Fritzbox DNS over TLS sporadisch Seiten nicht erreichbar

[Eventer]

Hallo,

ich habe in der Fritzbox bisher immer die DNS Server von Cloudflare 1.0.0.1 und 1.1.1.1 genutzt. Gestern habe ich dann gelesen das man mit FritzOS 7.20 auch DNS over TLS aktivieren kann.

Habe ich dann auch gemacht und es lief erstmal alles. Nach ca. 2 Stunden ging Youtube plötzlich nicht mehr am Macbook, alle anderen Seiten liefen jedoch. Über VPN ging die Seite sofort wieder. Nach einem Router Neustart ging auch YT wieder ohne Probleme.

Abends ging dann plötzlich Amazon nicht mehr, weder auf dem Mac noch auf den iPhones. Router Neustart -> Problem gelöst. Heute morgen das gleiche, Amazon.de war nicht mehr erreichbar.

Jemand eine Idee warum das Problem sporadisch und dann immer nur für eine Seite auftritt?

Settings sehen so aus:

 

[B3nutzer]

Hab zwar keine Lösung, aber kann zumindest bestätigen, dass das Problem bei mir auch auftritt und dass DNS over TLS die Ursache ist.

Da das Problem auch auf Smartphone und Tablet auftritt würde ich die Fritzbox als Ursache des Problems sehen.
Ich denke nicht, dass man dagegen irgendwas tun kann, außer auf einen Patch zu warten und die Funktion bis dahin wieder zu deaktivieren.

 

[Mark3Dfx]

Fritz!OS 7.21 schon probiert?

 

[DeusoftheWired]

@Eventer Hab das ganze mit 7.21 auf einer 7490 vor ein paar Tagen auch probiert und bin zum gleichen Ergebnis gekommen. Da steckt wohl noch ein Fehler drin und AVM muß nachbessern.

 

[Bob.Dig]

Wobei da ja steht, dass man nicht die IPs der DNS-Server eintragen braucht, was Du aber gemacht hast. Was passiert also, wenn Du keine IPs einträgst, sondern z.B. die vom Provider drin lässt? Es könnte sich nämlich beißen, so wie es jetzt aussieht.

 

[DeusoftheWired]

@Bob.Dig Hatte bei meinen Experimenten keine Auswirkung auf das Verhalten, blieb alles gleich. Finde es allerdings nicht so gut von AVM gelöst, daß man den Radio-Button auf „Vom Internetanbieter zugewiesene DNSv4-Server verwenden (empfohlen)“ setzen und zusätzlich DoT aktivieren kann. Was, wenn der ISP gar keine DoT-fähigen DNS-Server anbietet?
Ist das untere Textfeld für den/die Auflösungsnamen dann auch notwendig? Ist es hinfällig? Woher bekomme ich die? Muß ich meinen ISP fragen? Bekomme ich das mit dig auch selbst raus?

 

[Bob.Dig]

@DeusoftheWired Na ich denke oben ist dann immer nur der Fallback und für die initiale Verbindung, deswegen ja mein Hinweis. Gut, dass es nichts bringt, wusste ich ja noch nicht. 😉

 

[el osito]

Ach, danke für die Hinweise! Das Problem hatte bei mir auch schon diverse Fragezeichen die letzten Tage aufgeworfen.

 

[Eventer]

Dann wirds erstmal deaktiviert, schade AVM... so sollte doch eigentlich auffallen.

@Mark3Dfx
gibt es für die 6490 noch nicht.

 

[Yuuji]

Man kann DNS Server benutzen die DoH undDoT fähig sind: https://servers.opennic.org/

 

[DeusoftheWired]

DOH undDOT

DNS over HTTPS ≠ DNS over TLS. Aktuell kann die FB nur DoT. Für sie muß man Server aus der Liste wählen, die ein nach rechts geneigtes oranges Schloß bei den Merkmalicons haben.

Ein paar andere mit Unterscheidung DoT, DoH und DNSSEC gibt’s z. B. hier: https://privacy-handbuch.de/handbuch_93d.htm

 

[Bob.Dig]

Gerade erst realisiert, es ist DoT, hmm. Das gibt es ja schon ne Weile länger, hätte avm da durchaus eine fehlerfreie Realisierung zugetraut... 😁

 

[snaxilian]

@Eventer Hast zufällig IPV6 "vergessen"? Jedes OS, egal ob OS X, iOS, Android, Linux oder Windows verwendet bevorzugt IPv6 sofern verfügbar und IPv4 nur als Fallback falls v6 nicht verfügbar oder nicht reagiert.

 

[DeusoftheWired]

Hast zufällig IPV6 "vergessen"?

Ist das für DoT eine Voraussetzung? Hab am Desktop unter Kubuntu 20.04 und 7 IPv6 deaktiviert, andere Geräte bekommen im Heimnetz auch nur eine IPv4. Sollte es Voraussetzung sein, müßte die Auflösung via DoT ja gar nicht funktionieren anstatt nur für eins, zwei Tage und danach nicht mehr (0 oder 1, entweder oder). Das von mehreren unabhängig beschriebene Verhalten mit in der FB aktiviertem DoT ab 7.21 ist nicht standardkonform, zumindest nicht nach einer gewissen Zeit.

In einem mit kurzen Test mit ns21.de.dns.opennic.glue 78.47.243.3 aus Yuujis Link funktionierte leider gar keine Auflösung mehr.

Ich probier’s am Desktop noch mal mit den zweien der Digitalen Gesellschaft von den Eidgenossen. Die restlichen Geräte im Heimnetz nutzen weiterhin Pi-hole.



€dit: Hm, mit den zweien hab ich das gleiche Problem wie schon mal. https://netzpolitik.org/ ist damit nicht erreichbar und wird auch nicht aufgelöst. Kann das jemand nachstellen?

 

[Yuuri]

Bekomme ich das mit dig auch selbst raus?

https://www.knot-dns.cz/
https://command-not-found.com/kdig
https://developers.cloudflare.com/1.1.1.1/dns-over-tls

$ kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com  example.com

 

[Eventer]

@Eventer Hast zufällig IPV6 "vergessen"? Jedes OS, egal ob OS X, iOS, Android, Linux oder Windows verwendet bevorzugt IPv6 sofern verfügbar und IPv4 nur als Fallback falls v6 nicht verfügbar oder nicht reagiert.

Ich hab eine feste ipv4 Adresse

 

[maikwars]

Also bei mir hat das Update auf der 7580 scheinbar mehr als nur DoT Probleme verursacht. Erst hatte ich DoT aktiv, dann kamen hier genannte Schwierigkeiten, und mein WLAN funktioniert nur noch sporadisch(Verbindung steht, hat aber kein Zugriff aufs Internet). DoT wieder deaktiviert aber immer noch Probleme mit dem WLAN und manche Seiten nicht auflösen....glaube ich mach wieder ein Rollback!

 

[snaxilian]

@DeusoftheWired nein, keine Voraussetzung aber wenn nur für v4 DoT fähige DNS Server konfiguriert sind, bei v6 aber nicht dann nutzen die Clients bevorzugt den nicht-DoT-IPv6-Server. Ja, erklärt noch nicht das Verhalten der Fritzbox ist aber eine weitere Fehlerquelle die überprüft werden sollte.
@Eventer Schön für dich und Glückwunsch zur statischen IPv4 aber wie genau hilft dies bei einer Einordnung zu IPv4? Hast du nur IPv4 und gar kein IPv6 oder v4 statisch und v6 dynamisch oder v4 und v6 dynamisch?

 

[Eventer]

Ich habe nur eine ipv4 Adresse

 

[netape]

AVM ist das Problem schon bekannt und es sollte in der nächsten Firmware behoben sein ..

Zitat aus dem ip phone forum :

" Ansonsten handelt es sich um ein Verhalten, was uns bereits bei Nutzung von DoT unter FRITZ!OS 7.2x bekannt ist. Bei aktiviertem DoT kann es zu Problemen mit der DNS-Auflösung kommen, was sich dann in der Nichterreichbarkeit von bestimmten Webseiten und Diensten ausdrückt. Zusätzliche Daten zur weiteren Untersuchung benötigen wir nicht. Wir werden dazu eine Lösung mit einem kommenden FRITZ!OS Update bereitstellen."