DNS Auflösung klappt nicht in neuem VLAN, DNS Server Pingbar (Sophos UTM)

[MetalForLive]

Hallo zusammen,

kurz vorab: So langsam artet mein Heimnetz aus und ist bald schon größer als das mancher kleinen Firma

Ich versuche mal mein Vorhaben so gut es geht zu beschreiben.
Eigentlich will ich nur ein Gäste WLAN, welches über eine separate Firewall läuft, damit die Clients dort nicht auf Interne Netzwerk Ressourcen Zugreifen können.

Ich habe im Netz mehrere Switche welche VLAN fähig sind, einen Windows Server mit Hyper-V, ein Pi-Hole, eine virtuelle Sophos UTM, eine Fritzbox.

Mein normales Heimnetz befindet sich im VLAN 10 mit dem Netzwerkbereich 192.168.10.0/24 die Fritzbox hat die 192.168.10.1, diese ist der Internetrouter und dient als Gateway.
Die 192.168.10.200 hat das Pi-Hole welches als DNS Server dient, auf dem Windows Server läuft DHCP, dieser hat die 192.168.10.254.
Die Sophos hat im VLAN 10 die 192.168.10.253.

So, mein Gästenetz soll das VLAN 11 werden IP Bereich 192.168.11.0/24, das Layer 3 Interface hierfür liegt auf der Sophos, diese hat die 192.168.11.1.
Mein Windows Server hat eine separate Netzwerkkarte in diesem Netz und zwar die 192.168.11.200, diese ist auf den Switch gesteckt ins VLAN 11. Aber Layer 2 lassen wir mal außen vor, das passt auf jeden Fall ebenso das Routing, das wäre jetzt too much, dann würde hier glaube keiner mehr durch steigen.

Verbinde ich mich mit einem Notebook per Lan Kabel direkt mit dem VLAN 11, bekomme ich eine IP vom DHCP zugeteilt, dort ist auch das Pi-Hole als DNS hinterlegt.
Ich kann das Pi-Hole auch pingen, ebenso kann ich ins Internet pingen z.B. die 8.8.8.8.
Versuche ich im Browser eine Seite zu öffnen, schlägt es fehl, er bekommt keine DNS Auflösung hin.
Ich verstehe nicht wieso, ich kann den DNS Server anpingen, ich habe auch versucht den DNS auf 8.8.8.8 zu ändern, dort habe ich genau das gleiche Problem.

Dann dachte ich es liegt am Notebook, habe micht mit dem iPhone mit der Guest SSID verbunden, genau das gleiche Spiel, es geht alles, nur kein DNS.

Ich gebe zu, mit Firewalls kenne ich mich nicht sonderlich gut aus und gerade so eine Sophos macht es nicht leichter, da diese ja schon ein Professionelles Stück Hardware bzw. in dem Fall Software ist.

Kann es sein, dass ich auf der Sophos noch irgendwas setzen muss, damit DNS geht ?
Aktuell habe ich noch keine Firewall Regeln definiert.

Bei einem nslookup, sagt er bei Server "Unknown", zeigt aber die richtige IP an also die 192.168.10.200, dann kommt immer DNS Timeout.

Ich hoffe ihr blickt halbwegs durch, was ich da geschrieben habe und könnt mir ein paar Tipps geben.
Wenn DNS klappt, bin ich schon so gut wie am Ziel, dann müssen nur noch die FW Regeln definiert werden.

 

[rg88]

Hast du die Ports für die externen DNS-Server freigegeben?

 

[MetalForLive]

Wo mach ich das genau ?
Wie gesagt von Firewall habe ich nicht viel Ahnung, kenne mich mehr mit Routing & Switching aus.
Ich habe unter "Network Services => DNS => Forwarders" die IP des DNS eingetragen.

Firewall Regeln sind aktuell gar keine definiert.

 

[quakegott]

Ich würde hier den fehler bei der fritzbox suchen. besorg dir einen vlan-fahigen router wie z.b. die bIP von bintec und ordne da die vlan ID´s zu und dann läuft das. die FB ist ein consumer router - und die arbeiten nicht mit vlans

 

[MetalForLive]

@quakegott

Die Clients hängen nicht an der Fritzbox, dazwischen hängt ein Vlan fähiger Switch.

Ergänzung (26. Januar 2018)

Ich rast aus es geht !!!!!!!!
Seit 2 Stunden mach ich hier rum mit dem Sch.... !
Wieder was dazu gelernt.
Also, ich habe eine Regel erstellt mit Source Any, Services Alle Ports UDP und TCP und Destination Any.
Jetzt geht es.
Ich dachte wenn keine Regel definiert ist, wäre alles offen...

 

[Masamune2]

Ich dachte wenn keine Regel definiert ist, wäre alles offen...

Nein wenn nichts definiert ist ist bei einer guten Firewall erst mal alles zu. Wär ja noch schöner....

Ich frage mich nur, warum so kompliziert? DHCP macht ein Windows Server, DNS ein Raspberry, Router fürs Gastnetz die UTM und Router für den Rest eine Fritzbox....
Ich würde da mal konsolidieren das macht die Umgebung einfacher.

 

[Spiller]

Die Sophos UTM ist im Standard geschlossen und lässt keinen Datenverkehr durch, jedwede Kommunikation die Stattfinden soll muss explizit genehmigt werden.

Wenn ich deine Beschreibung richtig verstanden habe ist deine Fritzbox das Gateway und bedient direkt das interne VLAN 10.
Die Sophos bekommt ihr Externes Netz sicherlich auch von VLAN 10 dadurch können die Geräte im VLAN 11 sich trotzdem zu den Geräten im VLAN 10 verbinden.
Um eine komplette Trennung zu bekommen müsste die Sophos das Gateway übernehmen.

Gruß

 

[MetalForLive]

Da hast du recht, ist recht kompliziert.
Fritzbox soll demnächst noch abgeschafft werden, DHCP geht halt über den Windows Server am besten, DNS ist aber nur eine VM auf dem Win Server, denn der Windows Interne DNS kann keine Werbung raus filtern.

Aber ich muss dazu sagen, es ist viel Spielerei natürlich geht das auch alles einfacher aber das wäre ja langweilig

Ergänzung (26. Januar 2018)

@Spiller

Die Fritzbox ist für das VLAN 10 das Gateway.
Für das VLAN 11 ist es die Sophos das Gateway, ich habe nun die Regeln so definiert, dass VLAN 11 nur auf den DNS Service im VLAN 10 zugreifen darf, also auf die 192.168.10.200.
Es funktioniert jetzt alles so wie ich es mir vorstelle

 

[razzy]

zur not in den firewall log gucken und schauen was geblockt ist ?

Aber eine Firewall mit einer any any rule ist sehr kontra produktiv

 

[MetalForLive]

zur not in den firewall log gucken und schauen was geblockt ist ?

Ja da war ich dann am Ende und mir ist aufgefallen dass alles geblockt wird.

Aber eine Firewall mit einer any any rule ist sehr kontra produktiv

Ich weiß, ist ja nur eine Interne FW welche Zugriff auf das Heimnetz blocken soll.
Falls jemand ein Virus oder sowas aufem Client hat, kommt das schon mal nicht in mein Netz, dass reicht mir.
Ist ja kein Firmennetz.

 

[rg88]

Naja, für DNS reichen erstmal:
Ports:
53/UDP
53/TCP
853/TCP (nur mit TLS, RFC 7858)
853/UDP (nur mit DTLS, RFC 8094)

Alles erlauben ist doch nicht das was du willst? Sonst kannst dir das ganze Gedöns doch gleich sparen?

 

[MetalForLive]

Ne das passt schon so, sonst laufen wieder irgendwelche Anwendungen aus dem Netz raus nicht usw.

Mir geht es Hauptsächlich darum, dass keiner aus dem Gast Netz auf meinen Server oder die Fritzbox kommt und das hab ich damit schon erreicht.

Vielleicht überarbeite ich das Regelwerk nochmal aber fürs erste passt es so.

 

[rg88]

Dafür hätts der Gastzugang der FB auch locker getan. Du schießt mit Atombomben auf Marienkäfer, bei dem das du da grad veranstaltest, aber aus Bequemlichkeit dann doch nicht nutzt.
Wäre wie wenn du einen Oldtimer mit 10 Airbags aufstockst, aber diese nur im Kofferraum lagern

 

[MetalForLive]

Ist ne Fritzbox 7412 die hat keinen Gastzugang

Natürlich ist es overpowered aber so hab ich mich wenigstens auch mal ein wenig mit ne Firewall beschäftigt.

 

[t-6]

Mir geht es Hauptsächlich darum, dass keiner aus dem Gast Netz auf meinen Server oder die Fritzbox kommt und das hab ich damit schon erreicht.

Nein, hast du nicht:

Also, ich habe eine Regel erstellt mit Source Any, Services Alle Ports UDP und TCP und Destination Any.

Vielleicht überarbeite ich das Regelwerk nochmal aber fürs erste passt es so.

Ähm, jap, wäre angemessen ^^

Du willst für wenigstens das Gastnetz kein Destination "Any" sondern "Internet IPv4", "Internet IPv6" & für Service "DNS" eine Destination zu deinem eigentlichen DNS-Server.

 

[MetalForLive]

Guck ich mir morgen an, hab jetzt kein bock mehr.
Danke für die Tipps!

 

[omavoss]

Frage zur Firewall:

In der FW der Fritzbox ist eine Stateful Inspection Firewall integriert; warum soll (kann, muss) man eine zusätzliche Firewall verwenden? Aus Spielerei, auch Hobby, na gut. Aber was hat das für einen Nutzen? Offenbar nur, um sich eine voll funktionsfähige Firewall mit allen Konfigurationsmöglichkeiten offenzuhalten. Das geht natürlich mit einer Fritzbox nicht.

Was kann die UTM-Appliance mehr als die Fritzbox in Zusammenarbeit mit der in Windows integrierten Firewall? Außer vll. die völlig freie Konfigurierbarkeit ...

Bitte nicht missverstehen, ich möchte etwas lernen aus diesem Thread und nicht klugscheißen.

Viele Grüße.

 

[Masamune2]

Mach einfach alles mit der UTM. Gateway, DNS, DHCP kann die wunderbar und Werbung filtern geht über den Proxy noch besser als mit DNS Löchern.

 

[rg88]

Offenbar nur, um sich eine voll funktionsfähige Firewall mit allen Konfigurationsmöglichkeiten offenzuhalten. Das geht natürlich mit einer Fritzbox nicht.

Unterschätze die Fritzboxen nicht
Es gibt einen Haufen möglichkeiten die Teile gewaltig auszubauen oder unbekannte Funktionen freizulegen.

 

[omavoss]

Naja, Freetz kenne ich schon, stehen mehrere Boxen hier zur Auswahl. Trotzdem:
Warum dann eine UTM einsetzen?