Pi Hole treibt mich in den Wahnsinn

[PEASANT KING]

Guten Morgen,

eigentlich kenne ich mich ziemlich gut aus, was Netzwerke betrifft, aber warscheinlich seh ich den Wald vor lauter Bäumen nicht mehr ...

Ich habe in meinem Netzwerk zwei Router, einmal den dämlichen Unitymedia Router in dem es nicht mehr möglich ist Port forwarding vernünftig zu betreiben und wenn dann nur auf IPv6 Basis. Da ich aber keine Lust auf IPv6 im Netzwerk habe hat sich das also erledigt.

Warum ich den Unitymedia Router nicht tausche, hat keinen richtigen Grund, nur das ich kein Bock habe schon wieder Kohle für nen Router aus zu geben.

Ich habe hinter dem Unitymedia Router einen TP-Link Router den ich frei konfigurieren kann. Dort sind auch alle, bzw. fast alle Geräte mit verbunden. Nun geht mir auf dem Smartphone die ständige Werbung in youtube z.B. auf die Nerven und da ich schon ewig einen Rpi 2B+ habe dachte ich mir gebe ich ihm noch eine weitere Aufgabe, nämlich das er nun auch als pi-hole dienen soll.

Soweit so gut, also den rpi auf das neueste Raspian Strech geupdatet und pi-hole aufgesetzt.
Pi-hole läuft und ist auch erreichbar. Nun habe ich mein Netzwerk konfiguriert und im TP-Link den pi einfach als einzigen DNS Server eingetragen und dachte das reicht.

Ich habe auch schon die Option durch, den Pi-hole als DNS Server zu nutzen. Die Logs vom Pi-hole sind komplett leer einzig was mir angezeigt wird sind die "Domains on blocklist" die Clients verbinden sich nicht mal mit dem Pi.

Was mach ich Idiot falsch?

Villeicht sollte ich noch erwähnen das meine beiden Router zwei Subnetze stellen, einmal 192.168.0.1 -> Unitymedia und dann 192.168.1.1 -> TP-Link

 

[Nilson]

Du musst den Pi als auch DNS-Server an die Clients verteilen. Also entweder im TP-Link bei den DHCP Settings eintragen (ggf. den Lease abwarten bzw. ein renew machen, damit das bei den Clients ankommt) oder manuell in den Clients eintragen.
Hängen die beiden Router in der gleichen Broadcast-Domain oder gehst du von dem Unitiymedia Ding in den WAN port vom TP link? Wenn ersteres, darf natürlich nur ein DHCP-Server aktiv sein.

 

[spargl]

und die Geräte neu im WLAN anmelden damit der DNS übernommen wird, kannst ja am Handy nachsehen ob der DNS überhaupt übernommen wurde, wobei das piHole bei Youtube mMn nix hilft

 

[rony12]

normalerweise sollte der DHCP das bekannt machen können.

Um das gegenzu testen - trag die IP von PIHole manuell als DNS im Client ein.

 

[PEASANT KING]

Der Unitymedia Router geht ins WAN und mein TP-Link hat eine statische IP vom Unitymedia Router.
Ich schleuse das WAN vom Unitymedia Router durch zum TP-Link.

Manuell DNS in den Clients hinterlegen hat nur den Effekt das ich zwar Internet habe, aber nichts geblockt wird was Werbung angeht, egal ob Websites oder Youtube

 

[Cover]

Versuche es doch einmal mit einem nslookup und schau was zurück kommt.

 

[KuanYin]

filterlisten sind gesynct?

ansonsten mal hier die schritte nachvollziehen:
https://www.kuketz-blog.de/pi-hole-schwarzes-loch-fuer-werbung-raspberry-pi-teil1/

 

[h00bi]

Manuell DNS in den Clients hinterlegen hat nur den Effekt das ich zwar Internet habe, aber nichts geblockt wird was Werbung angeht

Filterlisten hast du eingetragen?
Eine frische Pi-Hole blockt von alleine nichts (soweit ich weiß).

 

[Raijin]

Der Unitymedia Router geht ins WAN und mein TP-Link hat eine statische IP vom Unitymedia Router.
Ich schleuse das WAN vom Unitymedia Router durch zum TP-Link.

Manuell DNS in den Clients hinterlegen hat nur den Effekt das ich zwar Internet habe, aber nichts geblockt wird was Werbung angeht, egal ob Websites oder Youtube

Bitte etwas präziser. Die Frage war ob der TP-Link mit seinem WAN-Port mit dem UM Router verbunden ist. "WAN durchschleusen" ist alles andere als eindeutig. Beschreibe daher genau wie die beiden Router miteinander verkabelt sind. Idealerweise auch die privaten IP-Adressen von UM Router, TP-Link-Router und zB einem PC und dem PI auflisten (nach Möglichkeit inkl. einem "ipconfig /all" vom PC). Je mehr Infos du uns gibst, umso besser verstehen wir dein Setup und umso besser können wir helfen und Vorschläge machen. Es ist aber wenig hilfreich, wenn wir erstmal den halben Thread mit Fragen zur Verkabelung, etc. zumüllen




Ansonsten teste den PI-hole mal wie vorgeschlagen mit nslookup:

Start --> cmd
--> nslookup eine.ungeblockte.domain hier.die.ip.vom.pi
--> nslookup eine.geblockte.domain hier.die.ip.vom.pi

--> nslookup eine.ungeblockte.domain hier.die.ip.vom.tplink
--> nslookup eine.geblockte.domain hier.die.ip.vom.tplink

--> nslookup eine.ungeblockte.domain 8.8.8.8
--> nslookup eine.geblockte.domain 8.8.8.8

Damit kannst du direkt den jeweiligen DNS prüfen und die Ergebnisse vergleichen.

Genau genommen blockt der PI-hole ja nix wie zB eine Firewall. Es werden lediglich die DNS-Requests abgefangen - und das natürlich auch nur dann, wenn der PI-hole DNS überhaupt gefragt wird.

*edit: Ok, hab überlesen, dass du die IPs vom UM und dem TP-Link ja schon genannt hattest. Das heißt du hast Doppel-NAT. Grundsätzlich eine schlechte Idee :-/

 

[razzy]

Versuch das ganze mal ohne den TP-Link Router, sprich wie oben schon erwähnt, doppeltes NAT ist immer Käse und sollte vermieden werden.

 

[KuanYin]

Versuch das ganze mal ohne den TP-Link Router, sprich wie oben schon erwähnt, doppeltes NAT ist immer Käse und sollte vermieden werden.

Ist aber dank UM nicht anners umzusetzen - habe auch deren Käserouter und musste mein pfsense dahinter Nat'n weil die zicken wegen nur Modem (was ich bei meiner 150er Leitung hatte) mit der 400er musste ich eine telefonoption mit buchen welche ich nicht nutze. dank dessen... NAT....

 

[Raijin]

Ist der UM Router denn wirklich so mies, dass doppeltes NAT gerechtfertigt ist? Ich meine, man kann den UM doch ruhig NAT inkl. Portweiterleitungen machen lassen und den Rest, DHCP, DNS, etc. richtet man dann auf einem zweiten Router ein, der kein NAT macht. Gerade bei fortgeschrittenen Routern bzw. Betriebssystemen wie pfSense und Co ist es ja grundsätzlich kein Problem, NAT auszuschalten, weil man damit ja auch reine LAN-Router basteln kann.

Zu Hause nutze ich beispielsweise schon seit Jahren einen Speedport. Ja, Speedports sind nicht so der Hammer, aber sie tun was sie sollen. Meiner macht prinzipiell nur noch Portweiterleitungen für mein VPN, den Rest übernimmt in diesem Fall ein Ubuntu-Server, aber ich plane schon seit .. .. zu lange, dies auf einen EdgeRouter umzuziehen.

 

[Chef 17.02]

Was für ein TP-Link Router ist das denn? Läuft da kein OpenWrt drauf? Auf fast allen TP-Link Teilen läuft OpenWrt. Dann kannst entweder direkt nen Adblocker auf den Router integrieren oder du stellst im DHCP Server ein, dass alle Clients dein Pi-Hole als DNS Server verwenden sollen. Du könntest theoretisch sogar einstellen, dass als Gateway dein Unity Router verwendet wird

use the list 'dhcp_option' '3,192.168.1.2' to set the default gateway. A list of options can be found here

als DNS dein Pi und als DHCP Server der TP-Link. Dann haste kein doppeltes Nat, nur ein aktiven DHPC Server und nen sauberes Netzwerk.

 

[Raijin]

als DNS dein Pi und als DHCP Server der TP-Link. Dann haste kein doppeltes Nat, nur ein aktiven DHPC Server und nen sauberes Netzwerk.

Hm? Ich kann deiner Argumentation nicht so recht folgen. Zum einen muss das Gateway immer innerhalb des lokalen Subnetzes liegen. D.h. beim aktuellen Setup (UM-TP-LAN = 192.168.0.0/24 + TP-REST-LAN = 192.168.1.0/24) kann der TP-Link auch mit OpenWRT nicht 192.168.0.1 als Gateway an die DHCP-Clients verteilen, weil das dann außerhalb des lokalen Netzwerks liegt und eben seinerseits durch ein Gateway geschickt werden müsste - da beißt sich die Katze also in den Schwanz.

Zum anderen erklärt dein Beitrag in keinster Weise was/wie/wo das doppelte NAT dann weg wäre. Sobald ein herkömmlicher Router am WAN-Port verbunden ist - auch mit OpenWRT -, wird er NATten, wenn man es nicht exklizit abschaltet. Das wiederum geht bei 08/15 Routern sowieso nicht und bei fortgeschrittenen Routern bzw. Betriebssystemen wie OpenWRT, muss man dann eben den WAN-Port umkonfigurieren und die Masquerade-Regel entfernen.

Oder man lässt den WAN-Port des TP-Link unbenutzt und klemmt in via LAN-(Switch-)Port ans Netzwerk. Dann gibt es von Haus aus kein NAT mehr im TP-Link, auch nicht mit Herstellerfirmware.

 

[Nilson]

Imho gibt es zwei Gründe für doppeltes NAT mit der UM Kiste:
1. Kann man das Subnetz nicht ändern, will man was anderes als 192.168.0.0/24 sieht man alt aus
2. Wenn man nicht explizit widerspricht, macht die UM Kiste ein WLAN-Hotspot auf. Ein zweiter Router schafft hier eine extra Ebene an Sicherheit.

 

[Chef 17.02]

@Raijin

Deine Absätze stimmen natürlich. Genau so war es ja auch gemeint. Mit Openwrt hat er mehr Möglichkeiten. Einfach den WAN Port zu einem LAN umfunktionieren. Dem Router selbst ne static IP geben und ins gleiche Netz wie das Unity Teil hängen. Keine Ahnung 192.168.0.50. Dann DHCP Server laufen lassen und wie oben beschrieben einstellen. Dann hat er nur noch ein Nat, kann trotzdem sein sicheres Wlan auf dem Openwrt aufmachen und selbst wenn sich der DHCP Server auf dem Unity Teil nicht deaktivieren lässt kann er den Adressbereich unterteilen. 51-99 vom OpenWrt und ab 100 vom Unity oder andersrum. Ist zwar nicht perfekt aber besser als doppeltes Nat.

 

[Raijin]

Ok, so rum wird ein Schuh draus. @Nilson 's Einwände sind aber auch nicht von der Hand zu weisen.

Letztendlich steht und fällt die Verwendung und Konfiguration eines zweiten Routers - sei es Consumer-Router oder fortgeschrittener Router - mit den Kenntnissen des Anwenders.

Allerdings sollte das eigentliche Thema des Threads, PIhole, in allen Szenarien funktionieren. Egal was wie wo und wieviele Router im Spiel sind, sobald der PI selbst Verbindung zum Internet hat, PIhole läuft und ein Endgerät den PI als DNS verwendet, sollte PI-hole auch ordnungsgemäß funktionieren. Um weiterzumachen, brauchen wir aber mehr Infos bzw. Rückmeldungen vom TE.

 

[KuanYin]

Ist der UM Router denn wirklich so mies, dass doppeltes NAT gerechtfertigt ist? Ich meine, man kann den UM doch ruhig NAT inkl. Portweiterleitungen machen lassen und den Rest, DHCP, DNS, etc. richtet man dann auf einem zweiten Router ein, der kein NAT macht. Gerade bei fortgeschrittenen Routern bzw. Betriebssystemen wie pfSense und Co ist es ja grundsätzlich kein Problem, NAT auszuschalten, weil man damit ja auch reine LAN-Router basteln kann.

Zu Hause nutze ich beispielsweise schon seit Jahren einen Speedport. Ja, Speedports sind nicht so der Hammer, aber sie tun was sie sollen. Meiner macht prinzipiell nur noch Portweiterleitungen für mein VPN, den Rest übernimmt in diesem Fall ein Ubuntu-Server, aber ich plane schon seit .. .. zu lange, dies auf einen EdgeRouter umzuziehen.

Ich will wissen was in meinem Netzwerk passiert und ne ordentliche Firewall haben = pfsense
- in mein "produktiv"netz kommt kein Router der von aussen aus zugänglich ist, vorallem nicht ohne das ich es mitbekomme/weiss - und da UM Vollzugriff hat auf Ihre Router = NAT (ausserdem steht das ding in nem Faradayischen Käfig) Opt-In kennen die Affen ja nicht...

UM hat mich von reinem IP4 auch einfach so auf IPv6 mit DSLite gesetzt - bis ich rambazamba gemacht hab.... 2 Tage später wieder IP4 gehabt...
UM war n drecksladen - jetzt Vodafone... sobald der Vertrag durch ist muss ich mir ne alternative suche - evtl. gibts bis dahin auch ne ordentliche alternative... denn was die Terrorkom mit ihrer sche*** Kupferleitung macht die die seit Postzeiten durchs Dorf treiben und von Highspeed reden....

lass ma stecken - da nehm ich dann lieber 150mbit über Satelit mit Latenz als die 2 Schuppen...

wow /rant xD

 

[Raijin]

Hehe, ich bin ja schon überzeugt. Da ich selbst noch nie mit UM zu tun hatte, bekomme ich sowas nur am Rande mit und kann nicht auf eigene Erfahrungen zurückgreifen. Was ich hier aber so lese, erklärt einiges.

 

[KuanYin]

Hehe, ich bin ja schon überzeugt. Da ich selbst noch nie mit UM zu tun hatte, bekomme ich sowas nur am Rande mit und kann nicht auf eigene Erfahrungen zurückgreifen. Was ich hier aber so lese, erklärt einiges.

Ich sag mal so: wenn IP4 und UM läuft is das Bombe - hab 490 tagsüber und 410 abends.

zum pi-hole: habs mal schnell nach der Anleitung die ich gepostet in ner vm installiert - läuft ohne probs - hab nur in mein dhcp die IP vom pi-hole eingetragen
wichtig: IP vom Pi-Hole != ip vom host - must im rasbian bei dir und im pi-hole die selbe IP setzten