[Adguard Home] Ervaringen & discussie

[sjongenelen]

Ik heb meerdere systemen en gebruik letsencrypt op beide. Met nog wat andere certs

Edit: ik bedoel te zeggen het gaat automatisch en de systemen kennen elkaar niet

[ Voor 33% gewijzigd door sjongenelen op 18-03-2025 17:21 ]

[TheCeet]

Updaten maar!
v0.107.58

[gerritjan]

TheCeet schreef op woensdag 19 maart 2025 @ 17:37:
Updaten maar!
v0.107.58

Ik wacht even een paar dagen of er geen klachten komen van de early adopters

[TheCeet]

Bug gevonden en snel gerapporteerd.

Search box werkt niet op query log pagina.
Niet zo een grote bug, maar ik vernoem het hier toch effe.

[R-R-L]

Mooi om via de frontpage dit topic te ontdekken. Had natuurlijk kunnen weten dat er eentje is.

Ik probeer al enige tijd om Adguard werkend te krijgen in Home Assistant (draaiend op een RPI4), vooralsnog zonder succes. Ook met wat Googlen krijg ik het maar niet voor elkaar. Welke instellingen moet ik op een KPN Box 12 aanpassen om het verkeer via Adguard te routeren?

[ Voor 3% gewijzigd door R-R-L op 19-03-2025 21:34 ]

[gerritjan]

R-R-L schreef op woensdag 19 maart 2025 @ 21:33:
Mooi om via de frontpage dit topic te ontdekken. Had natuurlijk kunnen weten dat er eentje is.
Ik probeer al enige tijd om Adguard werkend te krijgen in Home Assistant (draaiend op een RPI4), vooralsnog zonder succes. Ook met wat Googlen krijg ik het maar niet voor elkaar. Welke instellingen moet ik op een KPN Box 12 aanpassen om het verkeer via Adguard te routeren?

Ik heb zelf niet zo'n ding, maar het komt erop neer dat je bij de instellingen van de DHCP-server bij primaire DNS het ip-adres van je RPI moet invullen.
Ik vond deze screenshot:
https://community.kpn.com...ellingen-aanpassen-600854
Onderaan zie je "Primaire DNS server", staat nu 192.168.2.254. Vul daar het IP van je RPI in.
Daarna wel opnieuw verbinding maken met je clients zodat ze de nieuwe setting overnemen.

[EverLast2002]

gerritjan schreef op woensdag 19 maart 2025 @ 22:03:
[...]

Ik heb zelf niet zo'n ding, maar het komt erop neer dat je bij de instellingen van de DHCP-server bij primaire DNS het ip-adres van je RPI moet invullen.
Ik vond deze screenshot:
https://community.kpn.com...ellingen-aanpassen-600854
Onderaan zie je "Primaire DNS server", staat nu 192.168.2.254. Vul daar het IP van je RPI in.
Daarna wel opnieuw verbinding maken met je clients zodat ze de nieuwe setting overnemen.

offtopic:
Typisch...... ergens vorig jaar bezig geweest om een (zakelijke versie) KPN Box12 van zijn 192.168.2.0/24 range te halen, wat met geen mogelijkheid kon!
En nu zie ik een screenshot met uitleg dat het wel kan.....

[Glassertje]

EverLast2002 schreef op donderdag 20 maart 2025 @ 12:42:
[...]


offtopic:
Typisch...... ergens vorig jaar bezig geweest om een (zakelijke versie) KPN Box12 van zijn 192.168.2.0/24 range te halen, wat met geen mogelijkheid kon!
En nu zie ik een screenshot met uitleg dat het wel kan.....

Die Box12 heeft nieuwe firmware gekregen, waar KPN volgens mij al een jaar mee bezig is, om deze uit te rollen. Ziet er hetzelfde als als de experiabox 10.

[rens-br]

TheCeet schreef op woensdag 19 maart 2025 @ 17:37:
Updaten maar!
v0.107.58

Net even de docker container opnieuw gemaakt en het draait hier allemaal weer als een zonnetje.

[lolgast]

Zijn er meer mensen die sinds v0.107.58 problemen hebben dat de trusted_proxies niet geaccepteerd worden? Mijn DoH verkeer lijkt nu altijd vanuit buiten te komen waardoor mijn interne services niet meer bereikbaar zijn via AGH

[EverLast2002]

Glassertje schreef op donderdag 20 maart 2025 @ 21:39:
[...]

Die Box12 heeft nieuwe firmware gekregen, waar KPN volgens mij al een jaar mee bezig is, om deze uit te rollen. Ziet er hetzelfde als als de experiabox 10.

Oke. Maar ik zie dat het betreffende topic 1 jaar geleden al is gepost.
Nouja, geeft niks verder want er staat al een jaar lang een DrayTek router op lokatie.

[TheCeet]

Zonet is hotfix uitgebracht
v.0.107.59

Changelog:

-Rules with the client modifier not working .
- The search form not working in the query log .

[Glassertje]

EverLast2002 schreef op vrijdag 21 maart 2025 @ 12:33:
[...]


Oke. Maar ik zie dat het betreffende topic 1 jaar geleden al is gepost.
Nouja, geeft niks verder want er staat al een jaar lang een DrayTek router op lokatie.

Je kon in die oude firmware weinig dingen aanpassen. In de nieuwe firmware is het idd mogelijk om subnet aan te passen. Ook is het pas sinds de nieuwe firmware mogelijk om IPv6 DNS aan te passen. Vanaf dat ik KPN heb, slingert die BOX12 ook ergens op zolder rond.

[zordaz]

EverLast2002 schreef op maandag 17 maart 2025 @ 14:21:
[...]

keepalived draait als een Linux service, lijkt me vrij robuust en stabiel.

Ik heb Keepalived n.a.v. je post zelf geinstalleerd en getest, het is inderdaad vrij simpel. Failover werkt als de master host helemaal wegvalt of als de netwerkverbinding wordt onderbroken. Failover werkt bij mij (nog?) niet als ik alleen de docker container waarin de Adguard master draait uitzet. Iemand suggesties?

[EverLast2002]

zordaz schreef op zondag 23 maart 2025 @ 21:22:
[...]


Ik heb Keepalived n.a.v. je post zelf geinstalleerd en getest, het is inderdaad vrij simpel. Failover werkt als de master host helemaal wegvalt of als de netwerkverbinding wordt onderbroken. Failover werkt bij mij (nog?) niet als ik alleen de docker container waarin de Adguard master draait uitzet. Iemand suggesties?

Sorry, ik gebruik geen Docker. Heeft dit misschien te maken met het Docker netwerk 172.x.x.x en het "reguliere" netwerk 192.x.x.x waar keepalived zich in verslikt?

[zordaz]

EverLast2002 schreef op zondag 23 maart 2025 @ 22:36:
[...]


Sorry, ik gebruik geen Docker. Heeft dit misschien te maken met het Docker netwerk 172.x.x.x en het "reguliere" netwerk 192.x.x.x waar keepalived zich in verslikt?

Dat is zeer waarschijnlijk ja, het reguliere netwerk blijft immers gewoon draaien als je de docker container stopt. Vraag is of daar iets op te verzinnen is.

[GioStyle]

zordaz schreef op zondag 23 maart 2025 @ 22:56:
[...]


Dat is zeer waarschijnlijk ja, het reguliere netwerk blijft immers gewoon draaien als je de docker container stopt. Vraag is of daar iets op te verzinnen is.

Volgens ChatGPT met:

code:

vrrp_script check_adguard {
    script "/usr/bin/docker inspect --format '{{.State.Running}}' adguard_home_container"
    interval 5
    weight 2
}

vrrp_instance VI_1 {
    state MASTER
    interface eth0
    virtual_router_id 51
    priority 101
    virtual_ipaddress {
        192.168.1.100
    }
    track_script {
        check_adguard
    }
}

[zordaz]

GioStyle schreef op zondag 23 maart 2025 @ 23:08:
[...]


Volgens ChatGPT met:

code:

vrrp_script check_adguard {
    script "/usr/bin/docker inspect --format '{{.State.Running}}' adguard_home_container"
    interval 5
    weight 2
}

vrrp_instance VI_1 {
    state MASTER
    interface eth0
    virtual_router_id 51
    priority 101
    virtual_ipaddress {
        192.168.1.100
    }
    track_script {
        check_adguard
    }
}

Die vraag had ik nog niet aan ChatGPT gesteld :-)
Ga het proberen!

/edit: de vrrp_instance entry is trouwens niet helemaal in orde zo te zien. Zo ontbreekt de /24 bij het ip-adres en is er volgens mij bij voorkeur een unicast toevoeging nodig zodat master & backup elkaar kunnen zien.

[ Voor 15% gewijzigd door zordaz op 23-03-2025 23:48 ]

[stormfly]

zordaz schreef op zondag 23 maart 2025 @ 21:22:
[...]


Ik heb Keepalived n.a.v. je post zelf geinstalleerd en getest, het is inderdaad vrij simpel. Failover werkt als de master host helemaal wegvalt of als de netwerkverbinding wordt onderbroken. Failover werkt bij mij (nog?) niet als ik alleen de docker container waarin de Adguard master draait uitzet. Iemand suggesties?

Waar draait keepalived? Ik heb het zelf op een Pi en in een LXC ("VM") draaien. Het keepalived draait op dezelfde resource als de resolver. Keepalived kent check scripts en daarmee verlaag ik de VRRP priority als het script een fout detecteert. Ik heb IPv6 en IPv4 in onafhankelijke groepen gezet, het is zo redundant dat node A IPv4 kan beantwoorden en node B IPv6. Het script checkt op de volgende zaken:

-Kan ik localhost resolven Ja/Nee
-Draait pihole-FTL als process
-Kan ik 1.1.1.1 & 8.8.8.8 pingen.

Alleen de eerste check werkte niet volledig door de cache van pihole/adguard Heb hem wel laten bestaan omdat je wilt weten of port 53 nog data kan uitserveren.

Voor code schrijven is mijn advies claude.ai ipv chatGPT.

[EverLast2002]

@stormfly
Hoe heb jij keepalived werkend gekregen in een lxc ?
Ik heb het geprobeerd maar liep tegen een probleem aan omdat een lxc zijn resources "leent" van de host waar ie op draait, en ook de betreffende nic.
Daardoor weet keepalived niet goed om te gaan met het toekennen van een virtuele nic.
In mijn lxc bleef de keepalive nic steeds leeg (ontbrak).
Ik heb nu volwaardige vm's draaien i.p.v. lxc's en dit werkt super.

[stormfly]

EverLast2002 schreef op maandag 24 maart 2025 @ 12:10:
@stormfly
Hoe heb jij keepalived werkend gekregen in een lxc ?
Ik heb het geprobeerd maar liep tegen een probleem aan omdat een lxc zijn resources "leent" van de host waar ie op draait, en ook de betreffende nic.
Daardoor weet keepalived niet goed om te gaan met het toekennen van een virtuele nic.
In mijn lxc bleef de keepalive nic steeds leeg (ontbrak).
Ik heb nu volwaardige vm's draaien i.p.v. lxc's en dit werkt super.

Nou eigenlijk zonder nadenken, mogelijk zit de nuance in de privileged en none privilege container? Het advies wat ik ooit kreeg op Tweakers zorg dat het OS van de onderlaag gelijk is aan de LXC. In dit geval dus Debian 12, dan heb je de minste kans op zaken zoals rechten issue.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

[ Voor 70% gewijzigd door stormfly op 24-03-2025 16:10 ]

[EverLast2002]

@stormfly

ik had vanochtend nogmaals een poging gedaan om keepalived te draaien in een lxc.
verder niks aparts gedaan of aangepast dan de vorige keer, en........... nu werkt het wel....!
ik begrijp er niks van. even nog verder testen en dan vervang ik de vm's toch maar voor lxc's.

bedankt voor het meedenken en interessant om jouw config te zien!

[EverLast2002]

- edit: ik gebruik nu een zelf geinstalleerde Debian lxc, de vorige keer had ik een Proxmox-helper-script versie gebruikt. Misschien dat in die laatste toch net effe andere pakketten zitten (of ontbreken).

[EverLast2002]

@Glassertje
@stormfly

beetje offtopic, maar ik heb wat meer zitten lezen over configuraties binnen keepalived.
Blijkbaar is er een Master-Master setting (ik gebruik nu Master-Slave).
Heeft iemand hier dit al eens geprobeerd?
Ik vind het namenlijk ook interessant om een live "load balance" situatie
te draaien met een aantal AGH instanties waarvan ze allemaal actief meedoen maar de werkdruk onderling verdelen. Dit is net effe anders dan de failover Master-Slave configuratie waarin er maar 1 instantie actief is.

[stormfly]

EverLast2002 schreef op dinsdag 25 maart 2025 @ 22:29:
@Glassertje
@stormfly

beetje offtopic, maar ik heb wat meer zitten lezen over configuraties binnen keepalived.
Blijkbaar is er een Master-Master setting (ik gebruik nu Master-Slave).
Heeft iemand hier dit al eens geprobeerd?
Ik vind het namenlijk ook interessant om een live "load balance" situatie
te draaien met een aantal AGH instanties waarvan ze allemaal actief meedoen maar de werkdruk onderling verdelen. Dit is net effe anders dan de failover Master-Slave configuratie waarin er maar 1 instantie actief is.

Hi volgens mij kan keepalived dat niet binnen 1 groep je dient dan 2 groepen te maken en een 2e DNS server uit te delen aan je clients die op de andere node actief is. De reden dat je minimaal twee groepen/IPs nodig hebt voor master-master is dat VRRP werkt volgens het principe dat één router (node) de eigenaar is van een virtueel IP-adres. Wanneer die node faalt, neemt een andere het over.

Als je een link hebt wil ik wel meelezen?

[EverLast2002]

@stormfly

je uitleg klinkt logisch met 2 groepen werken.
Ik ben er zelf nog niet helemaal aan uit, zoals je zult lezen spreken ze over
Master-Master configs, en een andere website over Active-Active configs.
Ik wil gewoon 1 VIP adres houden zoals nu met Master-Backup, en geen 2 VIPs.

https://docs.nginx.com/ng...lity/ha-keepalived-nodes/

https://www.pentestpartne...ility-and-load-balancing/

https://docs.redhat.com/e...itial-setup-conf-file-VSA

deze heeft 2 Master config voorbeelden, links in het menu:
https://github.com/shuaic...r/master1/keepalived.conf

[stormfly]

EverLast2002 schreef op woensdag 26 maart 2025 @ 14:58:
@stormfly

je uitleg klinkt logisch met 2 groepen werken.
Ik ben er zelf nog niet helemaal aan uit, zoals je zult lezen spreken ze over
Master-Master configs, en een andere website over Active-Active configs.
Ik wil gewoon 1 VIP adres houden zoals nu met Master-Backup, en geen 2 VIPs.

https://docs.nginx.com/ng...lity/ha-keepalived-nodes/

https://www.pentestpartne...ility-and-load-balancing/

https://docs.redhat.com/e...itial-setup-conf-file-VSA

deze heeft 2 Master config voorbeelden, links in het menu:
https://github.com/shuaic...r/master1/keepalived.conf

Inderdaad link twee gebruikt onderstaande setup er is dan 1 virtual IP en twee realservers die idd met loabalancing benaderd worden.

Tip: je kan de config van de website kopieren en in chatgpt of Claude.ai plakken en om uitleg vragen, de opmaak op die site met grijze blokken is ronduit waardeloos.

Je krijgt dan deze tekst:

In praktijk werkt deze setup als volgt:

Als de actieve VRRP server uitvalt, neemt een andere server het virtuele IP-adres over.
Het virtuele IP (192.168.133.38) wordt gebruikt voor inkomend SMTP verkeer op poort 25.
Dit verkeer wordt vervolgens verdeeld over de twee real servers (mailservers) via round-robin load balancing.
Als een van de real servers niet bereikbaar is (TCP check faalt), wordt deze tijdelijk uit de pool verwijderd.

Dit zorgt voor een robuuste mail-infrastructuur die zowel netwerk-level redundantie (via VRRP) als applicatie-level load balancing biedt.

code:

/---> LB_1 ------> RS_A
    /      |   \   ______/
   /       |    \ / 
V_IP    (VRRP)   X
   .       |    / \---> RS_B
    .      |   /        /
     . . > LB_2 -------/

[zunrob]

Ik gebruik al lange tijd AdGuard Home, met de OISD blocklijst, en dit werkt prima. Sinds gister merk ik echter dat er toch behoorlijk wat reclames zichtbaar zijn, o.a. op legacy.dumpert.nl. AdGuard Home is nog gewoon actief, en al het verkeer gaat ook via AdGuard Home... Is iemand dit ook tegen gekomen? Ligt het aan de OISD lijst?

[Harmen]

zunrob schreef op zondag 30 maart 2025 @ 20:52:
Ik gebruik al lange tijd AdGuard Home, met de OISD blocklijst, en dit werkt prima. Sinds gister merk ik echter dat er toch behoorlijk wat reclames zichtbaar zijn, o.a. op legacy.dumpert.nl. AdGuard Home is nog gewoon actief, en al het verkeer gaat ook via AdGuard Home... Is iemand dit ook tegen gekomen? Ligt het aan de OISD lijst?

Heb dit eerder gezien, sommige browsers maken gebruik van een eigen dns server. (8.8.8.8) Heb een paar firewall regels ingesteld zodat enkel mn interne dns servers gebruikt mogen worden. Alle andere dns servers worden geblokkeerd.

[zunrob]

Harmen schreef op zondag 30 maart 2025 @ 21:27:
[...]


Heb dit eerder gezien, sommige browsers maken gebruik van een eigen dns server. (8.8.8.8) Heb een paar firewall regels ingesteld zodat enkel mn interne dns servers gebruikt mogen worden. Alle andere dns servers worden geblokkeerd.

Het betreft in dit geval mijn Google Pixel 8 Pro. Kijk ik bij de WiFi instellingen klopt het DNS met AdGuard Home. Het vreemde is bovendien dat ik niks gewijzigd heb.

[Ragger]

Heb je DNS over HTTPS / Secure DNS aanstaan in je browser? Dan wordt Adguard omzeild.

[Harmen]

zunrob schreef op zondag 30 maart 2025 @ 23:24:
[...]

Het betreft in dit geval mijn Google Pixel 8 Pro. Kijk ik bij de WiFi instellingen klopt het DNS met AdGuard Home. Het vreemde is bovendien dat ik niks gewijzigd heb.

Google gebruikt vaak hardcoded 8.8.8.8 als dns, poort 53/853 intern blokkeren zal het probleem oplossen. Sindsdien heb ik geen issues meer. (UXG Lite achter een ziggo modem in bridge)

[zunrob]

Ragger schreef op zondag 30 maart 2025 @ 23:27:
Heb je DNS over HTTPS / Secure DNS aanstaan in je browser? Dan wordt Adguard omzeild.

Bedankt voor het meedenken, maar deze instelling maakt niks uit.

[zunrob]

Harmen schreef op maandag 31 maart 2025 @ 08:49:
[...]


Google gebruikt vaak hardcoded 8.8.8.8 als dns, poort 53/853 intern blokkeren zal het probleem oplossen. Sindsdien heb ik geen issues meer. (UXG Lite achter een ziggo modem in bridge)

Maar het vreemde is dat ik niks gewijzigd heb... En het heeft voorheen altijd goed gewerkt.

[TheCeet]

Hier ook mijn Sony Android TV die indertijd de AGH omzeilde met hardcoded 8.8.8.8 DNS; Maar in netwerkinstellingen zag je wel mooi AGH IP staan.
Na firewall rule aan te passen dat alle DNS verkeer moet passeren via AGH was het verholpen.

Wie weet een update van jouw smartphone die ervoor zorgt van dit gedrag.

[zunrob]

TheCeet schreef op maandag 31 maart 2025 @ 13:56:
Hier ook mijn Sony Android TV die indertijd de AGH omzeilde met hardcoded 8.8.8.8 DNS; Maar in netwerkinstellingen zag je wel mooi AGH IP staan.
Na firewall rule aan te passen dat alle DNS verkeer moet passeren via AGH was het verholpen.

Wie weet een update van jouw smartphone die ervoor zorgt van dit gedrag.

Het valt me eigenlijk alleen op bij de website legacy.dumpert.nl, allicht is daar gewoon wat aangepast.
Ik ga kijken of ik iets met de firewall kan.

[Koepert]

Zucht... Vandaag het gebruik van AdGuard maar weer opgegeven..

Voorheen had ik (Proxmox host, Debian 11 LXC container) dat AGH na 1 of 2 dagen vastliep. Reboot van de container verhielp het maar natuurlijk kut als je dan geen internet hebt. Ik heb het niet kunnen oplossen.
Dus een jaar lang geen AGH gebruikt. Recent met een Alpine container toch nog eens geprobeert en zowaar.. geen issues..

Behalve 1.. Onze Sony Bravia Android TV (KD55-AG8) met de KPN App, bedraad aangesloten, laat geen enkele uitzending zonder stotteren zien. Ik gooide dat eerst nog op: App is vernieuwd, meer bandbreedte, dus dit is een soort bufferen aan t begin van n programma. Maar dat is het niet, want ook halverwege lijkt dit te gebeuren. Verder geen problemen met internet, op geen enkel device (100/100 Glasvezel, dus snelheid lijkt me niet het issue). Vandaag een nieuwe Deb12 LXC opgespint met Pi-hole (dat was in de tussenliggende periode tot release v6 ook mn go-to) en de tv is weer zonder haperen. Terwijl ik in AGH de tv uitgelsloten had van enige lijst... Dus zou je verwachten, geen controle, dus geen vertraging..

Iemand die dit herkend? En de gouden oplossing heeft?

[ Voor 3% gewijzigd door Koepert op 31-03-2025 17:15 ]

[EverLast2002]

Koepert schreef op maandag 31 maart 2025 @ 17:15:
Zucht... Vandaag het gebruik van AdGuard maar weer opgegeven..

Voorheen had ik (Proxmox host, Debian 11 LXC container) dat AGH na 1 of 2 dagen vastliep. Reboot van de container verhielp het maar natuurlijk kut als je dan geen internet hebt. Ik heb het niet kunnen oplossen.
Dus een jaar lang geen AGH gebruikt. Recent met een Alpine container toch nog eens geprobeert en zowaar.. geen issues..

Behalve 1.. Onze Sony Bravia Android TV (KD55-AG8) met de KPN App, bedraad aangesloten, laat geen enkele uitzending zonder stotteren zien. Ik gooide dat eerst nog op: App is vernieuwd, meer bandbreedte, dus dit is een soort bufferen aan t begin van n programma. Maar dat is het niet, want ook halverwege lijkt dit te gebeuren. Verder geen problemen met internet, op geen enkel device (100/100 Glasvezel, dus snelheid lijkt me niet het issue). Vandaag een nieuwe Deb12 LXC opgespint met Pi-hole (dat was in de tussenliggende periode tot release v6 ook mn go-to) en de tv is weer zonder haperen. Terwijl ik in AGH de tv uitgelsloten had van enige lijst... Dus zou je verwachten, geen controle, dus geen vertraging..

Iemand die dit herkend? En de gouden oplossing heeft?

Zelf geen KPN hier dus ik herken het niet als zodanig.
Zit te denken aan een setting in AGH zoals Rate Limit (heb ik op 0 staan).
AGH > Settings > DNS Settings

Hoeveel RAM geef je de Debian LXC? Onder de 512MB krijg ik rare fouten.

[lolgast]

@Koepert Ik heb geen KPN, wel Proxmox en AGH in Debian LXC’s. Met ‘maar’ 256MB geheugen @EverLast2002 Ik herken je problemen verder niet. Ook ik heb mijn TV uitgesloten van blocklists, maar ervaar geen problemen met streamen van content.

Maar, als het met Pihole niet speelt dan lijkt de oorzaak me vrij duidelijk. Enige wat je kunt doen is troubleshooten, denk dat het een vrij specifieke case zal worden met weinig vergelijkbare situaties op het internet

[Koepert]

EverLast2002 schreef op maandag 31 maart 2025 @ 18:03:
[...]


Zelf geen KPN hier dus ik herken het niet als zodanig.
Zit te denken aan een setting in AGH zoals Rate Limit (heb ik op 0 staan).
AGH > Settings > DNS Settings

Hoeveel RAM geef je de Debian LXC? Onder de 512MB krijg ik rare fouten.

Container heeft 2GB RAM met 512 Swap (maar met 2GB swap speelde het ook)

Rate limit staat op 20. Zal m eens op 0 zetten, kijken of dat verschil (gaat) maken.

[EverLast2002]

Koepert schreef op maandag 31 maart 2025 @ 18:25:
[...]


Container heeft 2GB RAM met 512 Swap (maar met 2GB swap speelde het ook)

Rate limit staat op 20. Zal m eens op 0 zetten, kijken of dat verschil (gaat) maken.

2GB RAM voor een LXC is extreem veel. Een LXC kan juist met veel minder resources prima uit de voeten.

Mijn fout, ik heb met AlmaLinux containers problemen onder de 512MB, niet met Debian. Excuus.

[Koepert]

EverLast2002 schreef op maandag 31 maart 2025 @ 18:28:
[...]


2GB RAM voor een LXC is extreem veel. Een LXC kan juist met veel minder resources prima uit de voeten.

Mijn fout, ik heb met AlmaLinux containers problemen onder de 512MB, niet met Debian. Excuus.

Ja i know, en mn Debian Pi-Hole heeft ook gewoon 512MB en gaat prima, maar ik heb die Alpine 2GB gegeven juist vanwege de issues die er waren. Ik zat in de hoek:

- Buffer bij opstarten stream
- Geheugen vol bij load (niet te zien)
- Netwerk dicht getrokken bij load (ook niet te zien)

Beide issues heb ik dus niet gezien in de metrics, maar om in elk geval de 2e tackelen had ik RAM opgehoogd.

[EverLast2002]

Koepert schreef op maandag 31 maart 2025 @ 18:31:
[...]


Ja i know, en mn Debian Pi-Hole heeft ook gewoon 512MB en gaat prima, maar ik heb die Alpine 2GB gegeven juist vanwege de issues die er waren. Ik zat in de hoek:

- Buffer bij opstarten stream
- Geheugen vol bij load (niet te zien)
- Netwerk dicht getrokken bij load (ook niet te zien)

Beide issues heb ik dus niet gezien in de metrics, maar om in elk geval de 2e tackelen had ik RAM opgehoogd.

Alpine kan juist nog met minder uit de voeten dan Debian. Alpine is een super lichtgewicht.

[Koepert]

EverLast2002 schreef op maandag 31 maart 2025 @ 18:34:
[...]


Alpine kan juist nog met minder uit de voeten dan Debian. Alpine is een super lichtgewicht.

Excuus ik vergeet een stap in de historie De Debian container heb ik gekilled omdat dit van AGH dus een vastloper maakte. Toen gekozen voor Alpine ivm lichtheid. Dat werkte wel, maar dus hakkelen, TOEN ben ik begonnen met RAM ophogen in de wetenschap dat dit voor Alpine niet nodig zou moeten zijn. Maar als stap in 1vd 3 logische oorzaken uitsluiten..

[EverLast2002]

Koepert schreef op maandag 31 maart 2025 @ 18:37:
[...]


Excuus ik vergeet een stap in de historie De Debian container heb ik gekilled omdat dit van AGH dus een vastloper maakte. Toen gekozen voor Alpine ivm lichtheid. Dat werkte wel, maar dus hakkelen, TOEN ben ik begonnen met RAM ophogen in de wetenschap dat dit voor Alpine niet nodig zou moeten zijn. Maar als stap in 1vd 3 logische oorzaken uitsluiten..

met "htop" in een lxc kun je zien hoe de load is. Of via de gui van Proxmox, dan moet die Alpine lxc staan te pieken met geheugen?

[Koepert]

EverLast2002 schreef op maandag 31 maart 2025 @ 18:40:
[...]


met "htop" in een lxc kun je zien hoe de load is. Of via de gui van Proxmox, dan moet die Alpine lxc staan te pieken met geheugen?

Ja idd, dat deed ie dus niet (ja max 80% ofzo met die 512MB maar dat is niet zorgwekkend) idem voor netwerkverkeer. Maar de snelheid van t netwerk in de proxmoxhost kan ik niet zoveel aan doen. RAM nog wel.. Zonder oplossing helaas.

[EverLast2002]

@Koepert
als je niet perse bij lxc wil blijven dan kun je eens een vm proberen?
die vm kun je queues meegeven, net zoveel als cores (dus bijv 4 cores = 4 queues).
dat zit bij de eigenschappen van de virtuele netwerkkaart van de vm.
blijkbaar helpt dat met de doorstroom van netwerkpakketjes.
zou ook bijv voor een OPNsense vm moeten helpen.

[lolgast]

Koepert schreef op maandag 31 maart 2025 @ 18:41:
[...]


Ja idd, dat deed ie dus niet (ja max 80% ofzo met die 512MB maar dat is niet zorgwekkend) idem voor netwerkverkeer. Maar de snelheid van t netwerk in de proxmoxhost kan ik niet zoveel aan doen. RAM nog wel.. Zonder oplossing helaas.

80%?! Holy smokes. Mijn LXC's komen niet boven de 100MB gebruik uit. Ik herstart de LXC wel elke dag, weet niet meer waarom, volgens mij tegen het vollopen van de disks. Ik heb 2 AGH instances en herstart ze met 1 uur verschil dus 0 impact.

1 cpu, 2 cores verder

[Koepert]

lolgast schreef op maandag 31 maart 2025 @ 18:48:
[...]

80%?! Holy smokes. Mijn LXC's komen niet boven de 100MB gebruik uit. Ik herstart de LXC wel elke dag, weet niet meer waarom, volgens mij tegen het vollopen van de disks. Ik heb 2 AGH instances en herstart ze met 1 uur verschil dus 0 impact.

1 cpu, 2 cores verder

1 CPU 2 cores hier ook idd. En die 80% is een incidentele piek hoor, niet de default waarde.

@EverLast2002 Voor de Debian LXC was het al een VM, maar dat kost me gewoon teveel resources en voelt een beetje als een shotgun gebruiken voor een vlieg..

[ Voor 14% gewijzigd door Koepert op 31-03-2025 18:56 ]

[zunrob]

Ik heb zojuist al Chrome instellingen van mijn Pixel 8 Pro vergeleken met die van mijn vriendin. Alle instellingen zijn exact hetzelfde. Zelfde versies van systeem etc. Echter, bij mij gaat het dus niet goed met de DNS en bij haar wel.

Het ligt echt aan Chrome, want Firefox doet het wel zoals verwacht... Iemand nog een ander idee wat de oorzaak kan zijn? Heb zowat alle instellingen in Chrome al aan en uit gezet op dit gebied.

Ok. Ik was er vrij klaar mee. Ik heb alle data van de Chrome app verwijderd, incl. de cache; het werkt weer zoals het hoort!

[ Voor 12% gewijzigd door zunrob op 31-03-2025 21:54 ]

[sjongenelen]

Off topic vwb de bravia tv: de netwerk aansluiting is 100mbit. Ik had zelf veel beter resultaat over wifi

[EverLast2002]

@Koepert

Heb je al eens gedacht dat het stotteren van je tv te maken kan hebben met IGMP snooping
(of het gebrek hiervan in je netwerk).
In veel netwerkswitches kun je dit aan/uitzetten, in jouw geval dus AANzetten.

[Koepert]

EverLast2002 schreef op dinsdag 1 april 2025 @ 15:48:
@Koepert

Heb je al eens gedacht dat het stotteren van je tv te maken kan hebben met IGMP snooping
(of het gebrek hiervan in je netwerk).
In veel netwerkswitches kun je dit aan/uitzetten, in jouw geval dus AANzetten.

Hi

had ik aan gedacht, staat aan op de switch tussen de TV en de router (Fritzbox 4040).

Plot thickens. Internet gaat zojuist hier plat: De weginterface van de pihole reageert niet meer/niet meer bereikbaar. de lxc lijkt nog gewoon te draaien, geen gekke metrics (geen spikes of enorme dropoffs), console is ook nog gewoon benaderbaar maar geen webinterface en geen verkeer. Hetzelfde gedrag als mijn AGH op Debian ook had..

Ik denk wellicht dat er qua netwerkverkeer/ports iets niet lekker gaat op de host waardoor de NIC volloopt oid (omschrijving van een leek, i know) of datzelfde maar dan in de lxc.

[Koepert]

sjongenelen schreef op maandag 31 maart 2025 @ 22:35:
Off topic vwb de bravia tv: de netwerk aansluiting is 100mbit. Ik had zelf veel beter resultaat over wifi

Ook aan zitten denken, maar op dit moment zit ik (denk ik) een beetje aan mn taks qua wifi netwerk daarom juist de items die goed bedraad kunnen ook bedraad.

[Glassertje]

Ik heb keepalived geïnstalleerd via deze tutorial. Met dank aan @EverLast2002

Nu ben ik al dagen aan het proberen om IPv6 aan de praat te krijgen, maar het wil me niet lukken. Kan er ook maar weinig over vinden en heb ook al ChatGPT geprobeerd. IPv4 werkt wel.

Ik ben in de war of ik de fe80:, 2a02: of fdae: moet gebruiken. Ik heb ze allemaal geprobeerd en krijg bij allen de foutmeldingen:

keepalived.service - Keepalive Daemon (LVS and VRRP) was skipped because of an unmet condition check (ConditionFileNotEmpty=/etc/keepalived/keepalived.conf)

en

keepalived bind unicast_src failed 99 - Cannot assign requested address

Dit is tot hoever ik gekomen ben. Op de plaatsen van de xxxx is waar ik op vast loop. Daar heb ik alle adressen in AGH (fe80:, 2a02: en fdae) Is er iemand die me op weg kan helpen?

Master:

vrrp_instance VI_1 {
state MASTER
interface eth0
unicast_src_ip 192.168.178.100
unicast_peer {
192.168.178.101
}
virtual_router_id 1
priority 250
advert_int 1
authentication {
auth_type PASS
auth_pass dns12345
}
virtual_ipaddress {
192.168.178.102/24
}
}

vrrp_instance VI_2 {
state MASTER
interface eth0
unicast_src_ip xxxxxxxxxxxxx
unicast_peer {
xxxxxxxxxxxxxxxxxxxxxx
}
virtual_router_id 2
priority 250
advert_int 1
authentication {
auth_type PASS
auth_pass dns12345
}
virtual_ipaddress {
xxxxxxxxxxxxxxxxxxx
}
}

Backup:

vrrp_instance VI_1 {
state BACKUP
interface eth0
unicast_src_ip 192.168.178.101
unicast_peer {
192.168.178.100
}
virtual_router_id 1
priority 200
advert_int 1
authentication {
auth_type PASS
auth_pass dns12345
}
virtual_ipaddress {
192.168.178.102/24
}
}

vrrp_instance VI_2 {
state BACKUP
interface eth0
unicast_src_ip xxxxxxxxxxxxxx
unicast_peer {
xxxxxxxxxxxx
}
virtual_router_id 2
priority 200
advert_int 1
authentication {
auth_type PASS
auth_pass dns12345
}
virtual_ipaddress {
xxxxxxxxxxxxxxxxxx
}
}

Ik had eerst in de Fritzbox onder Netwerk > IPv6, DNSv6-server ook aankondigen via router advertisement (RFC 5006) en DHCPv6-server in de FRITZ!Box deactiveren uitgeschakeld. Daarna kreeg ik alleen nog IPv4 adressen en dit werkte prima, ook met IPv6, alleen niet op mijn Windows 11 PC. Hierop blijft de lokale DNS server van de Fritzbox zitten. Heb het lokale fdae: adres al vervangen voor de fe80 van AGH, maar op mijn pc veranderd die niet. Dus blijf advertenties zien. Vind het vreemd.

(De 2 AGH installaties staan op 2 Raspberry PI 4b.)

[ Voor 9% gewijzigd door Glassertje op 11-04-2025 00:23 . Reden: stukje aangevuld ]

[stormfly]

Glassertje schreef op donderdag 10 april 2025 @ 23:54:
Ik heb keepalived geïnstalleerd via deze tutorial. Met dank aan @EverLast2002

Nu ben ik al dagen aan het proberen om IPv6 aan de praat te krijgen, maar het wil me niet lukken. Kan er ook maar weinig over vinden en heb ook al ChatGPT geprobeerd. IPv4 werkt wel.

Ik ben in de war of ik de fe80:, 2a02: of fdae: moet gebruiken. Ik heb ze allemaal geprobeerd en krijg bij allen de foutmeldingen:


[...]


en


[...]


Dit is tot hoever ik gekomen ben. Op de plaatsen van de xxxx is waar ik op vast loop. Daar heb ik alle adressen in AGH (fe80:, 2a02: en fdae) Is er iemand die me op weg kan helpen?

Master:

[...]


Backup:

[...]


Ik had eerst in de Fritzbox onder Netwerk > IPv6, DNSv6-server ook aankondigen via router advertisement (RFC 5006) en DHCPv6-server in de FRITZ!Box deactiveren uitgeschakeld. Daarna kreeg ik alleen nog IPv4 adressen en dit werkte prima, ook met IPv6, alleen niet op mijn Windows 11 PC. Hierop blijft de lokale DNS server van de Fritzbox zitten. Heb het lokale fdae: adres al vervangen voor de fe80 van AGH, maar op mijn pc veranderd die niet. Dus blijf advertenties zien. Vind het vreemd.

(De 2 AGH installaties staan op 2 Raspberry PI 4b.)

Als je de adressen weglaat terwijl de fout in de adressen zit, kunnen we niet echt helpen

Je moet de global unicast adressen gebruiken. Kan je vanaf AGH pingen naar "ping6 ipv6.google.com"

[Glassertje]

stormfly schreef op vrijdag 11 april 2025 @ 07:47:
[...]


Als je de adressen weglaat terwijl de fout in de adressen zit, kunnen we niet echt helpen

Je moet de global unicast adressen gebruiken. Kan je vanaf AGH pingen naar "ping6 ipv6.google.com"

[Afbeelding]

@stormfly Was idd wel handig geweest. Ik kan pingen vanaf de Raspberry Pi.

Ik gebruik in mijn Fritzbox nu een fe80:: adres van 1 van de Raspberry Pi's. Maar volgens jouw beschrijving zou ik dus de 2a02 moeten gebruiken?

Ik heb de 2a02 en de fe80:: adressen niet tegelijk gebruikt, Dit heb ik alleen zo gedaan om mijn configuratie weer te geven.

Master:

vrrp_instance VI_1 {
state MASTER
interface eth0
unicast_src_ip 192.168.178.100
unicast_peer {
192.168.178.101
}
virtual_router_id 1
priority 250
advert_int 1
authentication {
auth_type PASS
auth_pass dns12345
}
virtual_ipaddress {
192.168.178.102/24
}
}

vrrp_instance VI_2 {
state MASTER
interface eth0
unicast_src_ip 2a02:xxxxx:1:df20:1790:f73d:9578 / fe80::14c8:20d2:4767:ed5c (dit zijn de adressen die zichtbaar zijn in AGH)
unicast_peer {
2a02:xxxxxxx:1:baf:7e53:4dc0:cdd9 / fe80::1e90:2b40:72d4:2a3c (dit zijn de adressen die zichtbaar zijn in AGH)
}
virtual_router_id 2
priority 250
advert_int 1
authentication {
auth_type PASS
auth_pass dns12345
}
virtual_ipaddress {
2a02:xxxxxx:1::/64 / fe80::1234/64
}
}

Backup:

vrrp_instance VI_1 {
state BACKUP
interface eth0
unicast_src_ip 192.168.178.101
unicast_peer {
192.168.178.100
}
virtual_router_id 1
priority 200
advert_int 1
authentication {
auth_type PASS
auth_pass dns12345
}
virtual_ipaddress {
192.168.178.102/24
}
}

vrrp_instance VI_2 {
state BACKUP
interface eth0
unicast_src_ip 2a02:xxxxxxx:1:baf:7e53:4dc0:cdd9 / fe80::1e90:2b40:72d4:2a3c (dit zijn de adressen die zichtbaar zijn in AGH)
unicast_peer {
2a02:xxxxxxx:1:df20:1790:f73d:9578 / fe80::14c8:20d2:4767:ed5c (dit zijn de adressen die zichtbaar zijn in AGH)
}
virtual_router_id 2
priority 200
advert_int 1
authentication {
auth_type PASS
auth_pass dns12345
}
virtual_ipaddress {
2a02:xxxxxxx:1::/64 / fe80::1234/64
}
}

[stormfly]

Glassertje schreef op vrijdag 11 april 2025 @ 08:26:
[...]

@stormfly Was idd wel handig geweest. Ik kan pingen vanaf de Raspberry Pi.

Ik gebruik in mijn Fritzbox nu een fe80:: adres van 1 van de Raspberry Pi's. Maar volgens jouw beschrijving zou ik dus de 2a02 moeten gebruiken?

Ik heb de 2a02 en de fe80:: adressen niet tegelijk gebruikt, Dit heb ik alleen zo gedaan om mijn configuratie weer te geven.

Master:

[...]


Backup:

[...]

Ik gebruik meerdere VLAN's dan heb je global unicast adressen nodig, als je slechts één vlan hebt kan je het met fe80 link local adressen gebruiken. Ik heb dat zelf nooit getest, hieronder mijn werkende config voor IPv6.

Zitten ze beide in hetzelfde vlan? Dan kan je beter de multicast variant gebruiken ipv de unicast variant, de multicast variant is autodetecting en neemt de kans weg op typo's in de vele IP adressen die bij unicast config wel hebt.

MASTER

code:

global_defs {
  script_user root
  enable_script_security
  max_auto_priority 50
  vrrp_version 3         # Versie 3 ondersteunt zowel IPv4 als IPv6
  vrrp_garp_master_delay 5
  vrrp_garp_master_repeat 5
  vrrp_garp_master_refresh 30
  vrrp_garp_master_refresh_repeat 2
}
vrrp_script chk_pihole_ftl {
  script "/etc/keepalived/chk_pihole_ftl.sh"
  interval 10
  timeout 5
  fall 3
  rise 3
  weight -40
}

vrrp_script chk_dns {
  script "/etc/keepalived/chk_dns.sh"
  interval 10
  timeout 5
  fall 3
  rise 3
  weight -30
}

vrrp_script chk_dnsv6 {
  script "/etc/keepalived/chk_dnsv6.sh"
  interval 2
  timeout 5
  fall 3
  rise 3
  weight -30
}

# IPv4 configuratie
vrrp_instance pihole_ipv4 {
  state MASTER
  interface eth0
  virtual_router_id 1
  priority 100
  advert_int 1
  virtual_ipaddress {
    172.16.1.254/24
  }
  track_script {
    chk_dns
    chk_pihole_ftl
 }
}

# IPv6 configuratie
vrrp_instance pihole_ipv6 {
  state MASTER
  interface eth0
  virtual_router_id 51
  priority 100
  advert_int 1
  native_ipv6

  virtual_ipaddress {
    2a02:<knip>::254/64
  }
  track_script {
   chk_pihole_ftl
   chk_dnsv6
  }
}

BACKUP

code:

global_defs {
  script_user root
  enable_script_security
  max_auto_priority 50
  vrrp_version 3
  vrrp_garp_master_delay 5
  vrrp_garp_master_repeat 5
  vrrp_garp_master_refresh 30
  vrrp_garp_master_refresh_repeat 2
}

vrrp_script chk_dns {
  script "/etc/keepalived/chk_dns.sh"
  interval 10
  timeout 5
  fall 3
  rise 3
  weight -30
}

vrrp_script chk_pihole_ftl {
  script "/etc/keepalived/chk_pihole_ftl.sh"
  interval 10
  timeout 5
  fall 3
  rise 3
  weight -40
}

vrrp_script chk_dnsv6 {
  script "/etc/keepalived/chk_dnsv6.sh"
  interval 2
  timeout 5
  fall 3
  rise 3
  weight -30
}

# IPv4 configuratie
vrrp_instance pihole_ipv4 {
  state BACKUP
  interface eth0
  virtual_router_id 1
  priority 75
  advert_int 1
  virtual_ipaddress {
    172.16.1.254/24
  }
  track_script {
    chk_dns
    chk_pihole_ftl
  }
}

# IPv6 configuratie
vrrp_instance pihole_ipv6 {
  state BACKUP
  interface eth0
  virtual_router_id 51
  version 3
  priority 75
  advert_int 1
  native_ipv6

  virtual_ipaddress {
    2a02:<knip>::254/64
  }
  track_script {
    chk_dnsv6
    chk_pihole_ftl
  }
}

De scripts om failover te realiseren.

code:

root@pihole:/etc/keepalived# cat chk_dns.sh
#!/bin/bash
# /etc/keepalived/chk_dns.sh
#
# Dit script controleert:
# 1. Of er internet-connectiviteit is via zowel 1.1.1.1 als 8.8.8.8
# 2. Of de lokale DNS-server (127.0.0.1) een geldig IPv4-adres teruggeeft voor een DNS-query naar google.com
#
# Bij een succesvolle internet EN DNS resolutie wordt 0 geretourneerd; anders 1.
#
# Zorg dat het script uitvoerbaar is:
# chmod +x /etc/keepalived/chk_dns.sh

# Functie om te controleren of internet beschikbaar is
check_internet() {
  # Probeer Cloudflare's 1.1.1.1
  ping -c 1 -W 2 1.1.1.1 > /dev/null 2>&1
  CLOUDFLARE_RESULT=$?

  # Probeer Google's 8.8.8.8
  ping -c 1 -W 2 8.8.8.8 > /dev/null 2>&1
  GOOGLE_RESULT=$?

  # Retourneer succes als ten minste één ping werkte
  if [ $CLOUDFLARE_RESULT -eq 0 ] || [ $GOOGLE_RESULT -eq 0 ]; then
    return 0
  else
    return 1
  fi
}

# Functie om te controleren of DNS-resolutie werkt
check_dns() {
  dig @127.0.0.1 google.com +short 2>/dev/null | grep -E -q '^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+$'
  return $?
}

# Controleer internet en DNS
if check_internet && check_dns; then
  # Beide checks succesvol
  exit 0
else
  # Een van beide of beide checks gefaald
  exit 1
fi

code:

root@pihole:/etc/keepalived# cat chk_dnsv6.sh
#!/bin/bash
# /etc/keepalived/chk_dnsv6.sh
#
# Dit script controleert:
# 1. Of er internet-connectiviteit is via zowel IPv6 naar 2606:4700:4700::1111 als 2001:4860:4860::8888
# 2. Of de lokale DNS-server (::1) een geldig IPv6-adres teruggeeft voor een DNS-query naar google.com
#
# Bij een succesvolle internet EN DNS resolutie wordt 0 geretourneerd; anders 1.
#
# Zorg dat het script uitvoerbaar is:
# chmod +x /etc/keepalived/chk_dnsv6.sh

# Functie om te controleren of IPv6 internet beschikbaar is
check_internet_v6() {
  # Probeer Cloudflare's 2606:4700:4700::1111
  ping6 -c 1 -W 2 2606:4700:4700::1111 > /dev/null 2>&1
  CLOUDFLARE_RESULT=$?

  # Probeer Google's 2001:4860:4860::8888
  ping6 -c 1 -W 2 2001:4860:4860::8888 > /dev/null 2>&1
  GOOGLE_RESULT=$?

  # Retourneer succes als ten minste één ping werkte
  if [ $CLOUDFLARE_RESULT -eq 0 ] || [ $GOOGLE_RESULT -eq 0 ]; then
    return 0
  else
    return 1
  fi
}

# Functie om te controleren of DNS-resolutie voor IPv6 werkt
check_dns_v6() {
  dig @::1 google.com AAAA +short 2>/dev/null | grep -E -q '^[0-9a-fA-F:]+$'
  return $?
}

# Controleer internet en DNS
if check_internet_v6 && check_dns_v6; then
  # Beide checks succesvol
  exit 0
else
  # Een van beide of beide checks gefaald
  exit 1
fi

code:

root@pihole:/etc/keepalived# cat chk_pihole_ftl.sh
#!/bin/bash

# Check if pihole-FTL is running
if systemctl is-active --quiet pihole-FTL; then
    exit 0  # Success - service is running
else
    exit 1  # Failure - service is not running
fi

[Glassertje]

@stormfly Beide PI's zitten in dezelfde VLAN. Bijzonder vind ik dat ik een unicast_src failed 9 op het gebruikte Ipv6 adres krijg, met een melding dat die niet bestaat.

Bedankt voor je hulp. Ik krijg dat IPv6 niet echt onder de knie. Ik ga het vandaag nog proberen en als het me niet lukt, dan heb ik pech gehad.

[stormfly]

Glassertje schreef op vrijdag 11 april 2025 @ 09:16:
@stormfly Beide PI's zitten in dezelfde VLAN. Bijzonder vind ik dat ik een unicast_src failed 9 op het gebruikte Ipv6 adres krijg, met een melding dat die niet bestaat.

Bij IPv6 SLAAC wisselen adressen op moment X vanwege privacy, als jij een adres aanroept wat niet meer in gebruik is kan ik die melding verklaren. Daarom -> multicast variant die vinden elkaar automatisch ;-)

[Glassertje]

stormfly schreef op vrijdag 11 april 2025 @ 09:17:
[...]


Bij IPv6 SLAAC wisselen adressen op moment X vanwege privacy, als jij een adres aanroept wat niet meer in gebruik is kan ik die melding verklaren. Daarom -> multicast variant die vinden elkaar ;-)

Dat deel begrijp ik, maar het 2a02 adres in AGH veranderd nooit. Heb het zelfs ook gecheckt met ifconfig.

Dat was ook de reden dat ik die fe80 adres gebruikte, want de AGH werd overspoelt met verschillende 2a02 adressen.

Als ik vanmiddag thuis ben, ga ik ermee aan de slag. Dankjewel.

[Glassertje]

@stormfly nog een klein vraagje. Als ik in AGH en bij ifconfig kijk zie ik deze:

fdae:8b57:72f7:0:52c1:9f17:3630:eaa6

Is dat de multicast? Want in jouw voorbeeld plaatje staat ff00 maar die heb ik nergens gezien?

[Glassertje]

En is er een tool, waarmee ik een virtueel ip kan maken? Want heb geen flauw idee hoe dit eruit moet komen zien?

[stormfly]

Glassertje schreef op vrijdag 11 april 2025 @ 09:35:
En is er een tool, waarmee ik een virtueel ip kan maken? Want heb geen flauw idee hoe dit eruit moet komen zien?

2a02:xxxxxxx:1:baf:7e53:4dc0:cdd9 vraag aan chatgpt of hij er een adres van maakt eindigend op een getal wat jij waardeert, in mijn geval 254 en dan met een /64 subnet.

Glassertje schreef op vrijdag 11 april 2025 @ 09:29:
@stormfly nog een klein vraagje. Als ik in AGH en bij ifconfig kijk zie ik deze:


[...]


Is dat de multicast? Want in jouw voorbeeld plaatje staat ff00 maar die heb ik nergens gezien?

Dat heb je dus niet nodig als je mijn config bekijkt hoef je slechts een virtueel IP te plaatsen. De rest gaat automatisch.

Glassertje schreef op vrijdag 11 april 2025 @ 09:20:
[...]

Dat was ook de reden dat ik die fe80 adres gebruikte, want de AGH werd overspoelt met verschillende 2a02 adressen.

Daarom 1 virtual IP instellen en dan: sudo systemctl restart keepalived om te herstarten

[Glassertje]

stormfly schreef op vrijdag 11 april 2025 @ 11:13:
[...]


2a02:xxxxxxx:1:baf:7e53:4dc0:cdd9 vraag aan chatgpt of hij er een adres van maakt eindigend op een getal wat jij waardeert, in mijn geval 254 en dan met een /64 subnet.


[...]


Dat heb je dus niet nodig als je mijn config bekijkt hoef je slechts een virtueel IP te plaatsen. De rest gaat automatisch.


[...]


Daarom 1 virtual IP instellen en dan: sudo systemctl restart keepalived om te herstarten

Ala ik in heel de config 2a02 gebruik, krijg ik dan het probleem niet, dat ik in AGH onbeperkte IPv6 adressen zie? Het IPv6 SLAAC verhaal, wat je aanhaalde?

Ik heb in ieder geval genoeg dingen, wat ik vanmiddag kan doen. Dank daarvoor.

[stormfly]

Glassertje schreef op vrijdag 11 april 2025 @ 11:21:
[...]

Ala ik in heel de config 2a02 gebruik, krijg ik dan het probleem niet, dat ik in AGH onbeperkte IPv6 adressen zie? Het IPv6 SLAAC verhaal, wat je aanhaalde?

Ik heb in ieder geval genoeg dingen, wat ik vanmiddag kan doen. Dank daarvoor.

Gebruik mijn config maar en daarna horen we de resultaten wel ;-) Je hoeft het 2a02 adres maar op één plaats in te vullen in mijn config. Ik begrijp je verwarring nog niet helemaal

[Glassertje]

bericht verwijderd

[ Voor 94% gewijzigd door Glassertje op 11-04-2025 13:16 ]

[Glassertje]

@stormfly Ik heb het uiteindelijk maar opgegeven. Ik heb net maar een beetje gerommeld in mijn Fritzbox tot de IPv6 DNS uit mijn desktop is. En nu werkt het ook weer.

Ik snap helaas maar weinig van Linux en IPv6. Maar het werkt nu wel weer in ieder geval. 😁

[darkrain]

stormfly schreef op vrijdag 11 april 2025 @ 11:41:
[...]


Gebruik mijn config maar en daarna horen we de resultaten wel ;-) Je hoeft het 2a02 adres maar op één plaats in te vullen in mijn config. Ik begrijp je verwarring nog niet helemaal

Deze config ook ff gepakt, maar die check voor pihole-ftl moet er wel uit natuurlijk voor AGH...

Nadat ik dat gedaan had en het voor mijn situatie had aangepast (denk aan andere interface namen) werkt het nu prima! Dank hiervoor.

[Glassertje]

@stormfly Het werkt inmiddels, dankjewel.

[TheCeet]

Nieuwe update, v0.107.60

Security
- Go version has been updated to prevent the possibility of exploiting the Go vulnerabilities fixed in 1.24.2.

Changed
- Alpine Linux version in Dockerfile has been updated to 3.21 (#7588).

Deprecated
- Node 20 support, Node 22 will be required in future releases.
NOTE: npm may be replaced with a different tool, such as pnpm or yarn, in a future release.

Fixed
- Filtering for DHCP clients (#7734).
- Incorrect label on login page (#7729).
- Validation process for the HTTPS port on the Encryption Settings page.

Removed
- Node 18 support.

https://github.com/Adguar...me/releases/tag/v0.107.60

[EverLast2002]

#7729 was me totaal niet opgevallen, zo makkelijk lees je dus ergens overheen....

[TheCeet]

Heeft er hier iemand een idee om de updatetijd van blocklists aan te passen?
Nu kan je enkel de interval aanpassen: 1u, 12u, 24u, etc.
Maar ik zou graag ergens aanpassen om welk uur specifiek de update begint.

[Wachten...]

Heeft iemand hier enig idee waarom ik niet op de website van Odido.nl kan komen?

Ik heb de standaard OISD lijst geactiveerd, en verder niks. Als ik in de Query logs kijk, dan zie ik ook niet dat de website geblokkeerd wordt.

Zodra ik handmatig de DNS aanpas op mijn computer en deze direct verwijs naar Google, en dus niet naar mijn Adguard DNS, dan werkt de website direct. Zet ik deze DNS settings terug naar Adguard, dan kom ik er niet meer op.

[canonball]

Wachten... schreef op zaterdag 19 april 2025 @ 09:39:
Heeft iemand hier enig idee waarom ik niet op de website van Odido.nl kan komen?

Ik heb de standaard OISD lijst geactiveerd, en verder niks. Als ik in de Query logs kijk, dan zie ik ook niet dat de website geblokkeerd wordt.

Zodra ik handmatig de DNS aanpas op mijn computer en deze direct verwijs naar Google, en dus niet naar mijn Adguard DNS, dan werkt de website direct. Zet ik deze DNS settings terug naar Adguard, dan kom ik er niet meer op.

Ik gok dat je zelf recursing doet en dnssec gebruikt.
zie de discussie bij de collega's met pihole, met de uitleg van stormfly in "[Pi-Hole] Ervaringen & discussie"

Komt er op neer dat odido een fout heeft gemaakt, sommige dnssec implementaties zijn wat vergevingsgezinder dan andere

[Wachten...]

canonball schreef op zaterdag 19 april 2025 @ 09:56:
[...]
Ik gok dat je zelf recursing doet en dnssec gebruikt.
zie de discussie bij de collega's met pihole, met de uitleg van stormfly in "[Pi-Hole] Ervaringen & discussie"

Komt er op neer dat odido een fout heeft gemaakt, sommige dnssec implementaties zijn wat vergevingsgezinder dan andere

Aha, dat verklaart een hoop
Ik gebruik inderdaad unbound

Dit zijn mijn upstream settings

code:

# Unbound
127.0.0.1:5335
# Extra
[///0.168.192.in-addr.arpa/]192.168.0.1
https://dns.quad9.net/dns-query
tls://dns.quad9.net
9.9.9.9

Kan ik toevallig ook iets in de GUI aanpassen waardoor het werkt? Of moet ik echt in de config van unbound wat aanpassen zoals in de post aangegeven?

[stormfly]

Wachten... schreef op zaterdag 19 april 2025 @ 09:39:
Heeft iemand hier enig idee waarom ik niet op de website van Odido.nl kan komen?

Ik heb de standaard OISD lijst geactiveerd, en verder niks. Als ik in de Query logs kijk, dan zie ik ook niet dat de website geblokkeerd wordt.

Zodra ik handmatig de DNS aanpas op mijn computer en deze direct verwijs naar Google, en dus niet naar mijn Adguard DNS, dan werkt de website direct. Zet ik deze DNS settings terug naar Adguard, dan kom ik er niet meer op.

Uitvoerig in het pihole topic besproken inclusief workarround. Aai was al gedeeld zie ik nu.

Of in adguard de unbound resolver verwijderden. Of op CLI in unbound de workarround toepassen waar ik hier naar link. Dat laatste is een betere oplossing want elke DNS beheerder kan deze fouten maken. 1.1.1.1 schijnt net zo strak te filteren als unbound, maar 8.8.8.8 en KPNs eigen DNS weer niet. Die hanteren die optie dat één valide DNSSEC set voldoende is.

stormfly in "[Pi-Hole] Ervaringen & discussie"

[ Voor 21% gewijzigd door stormfly op 19-04-2025 10:30 ]

[RedRayMann]

Hallo,

Ik heb een vraag over AdGuard Home icm Wireguard op een Unifi netwerk. Als ik in een verkeerd topic zit, hoor ik het graag.

Vraag;
Kunnen jullie mij helpen met instellingen mbt de combi Wireguard en AdGuard Home? Want met regelmaat werkt mijn VPN niet (als ik buitenshuis ben) en nu lijkt het dat wanneer ik thuis AdGuard uit zet, ik deze problemen niet heb. Dus denk dat het ergens door de AdGuard settings komt

Software;
Proxmox met Unifi (192.168.1.10) en AdGuard (192.168.1.12)
Android - WG Tunnel

Settings;
Unifi
Alle unifi hardware heeft een vast IP en een preferred DNS (192.168.1.12)
Settings - Internet - WAN - DNS Primary Server (9.9.9.9) en Secondary DNS (149.112.112.112)
Settings - Network - Default - DNS Server (192.168.1.12)
Settings - Routing - Static Routes
Name - WireGuard
Distance - 1
Destination Network - 192.168.2.1/32
Type - Next hop
Next Hop - 192.168.1.12

AdGuard
DNS Settings
https://dns.quad9.net/dns-query
tls://dns.quad9.net

Bootstrap DNS servers
9.9.9.9
149.112.112.112

WireGuard (vanuit Unifi Network Controler)
Use Alternate Address for Clients - MYDDNS.Hostname (desec.io)
DNS Server 1 - 192.168.1.12


Extra info
De VPN op mijn laptop, als ik op het netwerk zit. Werkt bijna altijd als ik het test.
Heb de zelfde VPN config files 3x in WG Tunnel, met twee verschillende DDNS servers én één keer mijn WAN adres, om de DDNS service uit te sluiten. (Zet ze niet tegelijk aan)
Het lijkt als ik Adguard uit zet, de VPN stabieler en beter werkt
Eenmaal buiten, bijvoorbeeld tijdens werk, werkt de VPN ineens niet meer en krijg ik niet meer actief.
Het heeft tot enkele weken al sinds begin dit jaar perfect gewerkt. En nu ineens enkele weken niet meer.

--edit--

Rond deze post vpn aangezet.(12:00 uur)
Rond 18:30 geen verbinding meer en geen mogelijkheid om te verbinden. Zowel op mijn mobiel als die van mijn vriendin (dus niet een telefoon probleem)

Nu thuis op wifi werkt het ook niet.

Adguard uit

Nog geen vpn...

Het lijkt dus misschien toch geen Adguard probleem

--edit--
VPN op laptop werkt
VPN op mobiel werkt niet

Als VPN aan staat, heb ik geen LAN toegang. Dus ik ga verder zoeken naar een Wireguard/ Unifi probleem.

Waarschijnlijk toch geen AdGuard probleem.
Excuus voor het vervuilen van het topic

Arg!
Waarschijnlijk is het een WG Tunnel probleem. Ik heb net de WireGuard app gedownload en een export van en WG Tunnel in WireGuard geïmporteerd. En de vpn doet het wel!
De zelfde settings, andere app.

[ Voor 16% gewijzigd door RedRayMann op 19-04-2025 23:07 ]

[TheCeet]

Security update
https://github.com/Adguar...me/releases/tag/v0.107.61

Security
Any simultaneous requests that are considered duplicates will now only result in a single request to upstreams, reducing the chance of a cache poisoning attack succeeding. This is controlled by the new configuration object pending_requests, which has a single enabled property, set to true by default.

NOTE: It's strongly recommended to leave it enabled, otherwise AdGuard Home will be vulnerable to untrusted clients.

[EverLast2002]

Wanneer ik in Settings > DNS settings , de Cache size van 4194304 naar -empty- zet en dan save blijft dit leeg zoals bedoeld.
Verlaat ik deze pagina en klik bijv op Dashboard en daarna terug naar Settings dan staat de standaard Cache size van 4194304 weer ingevuld....
Is dit een bug?

[lolgast]

EverLast2002 schreef op dinsdag 22 april 2025 @ 23:38:
Wanneer ik in Settings > DNS settings , de Cache size van 4194304 naar -empty- zet en dan save blijft dit leeg zoals bedoeld.
Verlaat ik deze pagina en klik bijv op Dashboard en daarna terug naar Settings dan staat de standaard Cache size van 4194304 weer ingevuld....
Is dit een bug?

Welke waarde staat er in je AdGuardHome.yaml?

[EverLast2002]

lolgast schreef op woensdag 23 april 2025 @ 07:35:
[...]

Welke waarde staat er in je AdGuardHome.yaml?

ook 4194304

ik heb nu "0" ingevuld i.p.v. leeg, en dit houdt ie wel vast.
ik ga er vanuit dat caching nu uitgeschakeld is.

[stormfly]

EverLast2002 schreef op woensdag 23 april 2025 @ 17:41:
[...]


ook 4194304

ik heb nu "0" ingevuld i.p.v. leeg, en dit houdt ie wel vast.
ik ga er vanuit dat caching nu uitgeschakeld is.

Waarom schakel je de cache uit?

[Villager]

stormfly schreef op donderdag 24 april 2025 @ 05:03:
[...]


Waarom schakel je de cache uit?

Ik heb de cache ook uit staan, omdat die al in unbound aan staat...

[stormfly]

Villager schreef op donderdag 24 april 2025 @ 06:24:
[...]

Ik heb de cache ook uit staan, omdat die al in unbound aan staat...

Dan heb je toch altijd een extra lookup tussen applicaties. Dat vindt wel zonde, zoals ik eerder schreef hier of in Pi-Hole topic is voor snelheid van resolving het belangrijkste.

[Villager]

stormfly schreef op donderdag 24 april 2025 @ 08:54:
[...]


Dan heb je toch altijd een extra lookup tussen applicaties. Dat vindt wel zonde, zoals ik eerder schreef hier of in Pi-Hole topic is voor snelheid van resolving het belangrijkste.

Ik zal het eens aanzetten en kijken wat het effect is op de responsetijden.

[stormfly]

Villager schreef op donderdag 24 april 2025 @ 08:58:
[...]

Ik zal het eens aanzetten en kijken wat het effect is op de responsetijden.

Kan jij het meten? Ik probeer het in smokeping tussen AdGuardHome en PiHole-FTL maar het transparant meten over lange termijn is vrij complex.

[lolgast]

Ik heb geen cache in AGH, wel in Technitium. Een lookup van AGH naar Technitium is gemiddeld 40us. Verwaarloosbaar dus

[stormfly]

lolgast schreef op donderdag 24 april 2025 @ 09:22:
Ik heb geen cache in AGH, wel in Technitium. Een lookup van AGH naar Technitium is gemiddeld 40us. Verwaarloosbaar dus

Hmmm leuk die tool kende ik niet ;-) tnx

[Villager]

stormfly schreef op donderdag 24 april 2025 @ 09:19:
[...]


Kan jij het meten? Ik probeer het in smokeping tussen AdGuardHome en PiHole-FTL maar het transparant meten over lange termijn is vrij complex.

Niet anders dan hetgeen in Adguard wordt aangegeven. Zit nu op 25ms..

[lolgast]

stormfly schreef op donderdag 24 april 2025 @ 09:43:
[...]


Hmmm leuk die tool kende ik niet ;-) tnx

offtopic:
Behoeft wat stappen on als root dns server te fungeren, maar werkt voor mij fijner dan Unbound. Bij die laatste kreeg ik nooit het gevoel dat die goed/optimaal performde..

[ThinkPad]

lolgast schreef op donderdag 24 april 2025 @ 10:54:
[...]

offtopic:
Behoeft wat stappen on als root dns server te fungeren, maar werkt voor mij fijner dan Unbound. Bij die laatste kreeg ik nooit het gevoel dat die goed/optimaal performde..

"Serve expired" en prefetching aanzetten scheelt een hoop in Unbound.

[stormfly]

lolgast schreef op donderdag 24 april 2025 @ 10:54:
[...]

offtopic:
Behoeft wat stappen on als root dns server te fungeren, maar werkt voor mij fijner dan Unbound. Bij die laatste kreeg ik nooit het gevoel dat die goed/optimaal performde..

Update (Oct 20, 2024): DNS server v13.1 now includes "Secondary ROOT Zone (RFC 8806)" option in Add Zone dialog reducing this entire blog post into a single click operation.

Dat lijkt nu wat simpeler te zijn, ik vraag mij af of het nodig is want dit gaat om de rootserver locally? Ik wil eigenlijk alleen een lookup doen bij de rootservers en dat doet hij out of the box als ik https://www.dnscheck.tools out of the box bezoek.

offtopic:
Ik post het bewust even hier, want het nadeel van GoT is dat de bekende topics voorzien zijn van de experts qua kennis. En bij een nieuw topic moet je maar geluk hebben dat de expert jouw topic ziet.

[ Voor 3% gewijzigd door stormfly op 24-04-2025 13:16 ]

[EverLast2002]

stormfly schreef op donderdag 24 april 2025 @ 05:03:
[...]


Waarom schakel je de cache uit?

omdat mijn internetverbinding altijd snel genoeg is en caching in mijn beleving een feature is die snelheidswinst geeft wanneer veel clients tegelijk via een trage verbinding surfen.
met cache disabled ben ik van ~25msec naar ~11msec gegaan.

[stormfly]

EverLast2002 schreef op donderdag 24 april 2025 @ 13:16:
[...]


omdat mijn internetverbinding altijd snel genoeg is en caching in mijn beleving een feature is die snelheidswinst geeft wanneer veel clients tegelijk via een trage verbinding surfen.
met cache disabled ben ik van ~25msec naar ~11msec gegaan.

En waar meet je dit, in de live logs van AdGuard?

[EverLast2002]

stormfly schreef op donderdag 24 april 2025 @ 13:17:
[...]


En waar meet je dit, in de live logs van AdGuard?

info staat op het dashboard van adguardhome, ik hoef niks te meten.

[lolgast]

stormfly schreef op donderdag 24 april 2025 @ 12:09:
[...]


Update (Oct 20, 2024): DNS server v13.1 now includes "Secondary ROOT Zone (RFC 8806)" option in Add Zone dialog reducing this entire blog post into a single click operation.

Dat lijkt nu wat simpeler te zijn, ik vraag mij af of het nodig is want dit gaat om de rootserver locally? Ik wil eigenlijk alleen een lookup doen bij de rootservers en dat doet hij out of the box als ik https://www.dnscheck.tools out of the box bezoek.

offtopic:
Ik post het bewust even hier, want het nadeel van GoT is dat de bekende topics voorzien zijn van de experts qua kennis. En bij een nieuw topic moet je maar geluk hebben dat de expert jouw topic ziet.

Wat jij wilt doet hij out-of-the-box inderdaad

ThinkPad schreef op donderdag 24 april 2025 @ 11:38:
[...]

"Serve expired" en prefetching aanzetten scheelt een hoop in Unbound.

Ik heb zelf slechte ervaringen met ‘serve expired’. Netflix die geen streams start, Videoland die geen streams start. Pagina’s via Cloudflare die onbereikbaar zijn.

En eerlijk, het zijn lapmiddelen die niet nodig moeten zijn. Mijn dns servers zitten op een weekgemiddelde van 3.52ms en 1.37ms. Zonder al die toeters en bellen. Enige wat ik aan caching heb is de standaard TTL’s van domeinen in Technitium

[Villager]

Ik kan inmiddels wel bevestigen na 45K requests dat het aanzetten van de cache in Adguard naast die in Unbound een flinke verbetering geeft van de responstijd. In de praktijk merk ik er niet direct iets van, maar de Adguard Average processing time zit nu op 2ms en dit was dus 25ms. De Average upstream response time rechtsonderaan op adres 12.0.0.1:5353 zit op 18ms. Conclusie: Als je Unbound gebruikt dan heeft t zeker ook zin om de cache in Adguard aan te zetten.

[stormfly]

Villager schreef op vrijdag 25 april 2025 @ 16:59:
Ik kan inmiddels wel bevestigen na 45K requests dat het aanzetten van de cache in Adguard naast die in Unbound een flinke verbetering geeft van de responstijd. In de praktijk merk ik er niet direct iets van, maar de Adguard Average processing time zit nu op 2ms en dit was dus 25ms. De Average upstream response time rechtsonderaan op adres 12.0.0.1:5353 zit op 18ms. Conclusie: Als je Unbound gebruikt dan heeft t zeker ook zin om de cache in Adguard aan te zetten.

Dat is ook exact mijn filosofie elke cache in het pad kan helpen versnellen. Leuk dat je de ervaringen deelt vergeet ook niet: Optimistic caching
Make AdGuard Home respond from the cache even when the entries are expired and also try to refresh them.

Het opzoeken van een record via root -> TLD -> authoritative is best een lang pad, je merkt ook duidelijk als de betreffende URL voor het eerst door unbound heen moet. Daarom is een DNS van je provider ook vaak snel omdat je daar profiteert van de landelijk cache.

• Client vraagt: Jij typt bijvoorbeeld www.example.nl in je browser.
• Cache check: Je pc checkt eerst of hij het IP-adres al kent (cache).
• DNS Resolver: Zo niet, dan vraagt je pc het aan een DNS resolver (meestal van je internetprovider).
• Root servers: De resolver vraagt eerst aan een root server: “Waar vind ik .nl?”
• TLD servers (.nl): De root server zegt: “Ga naar de .nl TLD servers.”
• TLD servers: De resolver vraagt bij de .nl server: “Waar is example.nl?”
• Authoritative server: De .nl server verwijst naar de authoritative DNS server voor example.nl.
• Ophalen IP: De resolver vraagt daar het echte IP-adres op.
• Terug naar client: De resolver geeft het IP-adres terug aan jouw pc.
• Connectie: Je pc maakt dan een verbinding met het IP-adres.

Ik heb nu ook de KPN DNS erbij gezet in AdGuard, het IP van mijn UniFi router (ook een cache). En heb parallelle verzoeken ingeschakeld in AdGuard, zowel Technitium als Unbound verliezen het van KPN waarschijnlijk omdat KPN profiteert van een DNS cache met 3miljoen klanten en het feit dat ze echt een loei snelle DNS farm hebben.

[ Voor 3% gewijzigd door stormfly op 25-04-2025 17:58 ]

[stormfly]

https://github.com/Lissy93/AdGuardian-Term/releases


Leuk tooltje om realtime mee te kijken, screenshot van GitHub.

[ Voor 3% gewijzigd door stormfly op 26-04-2025 13:19 ]