DNS Eintrag auf Domain "lokal" setzen

[>|Sh4d0w|<]

Hallo zusammen,
ich habe jetzt eine Nextcloud-AIO mit einer öffentlichen Domain zum Laufen gebracht, wobei ich diese nur zum Challengen meines Lets Encrypt-Zertifikats hergenommen habe und das ganze nur im LAN betreibe (von außen per Wireguard VPN erreichbar)

Folgende Parameter habe ich:

• lokales Pihole mit Unbound auf 127.0.0.1:53 als DNS Server -> DNS Server Pi wird per Fritzbox als DHCP auf alle Clients in LAN verteilt
• öffentliche Domain nextcloud.blablabla.xyz bei Hoster (Domain abgeändert)
• DNS A Eintrag mit nextcloud = 192.168.0.195 (wird auch bei dnschecker.org korrekt aufgelöst , aber nicht routbar, logisch)
• Debian VM mit Nextcloud-AIO (IP 192.168.0.195)
• hostname = nextcloud und oder nextcloud.blablabla.xyz

Gerät im selben LAN:

• ping/nslookup nextcloud --> erfolgreich
• ping/nslookup nextcloud.blablabla.xyz --> konnte nicht gefunden werden
• ping 192.168.0.195 --> erfolgreich (oh welch Wunder)
• nur mit Eintragen in hosts Datei auf nextcloud.blablabla.xyz kann ich auch nextcloud.blablabla.xyz auflösen und erreichen

Folgendes habe ich bereits probiert:

• Pihole -> lokalen DNS Record gesetzt von nextcloud.blablabla.xyz = 192.168.0.195
• nslookup 192.168.0.195 ergibt Treffer auf nextcloud.blablabla.xyz
• Pihole hosts Datei geändert und nextcloud.blablabla.xyz hinzugefügt (brachte für andere Clients keinen Erfolg)
• Unbound local.conf erstellt --> keine Änderung

server:
    local-zone: "blablabla.xyz." static
    local-data: "nextcloud.blablabla.xyz. IN A 192.168.0.195"

• Unbound Authority Zone für nextcloud.blablabla.xyz definert --> keine Änderung

Ich muss es irgendwie schaffen, dass meine Geräte die Domain nextcloud.blablabla.xyz auflösen können, da ich sonst die Nextcloud nicht aufrufen/erreichen kann. Von IP nach DNS konnte ich ja mittels Pihole auauflösen. Nun brauche ich von DNS auf IP. Die Eingabe der IP bei der Nextcloud matcht nicht mit dem Zertifikat und somit ungültig. Von Extern ohne Pihole kann ich die lokale IP per DNS Abfrage auflösen. Nur klappt das von intern via Pihole/Unbound nicht ?.

Hat jemand eine Idee ?

 

[CoMo]

DNS Rebind Protection in der Fritzbox deaktiviert?

 

[Marco01_809]

Ja, DNS rebind protection verbietet dass öffentliche Domains auf private IP-Adressen auflösen können.
Da er den Pihole aber direkt als DNS an die Clients verteilt dürfte nicht die FritzBox der Schuldige sein sondern der Pihole DNS Server.
Es sollte genügen in der unbound config folgendes hinzuzufügen:

server:
    private-domain: "blablabla.xyz"

Damit sollte Rebind protection für nur diese domain aufgehoben sein. Da du die Domain kontrollierst entsteht dadurch auch kein Sicherheitsrisiko (und rebind protection ist sowieso eine eher zweifelhafte Sicherheitsmaßnahme).

Alle anderen overrides irgendwo wieder entfernen, die domain sollte ja schon upstream die richtigen records liefern. Dadurch erspart man sich Probleme mit DNSSEC.

 

[>|Sh4d0w|<]

@Marco01_809 :
Ich habe unter /etc/unbound/unbound.conf den Parameter hinzugefügt und mit systemctl restart unbound den Dienst neugestartet. -> keine Änderung
Danach Pi neugestartet -> ich kann die Adresse anpingen

Einträge aus unbound.conf entfernt und unter /unbound.conf.d/local.conf den Eintrag hinzugefügt. -> pingbar und per DNS auflösbar. Danach DNS Cache unter Windows geleert. Adresse weder pingbar, noch auflösbar
Das ist ziemlich random.

Pihole:
dig @192.168.0.5 -p 53 nextcloud.blablabla.xyz

nextcloud.blablabla.xyz. 2       IN      A       0.0.0.0

dig @127.0.0.1 -p 5335 nextcloud.blablabla.xyz

nextcloud.blablabla.xyz. 2671    IN      A       192.168.0.195

Scheint so auszusehen, als hätte das Pihole Probleme das an den unbound weiterzugeben oder?

 

[CoMo]

Pihole:
dig @192.168.0.5 -p 53 nextcloud.blablabla.xyz
nextcloud.blablabla.xyz. 2 IN A 0.0.0.0

0.0.0.0 bedeutet doch, Pi-Hole hat die Domain blockiert. Was steht denn im Pi-Hole Log?

 

[>|Sh4d0w|<]

@CoMo Manchmal sieht man den Wald voller Bäume nicht 😱.
Ja natürlich wurde das geblockt. Ich blocke alle domains mit regex und pflege eine längere liste mit ausnahmen. Darunter .xyz nicht dabei, bzw. meine Domain.

Funktioniert jetzt interessanterweise auch ohne DNS Rebind in unbound.
Edit: DNS Rebind musste doch gesetzt werden, Funktionierte nach einiger Zeit nicht mehr

Vielen Dank an alle