Pi-hole: Webseiten langsamer als ohne Pi-hole

[und tschüss]

Woher hast du dieses File?

services:
  pihole:
    container_name: pihole
    image: pihole/pihole:latest
    environment:
      TZ: 'Europe/Berlin'
      FTLCONF_webserver_api_password: 'yP8!7RQjxQ'
      FTLCONF_dns_listeningMode: 'all'
      FTLCONF_webserver_port: 8080
      DNSMASQ_USER: pihole
      PUID: 1026
      PGID: 100
    volumes:
      - './pihole:/etc/pihole'
    cap_add:
      - SYS_TIME
      - SYS_NICE
    network_mode: host
    restart: unless-stopped

Probiere einmal das Compose-Files aus. Der Container läuft im Host, was für die IPv6 besser ist, weil standardmäßig bei Synology Docker IPv6 nicht voreingestellt ist!

 

[Pfandfinder]

Werde ich mal testen. Die Config ist von der offiziellen Dokumentation gewesen.

 

[norKoeri]

IP vom NAS auf der Fritzbox als 1. DNS Server

Wie bekomm ich denn die IPv6 vom NAS raus ?

Wo in der Web-Oberfläche genau? Würde so vorgehen … also DNSv6 im Heimnetz abschalten. Damit klappt weiterhin IPv6, sowohl im Heimnetz als auch ins Internet. Und das betrifft auch DNSv6 in Richtung Internet.-Upstream nicht. Ausprobieren. Aber für mich klingt Dein Symptom erstmal nicht nach Konfigurationsproblem. Was für ein NAS ist das? Nicht dass das irgendwie „verklemmt“ ist. Aber:

Als dns server ist Cloudflare und Quad9 angekreuzt.

1.1.1.1

No valid NTP replies received, check server and network connectivity

Hat Dein NAS eine IPv6? Falls nicht, welchen Internet-Anbieter nutzt Du in welchem (Bundes-)Land und über welche Technologie (DSL, Cable, Fiber, LTE)?

 

[mchawk777]

Pi-hole: Webseiten langsamer als ohne Pi-hole​

Nein - ganz im Gegenteil. Die agieren sogar schneller. Im Schnitt jedenfalls.
Natürlich könnte es sein, dass auch die Programmierer einer Seite den Quellcode verhunzt haben.

Gerade getestet: SWR3.de läuft sauber und performant - via VPN über Mobilfunk ins Heimnetz, in dem dann ein Raspi 4 mit Pi-Hole-Docker läuft.

Viel wahrscheinlicher ist, dass es ggf. Routing-Probleme bei Deinem Netzbetreiber gibt.
Kommt bei allen immer mal hin und wieder vor.

Zu viele Listen können es nicht fast nicht sein.

Streiche das "fast". Ich habe "fast" alle rpi-Blocklisten mit über 36.000.000 Einträgen aktiv.
Keine Performanceeinbuße.

 

[und tschüss]

DNSv6 im Heimnetz abschalten

Das ist aber auch nur die halbe Wahrheit und Lösung. Es kommt immer auf den Einzelfall an. Wenn die IPv6 abgeschaltet wird, funktioniert auch keine externe Verbindung von extern zum NAS (sofern eingerichtet) bei Anschlüssen mit CGNAT oder DSLite. Selbst wenn man für sich kein IPv6 benötigt, kann es jedoch vorkommen, dass ein Bekannter oder Gameserver usw. hinter diesen Restriktionen sitzt und es zu Verbindungsproblemen kommt. Wenn das komplett ausgeschlossen werden kann, kann man IPv6 deaktivieren. Besser wäre es, an einem Duatstack-Anschluss auch beide IP-Protokolle richtig einzurichten!

Aber für mich klingt Dein Symptom erstmal nicht nach Konfigurationsproblem.

Was soll es denn sonst sein, wenn die Internetverbindung ohne Pi-Hole ordentlich funktioniert?

Was für ein NAS ist das?

Synology

Hat Dein NAS eine IPv6?

Das wissen wir nicht, weil diese Frage bis jetzt unbeantwortet blieb. Jedoch war Pi-Hole in der Bridge installiert, wo die lokale IPv6 nicht greift, und bei Synology standardmäßig in Docker nur eine IPv4 besitzt. Jetzt kann man die IPv6 manuell in Docker definieren oder den Container gleich als „Host“ laufen lassen. Siehe meine Compose.

Viel wahrscheinlicher ist, dass es ggf. Routing-Probleme bei Deinem Netzbetreiber gibt.

Nö, bei einem Routingproblem würde der Fehler auch ohne Pi-Hole mit dem gleichen Upstream-Server als DNS-Server bleiben. Das kann man ja schnell austesten, halte das aber für unwahrscheinlich.

Bei Fehlern oder einer langsamen Verbindung hätte man ja die 3 Befehle aus meinem anderen Beitrag absetzen können. Dann hätte man gewusst, über welches Protokoll die Anfrage läuft und bei welchem Hop der Fehler liegen könnte. Ich schreibe das ja nicht aus Spaß.

 

[norKoeri]

Wenn die IPv6 abgeschaltet wird […]

Wie ich in dem anderen Thread versuchte zu erklären, die Abschaltung von DNSv6 im Heimnetz führt nicht zu der Abschaltung von IPv6, weder zum Internet hin noch im Heimnetz selbst. Die Betriebssysteme lösen ohne DNSv6-Server dann AAAA-Records über DNSv4-Server auf. Und machen damit dann ihre IPv6-Verbindung.

Synology

Ja, schon. Aber ein wenig genauer wäre schön.

bei einem Routingproblem würde der Fehler auch ohne Pi-Hole mit dem gleichen Upstream-Server als DNS-Server bleiben

Nicht unbedingt. Kommt darauf an, wer wie schnell die IP-Version wechselt. Ich vermute sogar tatsächlich dasselbe wie @mchawk777 habe nur anders gefragt.

 

[und tschüss]

Und machen damit dann ihre IPv6-Verbindung.

Aber doch nicht durch das Pi-Hole. Ich finde es falsch, alle anderen AAAA-Anfragen einfach über einen anderen Server laufen zu lassen. Dazu kommt, dass die Clients auch noch manuell konfiguriert werden müssen.

Aber ein wenig genauer wäre schön.

Kann ich dir nicht sagen, eventuell durchsuchst du einmal die anderen Beiträge, dann wirst du feststellen, dass es immer eine Qual ist, an die nötigen Informationen zu kommen. Weiterhin ist das unerheblich, weil es ja nicht um irgendwelche Kernel-Probleme geht. Man muss sich nur an die Dockerspezifikationen halten und wie Synology diese umgesetzt hat. In der VM funktioniert es ja auch.

Kommt darauf an, wer wie schnell die IP-Version wechselt.

Also lieber etwas zusammenbasteln, anstatt richtig einzurichten? Ich habe schon sehr viele DS eingerichtet und supportet. Der Fehler lag immer vor dem Monitor. Es ist mir zu einfach, den Fehler erst einmal auf den Provider zu schieben, ohne diesen protokolliert zu haben. Sofern es sich sowieso um einen Anschluss mit CGNAT oder DSLite handelt, ist die IPv6-Verbindung eh zu bevorzugen. Spätestens bei einer Freigabe wird dir deine Lösung auf die Füße fallen. Also gleich richtig machen. Ich halte nichts vom Abkürzen, das Weiß der TE aber auch.

In deinem anderen Link regtest du dich zu Recht über die falschen Anleitungen auf. Mein Favorit ist hier Navigio, der ein Thema sinnlos in die Länge zieht und alles in einem MACVLAN installiert, was weitere Probleme schafft. Aber auch deine Abkürzung ist nicht wirklich zielführend, weil das Problem u. U. nur auf später verschoben ist.

Wenn ich das Web filtern will, dann ohne Bypass auf einen anderen DNS-Server, sei es gewollt oder ungewollt. Ich will ja, dass alle Anfragen durch dieses Nadelöhr gehen und gefiltert werden. Aus diesem Grund sollte man auch noch einen Port-53-Filter für TCP/UDP erstellen und diesen für alle Clients bis auf den NAS/Pi-Hole/AdGuard anwenden. Warum jetzt so ein Aufriss gemacht wird, anstatt den Container richtig zu installieren und danach die IPv4 und IPv6 in der Fritz!Box zu hinterlegen, verstehe ich nicht.

 

[Pfandfinder]

ja mein NAS hat eine IPv6:

6: ovs_eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 state UP qlen 1
    inet6 2a02:8071:5020:e320:211:32ff:fed4:b843/64 scope global mngtmpaddr dynamic

soll ich diese auch in der FritzBox unter Heimnetz, Netzwerk, Netzwerkeinstellungen, IPv6 als DNSv6-Server hinterlegen ?

mit der neuen docker-compose ist mein Problem auch unverändert. Wie sieht es aus mit diesem "Problem" ? wie ist das bei anderen Pi-hole nutzern wenn die Website aufgerufen wird, da kommt sicher keine HTTPS-Warnung ?

googletagmanager.com unterstützt keine sichere Verbindung mit HTTPS

 

[und tschüss]

ja mein NAS hat eine IPv6:

Dann solltest du diese IPv6 auch hinterlegen. In den Netzwerkeinstellungen findest du einen fe80. Diese gibst du in der Fritz!Box ein. Fehlende Blöcke zwischen : : ergänzt du mit einer 0.

Bsp: fe80::1111.aaaa:2222.bbbb entspricht: fe80:0:0:0:1111:aaaa:2222.bbbb

mit der neuen docker-compose ist mein Problem auch unverändert.

Dafür kannst du aber die IPv6 der DS nutzen, weil:

bei Synology standardmäßig in Docker nur eine IPv4 besitzt

Steht ja alles schon da.

Danach startest du den Router neu oder trennst alle Clients vom Netzwerk. Lasse die Clients von DHCP die IP beziehen, um eine falsche Konfiguration auszuschließen.

googletagmanager.com unterstützt keine sichere Verbindung mit HTTPS

Was sagt nslookup zu dieser anfrage?

Was für ein Internetanschluß hast du und bei welchem Anbieter?
Wie sehen die ersten beiden Blöcke deiner externne IP aus? > https://www.wieistmeineip.de/

Lass dir doch nicht immer alles aus der Nase ziehen, immerhin haben auch andere User die Fragen gestellt. Es gehört zum Anstand und wegen der Hilfe dazu, diese zu beantworten.

 

[JumpingCat]

Wie wäre erstmal die DNS Zeiten mit und ohne piHole zu ermitteln? :-)

 

[und tschüss]

googletagmanager.com

Wenn du diese URL im Browser eingibst, kommt eine SSL Fehlermeldung? Welche Fehler wird ausgegeben? Stimmt die Rechnerzeit? Auch wenn die Webseite nicht verfügbar ist, ist das Zertifikat aktuell und gültig.

 

[Pfandfinder]

nslookup googletagmanager.com
Server:  UnKnown
Address:  fdd1:aba3:374d:0:211:32ff:fed4:b843

Name:    googletagmanager.com
Addresses:  ::
          172.19.0.2

Ja PC zeit ist korrekt, der SSL Fehler kommt ja irgendwie wegen der blacklist vom Pi-hole...

Anbieter ist Vodafone in Hessen. erster Block der IPv4 ist 2a02:8071.

In den Netzwerkeinstellungen findest du einen fe80. Diese gibst du in der Fritz!Box ein. Fehlende Blöcke zwischen : : ergänzt du mit einer 0.

Versteh ich nicht, wo soll da fe80 stehen ? Ich trage die IPv6 vom NAS doch ein ?

 

[und tschüss]

IPv4 ist 2a02:8071.

Das ist die IPv6, keine IPv4!
Vodafone Kabel? Dann könntest du u.U. CGNAT haben.

der SSL Fehler kommt ja irgendwie wegen der blacklist vom Pi-hole

Die Filtert ja kein SSL heraus. Stimmt die Uhrzeit im NAS?

 

[JumpingCat]

Wenn du diese URL im Browser eingibst, kommt eine SSL Fehlermeldung?

Wahrscheinlich leitet da was auf den pihole selbst weiter. Oder es ist sogar ein Plugin im Browser.

Der ganze Thread/Setup hier ist total unübersichtlich...

 

[und tschüss]

Versteh ich nicht, wo soll da fe80 stehen ?

Unter Netzwerkeinstellungen im DSM findest du deine Netzwerkkarten, die such mit dem Pfeil an der Seite ausklappen kannst. Dort werden dir alle Netzwerkadressen angezeigt.

Oder es ist sogar ein Plugin im Browser.

Wäre möglich und ich könnte es nicht ausschließen. Auch, dass durch das Testen noch Einstellungen nicht rückgängig gemacht wurden usw.

Der ganze Thread/Setup hier ist total unübersichtlich

Ja, weil einfach nicht auf die Sachen und Fragen eingegangen wird.

Ergänzung (22. August 2025)

Name: googletagmanager.com Addresses: :: 172.19.0.2

Dann läuft der Container nicht im Host, wie in meiner Compose.
Wird der Container im Host-Netzwerk unter Netzwerk im Container Manager angezeigt?

 

[Pfandfinder]

der SSL Fehler kommt ja scheinbar weil er die Seite bei 172.19.0.2 sucht. Uhrzeiten sind überall korrekt und kein Plugin drin.

Stimmt, habe das mit "network_mode" korrekt übernommen, ich teste nochmal.

Bsp: fe80::1111.aaaa:2222.bbbb entspricht: fe80:0:0:1111:aaaa:2222.bbbb

Müsste das nicht 3x 0 sein dann ? Weil sonst sind es nur 7 Hextets.

 

[norKoeri]

ja mein NAS hat eine IPv6

Dann kannst Du all Upstream-DNS auch IPv6-Adressen eintragen. Hast Du das oder standen dort bisher nur IPv4-Adressen? Das NAS selber würde ich nicht als DNSv6-Server anbieten, macht alles nur noch komplexer, weil man in Deutschland selten kein dynamisches IPv6-Präfix hat. Daher dieser Rat die Link-Local-Adress (LLA) zu bilden, aber auch das:

Aber doch nicht durch das Pi-Hole

Doch. Alle Anfragen gehen dann über den DNSv4-Server, den Pi-Hole. Dafür muss man auch nirgends etwas konfigurieren, außer in der FRITZ!Box diese zwei Haken ändern. Geht dann alles automatisch nur noch über DNSv4. Irgendwie scheint hier ein Missverständnis zu bestehen. Gehört eigentlich in den anderen Thread: Wenn kein DNSv6-Server im Heimnetz bekannt gemacht wird, dann nehmen die Betriebssysteme den DNSv4-Server. Machen aber weiterhin Anfragen auf DNS-AAAA und können daher IPv6-Verbindungen aufbauen. Jener Thread erklärt, wie man die DNSv6-Server „abschaltet“, also keinen mehr im Heimnetz bewirbt.

Also lieber etwas zusammenbasteln, anstatt richtig einzurichten?

Geht um die App. Ob diese die IP-Version wie wann wechselt, kann man leider nicht beeinflussen außer man würde IPv6 (probeweise) generell ausschalten. Wäre hier vielleicht auch einen Ansatz. Das ist auf jener Webseite in der FRITZ!Box der Haken ganz oben.

Vodafone in Hessen

DSL, Cable oder Fiber? @Pfandfinder ich habe den Eindruck, dass Du parallel Hilfe suchst, also in einem anderen Forum/Thread oder einer generativen Künstlichen Intelligenz oder durch eigenständige Web-Suchen. Bitte das kurz abstellen und Dich von uns durch das Thema führen lassen. Das dauert dann zwar eins/zwei Tage länger, aber so können wir zielgerichtet vorgehen. Dazu bitte alle unsere Nachfragen beantworten. Wenn etwas unklar ist, keine Scheu, einfach nachfragen.

 

[ApolloX30]

Gibts zum Thema ne gute Anleitung, auch mit Screenshots aus der Fritzbox?

 

[norKoeri]

@ApolloX30 in diesem Post sind einige Anleitungen verlinkt … Ist halt immer die Frage, wie weit Du gehen willst besonders dann auf dem Pi-hole, also ob Du die Verbindungen zu den Upstream-Server auch noch verschlüsseln oder auch noch gleich direkt die Root-Server ansteuern willst (Stichwort: Unbound). Dazu haben wir auch schon Threads und das Internet Anleitungen. Daher wäre ein eigener Thread von Dir vielleicht sinnvoller. Hier wurde noch keiner gebissen, wenn er vermeintlich einfache Fragen stellt. Ist nämlich gar nicht so offensichtlich.

 

[und tschüss]

der SSL Fehler kommt ja scheinbar weil er die Seite bei 172.19.0.2 sucht

Browser-Cache??? TTL???

Müsste das nicht 3x 0 sein dann

Richtig, war nur ein Beispiel. Man sollte schon wissen, was die : : bedeuten

Dann kannst Du all Upstream-DNS auch IPv6-Adressen eintragen. Hast Du das oder standen dort bisher nur IPv4-Adressen? Das NAS selber würde ich nicht als DNSv6-Server anbieten, macht alles nur noch komplexer, weil man in Deutschland selten kein dynamisches IPv6-Präfix hat.

Erzähl doch sowas nicht. Außerdem würde ich als Upstream keine IP eintragen, sondern einen Hostnamen. Natürlich kann sich der Präfix ändern. Trotzdem sollte der Weg in beiden Richtungen eingerichtet sein. Das wird gerade bei einem CGNAT und DSLite -Anschluss interessant, wozu ein Kabelanschluss? Vodafone gehören kann. Das wissen wir aber nicht, da der TE nicht die ersten beiden Blöcke der externen IPv4 angibt (siehe #29ff.)

Doch. Alle Anfragen gehen dann über den DNSv4-Server, den Pi-Hole. Dafür muss man auch nirgends etwas konfigurieren, außer in der FRITZ!Box diese zwei Haken ändern. Geht dann alles automatisch nur noch über DNSv4. Irgendwie scheint hier ein Missverständnis zu bestehen. Gehört eigentlich in den anderen Thread: Wenn kein DNSv6-Server im Heimnetz bekannt gemacht wird, dann nehmen die Betriebssysteme den DNSv4-Server. Machen aber weiterhin Anfragen auf DNS-AAAA und können daher IPv6-Verbindungen aufbauen. Jener Thread erklärt, wie man die DNSv6-Server „abschaltet“, also keinen mehr im Heimnetz bewirbt.

Du verstehst es aber nicht. Wenn man später einen Service hosten will bzw. eine Freigabe macht an einem Anschluss, wo nur IPv6 von extern zu erreichen ist (CGNAT oder DSLIte) muss man sowieso auf IPv6 setzen. Dann wäre deine Lösung eine unsaubere. Es ist nichts anderes als ein unsauberer Bypass. Einmal richtig eingerichtet, hat man dauerhaft Ruhe, egal was man später machen will.

Auch gibt es Geräte, wo der DNS-Server hardcodet in der Firmware ist. Somit bringt die Abschaltung des IPv6-Servers nur bedingt etwas. Wenn man es richtig machen will, geht kein Weg am Nadelöhr (Adguard, Pi-Hole) bei allen verwendeten IP-Protokollen vorbei. Dazu noch die Blockierung des Ports 53 für alle Geräte außer dem Server, nicht dass einer auf den Gedanken kommt, den DNS-Server manuell zu ändern. Ob man den Server im LAN oder WAN einstellt, ist aber eher Geschmackssache und u. U. abhängig davon, ob man VPN einsetzen will.

außer man würde IPv6 (probeweise) generell ausschalten. Wäre hier vielleicht auch einen Ansatz. Das ist auf jener Webseite in der FRITZ!Box der Haken ganz oben.

Das wäre eine kurzfristige Möglichkeit. Denn bei Leih- oder Mietgeräten, besonders im Kabelnetz, wird diese Option spätestens am nächsten Tag wieder aktiviert durch den Provider. Da wäre ein Deaktivieren der IPv6-Einstellungen in den Clients ratsamer. Wenn der Heimanschluss aber auf IPv6 aufbaut, würde ich diesen auch so konfigurieren. Ich verstehe nicht, warum man immer versucht, eine Zwischenlösung aufzuzeigen. Würde ein Admin so einen Dienst oder Server hosten? NEIN, also warum denn nicht gleich richtig? Alternativ kann man sich auch einen Dual-Stack-Anschluss schalten lassen bzw. nimmt gleich einen ordentlichen Provider. Wenn man nicht 2 € im Monat sparen will, kann man IPv4 nutzen und auch IPv6 abschalten!

DSL, Cable oder Fiber? @Pfandfinder ich habe den Eindruck, dass Du parallel Hilfe suchst, also in einem anderen Forum/Thread oder einer generativen Künstlichen Intelligenz oder durch eigenständige Web-Suchen. Bitte das kurz abstellen und Dich von uns durch das Thema führen lassen. Das dauert dann zwar eins/zwei Tage länger, aber so können wir zielgerichtet vorgehen. Dazu bitte alle unsere Nachfragen beantworten. Wenn etwas unklar ist, keine Scheu, einfach nachfragen.

+1 👍
Er macht irgendwie ein Geheimnis daraus und hat nicht das nötige Wissen. Das ist in den anderen Threads nicht anders gewesen. Gerade im Internet gibt es sehr komische Hilfen und Anleitungen. Die KI verzettelt sich auch in vielem und sollte nur bedingt in den IT-Themen genutzt werden. Zur Unterstützung mit entsprechendem Wissen ist es aber schon okay.

Gibts zum Thema ne gute Anleitung, auch mit Screenshots aus der Fritzbox?

Da brauchst du keine große Anleitung, du erstellst einen Ordner pihole in /docker. Darin noch einen Ordner pihole. Danach öffnest du den Container Manager und legst ein neues Projekt an. Als Erstes vergibst du den Namen, z. B. pi-hole und wählst den Ordner /docker/pihole aus. Dann kopierst du meinen Compose-Befehl direkt in den Container Manager und startest das Projekt

Anschließend gibst du die IPv4- und IPv6-Adressen in der Fritz!Box unter Internet > DNS (WAN) ein oder nur unter Netzwerk. Nach dem Neuverbinden der Geräte sollte alles über den Pi-Hole laufen. Ich empfehle aber lieber Adguard-Home zusammen mit Unbound als Upstream-Server, um die Root-Server direkt anzusprechen.

Das ist wirklich keine Wissenschaft und schnell einzurichten. Ansonsten schau bei Marius Hosting vorbei, wenn du mehr Bilder brauchst. Marius’ Anleitungen sind aber auch immer mit Bedacht einzusetzen.

Ergänzung (23. August 2025)

nslookup googletagmanager.com
Server: UnKnown Address: fdd1:aba3:374d:0:211:32ff:fed4:b843
Name: googletagmanager.com
Addresses: :: 172.19.0.2

Seite nicht gesperrt:

nslookup googletagmanager.com
Server:  nas.fritz.box
Address:  192.168.35.100

Nicht autorisierende Antwort:
Name:    googletagmanager.com
Addresses:  2a00:1450:4005:802::2008
            142.250.181.200

Seite gesperrt:

nslookup googletagmanager.com
Server:  nas.fritz.box
Address:  192.168.35.100

Nicht autorisierende Antwort:
Name:    googletagmanager.com
Addresses:  ::
          0.0.0.0

Die Anfrage ist über IPv4 gestellt. Trotzdem werden alle IPs des Servers vom Hoster ausgegeben. Die Fritz!Box ist in AdGuard noch als Upstream-Server eingetragen, wodurch die Gerätenamen auch aufgelöst werden.

Anhand der 172.19.0.2 kann man gut erkennen, dass der Container sich in einem separaten Docker-Bridge Netzwerk befindet! Ich hoffe, du hast bei meiner Compose auch den alten Container vorher komplett entfernt, damit es nicht zu Port-Überschneidungen beim Port 53 kommt!

Versuche erst einmal nichts zu sperren und erst einmal Pi-Hole ordentlich am Laufen zu bekommen. Die Filterlisten sind das geringste Problem. Erst einmal sollte die Anwendung aber den richtigen Weg nehmen! Sonst hast du mehrere Baustellen, wo du die Probleme nicht richtig zuordnen kannst.