[ASUS AX3000 v2] - DNSSEC issues

[CaptainKansloos]

Hallo,

Sinds gisteravond lijk ik issues te hebben met de DNSSEC instellingen van mijn meshnetwerk bestaande uit 3x ASUS AX3000 v2 routers.

Als ik DNSSEC forceer, ongeacht welke DNS provider ik gebruik, dan lijken DNS queries te failen. Dat zorgt voor 'soms werkend internet' wat erg vervelend is. Ik gebruik DoT, Opportunistic of Strict lijkt niet veel uit te maken. Cloudflare, Quad9 etc als provider ook niet.

Er is 14 sept een nieuwe FW gereleased: Firmware Version 3.0.0.4.388_24049, daarin claimen ze een DNS caching issue te hebben opgelost. Ik draai deze versie, maar aangezien auto-update aanstaat weet ik niet precies wanneer deze erin geflashed is.

Iemand anders vergelijkbare problemen met dezelfde router?

[GarBaGe]

Ik heb geen Asus, maar de Asus zijn wel berucht te zijn als het gaat om DNS en vooral DNSSEC.
Wellicht is de hardware simpelweg niet toereikend?
Waarom forceer je DNSSEC op je router? Dit kan je ook uit laten staan en DNS zijn eigen gang laten gaan.

Edit: ik vermoed dat als je DNSSEC graag wilt forceren op je router, dan je wellicht een iets serieuzere router moet nemen. Dus iets meer prosumer range ipv consumer range.

[ Voor 26% gewijzigd door GarBaGe op 12-10-2026 10:32 ]

[CaptainKansloos]

Bedankt voor de 'tip', maar de config heeft zo al meer dan een jaar gedraaid. De hardware is dus zeker meer dan toereikend. Daarom luidt de vraag ook; "wie heeft met deze setup dezelfde ervaring", en niet "adviseer eens andere hardware".

[GarBaGe]

Als je je bestaande Asus wilt blijven gebruiken in de bestaande config, dan kan je ook auto-update uitzetten en downgraden naar een oudere versie van de firmware.
En dan hopen dat er snel weer een nieuwere update gaat komen, waar dit dan weer gefixt it.

[Ntpw]

CaptainKansloos schreef op maandag 12 oktober 2026 @ 09:33:
Hallo,

Sinds gisteravond lijk ik issues te hebben met de DNSSEC instellingen van mijn meshnetwerk bestaande uit 3x ASUS AX3000 v2 routers.

Als ik DNSSEC forceer, ongeacht welke DNS provider ik gebruik, dan lijken DNS queries te failen. Dat zorgt voor 'soms werkend internet' wat erg vervelend is. Ik gebruik DoT, Opportunistic of Strict lijkt niet veel uit te maken. Cloudflare, Quad9 etc als provider ook niet.

Er is 14 sept een nieuwe FW gereleased: Firmware Version 3.0.0.4.388_24049, daarin claimen ze een DNS caching issue te hebben opgelost. Ik draai deze versie, maar aangezien auto-update aanstaat weet ik niet precies wanneer deze erin geflashed is.

Iemand anders vergelijkbare problemen met dezelfde router?

Hoi,

Ik had vanmorgen ook deze geweldige verrassing terwijl ik eigenlijk moest werken, en ik heb dus behoorlijk wat tijd verloren met testen...

Ik had eerst alle DNSSEC-opties uitgeschakeld + de DNS van Cloudflare en Quad9 verwijderd en ingesteld op "gebruik de DNS van de provider", en op dat moment werkte het zonder problemen.

Er is dus inderdaad plotseling iets mis met DNSSEC zonder enige reden.

Met de instelling "Enable DNSSEC-ondersteuning: Ja" sommige websites werken, maar het Microsoft-domein werkt in ieder geval niet meer (Outlook, Teams, ... ).

Om het werkend te krijgen, heb ik de DNS alleen op Quad9 gezet (die gebruikt toch zelf DNSSEC aan zijn kant).

Quad9 Enables DNSSEC on All Service Endpoints | Quad9

Dus niet nodig om het op de router te activeren als je alleen Quad9 gebruikt, dat zou dubbelop zijn)

En de instellingen zo gezet :

Forward local domain queries to upstream : NO
Enable DNS rebind protection : NO
Enable DNSSEC support : NO
Prevent client auto DoH : YES
Confidentiality DNS protocol : DNS-over-TLS (DoT)
Profil DNS-over-TLS : Strict

DNS Servers :
1e
IP : 9.9.9.9
Port : 853
Hostname : dns.quad9.net

2e
IP : 149.112.112.112
Port : 853
Hostname : dns.quad9.net

Nu werkt het weer ...

Fijne dag,

[ Voor 9% gewijzigd door Ntpw op 12-10-2026 14:31 ]

[jant]

DNSSEC root key rollover ?

[Ntpw]

Hmmm Mogelijk, in ieder geval werkte internet op zich niet helemaal, maar geen enkel Microsoft-product werkte zolang ik DNSSEC ingeschakeld hield...

[CaptainKansloos]

Ntpw schreef op maandag 12 oktober 2026 @ 13:59:
[...]

Hoi,

Ik had vanmorgen ook deze geweldige verrassing terwijl ik eigenlijk moest werken, en ik heb dus behoorlijk wat tijd verloren met testen...

Ja, tell me about it. Ik liep er gisteravond voor het eerst tegenaan. Zolang een DNS query naar een domain nog gecached is op een client, dan merk je het ook niet direct. Tot er links en rechts dingen uitvallen.

Ik heb de instellingen staan zoals jij, met de uitzondering:

Prevent client auto DoH : NO


Maar dat is niet echt relevant. Boven deze instellingen staat echter nog een Assign knop met de volgende huidige instellingen:

	Filter Mode: Fast DNS Service Name: DNS4EU DNS Server: 86.54.11.100, 86.54.11.200 Assign a DNS service to improve security, block advertisement and gain faster performance.

Volgens mij - als je "Enable DNSSEC support : NO" hebt ingesteld, gebeurt met dat onderste stuk config niks. Maar dat is een beetje vaag. Ik gebruik dus nu volgens mij gewoon DNS4EU ipv Quad9. Het helpt ook niet dat dit niet (duidelijk) gelogd wordt (mss in uitgebreide syslog?).

Ik zal vanavond - als ik daar 'gezin-technisch' mee wegkom nog wel even e.e.a. aanpassen en testen en hier rapporteren.

[ Voor 4% gewijzigd door CaptainKansloos op 12-10-2026 15:51 ]

[Ntpw]

@CaptainKansloos Op dit moment werkt Quad9 goed met de configuratie die ik heb gegeven en blokkeert het zoals het hoort.

(Je kunt dit controleren door naar https://on.quad9.net te gaan > Als het YES aangeeft, is het goed actief op je apparaat).

Met Prevent client auto DoH = NEE, laat je een client toe om zijn eigen beveiligde DNS te gebruiken als hij dat wil.

Voorbeelden:
Firefox met DoH naar Cloudflare
Chrome met Secure DNS
Android Private DNS
Blokada

In dat geval omzeilt de client de DNS van de router.

Ik heb het op NEE ingesteld omdat ik op mijn telefoons Blokada gebruik (ja, voor wifi thuis heeft het weinig nut en vervangt het Quad9, maar in 4/5G zijn we niet thuis dus dan ben je beter beschermd en is Blokada nodig, anders krijg je al die rotzooi van advertenties, popups, enz.).

Maar in ieder geval, ja, laat me weten wat je tests opleveren, dat interesseert me (ik kende DNS4EU nog niet

Fijne dag nog,

[ Voor 40% gewijzigd door Ntpw op 12-10-2026 16:28 ]

[CaptainKansloos]

Ik til mijn testwerk even naar overmorgen, want ik herinner me net dat ik - uitgerekend nu - vannacht een provider wissel (glas) heb. Eerst morgen 'werkend internet', dan overmorgen 'klooien met DNSSEC'. Anders komen de hooivorken uit de kast gok ik

[Ntpw]

@CaptainKansloos Inderdaad!

[Redepi]

Ik ondervind precies dezelfde issue (merk het sinds vanochtend) met een ASUS RT-BE90U in combinatie met Odido glasvezel (gebruik hun DNS server gewoon). Een collega met ASUS RT-AXE7800 en Odido glasvezel hetzelfde probleem. Voor zover we weten is er vannacht geen nieuwe firmware geïnstalleerd op onze routers en deze setup draaide tot nu al maanden zonder issue. 'Enable DNSSEC support' in beide gevallen op 'No' zetten fixt het probleem.

Via Google kwam ik deze thread ook al tegen: https://help.nextdns.io/t/83yjja2/nextdns-breaks-when-using-dnssec-with-asus-router

Klinkt als hetzelfde probleem.

[ Voor 22% gewijzigd door Redepi op 12-10-2026 19:56 ]

[hcQd]

Als je Merlin draait kun je eventueel zelf de key toevoegen: https://www.snbforums.com/threads/dnssec-issue.98059/