AdGuard Home - einige Requests gehen an Upstream Servern vorbei

[CaptainPighead]

Hallo zusammen,

mein AdGuard Home Setup läuft schon seit Monaten stabil und ohne Probleme. Ich verteile meinen RasPi (auf dem der DietPi läuft) per DHCP an alle meine Clients im Netzwerk, d.h. jedes Endgerät sollte auch über den DietPi laufen und durch diesen gefiltert werden. Das klappt auch für alle meine Clients wie ich anhand der Statistiken sehen kann super, alle ausgehenden, gefilterten Requests werden vom DietPi an 5 verschiedene DNS Server gegeben per Loadbalancing gegeben.

Nun ist mir aber aufgefallen, dass irgendetwas an dem DietPi vorbei geht und die Requests an meine FritzBox (10.30.11.1) sendet, siehe Screenshot. Nur ca. 2% aller Anfragen - aber mich würde interessiert was das genau ist, wer diese Requests nicht über die Upstream DNS Server rausschickt - über die eigentlich alles rausgehen sollte.

Weiss jemand wie ich herausfinde, wer diese Requests versendet? Ich steh hier irgendwie auf dem Schlauch …

 

[JumpingCat]

Einfach mal tcpdump mitlaufen lassen und dann in Wireshark werfen? :-)

http://fritz.box/html/capture.html

 

[CubeID]

Vorbeigehen tun die an deinem Adguard würde ich sagen nicht, sonst würden sie nicht in der Statistik auftauchen. Eher, dass es nicht per DoT aufgelöst werden kann und dann ein Fallback auf DNS zur FB passiert.

Generell, Geräte können auch unabhängig von deinem Adguard einen eigenen DNS-Server hinterlegt haben und nutzen, oder direkt IP-basierende Verbindungen aufbauen - das siehst dann nur am Gateway oder zentralen Firewall.

 

[Blutomen]

ber mich würde interessiert was das genau ist, wer diese Requests nicht über die Upstream DNS Server rausschickt - über die eigentlich alles rausgehen sollte.

Schau dir doch einfach an, was du da konfiguriert hast?

Wo hast du denn da deine FritZ!Box reingetackert?
Normal müsste die bei "Private inverse DNS-Server" drin sein, damit AG zu den lokalen IPs die Namen der Clients rausbekommt.

Oder hast du die Fritz!Box auch noch als Bootstrap-DNS eingetragen?

 

[Redundanz]

die gehen nicht am adguard vorbei, im sinne von die regeln die im adguard hinterlegt sind (services, blocklisten und customblocks) werden honoriert, nur adguard hat eben für 2,41% der requests deine fritzbox als upstream genutzt. das ist ersteinmal kein beinbruch. kann sogar je nach cachingvorlieben einen (äußerst) kleinen ladezeitvorteil bringen.

bootstrap ist wieder was anderes. da holt er sich nur die upstream-ips wenn es sich um fqdn upstreams handelt. also z.b. dns.google...

 

[ev4x]

Das sind nur PTR Anfragen von AGH an die Fritz. Bei denen wird z.B. der Hostname der IP Adresse deiner Geräte abgefragt. Guck mal unter Einstellungen den Punkt "Private inverse DNS-Server" da hast du bestimmt die IP der Fritzbox eingetragen.

 

[Helge01]

Wie schon geschrieben sind DNS Vorgaben per DHCP oder festgelegte Einstellungen nur "Empfehlungen" daran muss sich ein Programm oder Gerät nicht halten. Möchte man das ausschließen, hilft nur das Sperren von DNS Ports, DoH wird aber auch das nicht abhalten.

 

[CaptainPighead]

Vielen Dank für die ganzen Rückmeldungen! Wie immer sehr informativ, tausend Dank. 👍 Ich habe mich schlecht ausgedrückt, ihr habt natürlich recht: die Anfragen gingen nicht am AGH “vorbei”, sonst würden sie auch nicht im AGH auftauchen. War schlecht formuliert - wollte eher sagen, warum sie überhaupt auftauchen. Ich habe tatsächlich die Fritze (bzw. deren IP) unter “Private Reverse DNS Servers” eingetragen, weil ich diese für 2 Rewrite Regeln die im AGH hinterlegt sind so brauche.

Dann werden das diese Abfragen an die Fritze sein - ich hatte das so nicht mehr auf dem Radar und mich nur gewundert. Ist auch weniger ein Problem, als vielmehr technische Neugier gewesen. Das passt für mich - alles top. Danke noch mals für die Klarstellungen von Euch!