Upgrade Heimnetzwerk / Unifi Hardware, Phiole, PiVPN und oller Router

[benjiman]

Da sollte aber überall das Mesh Zeug von Amazon (eero) oder Google (nest) günstig zu bekommen sein

Also unter $300 geht da soweit ich gesehen hab auch nicht viel und mehr hab ich für den Omada-Kram auch nicht bezahlt. Zumal das vermutlich auch nicht mein DHCP/DNS Problemchen gelöst hätte glaub ich

 

[bender_]

Also unter $300 geht da soweit ich gesehen hab auch nicht viel

Ich glaube schon:
https://geizhals.de/asus-zenwifi-ax-mini-xd4-a2393421.html
https://geizhals.de/tp-link-deco-x20-deco-x20-2-pack-a2324436.html
...unter 300$ und das für jeweils einen Router UND einen Satellit mit 2x2 MU-MIMO WiFi-6 auch im 2,4er Band, wie dein 620er Omada.

Zumal das vermutlich auch nicht mein DHCP/DNS Problemchen gelöst hätte glaub ich

Ich glaube schon:
http://techfrage.de/question/7200/asus-rooter-dns-server-andern/
https://www.tp-link.com/de/support/faq/1855/

 

[benjiman]

Ok Asus hab ich mir nicht genauer angeschaut, nur den EERO und Nest-Kram.

Aber Wurscht, ich wollte ja auch was zum „exploren“

 

[bender_]

nur den EERO

Geht auch: https://support.eero.com/hc/en-us/articles/360059988432-Setting-up-custom-DNS-servers-with-eero

und Nest-Kram

ebenso: https://www.googlenestcommunity.com...Nest-Wifi-2nd-generation-custom-DNS/m-p/51245

ich wollte ja auch was zum „exploren“

Ist ja auch okay. Du wirst wahrscheinlich über die Möglichkeiten schnell enttäuscht sein, da sie Abseits VLANs oder sehr vielen Clients kaum einen Unterschied für Dich machen werden. Was einen gemacht hätte, wäre bessere Hardware fürs gleiche Geld gewesen.
Beispielsweise ein ZenWifi XT8 oder ein Deco X60. Die fressen deinen 620er Omada zum Frühstück, wenns um puren Durchsatz geht. Gerade bei Wi-Fi 6 wo MU-MIMO zum Standard gehört und mehrere Geräte gleichzeitig bedient werden können.
Seh es als Alternative, falls Du mit dem Omada Zeug doch nicht glücklich wirst...

 

[Raijin]

Genaugenommen komme ich nicht mal auf die Router-GUI. Wenn man die IP ansteuert wirst du auf deren Web-Portal weitergeleitet und da hast du eben kaum Einstellungsmöglichkeiten.

Hast du mal mit dem Provider Kontakt aufgenommen? Eventuell können bestimmte Einstellungen freigeschaltet werden, ähnlich wie zB der Experten-Modus bei einer Fritzbox. Erkläre denen worum es dir geht, Anpassung des DHCP + DNS via pihole.

Bietet der Provider eventuell auch andere Routermodelle an? Manchmal hat man ja mehrere Optionen zur Auswahl, je nach Budget.

 

[benjiman]

@Raijin yep habe mehrfach mit denen gesprochen, keine Chance. Die haben das komplett zugenagelt (ggf. auch einfach Unfähigkeit/Unwillens). Die Foren sind hier voll davon. Die alten Kabel/Coax Router konnten das wohl mal, aber FTTH keine Chance. Leider.

 

[benjiman]

So kurzes Update… die Omada Hardware ist soweit eingerichtet und erfüllt den Zweck ganz gut.

Allerdings macht der ISP Ärger bzw Weiss zu glänzen… der freundliche Hotline Mitarbeiter erklärte mir er hätte den Router jetzt in Bridge-Mode versetzt und ich solle bitte meinen Router in Port 1 stecken… ansonsten nix, soll angeblich Plug&Play sein… kein PPPoE… nix… überraschenderweise hat sich soweit ich sehen kann auch nach Router (ISP) restart nix verändert , settings sind noch alle wie gehabt, auch meine alte Port Forwarding Rule ist noch da/aktiv…

Ich werde wohl morgen noch mal anrufen müssen

 

[benjiman]

So jetzt brauche ich dann doch noch mal die Experten hier

Erst mal hier das aktuelle Setup bzw. Config (Bridge Mode klappt immer noch nicht, daher Double-NAT):

ISP Netz: 10.0.0.1 - 10.0.0.254; Router/Gateway ist 10.0.0.10; ausser dem Omada Router hängt an dem Netz nichts weiter

Omada Netz: 10.1.0.1 - 10.1.0.254; Router (ER605) ist 10.1.0.1; in dem Netz steht auch der EAP620 mit dem alle Clients verbunden sind.

Im Omada Netz hatte ich bisher als DNS 9.9.9.9 hinterlegt, jetzt hab ich jedoch mein Pi-Hole neuaufgesetzt und mit Static IP 10.1.0.5 konfiguriert.

Jetzt hatte ich im Controller den DNS für den ER605 für das WAN von 9.9.9.9 auf 10.1.0.5 geändert. Als secondary DNS hatte ich nach wie vor 9.9.9.9 hinterlegt. Zack nix ging mehr. Kein Client hatte mehr Internet. Im Log vom Omada Controller stand das der ER605 down sei.

Frage also, wieso? Hab ich was falsch gemacht? Oder bug? Erst nachdem ich den Change zurückgedreht hab und den ER605 neugestartet hatte ging's wieder.

Oder hätte ich den DNS statt im WAN in der LAN Section anpassen müssen? Aber warum hat er dann nicht den secondary DNS genommen?

Das PiHole lieft nach dem re-install komplett im default. War das der Fehler?

Der Raps ist an dem ER605 angeschlossen. D.h. meine Clients sprechen mit dem EAP und von da gehts zum ER605 und Raspi. Ist das mehr als ein Hop? Wenn dem so wäre, hätte nicht dennoch der secondary DNS greifen sollen?

 

[bender_]

1. Hast Du sichergestellt, dass der DHCP des ER605 nicht die manuelle .5 des Raspi als Adresse verteilt?

2.

hätte ich den DNS statt im WAN in der LAN Section anpassen müssen?

Genau. Diese Daten werden dann per DHCP an die Clients verteilt. Am Raspi stellst Du den ER605 manuell als Gateway ein.

3.

Jetzt hatte ich im Controller den DNS für den ER605 für das WAN von 9.9.9.9 auf 10.1.0.5 geändert. Als secondary DNS hatte ich nach wie vor 9.9.9.9 hinterlegt.

Das ist eigentlich völlig wurschd, da der ISP Router ja nochmal NAT macht und der Raspi den DNS spielt. Ob, wann und nach welchen Kriterien der 2. DNS verwendet wird, kann von OS zu OS unterschiedlich sein. Es ist jedoch meist kein klassisches failover, so wie ich denke, dass Du dir das gedacht hast. Du darfst keinen secondary DNS eintragen, wenn Du pihole nutzen willst.

4.
...und dann ist da noch die Sache mit IPv6. Ist das aktiviert, musst Du dir für diesen Pfad ebenfalls die Umleitung über den Raspi bauen.

5.
Die andere und wie ich finde elegantere Methode ist, den Raspi auch den DHCP Server spielen zu lassen. Den DHCP Server am ER605 abschalten und du kannst dir die ganzen doppelten Stunts am Router sparen.

Settings am ER605 zusammengefasst:
Methode 1:
DHCP: .10 - .200
LAN GW: ER605
LAN DNS: Raspi (.5)
WAN GW: ISP Router
WAN DNS: keine

Methode 2:
DHCP: off
WAN GW: ISP Router
Raspi wie gehabt aber DHCP aktivieren.

So sollte es klappen, wenn ich nix übersehen habe. Hab jetzt nicht groß recherchiert und selbst kein solches Setup am laufen. Das Prinzip ist aber immer das selbe.

 

[Raijin]

Grundsätzlich funktionieren die primären und sekundären DNS nicht so wie Otto Normal es denkt. Der sekundäre DNS ist kein Fallback im herkömmlichen Sinne, sondern wird teilweise auch parallel zum primären DNS angesprochen. Sind beide DNS nun verschieden, also einmal gefiltertes DNS über pihole und einmal ungefiltertes DNS via 9.9.9.9, wird es sporadisch zu DNS-leaks kommen, also nicht gefilterte Werbung, weil ab und zu der sekundäre DNS "gewinnt". Daher sollte man es sich gut überlegen ob man überhaupt einen sekundären DNS angibt. Traut man dem eigenen pihole nicht zu, zuverlässig und sauber 24/7 zu arbeiten, dann ist ein sekundärer DNS keine Lösung, sondern man sollte an der Stabilität des pihole arbeiten oder zB einen Clone davon ins Netzwerk packen, also einen zweiten pihole als dann echten Fallback.


Prinzipiell gibt es 3 Varianten wie man pihole in ein Netzwerk integrieren kann. Entscheidend ist dabei die DNS-Aufrufkette, die stimmen muss, um zu gewährleisten, dass auch lokale Namen aufgelöst werden können.


1)
Router ist DHCP-Server
Router vergibt Router-IP als DNS via DHCP
Router selbst hat am pihole als Upstream-DNS (also der DNS, den der Router selbst fragt)
pihole hat als Upstream-DNS zB 9.9.9.9
DNS-Aufrufkette: Client --> Router ---> pihole ---> 9.9.9.9

2)
Router ist DHCP-Server
Router vergibt die pihole-IP als DNS via DHCP
Router selbst hat einen beliebigen DNS (außer pihole), zB 9.9.9.9
pihole hat als Upstream-DNS die Router-IP oder es ist conditional forwarding konfiguriert
DNS-Aufrufkette: Client --> pihole --> Router --> 9.9.9.9

3)
pihole ist DHCP-Server (=> DHCP im Router aus)
pihole vergibt pihole-IP als DNS via DHCP
Router selbst hat einen beliebigen DNS, zB pihole oder 9.9.9.9
pihole hat als Upstream-DNS zB 9.9.9.9
DNS-Aufrufkette: Client ---> pihole --> 9.9.9.9


Hintergrund dieser Varianten ist, dass nur der DHCP-Server die lokalen Hostnamen und deren IP-Adresse kennt. Der DHCP-Server muss also irgendwo in der DNS-Aufrufkette auftauchen, in 1+2 in Form der Routers selbst, in 3 in Form des pihole.

Wenn du nun beispielsweise eine Schleife baust, also Router hat pihole als Upstream-DNS und pihole hat den Router als Upstream-DNS, dreht sich das natürlich im Kreis. Es ist daher wichtig, eines der oben genannten Setups zu konfigurieren. Alle 3 Setups sind auf Augenhöhe, es gibt keine wirklich relevanten Vor- und Nachteile. Einzig bei 2 gibt es noch die Variante mit conditional forwarding, die minimalst schwieriger zu konfigurieren ist, weil man die lokale Domain kennen und entsprechend einstellen muss. Kein Hexenwerk, aber nicht zwingend erforderlich, wenn man sich an eine funktionsfähige Aufrufkette hält.

4.
...und dann ist da noch die Sache mit IPv6. Ist das aktiviert, musst Du dir für diesen Pfad ebenfalls die Umleitung über den Raspi bauen.

Guter Punkt!

 

[benjiman]

Methode 1:
DHCP: .10 - .200
LAN GW: ER605
LAN DNS: Raspi (.5)
WAN GW: ISP Router
WAN DNS: keine

Das hat funktioniert. Danke

Auch vielen Dank an @Raijin für die ausführlichen Erklärungen!!