBIAN:/home/plex/docker/networking# iptables -L -n -v | grep :53
    0     0 ACCEPT     6    --  !br-88b36b91145c br-88b36b91145c  0.0.0.0/0            172.21.0.2           tcp dpt:53

[Hathi]

Ja die voegt docker zelf toe.
Zou eerder in de firewall van je netwerk thuis kijken. Misschien heb je ooit poort 53 geblokkeerd naar alles behalve je pi-hole bijvoorbeeld. Al zou AGH dan ook geen upstream requests kunnen doen lijkt me.

[CH4OS]

Ik heb de machine recent opnieuw geinstalleerd (na een hardware upgrade heb ik ipv ESXi nu Debian baremetal draaien), ik heb daarbij niets zelf aangepast of geinstalleerd, dat is gewoon allemaal standaard, eigenlijk.

[ Voor 22% gewijzigd door CH4OS op 11-09-2023 00:15 ]

[sjongenelen]

Port 53 is in use door host. Waarschijnlijk heeft Debian zelf een dns service (systemd) draaien.

[lolgast]

sjongenelen schreef op maandag 11 september 2023 @ 07:33:
Port 53 is in use door host. Waarschijnlijk heeft Debian zelf een dns service (systemd) draaien.

Dan krijg je doorgaans een foutmelding bij het starten van de container

[TheCeet]

Nieuwe bug fix release:
https://github.com/Adguar...me/releases/tag/v0.107.38

[Neo--]

Ik lees bij een aantal dat er veel meer geblokkeerd wordt?
Ik zit momenteel op 1.64%


Daarbij gebruik ik de volgende lijsten:



Nu vraag ik me af, Doe ik iets niet goed of ...

Op "Edge" als browser, zie ik bijvoorbeeld nog wel AdChoice reclame meuk, maar dat zie ik weer niet op Firefox (MSN.COM startpagina / ANP)

Voorbeeld: https://www.msn.com/nl-nl...-van-het-jaar/ar-AA1gHeDC?

Edge geeft hier AdChoice door, terwijl Firefox dit niet doet.

[sjongenelen]

Gebruikt edge een eigen (private) dns setting? Ik heb zon 15-30 procent blocked

[ Voor 3% gewijzigd door sjongenelen op 15-09-2023 23:46 ]

[YaYo86]

Neo-- schreef op vrijdag 15 september 2023 @ 23:24:
Ik lees bij een aantal dat er veel meer geblokkeerd wordt?
Ik zit momenteel op 1.64%
[Afbeelding]

Daarbij gebruik ik de volgende lijsten:

[Afbeelding]

Nu vraag ik me af, Doe ik iets niet goed of ...

Op "Edge" als browser, zie ik bijvoorbeeld nog wel AdChoice reclame meuk, maar dat zie ik weer niet op Firefox (MSN.COM startpagina / ANP)

Voorbeeld: https://www.msn.com/nl-nl...-van-het-jaar/ar-AA1gHeDC?

Edge geeft hier AdChoice door, terwijl Firefox dit niet doet.

Waar kan ik deze urls vandaan halen zonder alles over te moeten typen? 😜

[Hmmbob]

Neo-- schreef op vrijdag 15 september 2023 @ 23:24:
Ik lees bij een aantal dat er veel meer geblokkeerd wordt?
Ik zit momenteel op 1.64%
[Afbeelding]

Daarbij gebruik ik de volgende lijsten:

[Afbeelding]

Nu vraag ik me af, Doe ik iets niet goed of ...

Op "Edge" als browser, zie ik bijvoorbeeld nog wel AdChoice reclame meuk, maar dat zie ik weer niet op Firefox (MSN.COM startpagina / ANP)

Voorbeeld: https://www.msn.com/nl-nl...-van-het-jaar/ar-AA1gHeDC?

Edge geeft hier AdChoice door, terwijl Firefox dit niet doet.

Woa, dat zijn veel lijsten. Dat zal niet handig debuggen zijn, want wat de ene blockt kan de ander gewhitelist hebben. Ook zie ik al 2x de OISD big list staan.... Meer is niet altijd beter in dit geval.

Mag ik een voorstel doen? Kieper alles er eens uit, en begin eens met de OISD big list (en alleen die).

[maxoss]

Neo-- schreef op vrijdag 15 september 2023 @ 23:24:
Ik lees bij een aantal dat er veel meer geblokkeerd wordt?
Ik zit momenteel op 1.64%
[Afbeelding]

Daarbij gebruik ik de volgende lijsten:

[Afbeelding]

Nu vraag ik me af, Doe ik iets niet goed of ...

Op "Edge" als browser, zie ik bijvoorbeeld nog wel AdChoice reclame meuk, maar dat zie ik weer niet op Firefox (MSN.COM startpagina / ANP)

Voorbeeld: https://www.msn.com/nl-nl...-van-het-jaar/ar-AA1gHeDC?

Edge geeft hier AdChoice door, terwijl Firefox dit niet doet.

Ik had iets vergelijkbaars. Adguard DNS1, google DNS2 in de router.
Schijnbaar gaat niet alles standaard via DNS1.

[Neo--]

sjongenelen schreef op vrijdag 15 september 2023 @ 23:45:
Gebruikt edge een eigen (private) dns setting? Ik heb zon 15-30 procent blocked

De 5790 (Fritz) gebruikt als DNS enkel de RPI waar Adguard Home op draait.
Adguard Home gebruikt als DNS

94.140.14.14
94.140.15.15
2a10:50c0::ad1:ff
2a10:50c0::ad2:ff
https://dns.adguard-dns.com/dns-query
tls://dns.adguard-dns.com
quic://dns.adguard-dns.com

[Neo--]

Hmmbob schreef op zaterdag 16 september 2023 @ 08:59:
[...]

Woa, dat zijn veel lijsten. Dat zal niet handig debuggen zijn, want wat de ene blockt kan de ander gewhitelist hebben. Ook zie ik al 2x de OISD big list staan.... Meer is niet altijd beter in dit geval.

Mag ik een voorstel doen? Kieper alles er eens uit, en begin eens met de OISD big list (en alleen die).

Heb nu 1 OISD (BIG) die Adguard zelf aanbied erin staan en de standaard van Adguard
https://adguardteam.githu...istry/assets/filter_1.txt

De rest staat nu inactief.

[lolgast]

@Neo-- Dat percentage vertelt niet het hele verhaal. Heb je bijvoorbeeld 1 device dat het overgrote deel van de queries doet en worden die allemaal goedgekeurd?

Edit: ik vind namelijk dat je ABSURD veel queries hebt. Ik werk 4 dagen per week thuis, mijn vrouw ook. En als ik mijn queries omreken naar jouw 90 dagen kom ik op 6.500.000 queries. Jij op 10x(!) zoveel

[ Voor 38% gewijzigd door lolgast op 16-09-2023 11:38 ]

[Neo--]

lolgast schreef op zaterdag 16 september 2023 @ 11:28:
@Neo-- Dat percentage vertelt niet het hele verhaal. Heb je bijvoorbeeld 1 device dat het overgrote deel van de queries doet en worden die allemaal goedgekeurd?

Edit: ik vind namelijk dat je ABSURD veel queries hebt. Ik werk 4 dagen per week thuis, mijn vrouw ook. En als ik mijn queries omreken naar jouw 90 dagen kom ik op 6.500.000 queries. Jij op 10x(!) zoveel

[Vorkie]

https://lists.blocklist.de/lists/all.txt
https://winhelp2002.mvps.org/hosts.txt
http://pgl.yoyo.org/adser...=hosts&mimetype=plaintext
https://hosts.oisd.nl/


Plus ik laat nog wat door - zodat het gezin in ieder geval de linkjes van Aliexpress en de boodschappen kan klikken als ze googled (als het van googleadservices is)

code:

@@||paypal.com^
@@||icloud.com^
@@|cdn.livechatinc.com
@@|tags.tiqcdn.com
@@||gearbest.com^
@@||apple.com^
@@||YouTube.com^
@@|s.click.aliexpress.com
@@|ssl.p.jwpcdn.com
@@||apple.news^
@@||drmartens.com^
@@||spmailtechno.com^
@@||googleadservices.com^
@@||t.co^

Dit werkt al jaren naar mijn zin en heb geen problemen hiermee.

Als ik dan kijk de afgelopen 7 dagen is het OK en dit is al jaren ook stabiel.

[Glassertje]

Komt het niet omdat je de dns van AdGuard gebruikt waar een adblocker op actief is? Je kan eens een andere Dns proberen.

[ Voor 9% gewijzigd door Glassertje op 16-09-2023 12:55 ]

[meesje]

Ik ben nog redelijk een leek, maar ik lees regelmatig over DNS1 en DNS2, in de router. Vooral dat laatste snap ik niet. In mijn router heb ik bij DNS(1) het ip adres van Adguard ingegeven (en bij DNS2 niks) en bij Adguard (zo uit mijn hoofd) 1.1.1.1 en 1.0.0.1 (als dns1 en dns2). Doe ik iets verkeerd? Of snap ik problematieken van de anderen niet?

[gerritjan]

Neo-- schreef op zaterdag 16 september 2023 @ 12:52:
[...]


[Afbeelding]

Ik ben wel benieuwd wat die localhost is. Is dat misschien het device (je hebt niet verteld wat dat is) waar je AGH op draait?
Long shot, maar zit AGH misschien zichzelf te query-en?
Ik ben het overigens eens met @Hmmbob, je gebruikt bizar veel blocklists. Een stuk of 5-6 zou genoeg moeten zijn.

[Neo--]

Glassertje schreef op zaterdag 16 september 2023 @ 12:54:
Komt het niet omdat je de dns van AdGuard gebruikt waar een adblocker op actief is? Je kan eens een andere Dns proberen.

De 5790 (Fritz) gebruikt als DNS enkel de RPI waar Adguard Home op draait.
Adguard Home gebruikt als DNS

94.140.14.14
94.140.15.15
2a10:50c0::ad1:ff
2a10:50c0::ad2:ff
https://dns.adguard-dns.com/dns-query
tls://dns.adguard-dns.com
quic://dns.adguard-dns.com

[Neo--]

gerritjan schreef op zaterdag 16 september 2023 @ 13:36:
[...]

Ik ben wel benieuwd wat die localhost is. Is dat misschien het device (je hebt niet verteld wat dat is) waar je AGH op draait?
Long shot, maar zit AGH misschien zichzelf te query-en?
Ik ben het overigens eens met @Hmmbob, je gebruikt bizar veel blocklists. Een stuk of 5-6 zou genoeg moeten zijn.

RPI 4 (8GB)

[Hmmbob]

meesje schreef op zaterdag 16 september 2023 @ 12:57:
Ik ben nog redelijk een leek, maar ik lees regelmatig over DNS1 en DNS2, in de router. Vooral dat laatste snap ik niet. In mijn router heb ik bij DNS(1) het ip adres van Adguard ingegeven (en bij DNS2 niks) en bij Adguard (zo uit mijn hoofd) 1.1.1.1 en 1.0.0.1 (als dns1 en dns2). Doe ik iets verkeerd? Of snap ik problematieken van de anderen niet?

Dit is prima.

[Hmmbob]

Neo-- schreef op zaterdag 16 september 2023 @ 13:43:
[...]


De 5790 (Fritz) gebruikt als DNS enkel de RPI waar Adguard Home op draait.
Adguard Home gebruikt als DNS

94.140.14.14
94.140.15.15
2a10:50c0::ad1:ff
2a10:50c0::ad2:ff
https://dns.adguard-dns.com/dns-query
tls://dns.adguard-dns.com
quic://dns.adguard-dns.com

Tja, hij zal niet veel hoeven blocken want al je upstream servers gevel al een NXDOMAIN of 0-antwoord op advertentiedomeinen. Dan hoeft je lokale adguard natuurlijk dat niet meer te doen....

[Neo--]

Hmmbob schreef op zaterdag 16 september 2023 @ 14:49:
[...]

Tja, hij zal niet veel hoeven blocken want al je upstream servers gevel al een NXDOMAIN of 0-antwoord op advertentiedomeinen. Dan hoeft je lokale adguard natuurlijk dat niet meer te doen....

En dat is prima? of, hoe moet ik dat zien?

[Hmmbob]

Das helemaal prima.

Conceptueel probeer je nu de al-gefilterde-informatie afkomstig van de Adguard dns servers, nog een keer te filteren op je lokale Adguard. Daar zal niet veel meer gebeuren natuurlijk.

Ik ben geen fan van die Adguard dns servers, toen ik ze probeerde waren ze traag (hoge response time). Ik gebruik "gewoon" de Google dns (8.8.8.8 en 8.8.4.4) en doe alle filtering lokaal, dat was voor mij sneller.

[lolgast]

Hmmbob schreef op zaterdag 16 september 2023 @ 17:23:
Das helemaal prima.

Conceptueel probeer je nu de al-gefilterde-informatie afkomstig van de Adguard dns servers, nog een keer te filteren op je lokale Adguard. Daar zal niet veel meer gebeuren natuurlijk.

Ik ben geen fan van die Adguard dns servers, toen ik ze probeerde waren ze traag (hoge response time). Ik gebruik "gewoon" de Google dns (8.8.8.8 en 8.8.4.4) en doe alle filtering lokaal, dat was voor mij sneller.

Traag zijn ze nog steeds, afgaande op de responsetime van @Neo--

[Neo--]

Neo-- schreef op vrijdag 15 september 2023 @ 23:24:
Op "Edge" als browser, zie ik bijvoorbeeld nog wel AdChoice reclame meuk, maar dat zie ik weer niet op Firefox (MSN.COM startpagina / ANP)

Voorbeeld: https://www.msn.com/nl-nl...-van-het-jaar/ar-AA1gHeDC?

Edge geeft hier AdChoice door, terwijl Firefox dit niet doet.

Maar dit? Dit blijft toch wel een vreemd iets.
Iemand nog een idee?

[Glassertje]

Neo-- schreef op zaterdag 16 september 2023 @ 20:58:
[...]


Maar dit? Dit blijft toch wel een vreemd iets.
Iemand nog een idee?

Net hier getest voor je, maar ik zie geen enkele reclame in Edge. Maar je zou uBlock in Edge kunnen gebruiken. Dan wordt er ook cosmetisch gefilterd, wat AdGuard Home niet doet. Van je van al die vervelende witte vlakken verlost, die je nu vaak ziet.

[sjongenelen]

Nou, mogelijk kun je ff checken of edge een prive dns ingesteld heeft staan?

[Neo--]

sjongenelen schreef op zondag 17 september 2023 @ 15:54:
Nou, mogelijk kun je ff checken of edge een prive dns ingesteld heeft staan?

Deze gebruikt de 'standaard' instellingen.

[TheCeet]

@Neo--
Heb je echt ipv6 nodig? Bij mij staat dit uitgeschakeld omdat ik het niet 100% aan de praat kreeg icm AdGuard Home.

Kan je eens testen door alles op ipv4 te testen?
Wat is ook localhost client bij je?

De MSN link even getest, en ik zie niets van adchoises. 0 reclame, of van die 'venstertjes'.
Heb je jouw cache al eens verwijderd van de browser?

Wat is ook onderstaande gigantische piek? Want daarna is het zo plat als een vijg:


Bij de upstream servers gebruik ik op mn back-up machine:
https://dns.cloudflare.com/dns-query
https://dns.quad9.net/dns-query

[ Voor 35% gewijzigd door TheCeet op 18-09-2023 08:37 ]

[Neo--]

Localhost zal de rpi zijn. (Laat momenteel geen logs zien/leeg)
Kan morgen eens op ipv4 proberen

[Ferra]

Ik heb op IOS er last van dat de reclame op voetbalzone.nl en voetbalwprimeur.nl niet geblokt wordt door adguard. Hebben jullie nog tips dit op te lossen?

[lolgast]

Ferra schreef op maandag 18 september 2023 @ 07:28:
Ik heb op IOS er last van dat de reclame op voetbalzone.nl en voetbalwprimeur.nl niet geblokt wordt door adguard. Hebben jullie nog tips dit op te lossen?

Net even getest, ik zie gewoon een grijs vlak met daarboven “Advertentie”. Dus hier werkt het gewoon. Ik gebruik alleen de OISD blocklist

[TheCeet]

Neo-- schreef op maandag 18 september 2023 @ 00:32:
Localhost zal de rpi zijn. (Laat momenteel geen logs zien/leeg)
Kan morgen eens op ipv4 proberen

Ikzelf heb geen localhost client staan.
Wat ook nog mogelijkheid is dat je ads ziet, 'forced DNS'. Android toestellen hebben dit, iOS als je private relay ingeschakeld hebt.
Of je browser die HTTPS ingesteld staat.

Ikzelf forceer alle DNS verkeer naar de Pi. Want de Sony TV wil veel communiceren rechtstreeks naar Google.

[Ferra]

lolgast schreef op maandag 18 september 2023 @ 07:57:
[...]

Net even getest, ik zie gewoon een grijs vlak met daarboven “Advertentie”. Dus hier werkt het gewoon. Ik gebruik alleen de OISD blocklist

Waar haal ik die vandaan? Jij hebt dus geen popups met filmpjes etc. ?

[TheCeet]

Ferra schreef op maandag 18 september 2023 @ 09:42:
[...]


Waar haal ik die vandaan? Jij hebt dus geen popups met filmpjes etc. ?

Gewoon bij de blocklists in AdGuard Home, daar lijst toevoegen, staat bij de gekende lijsts in AdGuard Home.
Manueel toe te voegen kan ook, zie OISD.NL voor de correcte links.

EDIT: maar toegevoegd hier:

oisd links
https://small.oisd.nl
https://big.oisd.nl
https://nsfw.oisd.nl

how to
Filters
DNS Blocklists
Click "Add blocklist"
Click "Choose from the list"
Check the box in front of "OISD Blocklist Big"
Click "Save"

(Note: "OISD Blocklist Big" already includes all domains from "OISD Blocklist Small", thus you won't need to enable that one)

[ Voor 35% gewijzigd door TheCeet op 18-09-2023 11:37 ]

[Villager]

Ik gebruik Adguard + unbound in een container binnen Proxmox. Niet heel belangrijk voor m'n vraag denk ik, maar noem het toch maar. Ik ben eigenlijk op zoek naar de beste configuratie voor unbound (unbound.conf). Het kost me te veel tijd om de settings allemaal te begrijpen. Wie heeft hier wat tijd in gestoken en heeft een goeie unbound.conf. Of is alles gewoon default laten ook goed?

[lolgast]

@Villager Vrij offtopic, maar dit is de mijne

YAML:

server:
    interface: 0.0.0.0@5053
    do-ip6: no
    do-udp: yes
    do-tcp: yes
    do-daemonize: no
    num-threads: 2
    infra-cache-slabs: 4
    key-cache-slabs: 4
    msg-cache-slabs: 4
    access-control: 127.0.0.1/32 allow
    access-control: 192.168.0.0/16 allow
    access-control: 10.0.0.0/8 allow
    private-address: 127.0.0.1/32
    private-address: 192.168.0.0/16
    private-address: 10.0.0.0/8
    auto-trust-anchor-file: /etc/unbound/root.key
    logfile: ""
    verbosity: 1
    statistics-interval: 600
    statistics-cumulative: yes
    root-hints: "/etc/unbound/root.hints"
    deny-any: yes
    harden-below-nxdomain: yes
    identity: "DNS"
    
### OPTIMIZATIONS? ###
    outgoing-range: 200
    prefetch: yes
    prefetch-key: yes
#    serve-expired: yes
    cache-min-ttl: 0
    msg-cache-size: 128m
    rrset-cache-size: 256m
    so-reuseport: yes

Wel zorgen dat die root.key ook daadwerkelijk weggeschreven kan worden door Unbound. De 'serve-expired' zorgt hier voor vrij veel problemen en daarom is die tegenwoordig uit-gecomment. Problemen zijn certificaat meldingen in browsers, niet werkende streamingdiensten op de TV, dat soort zaken.

[EverLast2002]

Villager schreef op maandag 18 september 2023 @ 19:02:
Ik gebruik Adguard + unbound in een container binnen Proxmox. Niet heel belangrijk voor m'n vraag denk ik, maar noem het toch maar. Ik ben eigenlijk op zoek naar de beste configuratie voor unbound (unbound.conf). Het kost me te veel tijd om de settings allemaal te begrijpen. Wie heeft hier wat tijd in gestoken en heeft een goeie unbound.conf. Of is alles gewoon default laten ook goed?

heb je de root hints al gedownload?

Get latest list of root DNS servers:

code:

$ curl -o /etc/unbound/root.hints https://www.internic.net/domain/named.cache

[Videopac]

Hmmbob schreef op zaterdag 16 september 2023 @ 17:23:
Das helemaal prima.

Conceptueel probeer je nu de al-gefilterde-informatie afkomstig van de Adguard dns servers, nog een keer te filteren op je lokale Adguard. Daar zal niet veel meer gebeuren natuurlijk.

Ik ben geen fan van die Adguard dns servers, toen ik ze probeerde waren ze traag (hoge response time). Ik gebruik "gewoon" de Google dns (8.8.8.8 en 8.8.4.4) en doe alle filtering lokaal, dat was voor mij sneller.

Gebruik dan 1.1.1.1 en 1.0.0.1 of quad 9: 9.9.9.9 o.i.d. Google weet al genoeg van ons; dat is tenslotte ook de reden dat we AdGuard Home gebruiken (los van het advertentievrij presenteren van websites).

[Hmmbob]

Ik denk dat ieder zijn eigen afweging maakt.

(los van het advertentievrij presenteren van websites).

Dit is precies de use case die ik hier oplos. Dus niet "los van", nee, dit IS de use case.
Wij zitten hevig in het Android/Google ecosysteem, een paar DNS queries gaan daar echt het verschil niet in maken. Ieder z'n keus: Apple weet bijvoorbeeld niet zo heel veel van ons (want geen iDevice in huis).

[ Voor 19% gewijzigd door Hmmbob op 19-09-2023 09:01 ]

[Jazco2nd]

Villager schreef op maandag 18 september 2023 @ 19:02:
Ik gebruik Adguard + unbound in een container binnen Proxmox. Niet heel belangrijk voor m'n vraag denk ik, maar noem het toch maar. Ik ben eigenlijk op zoek naar de beste configuratie voor unbound (unbound.conf). Het kost me te veel tijd om de settings allemaal te begrijpen. Wie heeft hier wat tijd in gestoken en heeft een goeie unbound.conf. Of is alles gewoon default laten ook goed?

Ik heb veel getest met de verschillende opties en security mogelijkheden. Uiteindelijk terug naar een simpelere setup want de rest is gewoon overkill.
Ik gebruik mijn eigen config, afgeleide van Klutchell, zodat Unbound naar poort 5335 luistert.
Zo is 53 vrij voor AdGuard Home.
Zo kan ik beide Docker containers in network_mode: host draaien zonder poort conflict.
Ook kan je makkelijk het loglevel eventjes aanpassen als je een probleem ervaart. Uit mijn hoofd heb ik verder niets anders aangepast dan de Klutchell versie:
https://github.com/zilexa...king/unbound/unbound.conf

Helaas heb ik al ruim een jaar af en toe last van dit mysterieuze probleem:
https://github.com/klutchell/unbound-docker/issues/104
Dit heb ik met elke config, ook default, van zowel Klutchell als andere image aanbieders.

Mijn router, Mikrotik, draait (elke minuut) een script dat automatisch overschakelt naar de router eigen DNS servers wanneer mijn server niet meer reageert op verzoeken. Ik heb dus nooit door dat Unbound ineens niet meer werkt. Behalve als ik in mn router inlog (of in Adguard Home opvalt dat er geen recente requests zijn geweest).
Laatst ontdekte ik (zonder een container te hebben gerestart!) Dat Unbound weer eens een weekje niet werkte.

Heb teveel tijd besteed aan het uitzoeken waarom Unbound gewoon soms niet meer werkt uit het niets. En daarna ineens weer wel. Om die reden draait Unbound nog wel, zonder dat ik het gebruik. In Adguard Home staat een publieke, maar nog altijd recursieve DNS ingesteld, namelijk die van Neustar.

Neustar is een cloud security organisatie. Onmisbaar voor cloud leveranciers in hun security architectuur. Daarnaast bieden ze een filterende en niet-filterende publieke recursieve DNS service.

Dit is de niet-filterende (dat doet Adguard immers voor je en daarin heb je controle over wat wel/niet gefilterd moet worden:

Neustar recursive DNS zonder filter:

code:

64.6.64.6
64.6.65.6

Dingen als Cloudflare (1.1.1.1) zou ik never nooit aanraden. Die wordt zelfs geboycot door sommige websites (bijvoorbeeld door de Internet Archive (https://archive.today of mirrors), vrij essentieel voor het lezen van artikelen achter een betaalmuur).

Dingen als DNS over HTTPS vind ik schijn veiligheid of schijn privacy. In NL/EU verkopen ISPs geen internethistorie aan overheden en commerciële partijen (wat doodnormaal is in de VS).
En laat DoH je nou alleen beschermen daartegen. Immers, je gehele URL wordt gewoon gedecrypt bij de DNS provider. Die weet dus precies welke site je zoekt.
Recursieve DNS is volgens mij de enige methode om ervoor te zorgen dat niet 1 partij weet wat je zoekt.

[ Voor 14% gewijzigd door Jazco2nd op 24-09-2023 13:23 ]

[EverLast2002]

Jazco2nd schreef op zondag 24 september 2023 @ 13:06:
[...]
Mijn router, Mikrotik, draait (elke minuut) een script dat automatisch overschakelt naar de router eigen DNS servers wanneer mijn server niet meer reageert op verzoeken. Ik heb dus nooit door dat Unbound ineens niet meer werkt.

Misschien weet ik er iets te weinig vanaf, maar waarom draait dat script?
Je DNS verzoeken (lookups) gaan toch tussen je Mikrotik router en de officiele root DNS servers op internet?
Logging staat daar uit, enige jammere is dat ze geen encrypted verbinding ondersteunen.

[Jazco2nd]

EverLast2002 schreef op zondag 24 september 2023 @ 13:58:
[...]

Misschien weet ik er iets te weinig vanaf, maar waarom draait dat script?
Je DNS verzoeken (lookups) gaan toch tussen je Mikrotik router en de officiele root DNS servers op internet?
Logging staat daar uit, enige jammere is dat ze geen encrypted verbinding ondersteunen.

Dankzij dat script (dat draait op mijn router, niet mijn server) heb ik een backup voor als mijn server om wat voor reden dan ook offline gaat, moet rebooten of de Adguard container ermee stopt.
Want als dat gebeurd kan je vrijwel niet meer internetten, je hebt immers geen DNS meer.

In mijn geval, forceert mijn router -dankzij 2 firewall regels- elke port 53 request naar mijn server. Zo worden alle apparaten gedwongen langs Adguard gestuurd.
Als het script ontdekt dat je geen DNS kan resolven via mijn server IP, zal het de 2 firewall regels uitschakelen en 1 andere inschakelen die DNS verzoeken gewoon via de in de router ingestelde DNS servers laat gaan (ook die van Neustar).
Omgekeerd, als het detecteert dat je wel DNS kan resolven via mijn server IP, zal het het omgekeerde doen.

Andere mensen lossen dit op door een 2e server. Of gebruiken gewoon 2 Raspberries. Ik heb op deze manier geen extra apparatuur, extra voeding en extra netwerkaansluiting nodig.

[ Voor 4% gewijzigd door Jazco2nd op 24-09-2023 14:27 ]

[EverLast2002]

Jazco2nd schreef op zondag 24 september 2023 @ 14:26:
[...]

Dankzij dat script (dat draait op mijn router, niet mijn server) heb ik een backup voor als mijn server om wat voor reden dan ook offline gaat, moet rebooten of de Adguard container ermee stopt.
Want als dat gebeurd kan je vrijwel niet meer internetten, je hebt immers geen DNS meer.

In mijn geval, forceert mijn router -dankzij 2 firewall regels- elke port 53 request naar mijn server. Zo worden alle apparaten gedwongen langs Adguard gestuurd.
Als het script ontdekt dat je geen DNS kan resolven via mijn server IP, zal het de 2 firewall regels uitschakelen en 1 andere inschakelen die DNS verzoeken gewoon via de in de router ingestelde DNS servers laat gaan (ook die van Neustar).
Omgekeerd, als het detecteert dat je wel DNS kan resolven via mijn server IP, zal het het omgekeerde doen.

Andere mensen lossen dit op door een 2e server. Of gebruiken gewoon 2 Raspberries. Ik heb op deze manier geen extra apparatuur, extra voeding en extra netwerkaansluiting nodig.

Helder! Bedankt voor de uitleg

[sjongenelen]

Kun je je script even plakken? Ik heb zelfde setup maar neem de tijd dat AGH down gaat voor lief

[lier]

In plaats van een script kan je hier ook Netwatch voor gebruiken.

[Yarisken]

Boys, effe een vraagje. Ik gebruik adguard al een hele tijd via home assistant plugin.
Alles werkt perfect.
Zijn er soms zaken dat je moet nakijken binnen adguard ? Ik draai gewoon met basis settings dus alles van lijsten aangevinkt en tls 1.1.1.1 en 1.0.0.1 geloof ik.
Ongeveer 29,2% van de requesten wordt geblokkeerd.
Het draait ook heel stabiel.

[TheCeet]

@Jazco2nd
Je opgegeven Neustar servers kloppen precies niet?
Als ik die opzoek zijn die van Verisign:
https://blog.verisign.com...at-respects-your-privacy/

Neustar zou onderstaande zijn als ik wat rond Google.
Hun site werkt precies ook niet 100% atm.

code:

156.154.70.1
156.154.71.1

Waar heb jij die info vandaan welke nu tot Neustar behoren?

[EverLast2002]

TheCeet schreef op zondag 24 september 2023 @ 18:00:
@Jazco2nd
Je opgegeven Neustar servers kloppen precies niet?
Als ik die opzoek zijn die van Verisign:
https://blog.verisign.com...at-respects-your-privacy/

Neustar zou onderstaande zijn als ik wat rond Google.
Hun site werkt precies ook niet 100% atm.

code:

156.154.70.1
156.154.71.1

Waar heb jij die info vandaan welke nu tot Neustar behoren?

Ik kom uit bij vercara.com en ultradns.com, geen Verisign

[Villager]

En nog een andere vraag in relatie tot Adguard met Unbound:
Ik las ergens dat als je DNSSEC in unbound actief hebt middels de 'auto-trust-anchor-file" optie, je dan DNSSEC in Adguard beter uit kunt zetten. Klink logisch, maar klopt het ook en is het ook verstandig om het zo te doen?

[EverLast2002]

Villager schreef op maandag 25 september 2023 @ 10:56:
En nog een andere vraag in relatie tot Adguard met Unbound:
Ik las ergens dat als je DNSSEC in unbound actief hebt middels de 'auto-trust-anchor-file" optie, je dan DNSSEC in Adguard beter uit kunt zetten. Klink logisch, maar klopt het ook en is het ook verstandig om het zo te doen?

Lijkt me logisch, de communicatie tussen Unbound en AGH hoeft niet versleuteld te zijn.

[Villager]

Ik gebruik Adguard met Unbound op een aparte NUC. DHCP wordt door de Fritzbox geregeld (=192.168.2.1) en die verwijst standaard naar het IP adres van Adguard. Werkt allemaal prima. Recent is er het scherm van de upstream IP adressen toegevoegd en ik had verwacht daar alleen 127.0.0.1:5335 in te zien, maar zie ook 192.168.2.1:53 er in terugkomen. Waarom is dat?



Stuurt Adguard een deel van de requests terug naar de Fritzbox poort 53?

[ Voor 87% gewijzigd door Villager op 27-09-2023 08:59 ]

[TheCeet]

Zijn dat niet die PTR records, om de hostnames te achterhalen binnen je netwerk?

Als ik op mijn setup kijk, is het net andersom. Meeste request gaan naar router, en minste is Unbound
Ik geef er verder geen aandacht aan want alles werkt gwn perfect hier AGH >< Unbound.

[Hmmbob]

Ik zou ook gokken op de PTR requests inderdaad (die je interne IPs omzetten naar een hostname)

[Villager]

Aah, ja, dat klinkt als een logische verklaring. Ook qua aantal requests.
Dank voor het meedenken!

[ThinkPad]

Jazco2nd schreef op zondag 24 september 2023 @ 13:06:
[...]
Laatst ontdekte ik (zonder een container te hebben gerestart!) Dat Unbound weer eens een weekje niet werkte.
[...]

offtopic:
Als je toch al Docker hebt draaien dan is een monitoring containertje snel opgezet toch ? Ik heb PRTG draaien in m’n homelab. Heel fijn pakket, maar heeft wel Windows nodig om op te draaien.

[ Voor 12% gewijzigd door ThinkPad op 27-09-2023 10:50 ]

[Villager]

TheCeet schreef op woensdag 27 september 2023 @ 09:31:
Zijn dat niet die PTR records, om de hostnames te achterhalen binnen je netwerk?

Als ik op mijn setup kijk, is het net andersom. Meeste request gaan naar router, en minste is Unbound
Ik geef er verder geen aandacht aan want alles werkt gwn perfect hier AGH >< Unbound.

Heb je dan niet een soort 'loop' ergens? Wat is je gemiddelde responsetijd in AGH dan? Bij mij is het 11ms.

[zunrob]

Villager schreef op woensdag 27 september 2023 @ 10:07:
[...]


Heb je dan niet een soort 'loop' ergens? Wat is je gemiddelde responsetijd in AGH dan? Bij mij is het 11ms.

Welke servers gebruik je dan? Ik zit meestal rond de 43ms of hoger.

[Villager]

Hier heb je mijn unbound.conf:

code:

# This file is referred to by /etc/unbound/unbound.conf
server:
    #
    verbosity: 1
    #    
    interface: 127.0.0.1
    #
    port: 5335
    do-ip4: yes
    do-ip6: no
    do-udp: yes
    do-tcp: yes
    #
    root-hints: "/var/lib/unbound/root.hints"
    #
    # root key file, automatically updated
    auto-trust-anchor-file: "/var/lib/unbound/root.key"
    #
    harden-below-nxdomain: yes
    harden-referral-path: yes    
    harden-algo-downgrade: yes
    use-caps-for-id: no
    #
    hide-identity: yes
    hide-version: yes
    hide-trustanchor: yes
    do-daemonize: no
    deny-any: yes
    logfile: ""
    #
    # Ensure privacy of local IP ranges
    private-address: 192.168.0.0/16
    private-address: 169.254.0.0/16
    private-address: 172.16.0.0/12
    private-address: 10.0.0.0/8
    #
    access-control: 127.0.0.0/8 allow
    access-control: 192.168.2.0/24 allow
    #
    ###########################################################################
    # PERFORMANCE SETTINGS
    ###########################################################################
    #
    num-threads: 1  
    msg-buffer-size: 8192
    rrset-cache-slabs: 1
    infra-cache-slabs: 1
    key-cache-slabs: 1
    msg-cache-slabs: 1
    #
    prefetch: yes
    prefetch-key: yes
    target-fetch-policy: "3 2 1 1 1"
    unwanted-reply-threshold: 10000000
    #
    # more cache memory, rrset=msg*2
    # total usage is 150m*cores
    rrset-cache-size: 100m
    msg-cache-size: 50m
    key-cache-size: 32m
    neg-cache-size: 10k
    #
    cache-min-ttl: 0
    serve-expired: yes
    # deny-any: yes 
    # more outgoing connections
    # depends on number of cores: 1024/cores - 50
    outgoing-range: 462
    # Half the number of outgoing-range
    num-queries-per-thread: 231
    so-rcvbuf: 4m
    so-sndbuf: 4m
    #
    # Faster UDP with multithreading (only on Linux).
    so-reuseport: yes
    #
    # System Tuning
    aggressive-nsec: yes
    minimal-responses: yes
    rrset-roundrobin: yes
    #
forward-zone:
    # Eerste 2 adressen zijn van Neustar en de tweede set van OpenDNS
    name: "."
    forward-addr: 156.154.70.1
    forward-addr: 156.154.71.1
    forward-addr: 208.67.222.222
    forward-addr: 208.67.220.220
    #
remote-control:
    #
    control-enable: no

[Villager]

Krijg het even niet voor elkaar om dit als gestructureerde data te tonen. Hoe werkt dat ook alweer?

[Villager]

Ik heb overigens deze tool gebruikt om de snelste DNS server te bepalen:

For checking DNS server performance (see: https://github.com/cleanbrowsing/dnsperftest) :
$ cd dnsperftest
$ bash ./dnstest.sh

[Hmmbob]

Villager schreef op woensdag 27 september 2023 @ 10:47:
Krijg het even niet voor elkaar om dit als gestructureerde data te tonen. Hoe werkt dat ook alweer?

Door ze in code blocken te zetten:

[code]...[/code]

[Villager]

Hmmbob schreef op woensdag 27 september 2023 @ 11:06:
[...]

Door ze in code blocken te zetten:

[code]...[/code]

Dank!

[Jazco2nd]

sjongenelen schreef op zondag 24 september 2023 @ 15:08:
Kun je je script even plakken? Ik heb zelfde setup maar neem de tijd dat AGH down gaat voor lief

Dit zijn de 3 NAT regels (exported) die of alle DNS verzoeken naar je server forceren, of naar de router zelf (moet je wel onder IP > DNS een paar publieke dns servers instellen).
192.168.88.2 is mijn server waar Adguard Home op draait. 192.168.88.1 is mijn router zelf (de mikrotik waar ik deze regels in heb staan, onder Firewall > NAT).

code:

add action=dst-nat chain=dstnat comment=force-Obelix-DNS1 dst-address=!192.168.88.2 dst-port=53 in-interface=bridge protocol=udp src-address=!192.168.88.2 to-addresses=192.168.88.2 to-ports=53

add action=masquerade chain=srcnat comment=force-Obelix-DNS2 dst-address=192.168.88.2 dst-port=53 protocol=udp src-address=192.168.88.0/24

add action=dst-nat chain=dstnat comment=force-router-DNS disabled=yes dst-address=!192.168.88.1 dst-port=53 in-interface=bridge protocol=udp src-address=!192.168.88.1 to-addresses=192.168.88.1

Dit script staat onder System > Scripts en vervolgens elke minuut gescheduled onder System > Scheduler.

Script 1 "dns-fallback": automatisch schakelen tussen server en router voor DNS:

code:

:local serverIP "192.168.88.2"
:local testDomain "google.com"


:do {
     :resolve $testDomain server $serverIP
      /ip firewall nat;
          enable [find comment="force-Obelix-DNS1"];
          enable [find comment="force-Obelix-DNS2"];
          disable [find comment="force-router-DNS"];
    } on-error={
                /ip firewall nat;
                    enable [find comment="force-router-DNS"];
                    disable [find comment="force-Obelix-DNS1"];
                    disable [find comment="force-Obelix-DNS2"];
               }
    }

Script 2 "update-check": email sturen wanneer er een RouterOS update beschikbaar is (scheduled elke 30dagen):

code:

:local emailAddress "emailadres-hier"
 
/system package update
set channel=stable
check-for-updates
 
:if ([get installed-version] != [get latest-version]) do={ 
:log info "A new software update is available. Sending email..."
 
/tool e-mail send to="$emailAddress" subject="Menhir - router update available" body="Hello, this is Menhir, your router.\nA new stable RouterOS update is available for your Mikrotik hEX POE router.\n\nPlease go to 192.168.88.1, login, go to WEBFIG top right, select System bottom-right, go to Packages and perform update.\n\nConsider checking in Asterix Documents>Router config if a backupfile and configuration export exist, just in case you need it to restore."
}

Om te kunnen emailen heb ik een gratis account bij smtp2go.com gemaakt. Dat gebruikt mijn server sowieso om mij notificaties te kunnen emailen (wanneer een backup mislukt, wanneer maandelijks onderhoud is voltooid, met info over hoeveel ruimte elke gebruiker van mijn filemanagement tool (FileRun) gebruikt, vrije opslag, evt harddisk errors etc).
In RouterOS stel je je SMTP account in onder Tools > Email. Dit is mijn export:

code:

/tool e-mail
set address=mail.smtp2go.com from=accountnaam@mijndomein port=587 tls=starttls user=username

mist alleen het pw hierin.

[Jazco2nd]

TheCeet schreef op zondag 24 september 2023 @ 18:00:
@Jazco2nd
Je opgegeven Neustar servers kloppen precies niet?
Als ik die opzoek zijn die van Verisign:
https://blog.verisign.com...at-respects-your-privacy/

Neustar zou onderstaande zijn als ik wat rond Google.
Hun site werkt precies ook niet 100% atm.

code:

156.154.70.1
156.154.71.1

Waar heb jij die info vandaan welke nu tot Neustar behoren?

EverLast2002 schreef op zondag 24 september 2023 @ 22:22:
[...]


Ik kom uit bij vercara.com en ultradns.com, geen Verisign

Verisign zal wel de certificaten verstrekken, maar idd dat is niet de DNS provider. Misschien gebruikt Verisign zelf de DNS servers van UltraDNS.
UltraDNS is een service van Neustar, omvat vooral betaalde diensten.
En gelukkig ook de gratis versie.

Het lijkt erop dat Neustar recent is overgenomen. Hier staan verschillende opties van Neustar:
https://adguard-dns.io/kb/general/dns-providers

[TheCeet]

Villager schreef op woensdag 27 september 2023 @ 10:07:
[...]


Heb je dan niet een soort 'loop' ergens? Wat is je gemiddelde responsetijd in AGH dan? Bij mij is het 11ms.

Gevonden!
Ik gebruik thuis een p1 monitor, en die zit elke minuut minstens 1 PTR request uit te sturen naar router IP.
Deze heb ik nu uit de statistieken + querylog gehaald en ga nu verder kijken hoe het verloopt.

Gemiddelde response time in AGH is 2ms, Querylog time op 24u ingesteld.

[Jazco2nd]

Voor iedereen die response tijden wil vergelijken: ik zou denken dat je dan wel eerst je cache moet legen in AGH.. en de TTL ff heel kort zetten.

Anders zit je misschien wel te kijken naar de tijd die het duurt voor een response vanuit je cache ipv je dns server.

[Ferra]

Ik heb het idee dat adguard op m'n iphone niks doet:

Simpele advertenties blokt hij niet, zoals hier op voetbalzone:



Ook als ik de elementen los blokkeer via de extensie gebeurt er niks na een refresh. Kan ik ergens een instelling missen waardoor hij het niet doet?

Voor Safari staat hij aan:



Iemand een idee?

[lolgast]

@Ferra Dat is een ander product dan Adguard Home. En kan ik niets zinnigs over roepen

[PatRamon]

Ferra schreef op zondag 1 oktober 2023 @ 08:32:
Ik heb het idee dat adguard op m'n iphone niks doet:

Simpele advertenties blokt hij niet, zoals hier op voetbalzone:

[Afbeelding]

Ook als ik de elementen los blokkeer via de extensie gebeurt er niks na een refresh. Kan ik ergens een instelling missen waardoor hij het niet doet?

Voor Safari staat hij aan:

[Afbeelding]

Iemand een idee?

Simpel je DNS in je iphone aanpassen en heb je ook geen reclame meer, tenzij je adguard home wilt gebruiken om extra te tweaken.

dns.adguard.com

[Glassertje]

Ferra schreef op zondag 1 oktober 2023 @ 08:32:
Ik heb het idee dat adguard op m'n iphone niks doet:

Simpele advertenties blokt hij niet, zoals hier op voetbalzone:

[Afbeelding]

Ook als ik de elementen los blokkeer via de extensie gebeurt er niks na een refresh. Kan ik ergens een instelling missen waardoor hij het niet doet?

Voor Safari staat hij aan:

[Afbeelding]

Iemand een idee?

Volgens mij werkt AdGuard alleen in safari. Als je overal ads wilt blokkeren kun je AdGuard DNS profiel gebruiken.

Je zit overigs wel in het verkeerde topic.

[risc16]

Sinds kort heb ik AGH thuis draaien. Dit werkt uiteraard super en naar tevredenheid. Echter enkel videoland valt sinds dien random volledig uit op mijn android tv en ook op mijn chromecast met android tv wil de app wellis volledig uitvallen. Iemand hier ervaringen mee?

[zunrob]

risc16 schreef op maandag 2 oktober 2023 @ 19:51:
Sinds kort heb ik AGH thuis draaien. Dit werkt uiteraard super en naar tevredenheid. Echter enkel videoland valt sinds dien random volledig uit op mijn android tv en ook op mijn chromecast met android tv wil de app wellis volledig uitvallen. Iemand hier ervaringen mee?

Niet met Videoland, maar wel problemen met Netflix. Bleek dat er toch iets van Netflix werd geblokkeerd. Even kijken in je query lijst dus.

[TheCeet]

risc16 schreef op maandag 2 oktober 2023 @ 19:51:
Sinds kort heb ik AGH thuis draaien. Dit werkt uiteraard super en naar tevredenheid. Echter enkel videoland valt sinds dien random volledig uit op mijn android tv en ook op mijn chromecast met android tv wil de app wellis volledig uitvallen. Iemand hier ervaringen mee?

Querylog checken blijf nummer 1 om te checken uiteraard.
Ik heb onderstaande domains gevonden in he Pi-Hole topic hier op Tweakers. Deze zou je dus whitelisten

code:

cdns.gigya.com
cdns.eu1.gigya.com
accounts.eu1.gigya.com
gscounters.eu1.gigya.com

[Glassertje]

Vandaag de nieuwe Bookworm op mijn RBP4 gezet. Ook AdGuard Home, maar met unbound loop ik tegen een probleem aan. Dit zal denk ik te maken hebben, dat het een nieuwere versie is. Ik krijg 1 waarschuwing.

Als ik het config.conf file van Pi-Hole neem en ik check voor status van unbound krijg ik de melding:

code:

[1091:0] warning: subnetcache: prefetch is set but not working for data originating from the subnet module cache.

Iemand die mij kan uitleggen hoe ik dit oplos?

[ Voor 91% gewijzigd door Glassertje op 12-10-2023 14:12 ]

[zunrob]

Welke servers gebruiken jullie? Mijn gemiddelde responstijd van quad9 zit nu rond de 100ms...

[Venimk1]

zunrob schreef op zaterdag 14 oktober 2023 @ 22:37:
Welke servers gebruiken jullie? Mijn gemiddelde responstijd van quad9 zit nu rond de 100ms...

Over welke heb je het dan juist ...

[zunrob]

Ik gebruik deze 2:
https://dns.quad9.net:443/dns-query 125 ms
tls://dns.quad9.net:853 64 ms

Hoe kan het dat je gemiddelde procestijd op 24 ms ligt terwijl de servers zelf hogere procestijden hebben?

[lolgast]

@zunrob Dat komt zeer waarschijnlijk door caching in AGH dan Die responses hoeven niet via de externe DNS server maar komen uit de eigen ‘database’ van AGH

[zunrob]

lolgast schreef op zondag 15 oktober 2023 @ 08:41:
@zunrob Dat komt zeer waarschijnlijk door caching in AGH dan Die responses hoeven niet via de externe DNS server maar komen uit de eigen ‘database’ van AGH

Staat optimistisch cachen bij jullie aan?

[lolgast]

zunrob schreef op zondag 15 oktober 2023 @ 09:34:
[...]


Staat optimistisch cachen bij jullie aan?

Nee, want die óf de ‘serve-expired’ van Unbound resulteerde hier in regelmatige certificaat waarschuwingen tijdens browsen en bijvoorbeeld streams van Videoland die niet startte. Dat gedrag is compleet verdwenen sinds uitschakelen van die functies

[zunrob]

lolgast schreef op zondag 15 oktober 2023 @ 09:50:
[...]

Nee, want die óf de ‘serve-expired’ van Unbound resulteerde hier in regelmatige certificaat waarschuwingen tijdens browsen en bijvoorbeeld streams van Videoland die niet startte. Dat gedrag is compleet verdwenen sinds uitschakelen van die functies

Dit triggert me: we ervaren namelijk al geruime tijd dat de Netflix op de Chromecast met Google TV soms niet werkt, hij wil dan geen stream starten. Alleen opnieuw opstarten van de Chromecast werkt. De optimistic caching staat hier echter niet aan. Er wordt niks van Netflix geblokkeerd. Kan het toch een andere instelling zijn die dit triggert? Gebruik geen Unbound.

[lolgast]

@zunrob Heb je ‘override minimum TTL’ geconfigureerd? Die kan hetzelfde gedrag veroorzaken

[zunrob]

lolgast schreef op zondag 15 oktober 2023 @ 10:31:
@zunrob Heb je ‘override minimum TTL’ geconfigureerd? Die kan hetzelfde gedrag veroorzaken

Nee, beide zijn nog standaard, dus leeg. Welke waardes zijn een goed startpunt?

[qwasd]

zunrob schreef op zaterdag 14 oktober 2023 @ 22:37:
Welke servers gebruiken jullie? Mijn gemiddelde responstijd van quad9 zit nu rond de 100ms...

[lolgast]

zunrob schreef op zondag 15 oktober 2023 @ 10:44:
[...]


Nee, beide zijn nog standaard, dus leeg. Welke waardes zijn een goed startpunt?

Leeg Maar dan heb ik zo geen idee waardoor je de problemen ervaart. Mogelijk dat 1 van je upstream servers gebruik maakt van zo’n feature

[crypt0rr]

zunrob schreef op zaterdag 14 oktober 2023 @ 22:37:
Welke servers gebruiken jullie? Mijn gemiddelde responstijd van quad9 zit nu rond de 100ms...

[Klippy]

Ik wilde testen of TLS sneller is, zal die ook eens toevoegen.

---

Ben zelf pas over van PiHole, vind tools in Go leuker Werkt goed tot nu toe, makkelijker te configureren, iets minder opties maar genoeg voor mij.

Het enige dat ik een beetje mis is dat PiHole een mooie tijdlijn had met aantal DNS queries per device gestapeld. De "client activity" van 24 uur. Daar kon ik best goed mee zien of er iets was dat niet verwacht is. Veel requests op tijden dat ik niet thuis ben, of apparaten die op bepaalde tijden veel requests doen, etc.
Nu zie ik wel de top, maar niet mooi per dag zoals dit


Dan kan je zeker niet zelf produceren in Grafana ofzo?

[Glassertje]

Update: AdGuard Home v0.107.40

Full changelog

See also the v0.107.40 GitHub milestone.
Changed

Block and Unblock buttons of the query log moved to the tooltip menu (#684).

Fixed

Dashboard tables scroll issue (#6180).

The time shown in the statistics is one hour less than the current time (#6296).

Issues with QUIC and HTTP/3 upstreams on FreeBSD (#6301).

Panic on clearing query log (#6304).

[svenvg93]

Ben zelf pas over van PiHole, vind tools in Go leuker Werkt goed tot nu toe, makkelijker te configureren, iets minder opties maar genoeg voor mij.

Het enige dat ik een beetje mis is dat PiHole een mooie tijdlijn had met aantal DNS queries per device gestapeld. De "client activity" van 24 uur. Daar kon ik best goed mee zien of er iets was dat niet verwacht is. Veel requests op tijden dat ik niet thuis ben, of apparaten die op bepaalde tijden veel requests doen, etc.
Nu zie ik wel de top, maar niet mooi per dag zoals dit
[Afbeelding]

Dan kan je zeker niet zelf produceren in Grafana ofzo?

Denk dat het hier misschien wel mee kan; https://grafana.com/grafa...s/13330-adguard-exporter/

[ Voor 3% gewijzigd door svenvg93 op 18-10-2023 18:27 ]

[NickC]

Vraagje, ik ben nieuwe met AdGuard. Heb het nu geïnstalleerd op m`n Homeassistant server.

Ik heb een Odido(T-Mobile Modem), maar waar vul ik die ip adressen in?
Of moet ik AdGuard op Homeassistand als DHCP server laten werken?

[meesje]

NickC schreef op zondag 22 oktober 2023 @ 16:06:
Vraagje, ik ben nieuwe met AdGuard. Heb het nu geïnstalleerd op m`n Homeassistant server.

Ik heb een Odido(T-Mobile Modem), maar waar vul ik die ip adressen in?
Of moet ik AdGuard op Homeassistand als DHCP server laten werken?

In het odido modem kun je als DNS het ip adres ingeven van Adguard. Dat werkt voor mij.
Echter wanneer ik het modem herstart is deze instelling wel verdwenen. Raar maar waar. Dus even opletten bij reboot.

[NickC]

meesje schreef op zondag 22 oktober 2023 @ 16:09:
[...]

In het odido modem kun je als DNS het ip adres ingeven van Adguard. Dat werkt voor mij.
Echter wanneer ik het modem herstart is deze instelling wel verdwenen. Raar maar waar. Dus even opletten bij reboot.

Bij DNS-item of Dynamische DNS?

[meesje]

NickC schreef op zondag 22 oktober 2023 @ 16:10:
[...]


Bij DNS-item of Dynamische DNS?

Netwerkinstelling > Thuisnetwerken
Onder het eerste tabblad (LAN-configuratie) naar beneden scrollen naar DNS waarden. Daar kiezen voor Statisch en bij DNS Server 1 het ip adres ingeven.
Ik ben erg benieuwd als jij het modem reboot deze instelling weer weg is. Dat is bij mij dus wel het geval. Erg vreemd.

[Wachten...]

Ik heb hier thuis Adguard draaien in een Proxmox container.
Nu wil ik alleen Unbound toevoegen aan Adguard.

Ik heb dus een extra Debian container gemaakt en heb deze tutorial gevolgd om Unbound te installeren.

De config die ze daar gebruiken is deze:

code:

server:
  interface: 127.0.0.1
  port: 5335
  do-ip6: no
  do-ip4: yes
  do-udp: yes
  do-tcp: yes
  # Set number of threads to use
  num-threads: 4
  # Hide DNS Server info
  hide-identity: yes
  hide-version: yes
  # Limit DNS Fraud and use DNSSEC
  harden-glue: yes
  harden-dnssec-stripped: yes
  harden-referral-path: yes
  use-caps-for-id: yes
  harden-algo-downgrade: no
  qname-minimisation: yes
  aggressive-nsec: yes
  rrset-roundrobin: yes

  # If DNSSEC isnt working uncomment the following line
  # auto-trust-anchor-file: "/var/lib/unbound/root.key"


  # Minimum lifetime of cache entries in seconds
  cache-min-ttl: 300
  # Configure TTL of Cache
  cache-max-ttl: 14400
  # Optimizations
  msg-cache-slabs: 8
  rrset-cache-slabs: 8
  infra-cache-slabs: 8
  key-cache-slabs: 8
  serve-expired: yes
  serve-expired-ttl: 3600
  edns-buffer-size: 1232
  prefetch: yes
  prefetch-key: yes
  target-fetch-policy: "3 2 1 1 1"
  unwanted-reply-threshold: 10000000
  # Set cache size
  rrset-cache-size: 256m
  msg-cache-size: 128m
  # increase buffer size so that no messages are lost in traffic spikes
  so-rcvbuf: 1m
  private-address: 192.168.0.0/16
  private-address: 169.254.0.0/16
  private-address: 172.16.0.0/12
  private-address: 10.0.0.0/8
  private-address: fd00::/8
  private-address: fe80::/10

Als ik echter de status bekijk van unbound met:

code:

systemctl status unbound

Dan zie ik het volgende:

code:

* unbound.service - Unbound DNS server
     Loaded: loaded (/lib/systemd/system/unbound.service; enabled; preset: enabled)
     Active: active (running) since Sun 2023-10-22 17:08:04 UTC; 1min 10s ago
       Docs: man:unbound(8)
    Process: 151 ExecStartPre=/usr/libexec/unbound-helper chroot_setup (code=exited, status=0/SUCCESS)
    Process: 156 ExecStartPre=/usr/libexec/unbound-helper root_trust_anchor_update (code=exited, status=0/SUCCESS)
   Main PID: 159 (unbound)
      Tasks: 4 (limit: 4378)
     Memory: 26.0M
        CPU: 109ms
     CGroup: /system.slice/unbound.service
             `-159 /usr/sbin/unbound -d -p

Oct 22 17:08:04 CT102 unbound[159]: [1697994484] unbound[159:0] warning: so-rcvbuf 1048576 was not granted. Got 4259>
Oct 22 17:08:04 CT102 unbound[159]: [1697994484] unbound[159:0] warning: so-rcvbuf 1048576 was not granted. Got 4259>
Oct 22 17:08:04 CT102 unbound[159]: [1697994484] unbound[159:0] warning: so-rcvbuf 1048576 was not granted. Got 4259>
Oct 22 17:08:04 CT102 unbound[159]: [159:0] notice: init module 0: subnetcache
Oct 22 17:08:04 CT102 unbound[159]: [159:0] warning: subnetcache: serve-expired is set but not working for data orig>
Oct 22 17:08:04 CT102 unbound[159]: [159:0] warning: subnetcache: prefetch is set but not working for data originati>
Oct 22 17:08:04 CT102 unbound[159]: [159:0] notice: init module 1: validator
Oct 22 17:08:04 CT102 unbound[159]: [159:0] notice: init module 2: iterator
Oct 22 17:08:04 CT102 systemd[1]: Started unbound.service - Unbound DNS server.
Oct 22 17:08:04 CT102 unbound[159]: [159:0] info: start of service (unbound 1.17.1).

Vervolgens heb ik wel gewoon de upstream aangepast in Adguard naar:

code:

127.0.0.1:5335

Uiteraard als ik nu een dig google.com doe, dan krijg ik niks te zien dat er naar unbound verwezen wordt.
Dit heeft uiteraard denk ik te maken met de foutmelding die ik in unbound krijg.
Dit krijg ik dan als antwoord

code:

; <<>> DiG 9.18.19-1~deb12u1-Debian <<>> google.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 51461
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;google.com.                    IN      A

;; Query time: 3 msec
;; SERVER: 192.168.0.92#53(192.168.0.92) (UDP)
;; WHEN: Sun Oct 22 19:16:38 CEST 2023
;; MSG SIZE  rcvd: 28

Iemand enig idee waar ik het probleem moet zoeken?

[ Voor 10% gewijzigd door Wachten... op 22-10-2023 19:18 ]