Thema "Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)" in Geräte

Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Mon, 10 Jan 2022 16:28:25 GMT

Hallo,

ich hatte mein Problem schon mal in https://forum.vodafone.de/t5/St%C3%B6rungsmeldungen-Internet-TV/Lokaler-DNS-Resolver-wird-von-Vodafone-Station-aktiv-blockiert/m-p/2639967 formuliert, aber keine Lösung oder Erklärung erhalten, daher probiere ich es mal hier in diesem Forum.

ich habe hinter meiner VF-Station einen eigenen Router (IP 192.168.0.13 an der VF-Station) geschaltet und dort läuft ein Pi-Hole als DNS-Resolver (per Port-Weiterleitung) mit, den meine Clients auch brav nutzen (können):

Internet --> VF-Station (192.168.0.0/24 Netz) --> Router 192.168.0.13 (192.168.42.0/24 Netz) - dort läuft ein Pi-Hole, der direkt und auch per per Port-Weiterleitung über 192.168.0.13 für alle Geräte im 42-er Netz erreichbar ist.

Die VF-Station scheint aber keinen anderen DNS-Resolver zuzulassen,

denn zum Einen finde ich in der GUI keinen Menüpunkt, um meinen Clients, die sich direkt mit der VF-Station verbinden, (m)einen DNS-Resolver mitzugeben,
was auch zum anderen schlecht wäre, weil die VF-Station DNS-Anfragen in diesem Netz irgendwie zu blocken scheint?!

Denn wenn ich aus meinem 42-er Netz hinter der VF-Station meinen Pi-Hole/Router direkt oder auch über die Port-Weiterleitung (192.168.0.13) abfrage klappt alles super.

Aber sobald ein Client im Netz der VF-Station den DNS-Resolver über die Port-Weiterleitung benutzen möchte, timed es aus.

Ist das "works as designed" oder übersehe ich das nur irgendwas? Wie macht die VF-Station dieses Blocken (Firewall!?) und wie kann man/ich das abschalten?

Ich finde das deshalb als absolutes No-Go für die alleinige Nutzung der VF-Station, da ich so nicht für alle meine Geräte per LAN und WLAN und egal ob Mobilgerät, Desktop oder Laptop und welches Betriebssystem (iOS/Android, MacOS, Windows, Linux, "TV", "Konsole", usw.) Werbung, Tracking usw. blocken kann

Danke und Grüße

Fukunishi

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Mon, 10 Jan 2022 16:40:13 GMT

Ähm, es werden alle anderen DNS-Resolver geblockt - nicht nur intern, sondern auch extern (also z.B. auch 1.1.1.1 oder 8.8.8.8 )

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Mon, 10 Jan 2022 16:41:13 GMT

Anscheinend macht die VF-Station genau so was: https://youtu.be/AIwK4URbSv8?t=265 😠
Im gesamen (DMZ-)Netz: DNS=53/UDP überall hin verbieten, ausser auf sich selber.
Siehe z.B.: https://www.lancom-forum.de/fragen-zum-thema-firewall-f15/dns-anfragen-aus-internet-blocken-t16046.html

Name:      DENY-DNS
Aktion:    zurückweisen
Quelle:    alle Stationen
Ziel:      alle Stationen
Dienste:   UDP, Zielport 53

Name:      ALLOW-LOACAL-DNS
Aktion:    zurückweisen
Quelle:    alle Stationen im lokalen Netz
Ziel:      LAN-IP des LANCOMs
Dienste:   UDP, Zielport 53

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

reneromann — Mon, 10 Jan 2022 17:24:09 GMT

Oder du hast NAT auf dem Router dazwischen nicht ordentlich konfiguriert.

Ohne NAT auf dem zwischengeschalteten Router wird das nichts, weil die VF Station dann nicht weiß, was mit Paketen für 192.168.42.0/24 passieren soll - die werden dann -aufgrund fehlender Route- einfach verworfen.

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Mon, 10 Jan 2022 17:37:37 GMT

@reneromann, ich bin mit meinem Macbook im WLAN der Vodafon-Station und kann weder meinen lokalen Pihole noch 1.1.1.1 oder 8.8.8.8 per nslookup, dig oder anderen Tools befragen.

Wenn ich mein Macbook in "mein" WLAN an meinem privaten Router hinter der VF-Station anmelde, dann kann ich jeden x-beliebigen DNS-Resolver befragen.

Die VF-Station verhält sich also meiner Meinung nach sehr unfreundlich und nicht sehr freiheitlich für den Kunden 😞

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

reneromann — Mon, 10 Jan 2022 17:46:57 GMT

Wenn du dich in deinem WLAN (der VF Station) befindest, macht die VF Station aber rein gar nichts mit dem Traffic zu deinem Pi Hole / separatem Router. Für mich hört sich das eher danach an, dass du keinerlei Ahnung von Doppel-NAT hast - denn die VF Station weiß von dem 192.168.42.0/24-Netzwerk nichts - alle Anfragen die aus diesem Netz kommen, wird sie -einfach weil keine passende (Rück-)Route vorhanden ist- immer verwerfen.

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Mon, 10 Jan 2022 18:00:20 GMT

Du scheinst mich nicht richtig verstanden zu haben:

Erstens:

Die "Rück-Route" geht gar nicht in das Netz meines privaten Routers, sondern an die WAN-IP meines privaten Routers im selben Netz der VF-Station. Damit lassen ich ein paar Port-Weiterleitungen (Nextcloud und weitere Service) sehr erfolgreich laufen.

Zweitens:

Ich kann nicht mal im Netz der VF Station irgendeinen beliebigen externen DNS-Resolver (wie z.B. 1.1.1.1 oder 8.8.8.8) befragen. Per VPN geht das natürlich auch wieder, weil die VF-Station davon ja nun nix mehr mitbekommt 😉

Drittens:

Dieses Setup hat lange Zeit erfolgreich genau so funktioniert. VF muss da irgendwann ein (Firewall?) Update gemacht haben, dass das seit geraumer Zeit eben nicht mehr funktioniert. Sowohl das heimliche Update als auch das technische Verhindern, dass man als VF-Kunde nun nicht mal mehr einen (externen) DNS-Resolver nach Wahl nutzen kann, ärgern mich sehr.

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

RobertP — Tue, 11 Jan 2022 00:21:13 GMT

das Problem hängt mit deinem Setup zusammen

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Tue, 11 Jan 2022 14:13:01 GMT

Und was mache ich bitteschön falsch, wenn ich im (W)LAN der VF-Station bin und per "dig web.de @1.1.1.1" einen Timeout bekommen und nur mit "dig web.de @ip_VF_STATION" eine Antwort erhalte?

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

RobertP — Tue, 11 Jan 2022 15:19:33 GMT

deine Rechner und der Pi-Hole müssen sich schon im gleichen Netz befinden, also an deinem privaten Router angeschlossen sein

wie willst du sonst ohne Route und ohne Firewallkonfiguration auf deinem Router aus dem Netz der VF Station ins Netz deines Routers kommen ?

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Tue, 11 Jan 2022 16:10:38 GMT

@RobertPhast Du meinen vorigen Post überhaupt gelesen?

Ich schrieb nicht mehr "von meinem lokalen Pi-Hole", sondern von öffentlich zugänglichen DNS-Resolvern wie 1.1.1.1 oder 8.8.8.8, die ich aus dem VF-Station-Netz (192.168.0.0/24) nicht erreichen kann 😞 Also keinen Resolver, den ich mir auswählen kann - d.h. VF zwingt mich (für alle Geräte in "meinem" VF-(W)LAN!) ihren DNS Resolver zu verwenden.

Aber selbst wenn Du wieder auf meinen Pi-Hole zurückkommen willst:

Mein Pi-Hole ist über eine Portweiterleitung auf Port 53 der WAN-IP (192.168.0.13) meines privaten Routers für alle Geräte, die eben NICHT im Netz der VF-Station sind zugänglich und erreichbar (wie z.B. mein "privates" WLAN: 192.168.42.0/24). Vor irgendeinem Update war mein Pi-Hole genau so auch mal für alle Geräte im Netz der VF-Station zugänglich/erreichbar…

Hier mal der Beweis, dass ich aus meinem privaten Netzüber die Portweiterleitung auf 192.168.0.13:53 zu meinem Pi-Hole komme:

🦎🖥  thomas@merz-nimbus:~ [2/6959]
17:06 $ nslookup
> server 192.168.0.13
Default server: 192.168.0.13
Address: 192.168.0.13#53
> web.de
Server:		192.168.0.13
Address:	192.168.0.13#53

Non-authoritative answer:
Name:	web.de
Address: 82.165.229.138
Name:	web.de
Address: 82.165.229.83
> exit

🦎🖥  thomas@merz-nimbus:~ [2/6960]
17:06 $ ip a|grep inet
    inet 127.0.0.1/8 scope host lo
    inet6 ::1/128 scope host
    inet 192.168.42.241/24 brd 192.168.42.255 scope global eth1
…

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

RobertP — Wed, 12 Jan 2022 08:19:04 GMT

@fukunishi schrieb:
@RobertP hast Du meinen vorigen Post überhaupt gelesen?

anscheinend nicht so richtig

@fukunishi schrieb:
- d.h. VF zwingt mich (für alle Geräte in "meinem" VF-(W)LAN!) ihren DNS Resolver zu verwenden.

und deswegen würde ich die Vodafone Station auch nicht als Router nutzen sondern (wenn möglich) im Bridge Mode betreiben und lieber einen eigenen Router verwenden 😉

Gruß Robert

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Wed, 12 Jan 2022 10:13:13 GMT

Mein Use-Case für die Nutzung des WLAN der VF-Station ist daher aktuell auch einzig und allein "DMZ" mit einer Router Kaskade (heise.de) - d.h. dort tummeln sich diverse "IoT" oder "Smart-Wanzen" von Amazon und Co, die ich nicht in meinem privaten WLAN haben möchte.

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

RobertP — Wed, 12 Jan 2022 10:52:45 GMT

dann musst du wohl mit dem Problem leben, denn ich bezweifle, dass Vodafone daran etwas ändern wird 😞

Betreff: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Thu, 13 Jan 2022 09:38:55 GMT

Wenn Vodafone seine Kunden so "vergraulen" und "gängeln" will, dann scheint es tatsächlich keine Lösung zu geben, ausser den VF-Router als reines Modem zu degradieren…

Schade, schade, denn es ging ja auch mal ohne diese Gängelei.

Re: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

R4mona — Thu, 13 Jan 2022 10:18:59 GMT

Hi fukunishi,

wir möchten niemanden gängeln bzw. vergraulen.

Hast Du denn irgendwelche Beeinträchtigungen aufgrund dieser Blockade festgestellt?

Viel Grüße
R4mona

Re: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Thu, 13 Jan 2022 10:41:18 GMT

Hallo @R4mona , ich fühle mich insofern beeinträchtigt, da ich als mündiger Internet-User mir nicht vorschreiben lassen möchte, welchen einzigen DNS-Resolver (nämlich den der VF-Station) ich und meine Familie zuhause nutzen kann/darf, weil ich gerne alle meine Geräte zuhause mit meinem eigenen Pi-Hole versorgt haben möchte. Ich fühle mich also definitiv in meiner Freiheit eingeschränkt, bzw. alle Geräte, die es zuhause nur in das Netz eurer VF-Station schaffen (IoT, Smart-Wanzen ala Alexa und Co.). 😞

Re: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Tue, 25 Jan 2022 14:01:06 GMT

Hallo @R4mona ,

ich habe nun sogar einen harten Werksreset (30s mit Stift in das Reset-Loch drücken) hinter mir, da ich in einem anderen Beitrag dazu aufgefordert wurde. Das hat leider (ich hatte es ja fast befürchtet) gar nichts meiner desolaten Lage verbessert oder irgendwas verändert:

Beispiel 1 - Macbook ist mit WLAN der VF-Station verbunden:

🍏 ✔ [58%] ▅ ❄️️  Thomas.Merz@dm-C02CGH01MD6M:~ [ttys012/2398]
14:53 $ ips
127.0.0.1
192.168.0.127
──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────🍏 ✔ [58%] ▅ ❄️️  Thomas.Merz@dm-C02CGH01MD6M:~ [ttys012/2398]
14:56 $ nslookup
> server
Default server: 2a02:8071:3ed6:7a00:d63f:cbff:fe83:d057
Address: 2a02:8071:3ed6:7a00:d63f:cbff:fe83:d057#53
Default server: 192.168.0.1
Address: 192.168.0.1#53
> web.de
Server:		2a02:8071:3ed6:7a00:d63f:cbff:fe83:d057
Address:	2a02:8071:3ed6:7a00:d63f:cbff:fe83:d057#53

Non-authoritative answer:
Name:	web.de
Address: 82.165.229.83
Name:	web.de
Address: 82.165.229.138
> server 192.168.0.13
Default server: 192.168.0.13
Address: 192.168.0.13#53
> web.de
;; connection timed out; no servers could be reached
> ^D

Beispiel 2 - Macbook ist mit WLAN meines privaten Routers hinter der VF-Station verbunden:

🍏 ✔ [58%] ▅ ❄️️  Thomas.Merz@dm-C02CGH01MD6M:~ [ttys012/2399]
14:57 $ ips
127.0.0.1
192.168.42.242
──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────🍏 ✔ [58%] ▅ ❄️️  Thomas.Merz@dm-C02CGH01MD6M:~ [ttys012/2399]
14:57 $ nslookup
> server
Default server: 192.168.42.241
Address: 192.168.42.241#53
Default server: 192.168.0.13
Address: 192.168.0.13#53
Default server: 2002:c0a8:d::c0a8:d
Address: 2002:c0a8:d::c0a8:d#53
> server 192.168.0.1
Default server: 192.168.0.1
Address: 192.168.0.1#53
> web.de
Server:		192.168.0.1
Address:	192.168.0.1#53

Non-authoritative answer:
Name:	web.de
Address: 82.165.229.138
Name:	web.de
Address: 82.165.229.83
> server 192.168.0.13
Default server: 192.168.0.13
Address: 192.168.0.13#53
> web.de
Server:		192.168.0.13
Address:	192.168.0.13#53

Non-authoritative answer:
Name:	web.de
Address: 82.165.229.83
Name:	web.de
Address: 82.165.229.138
> ^D

Re: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

Ida — Fri, 28 Jan 2022 10:42:56 GMT

Hi fukunishi

Als Moderator:innen haben auch wir nur begrenzte Möglichkeiten. Leider können wir in Deinem Fall keine Lösung anbieten. Das Thema geht für uns Mitarbeiter:innen außerhalb unserer Support-Grenzen.

Liebe Grüße
Ida

Re: Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

fukunishi — Fri, 28 Jan 2022 10:44:35 GMT

@Ida, ich verstehe. Aber was kann/soll ich nun tun?