Vodafone-Station blockiert lokalen DNS-Resolver (Pi-Hole)

[fukunishi]

Hallo,

ich hatte mein Problem schon mal in https://forum.vodafone.de/t5/St%C3%B6rungsmeldungen-Internet-TV/Lokaler-DNS-Resolver-wird-von-Vodafo... formuliert, aber keine Lösung oder Erklärung erhalten, daher probiere ich es mal hier in diesem Forum.

ich habe hinter meiner VF-Station einen eigenen Router (IP 192.168.0.13 an der VF-Station) geschaltet und dort läuft ein Pi-Hole als DNS-Resolver (per Port-Weiterleitung) mit, den meine Clients auch brav nutzen (können):

Internet --> VF-Station (192.168.0.0/24 Netz) --> Router 192.168.0.13 (192.168.42.0/24 Netz) - dort läuft ein Pi-Hole, der direkt und auch per per Port-Weiterleitung über 192.168.0.13 für alle Geräte im 42-er Netz erreichbar ist.

Die VF-Station scheint aber keinen anderen DNS-Resolver zuzulassen,

• denn zum Einen finde ich in der GUI keinen Menüpunkt, um meinen Clients, die sich direkt mit der VF-Station verbinden, (m)einen DNS-Resolver mitzugeben,
• was auch zum anderen schlecht wäre, weil die VF-Station DNS-Anfragen in diesem Netz irgendwie zu blocken scheint?!

Denn wenn ich aus meinem 42-er Netz hinter der VF-Station meinen Pi-Hole/Router direkt oder auch über die Port-Weiterleitung (192.168.0.13) abfrage klappt alles super.

Aber sobald ein Client im Netz der VF-Station den DNS-Resolver über die Port-Weiterleitung benutzen möchte, timed es aus.

Ist das "works as designed" oder übersehe ich das nur irgendwas? Wie macht die VF-Station dieses Blocken (Firewall!?) und wie kann man/ich das abschalten?

Ich finde das deshalb als absolutes No-Go für die alleinige Nutzung der VF-Station, da ich so nicht für alle meine Geräte per LAN und WLAN und egal ob Mobilgerät, Desktop oder Laptop und welches Betriebssystem (iOS/Android, MacOS, Windows, Linux, "TV", "Konsole", usw.) Werbung, Tracking usw. blocken kann

Danke und Grüße

Fukunishi

[fukunishi]

Ähm, es werden alle anderen DNS-Resolver geblockt - nicht nur intern, sondern auch extern (also z.B. auch 1.1.1.1 oder 8.8.8.8 )

[fukunishi]

Anscheinend macht die VF-Station genau so was: https://youtu.be/AIwK4URbSv8?t=265 😠
Im gesamen (DMZ-)Netz: DNS=53/UDP überall hin verbieten, ausser auf sich selber.
Siehe z.B.: https://www.lancom-forum.de/fragen-zum-thema-firewall-f15/dns-anfragen-aus-internet-blocken-t16046.h...

Name:      DENY-DNS
Aktion:    zurückweisen
Quelle:    alle Stationen
Ziel:      alle Stationen
Dienste:   UDP, Zielport 53 

Name:      ALLOW-LOACAL-DNS
Aktion:    zurückweisen
Quelle:    alle Stationen im lokalen Netz
Ziel:      LAN-IP des LANCOMs
Dienste:   UDP, Zielport 53 

[reneromann]

Oder du hast NAT auf dem Router dazwischen nicht ordentlich konfiguriert.

Ohne NAT auf dem zwischengeschalteten Router wird das nichts, weil die VF Station dann nicht weiß, was mit Paketen für 192.168.42.0/24 passieren soll - die werden dann -aufgrund fehlender Route- einfach verworfen.

[fukunishi]

@reneromann,  ich bin mit meinem Macbook im WLAN der Vodafon-Station und kann weder meinen lokalen Pihole noch 1.1.1.1 oder 8.8.8.8 per nslookup, dig oder anderen Tools befragen.

Wenn ich mein Macbook in "mein" WLAN an meinem privaten Router hinter der VF-Station anmelde, dann kann ich jeden x-beliebigen DNS-Resolver befragen.

Die VF-Station verhält sich also meiner Meinung nach sehr unfreundlich und nicht sehr freiheitlich für den Kunden 😞

[reneromann]

Wenn du dich in deinem WLAN (der VF Station) befindest, macht die VF Station aber rein gar nichts mit dem Traffic zu deinem Pi Hole / separatem Router. Für mich hört sich das eher danach an, dass du keinerlei Ahnung von Doppel-NAT hast - denn die VF Station weiß von dem 192.168.42.0/24-Netzwerk nichts - alle Anfragen die aus diesem Netz kommen, wird sie -einfach weil keine passende (Rück-)Route vorhanden ist- immer verwerfen.

[fukunishi]

Du scheinst mich nicht richtig verstanden zu haben:

Erstens:

Die "Rück-Route" geht gar nicht in das Netz meines privaten Routers, sondern an die WAN-IP meines privaten Routers im selben Netz der VF-Station. Damit lassen ich ein paar Port-Weiterleitungen (Nextcloud und weitere Service) sehr erfolgreich laufen.

Zweitens:

Ich kann nicht mal im Netz der VF Station irgendeinen beliebigen externen DNS-Resolver (wie z.B. 1.1.1.1 oder 8.8.8.8) befragen. Per VPN geht das natürlich auch wieder, weil die VF-Station davon ja nun nix mehr mitbekommt 😉

Drittens:

Dieses Setup hat lange Zeit erfolgreich genau so funktioniert. VF muss da irgendwann ein (Firewall?) Update gemacht haben, dass das seit geraumer Zeit eben nicht mehr funktioniert. Sowohl das heimliche Update als auch das technische Verhindern, dass man als VF-Kunde nun nicht mal mehr einen (externen) DNS-Resolver nach Wahl nutzen kann, ärgern mich sehr.

[RobertP]

das Problem hängt mit deinem Setup zusammen

[fukunishi]

Und was mache ich bitteschön falsch, wenn ich im (W)LAN der VF-Station bin und per "dig web.de @1.1.1.1" einen Timeout bekommen und nur mit "dig web.de @ip_VF_STATION" eine Antwort erhalte?

[RobertP]

deine Rechner und der Pi-Hole müssen sich schon im gleichen Netz befinden, also an deinem privaten Router angeschlossen sein

wie willst du sonst ohne Route und ohne Firewallkonfiguration auf deinem Router aus dem Netz der VF Station ins Netz deines Routers kommen ?