FritzBox VPN + PiHole + mobiles Internet (iOS)

[eriksOn]

Guten Abend,
ich benutze schon seit ca. einem Jahr PiHole und im heimischen Netzwerk wird alles zuverlässig auf allen Netzwerkgeräten geblockt was das Zeug hält. Vor kurzem bin ich auf die VPN Funktion der Fritzbox (7490, FRITZ!OS: 07.29) aufmerksam geworden. Diese habe ich bereits erfolgreich eingerichtet und mein iPhone eingerichtet. Der VPN funktioniert, meine IP ändert sich nach Aktivierung im iOS.
Nun wollte ich natürlich gerne auch die Vorzüge des Pihole unterwegs nutzen und mich mit dem FritzVPN verbinden und den traffic durch den PiHole schleifen. Klappt aber leider nicht. Anpingen kann ich diesen jedoch wenn ich vie VPN im mobilen Netz verbunden bin.
Einstellungen Fritz:

• Andere DNSv4+6-Server verwenden PiHole IP
• DHCP-Server aktiviert + Lokaler DNS-Server PiHole IP

Einstellungen PiHole:

• Upstream DNS Servers - Custom-IPs
• DHCP server enabled (FritzRouter IP)

Falls ihr noch Angaben braucht, fordert sie gerne ein!
Falls die Hilfe via Discord (Bildschirmstream) besser angeboten werden kann, bin ich auch dafür offen!

Danke schonmal

 

[Paxter]

Wireguard auf dem Raspberry installieren und dort Pi-Hole als DNS angeben.
So habe ich es gemacht. Wireguard via Raspberry ist deutlich schneller, als per VPN per Fritzbox.

 

[omavoss]

Nun wollte ich natürlich gerne auch die Vorzüge des Pihole unterwegs nutzen und mich mit dem FritzVPN verbinden und den traffic durch den PiHole schleifen.

Wenn ich die Funktionsweise des Pihole richtig verstanden habe, wird kein Traffic durchgeschleift. Es werden lediglich DNS-Abfragen geblockt, der Traffic geht nach wie vor ausschließlich durch das VPN.

Die Labor-Firmware der Fritzbox 7590 kann Wireguard.

 

[Engaged]

Fritz VPN funktioniert perfekt mit pihole, habe hier folgendes gemacht damit alles pihole nutzt incl Gäste WLAN:

ULA Adressen bei Netzwerk Einstellungen aktiviert und eine ULA erstellt.
Fritzbox DNS Einstellungen je 2x IPv4 und 2x IPv6 (ULA) die ip's vom pihole gesetzt.
Netzwerkeinstellungen, rebinschutz die IPv4 und ipv6 (ULA) vom pi-hole.
Netzwerkeinstellungen, IPv4 Einstellungen, die IPv4 vom pihole als DNS.
Netzwerkeinstellungen, IPv6 Einstellungen, IPv6 DNS im Netzwerk bekannt geben Haken an, und da auch wieder die IPv6 (ULA) vom pihole eintragen.
Im pihole selber habe ich DHCP aus, und dann halt IPv6 und IPv4 DNS Server (Google, OpenDNS).

Funktioniert so im Heimnetz, im Gäste WLAN, und per VPN.

 

[riversource]

Warum so kompliziert? In der VPN Konfiguration kann man angeben, welcher DNS Server benutzt werden soll. Dort einfach die Pihole Adresse eintragen. Das klappt auch, wenn die Defaultroute nicht über VPN geht.

Es ist völlig egal, was im DHCP Server der Fritzbox konfiguriert ist, oder ob Wireguard auf dem Pihole oder auf der Box läuft, ob es ULA oder andere Adressen gibt. Man muss lediglich dafür sorgen, dass die Pihole Adresse für das mobile Endgerät erreichbar ist.

 

[Engaged]

Warum so kompliziert?

Das ist nicht kompliziert, im Gegenteil das ist Standard, ansonsten hast du wohl Lücken wenn du Geräte noch manuell dazu bringen musst, was ja wohl wesentlich komplizierter ist als wir jedes Gerät dies nutzt egal wie es verbunden ist, dass jeder VPN nach Hause dieses dann auch noch direkt nutzt ist nur ein nebeneffekt. 👍

 

[riversource]

Das ist nicht kompliziert, im Gegenteil das ist Standard

... aber für die vorliegende Fragestellung völlig irrelevant.

 

[eriksOn]

Habe inzwischen WireGuard auf dem Pi installiert. Habe dazu angehängtes Tutorial benutzt. WireGuard im iPhone funktioniert. Mein iPhone verbindet sich also mit dem VPN des Pi. Allerdings funktioniert der PiHole-Effekt nicht.
Wie binde ich jetzt WireGuard in den PiHole ein?
Danke für die Hilfe, bin auf dem Ge Ort Netzwerktechnik und RaspbPi noch ganz frisch und unerfahren… !
Siebe:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

In dem Video kann man im Installationsprozess eine DNS angeben. Dort habe ich versucht die IP des PiHole anzugeben, dies lässt er nicht zu. Lediglich die Standard-DNSs wie zB 1.1.1.1

 

[riversource]

n dem Video kann man im Installationsprozess eine DNS angeben. Dort habe ich versucht die IP des PiHole anzugeben, dies lässt er nicht zu.

Aber genau das ist die Lösung. Was meinst du mit "lässt er nicht zu"? Hast du die IP bei den AllowedIPs ausgeschlossen (oder nicht eingeschlossen)?

 

[eriksOn]

Aber genau das ist die Lösung. Was meinst du mit "lässt er nicht zu"? Hast du die IP bei den AllowedIPs ausgeschlossen (oder nicht eingeschlossen)?

Bei Minute 15:35 meine ich. Dort kann ich nicht die IP des PiHole angeben. Er spuckt mir da ein invalid aus.

 

[riversource]

Oha ...

Auch wenn es es Oberlehrerhaft klingt: beschäftigt euch mit den Grundlagen, bevor ihr sowas in Angriff nehmt. Es ist mehr als offensichtlich, dass du nicht im Geringsten verstanden hast, was du da tust. Man kann das jetzt mit Ach und Krach hier im Forum vermutlich hinbiegen, aber was hilft es dir? Bei der geringsten Kleinigkeit bist du aufgeschmissen. Du musst verstehen, was du da tust, um im Zweifel in der Lage zu sein, dein Setup zu reparieren und zu optimieren. In den seltensten Fällen passt so eine Anleitung 1:1 auf deine Anforderungen (wie auch in diesem Fall), und dann bist du schon nicht in der Lage, die Dinge zu tun, die für dich nötig sind.

Der DNS Server, den der Pihole upstream benutzt hat natürlich nichts mit dem DNS Server zu tun, den deine VPN Clients benutzen. Also überlege dir: Was benötigst du an der einen, was an der anderen Stelle? Wenn du dir darüber klar geworden bist, dann nimm die Installation wieder in Angriff.

 

[eriksOn]

.....

Um es kurz zusammenzufassen: ich frage in einem Board nach Hilfe, weil ich ein Problem habe und es alleine nicht zu lösen vermag. Dann kommen bisher nur oberflächliche, theoretische Rückfragen oder Anmerkungen die keinem Weiterhelfen. Ich eröffne doch nicht diesen Post, weil ich es weiß und hier jemanden testen möchte. Nach deiner Auffassung wird der Mensch also dumm geboren und muss auch dumm sterben?
Oberlehrerhaft klingt es für mich nicht, denn ein Lehrer hätte mir einen Lösungsweg aufgezeigt oder mir zumindest entsprechende Lektüre mitgegeben.

Danke @Engaged. Werde das nochmal ausprobieren .

 

[riversource]

ich frage in einem Board nach Hilfe, weil ich ein Problem habe und es alleine nicht zu lösen vermag.

Das ist ja auch völlig ok. Trotzdem hilft es dir nicht, dir alles mundgerecht vorkauen zu lassen, um dann bei der geringsten Kleinigkeit aufgeschmissen zu sein. Ein Forum ist Hilfe zur Selbsthilfe.

Dann kommen bisher nur oberflächliche, theoretische Rückfragen oder Anmerkungen die keinem Weiterhelfen.

Aber genau diese Informationen sind wichtig, um das Problem beurteilen zu können. Nur weil du es nicht geschildert hast, heißt das nicht, dass diese Informationen unwichtig sind.

Oberlehrerhaft klingt es für mich nicht, denn ein Lehrer hätte mir einen Lösungsweg aufgezeigt oder mir zumindest entsprechende Lektüre mitgegeben.

Was grundsätzlich zu tun ist, hab ich dir ja geschrieben. Die Hinweise von @Engaged helfen dir dabei nicht weiter, denn die helfen dabei, den Pi-Hole im Heimnetz als DNS Server zu verteilen. Bei Wireguard muss er aber in die VPN Konfiguration eingepflegt werden, wie ich oben schon schrieb. Und zwar in die des Clients:

In der VPN Konfiguration kann man angeben, welcher DNS Server benutzt werden soll. Dort einfach die Pihole Adresse eintragen. Das klappt auch, wenn die Defaultroute nicht über VPN geht.

Es ist völlig egal, was im DHCP Server der Fritzbox konfiguriert ist, oder ob Wireguard auf dem Pihole oder auf der Box läuft, ob es ULA oder andere Adressen gibt. Man muss lediglich dafür sorgen, dass die Pihole Adresse für das mobile Endgerät erreichbar ist.

 

[Engaged]

Danke @Engaged. Werde das nochmal ausprobieren .

Beachte wenn das so läuft, das wirklich jedes Gerät incl. gast wlan das standardmäßig nutzen muss, falls der pi abstürzt, kaputt geht usw musste das alles erst wieder zurück stellen oder der pihole wieder laufen/starten, sonst haste so lange kein inet.

 

[Giggity]

Ich hab das Setup auch mal versucht. Das ist bei mir dann am nicht funktionierendem VPN gescheitert. Weil ich das über den dyn DNS von myfritz realisieren wollte.

Lange Rede kurzer Sinn wie hast du denn das PiHole im Router eingetragen?

So wie auf den Screenshots bei IPv4 Lokaler DNS?

 

[Engaged]

Was grundsätzlich zu tun ist, hab ich dir ja geschrieben. Die Hinweise von @Engaged helfen dir dabei nicht weiter, denn die helfen dabei, den Pi-Hole im Heimnetz als DNS Server zu verteilen. Bei Wireguard muss er aber in die VPN Konfiguration eingepflegt werden, wie ich oben schon schrieb. Und zwar in die des Clients:

Da bin ich mir nicht sicher ist lange her das ich wireguard aufgesetzt habe, aber sollte das nicht auch den Standard DNS vom Getaway können, wo dann ja die fritte den pihole fragen muss?

Ergänzung (20. März 2022)

So wie auf den Screenshots bei IPv4 Lokaler DNS?

ja dort, und bei internet einstellungen, dns, dort auch.

zusätzlich wegen dual stack (bin bei der telekom) auch bei internet einstellungen, ipv6 dns, und auch bei netzwerk, ipv6 einstellungen, ipv6 dns im netzwerk bekannt geben haken an, das ganze mach ich mit der aktivierten ULA ipv6 weil die sich nicht ändert.

 

[riversource]

Da bin ich mir nicht sicher ist lange her das ich wireguard aufgesetzt habe, aber sollte das nicht auch den Standard DNS vom Getaway können, wo dann ja die fritte den pihole fragen muss?

Bei Wireguard gibt es zwei Möglichkeiten: Man trägt einen DNS ein, der benutzt werden soll, oder man benutzt die Standard-DNS Server des Clients. Sollte also ein Smartphone die VPN Verbindung aufbauen, ohne dass ein DNS in der Konfig ist, dann werden die VPN Server des Mobilfunkanbieters benutzt. Letzteres führt spätestens dann zu Problemen, wenn die Defaultroute über VPN geleitet wird, weil dann die DNS Anfragen an die Mobilfunk-DNS-Server von einer IP-Adresse aus dem Festnetz kommen, und das wird seitens der Mobilfunk-Anbieter häufig blockiert.

 

[omavoss]

Ich hab das Setup auch mal versucht. Das ist bei mir dann am nicht funktionierendem VPN gescheitert. Weil ich das über den dyn DNS von myfritz realisieren wollte.

DynDNS hat nichts mit DNS zu tun, das sind zwei ganz unterschiedliche Dinge.

MyFritz ist ein DynDNS-Service, der von AVM bereitgestellt wird und kryptische DynDNS-Adressen zur Verfügung stellt. Ich hasse den Zeichensalat von Myfritz-DynDNS-Adressen und benutze stattdessen seit Jahren problemlos

https://spdyn.de/

Einmal richtig in der Fritzbox konfiguriert und seitdem nicht mehr angefasst.

 

[Giggity]

DynDNS hat nichts mit DNS zu tun, das sind zwei ganz unterschiedliche Dinge.

Ach was, aber warum einen fremden dyn DNS verwenden wenn den die Fritzbox schon mitbringt.

Fremdes dyn DNS kostet i.d.R. was oder ist mit irgendeiner Bedingung verknüpft falls kostenlos.

Ergänzung (20. März 2022)

PS.: mittlerweile geht der VPN mit dem myfritz dyn dns

 

[Malaclypse17]

Also als ich noch lokal Adguard Home auf meinem Pi laufen hatte, hat es recht problemlos geklappt, in der Wireguard Config diesen als DNS einzutragen.
Mittlerweile habe ich Adguard Home nur noch über DoT und Whitelisting auf einem VPS laufen damit ich es überall nutzen kann.
Wenn ich in mein Heimnetz will, nehme ich immer noch den Pi mit Wireguard über DDNS, da ich mich auch hier von externen Diensten losreißen wollte, wird das nun über einen Docker Container und die Cloudflare API geregelt, ebenso hat man so seine eigene Domain, welche man dafür nutzen kann.