DNS-Filter im Heimnetz: FRITZ!OS 8.50, DNSforge oder eigener AdGuard/Pi-hole – was ist sinnvoll?

[henfri]

Hallo,

Ich suche ein DNS-Konzept für mein Heimnetz mit einem möglichst guten Aufwand-Nutzen-Verhältnis.

Startpunkt:

• FRITZ!Box als Router und DHCP-Server.
• TrueNAS SCALE als Homeserver, auf dem bei Bedarf AdGuard Home oder Pi-hole laufen könnte.
• Einen zweiten dauerhaft laufenden Rechner möchte ich ausdrücklich nicht betreiben.
• Es ist für mich in Ordnung, wenn AdGuard/Pi-hole in den Statistiken nur die FRITZ!Box als Client sieht.

Folgende vier Varianten sehe ich:

a) FRITZ!OS 8.50 abwarten
Die neue DNS-Filterfunktion direkt in der FRITZ!Box nutzen. Vorteil: kein zusätzlicher Dienst, kein Ausfallrisiko durch den Homeserver und vermutlich der geringste Wartungsaufwand.

b) DNSforge direkt als Upstream-DNS der FRITZ!Box
Die FRITZ!Box verwendet DNSforge als Resolver. Die Filterung erfolgt vollständig beim externen Anbieter. Kein eigener DNS-Server erforderlich.

c) AdGuard/Pi-hole als primärer Upstream-DNS der FRITZ!Box, DNSforge als sekundärer Upstream
Im Normalbetrieb übernimmt AdGuard/Pi-hole die Filterung. Bei einem Ausfall des Homeservers soll die FRITZ!Box auf DNSforge zurückgreifen. Die Clients verwenden weiterhin die FRITZ!Box als DNS-Server.

d) AdGuard/Pi-hole direkt als DHCP-DNS für die Clients, DNSforge als sekundärer DNS
Die Clients bekommen AdGuard/Pi-hole und DNSforge direkt als DNS-Server mitgeteilt. Bei einem Ausfall des Homeservers könnten sie DNSforge verwenden.

Was mich interessiert:

• Welche Variante bietet das beste Verhältnis aus Filterqualität, Ausfallsicherheit und Wartungsaufwand? Ich glaube dass ich nur selten/gar nicht in das Webinterface gucken würde.
• Ist der DNS-Filter in FRITZ!OS 8.50 eine ernstzunehmende Alternative zu AdGuard Home/Pi-hole?
• Ist Variante c ein zuverlässiges Failover oder besteht die Gefahr, dass die FRITZ!Box auch bei gültigen Blockantworten von AdGuard den sekundären Resolver befragt - z.B. weil sie die Anfragen auf beide DNS verteilt oder sogar einfach immer den schnelleren nimmt?
• Ist Variante d überhaupt sinnvoll? Können Clients garantieren, dass der sekundäre DNS nur bei Nichterreichbarkeit des primären verwendet wird, oder kann dadurch die Filterung umgangen werden?
• Gibt es noch eine einfachere oder bessere Lösung, die ich übersehe?

Mir geht es um eine pragmatische Lösung. Aber: Ein Ausfall des Homeservers soll nicht gleich die DNS-Auflösung im gesamten Haushalt lahmlegen.

Gruß,
Hendrik

 

[RavenFox]

DNS-Filter in der FB ist bestimmt eine guter Ansatz, aber noch ist eine externe Lösung sicher die bessere Lösung.
Adguard Home (was ich auf einem Pi3 nutze) oder PiHole würde ich aber, stand jetzt noch vorziehen

 

[henfri]

Ok danke für die Einschätzung, aber wie mache ich das robust gegenüber einem Server-Ausfall?

 

[JennyCB]

Ich habe Variante b.
Gibt da ja einige Anbieter. dnsforge.de wäre es nicht gerade, zu lahm von hier aus.
Muss man halt auch im Auge behalten wie gerade mullvad.net gezeigt hat die ihren Dienst im November einstellen.
Fallback bei Problemen auf Provider-DNS ist in der Fritzbox einstellbar.

Zu Variante a.
Meine Fritzbox hat schon 8.50 und ich könnte dort Listen einpflegen. Das wären aber die selben die mein DoT-Anbieter auch hat (hagezi)
Da schone ich doch mein Gerät mit dieser zusätzlichen Belastung.

Zu Varianten c. und d.
Ein Pi-hole nur deswegen zu betreiben wäre Schwachsinn.
Ist halt ein zusätzliches Gerät mit Pflege, Wartung und Kontrolle das man nicht dafür alleine braucht.

 

[Blutomen]

Das Ding in der Fritz!Box ist okay, aber lässt sich halt aktuell nicht sooo schön verwalten wie ne externe Installation. Zudem wirst du sicher bei großen Filterlisten Probleme bekommen, dass hab ich bei meinen Flint3 schon gelernt - da ist AdGuard Home mit drin und funktioniert auch ganz gut - ABER wenn du richtig fette Listen reingeworfen hast kanns sein, dass du beim RAM-Limit ankommst.

Und der Router ist halt nen Router .. also ist die Prio für sowas anderes nachgelagert.

Wenn du nen AGH oder nen PiHole hast, behalt das.
Der Funktionsumfang drum herum ist halt schon nice.

Es spricht aber sonst auch nix dagegen, eine einfache seichte Blocklist in der Fritz!Box zu nutzen (wegen geringer Gerfahr vom Overblocking) und dann noch passenden DNS davor, welcher evtl. selbst was rausfiltert. Da hast du ja schon DNSForge angesprochen oder sowas wie dns.sb (nutze ich lieber, da schneller).

 

[henfri]

Hallo,

Zu Varianten c. und d.
Ein Pi-hole nur deswegen zu betreiben wäre Schwachsinn.
Ist halt ein zusätzliches Gerät mit Pflege, Wartung und Kontrolle das man nicht dafür alleine braucht

Ja, das ist auch mein Gefühl.

Aber wofür würden die sich dann überhaupt lohnen, wenn ich dafür.

 

[bart1983]

Wieso machst du nicht eine andere Variante?

Fritzbox macht verschlüsselte DNS Anfragen (also DoT) an - zB. Quad9 / Cloudflare / Google / etc.
Die Fritzbox gibst du im pihole selbst als UpstreamServer für den pihole an & der pihole dient wiederrum als DNS für alle Clients.

EIne neue ungecachte DNS-Anfrage geht also so:
Client -> Pihole -> Fritzbox -> DoT zu DNS-Server

Vorteil:

• Verschlüsseltes DNS
• du siehst im Log genau welches Gerät welche Anfragen macht (und nicht nur anonym wie das bei deiner Variante C der Fall wäre), kannst also pihole Filterlisten für die einzelnen Geräte nutzen.
• Deine Fritzbox hat immer einen gültigen DNS-Server, selbst wenn der pihole mal down wäre & im Worstcase könntest du ganz einfach mit einer Einstellung in der FB diese als DNS für alle Clients einsetzen.
• Dazu muss sich der Router mit weniger Anfragen rumärgern, weil der Pihole die meisten Anfrage entweder mit Blockliste oder Cache abfängt. So kommt bei mir nur noch 28% der DNS-Anfragen überhaupt noch an die Fritzbox

Seit 2019 fahre ich dieses System.
Arbeitsaufwand 0 (ein Cronjob updatet das Gerät & die Filterliste jeden Samstag automatisiert).
Ausfall in 7 Jahren: 2mal (wegen überlaufenen Cache, der mit einem Neustart gelöst war).

Da ich das auf einem RaspberryPi1 laufen habe (der sehr sparsam ist mit seinen 2,2W im Betrieb) lasse ich den über den USB-Anschluss der Fritzbox laufen. Vorteil dabei: Starte ich die Fritzbox neu, startet somit auch der pihole durch & ist die Fritzbox an, ist es auch immer der pihole. Deshalb muss ich auch nur achten das es der Fritzbox "gut geht", der pihole läuft still & leise einfach mit.

Thema Ausfallsicherheit:
Ist ein DNS-Service (wie Quad9) down, baut die Fritzbox automatisch mit dem anderen Anbeiter den man in der Fritzbox eintragen kann (zB. Cloudlfare) funktionierende Verbindung auf. Der laufende pihole /AGH bekommt davon Nichts mit. Der versorgt weiter seine Clients mit seinen Blocklisten & Cache.

Einfacher geht es nicht. Und das bei vollkommener Wartungslosigkeit & gutem Funktionumfang (DoT, Möglichkeit des genauen Aufschlüsselns der Anfragen per Gerät).

 

[CubeID]

Ok danke für die Einschätzung, aber wie mache ich das robust gegenüber einem Server-Ausfall?

In der FB kannst du zwei DNS Server als Upstreamserver hinterlegen. Das wäre meine Wahl im Vergleich zum Fritz DHCP, dort kann man man nur einen DNS Server mitgeben - wenn unbedingt Redundanz gebraucht wird.
Dann einmal Pihole auf die NAS und einmal auf einem Pi (Zero 1 reicht da schon) installieren.
Zum Syncen der Piholes gibt es Projekte die das übernehmen.
Ich hab seit mehr als 5 Jahren bei mir immer nur einen Pihole auf Pis, in der Family weitere Pi0 + Pihole seit 3-5 Jahren, ebenfalls ohne Redundanz. Könnte jetzt ggf. danke Site2Site VPN noch ein Offsite Pihole hinterlegen, aber da das seit Jahren ohne Ausfälle läuft seh ich da aktuell keinen Bedarf.
Die Ausfälle kann ich an einer Hand abzählen, und da sind noch Finger frei. Meist ein Reboot und gut.

Die Wartung von Pihole ist IMO minimal: Cronjobs für regelmäßige OS, Pihole und Gravity Updates (und mal Rebooten) laufen bei mir und in der Family seit mehreren Jahr, dadurch kein Aufwand. Alle paar Monate schau ich in die zusätzlich selber mitgeschriebenen Logs und checke ob die Updates installiert wurden, um nach wenigen Sekunden festzustellen: Alles in Butter > Check done.
Einzig wenn das OS aus dem Support geht musste ich bisher Hand anlegen. Dist-Upgrades wollten zuletzt nicht so, daher Abriss und einmal neu, ist schneller als sich ewig mit Fixes aufzuhalten. Ggf. kann man mit Teleporter vorher ein Backup ziehen wenn man viele Listen oder eigene Blocks oder Freigaben hinterlegt hat. Das ist dann mal 1h Arbeit um sich wieder reinzudenken, die aktuelle Doku inkl. Unbound sich reinzuziehen und eben die Installation und Config frisch zu machen - alle 1-2 Jahre ein mehr als verschmerzbarer Aufwand.

@bart1983 klingt auch gut und man kann DoT nutzen. Wenn man unbedingt Redundanz möchte geht es mit dem Fritz DCHP nicht, da man dort nur einen DNS Server einstellen kann.
Ich bin da immer noch zwiegespalten - DoT/DoH von einem DNS Provider vs nur DNSSec, dafür ohne Einschränkungen direkt von der Quelle. IMO irgendwie eine Lücke im DNS Konzept, dass man kein DoT/H direkt zu den Rootservern machen kann.

 

[Weapi]

Habe das so: Client -> PiHole -> Router -> Quad9 Secure über DoT.

Ja ich weiß das geht auch mit Stubby wollte aber nicht zu viel auf dem Raspi laufen lassen.

Warum?

Weil man im Pihole mehrere Filterprofile für verschiedene Geräte anlegen kann. zb. hat meine Xbox ein extra Profil weil sonst die Downloads nicht klappen. Keine Ahnung, ob die FB das auch kann.

 

[CoMo]

Ok danke für die Einschätzung, aber wie mache ich das robust gegenüber einem Server-Ausfall?

Ich habe dafür zwei AdGuardHome Instanzen auf zwei unterschiedlichen Cluster Nodes. Settings synchronisiert via AdGuardHome sync und der Dienst läuft auf einer virtuellen keepalived IP-Adresse, die sofort auf die sekundäre Instanz schwenkt, wenn die primäre ausfällt oder der Node neu startet.

 

[bart1983]

@bart1983 Wenn man unbedingt Redundanz möchte geht es mit dem Fritz DCHP nicht, da man dort nur einen DNS Server einstellen kann.

Vielleicht missinterpretiere deine Aussage. Deshalb frage ich nochmal nach: Meinst du generell die DNS-Anfragen der Fritzbox selbst oder DNS-Servereinstellung für die Clients?

Wenn du das Erste meinst: Man kann natürlich mehrere DNS-Anbieter für die Fritzbox selbst auswählen.

So sieht das zB. gerade bei mir aus:

Wenn du DNS-Servereinstellungen für die Clients meinst: Ja, das stimmt.
Das ist aber bei meiner Variante auch egal, denn pihole/AGH ist das robuste System das mit Sicherheit nicht ausfallen wird.
In meiner Variante ist es nur wichtig das die Fritzbox einen gültigen DNS-Server für sich selbst hat & das ist durch Auswahl von 2 unabhängigen DNS-Anbieter gewährleistet.

 

[wagga]

Ich hatte im Internet gesucht und versuche gerade die Liste von HaGeZi Normal.
Wenn jemand bessere Alternativen hat, danke für die Tipps.
https://sakis.tech/fritz-hole-einrichten/
https://www.heise.de/news/In-5-Minuten-eingerichtet-DNS-Filter-in-der-Fritzbox-11450196.html

Ich habe die Multi Normal eingetragen. Wenn jemand bessere kennt, wäre ich für Tipps gerne dankbar.

Spoiler: Filterlisten

• Multi LIGHT: https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/wildcard/light-onlydomains.txt
• Multi NORMAL: https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/wildcard/multi-onlydomains.txt
• Multi PRO: https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/wildcard/pro-onlydomains.txt

Schönes Wochenende

Nachteil auf Youtube hat das keine Auswirkungen, wer gehofft hat das Youtube, Twitch weniger oder keine Werbung bekommt, wird wohl überrascht werden.

 

[Engaged]

Variante C dürfte beste sein, und Adguard Home ist pflegeleichter, weil man sich keine Liste aus dem Internet zusammen frickeln muss, lässt sich alles one click einrichten.

Nachteil auf Youtube hat das keine Auswirkungen, wer gehofft hat das Youtube, Twitch weniger oder keine Werbung bekommt, wird wohl überrascht werden.

Auf Android Handys regelt Morphe app da dann auch nicht nur YouTube, auf Android basierten TV Geräten oder Sticks smart tube/tizen tube, auf Desktop mit Manifest V2 ublock origin + sponsorblock, Browser mit Manifest v3 Adguard App + sponsorblock.

Für richtige Filterung beim surfen zB auch kosmetische Filter auf Android Handy und Tablet auch Adguard App.

Die werbeterroristen haben das Internet so verseucht dass man leider einmal überall alles ordentlich konfigurieren muss, aber danach hat man wieder sauberes Internet.

 

[CubeID]

@bart1983 ich meinte den einen DNS Server Eintrag den man per DCHP verteilen kann.
Reicht theoretisch, wäre jedoch schöne wenn mind. ein zweiter Eintrag möglich wäre.

 

[Yuuji]

Ich nutze Fritz!Box DoT über Quad9 DNS.
Sollte für meine Bedürfnisse ausreichen.

 

[Vigilant]

Habe das so: Client -> PiHole -> Router -> Quad9 Secure über DoT.

Habe ich hier auch so gelöst. Läuft jetzt seit Jahren stabil, zuverlässig mit minimalen Wartungsaufwand, reicht für unsere Zwecke.

 

[digitalfrost]

Ich habe dafür zwei AdGuardHome Instanzen auf zwei unterschiedlichen Cluster Nodes. Settings synchronisiert via AdGuardHome sync und der Dienst läuft auf einer virtuellen keepalived IP-Adresse, die sofort auf die sekundäre Instanz schwenkt, wenn die primäre ausfällt oder der Node neu startet.

Interessant.

Ich betreibe einfach 2 AdGuards auf jeweils einem Raspberry Pi. Da man ja sowieso immer 2 DNS eintragen kann seh ich jetzt den Vorteil von der virtuellen IP nicht, aber cool ist es schon.

 

[Dr.Death]

a) FRITZ!OS 8.50 abwarten
Die neue DNS-Filterfunktion direkt in der FRITZ!Box nutzen. Vorteil: kein zusätzlicher Dienst, kein Ausfallrisiko durch den Homeserver und vermutlich der geringste Wartungsaufwand.

Habe meine 7590 auf Labor-FW umgestellt. Da ist die 8.4.x aktuell und die läuft absolut problemlos. Zwei Mal im Monat gibt es ein Update auf die Neuste, irgendwann zwischen 3 und 4 Uhr nachts.

Und damit läuft das DNS-Filtern schon richtig gut, bin mehr als zufrieden. Wenn die 8.5 kommt, überlege ich noch, ob ich wieder auf die "richtigen" FW wechsele, ansonsten bin ich mit den Beta-Versionen sehr zufrieden, sorry fürs OT

 

[henfri]

Hallo,

für mich ist es Wichtig, dass alles auch dann läuft, wenn ich eine Woche auf Dienstreise bin - oder 6 Monate im Krankenhaus.
Wenn das nicht gegeben ist, guck ich mir lieber weiter Werbung an ;-)

Da sehe ich bisher hier im Thread keine Lösung für.
Klar könnte ich zwei Instanzen hosten und für Homeassistant sehe ich auch Keepalived vor. Aber Internet ist Infrastruktur. Da kann ich nicht zu 100% auf self-hosting setzen.

Gruß,
Hendrik

 

[Dr.Death]

Hallo,

für mich ist es Wichtig, dass alles auch dann läuft, wenn ich eine Woche auf Dienstreise bin - oder 6 Monate im Krankenhaus.
Wenn das nicht gegeben ist, guck ich mir lieber weiter Werbung an ;-)

Da sehe ich bisher hier im Thread keine Lösung für.

In wie fern? Wie gesagt, mit der DNS-Liste auf der FB läuft bei mir seit Monaten alles völlig wartungs- und fehlerfrei.