Best Practice: AdGuard Home & unbound als DNS-Server

[Duffman]

Danke für den Hinweis. Scheinbar ist aber die Ordner und Datei-Struktur etwas anders als in deinem Image, oder??
Ich müsste also die Ordner /conf.d/, /log.d/, /zones.d/ und /iana.d/ anlegen, richtig? Welche Dateien sollen denn in welchen Ordner??

 

[mj084]

Einfach in der originalen Unbound Doku schauen, da wird das auch erklärt

 

[Duffman]

Wieder mal 2 Stunden dran gesessen und wieder mal genervt

Also mit dem mattnutah Image hab ich es nun hinbekommen, da konnte man den Unbound User und Group festlegen. Mit meinem Standard Dockeruser hat es dann funktioniert. Kann ich das in dem ursprünglichen hier vorgestellten Image auch?

Umbound lauscht aber jetzt auf der IP 0.0.0.0:5335 und das bekomme ich trotz entsprechendem unbound.conf-Eintrag nicht hingebogen....

 

[Duffman]

So, es gibt Neuigkeiten. Unbound läuft inzwischen auf der korrekten IP und Port.
Ich habe nun das madnuttah Image installiert. Mit der (auf die madnuttah-Gegebenheiten angepassten) unbound.conf von @plang.pl habe ich das gleiche Problem wie vorher. Der Container startet und wird direkt wieder geschlossen. Ohne Meldung im Log.
Mit der Original madnuttah conf funktioniert es hingegen.

Komisch das Ganze. Hab auf jeden Fall wieder einiges über Docker und Unbound gelernt
Wenn ich Zeit und Lust habe werde ich die beiden confs vergleichen und schauen ob ich noch etwas anpasse...

 

[mj084]

Ich habe nun das madnuttah Image installiert. Mit der (auf die madnuttah-Gegebenheiten angepassten) unbound.conf von @plang.pl habe ich das gleiche Problem wie vorher. Der Container startet und wird direkt wieder geschlossen. Ohne Meldung im Log.

Warum macht man sowas?

plang.pl's config ist für seine genutzte Unbound Version/Image - die von madnuttah ist näher am originalen Unbound...

 

[Duffman]

Öhm ja gute Frage. Ich dachte die hätte sich hier bewährt und ist quasi State of the Art...

 

[Fusion]

Hält dich keiner auf dies zu tun...

 

[plang.pl]

Ich hab hier seit Langem mal wieder Rumgebastelt. Hab einiges überarbeitet. Wichtigste Änderungen:
-Der Standard ist jetzt DoT (DNS-over-TLS) statt dem Hyperlocal Mode
-Einfachere Installation (beide Container werden über eine Compose erstellt)
-Die unbound Config ist weiter verschäft bezüglich Privatsphäre und Sicherheit
Weitere Änderungen im ersten Post ganz unten im Spoiler
EDIT: Blocklisten aktualisiert

 

[update-freak]

Warum bist du von dem Hyperlocal Mode auf DoT gewechselt?
Macht es nicht Sinn

interface: 0.0.0.0@5335

zu

interface: 127.0.0.1@5335

zu wechseln?

Ich habe auch die Anzahl meiner Filter reduziert.

filters:
  - enabled: true
    url: https://raw.githubusercontent.com/StevenBlack/hosts/master/alternates/fakenews/hosts
    name: StevenBlack (Unified hosts + fakenews)
    id: 1738782266
  - enabled: true
    url: https://raw.githubusercontent.com/hagezi/dns-blocklists/main/wildcard/multi-onlydomains.txt
    name: hagezi (Multi pro)
    id: 1738782284

Insgesamt habe ich durch diese Anpassung deutlich schnellere Reaktionszeiten als auch deutlich weniger RAM-Verbrauch.

 

[plang.pl]

Dass du bei weniger Filtern geringere RAM-Auslastung hast, ist normal.
Reaktionszeiten sind bei mir mit mehr Filterlisten aber nicht langsamer. Hier kommt es sicherlich auf den Host an. Weniger CPU-Leistung, ältere Docker Engine, alter Kernel -> kann das verlangsamen.
Ich bin gewechselt, weil ich zu dem Schluss gekommen bin, dass verschlüsselte Anfragen an einen m.M.n. vertrauenswürdigen 3rd Party DNS-Server der Privacy mehr zuträglich sind als das direkte unverschlüsselte Befragen der Root DNS-Server. Außerdem war ich bis jetzt noch nicht 100%ig vertraut mit DoT / DoH. Das hat sich nun geändert. Wollte schon lange dahin wechseln eigentlich.
Das mit dem Interface-Wechsel habe ich mir auch schon überlegt, aber bei mir keinen Sinn dahinter gesehen.

 

[prudishly]

Was mich noch interessieren würde, welchen Vorteil bietet Unbound jetzt noch (wenn es nicht im Hyperlocal-Modus läuft) und ich den externen DNS-Resolver direkt bei AdguardHome eintragen würde?

 

[plang.pl]

Besseres Caching, Hardening und Anonymisierung der Anfragen nach extern + DNSSec, wenn konfiguriert.

 

[prudishly]

Würde es aber nicht mehr Sinn machen, das Unbound Image von madnuttah zu verwenden?

Sein Image basiert nämlich auf der aktuellsten Unbound-Version 1.24.2 und das von mvance basiert auf Unbound 1.22 von Oktober 2024

 

[plang.pl]

Ja, kann man machen. Habe ich hier im Thread auch schon mehrfach erwähnt. Ich habe das aber selbst noch nicht im Einsatz und deshalb kann ich hierzu auch keine Anleitung geben.
Das mit dem starken Versionsunterschied ist mir allerdings neu. Ich werde die Umstellung bei mir bei Gelegenheit mal testen und dann hier alles aktualisieren. Kann aber keinen Zeitraum nennen. Danke jedenfalls für die Info!

 

[prudishly]

Das mit dem starken Versionsunterschied ist mir allerdings neu.

Naja, mvance aktualsiert seine Images scheinbar nicht mehr - ich bekomme via Watchtower die Infos, dass ne neue Unbound (madnuttah) Version verfügbar ist, und schaue dann auf Github wegen der Änderung nach...

 

[plang.pl]

Ok das ist nicht gut. Ich mache mich bei Gelegneheit mal dran...

 

[prudishly]

Wie schon via PN geschrieben, wir können ja mal schauen wie wir die Config anpassen, dass es auch mit dem anderen Image funktioniert - madnuttah hält sich imo strikt an die originale Unbound Config vom Hersteller

 

[plang.pl]

So weit ich das im Kopf habe, habe ich die Parameter seinerzeit auch aus der originialen Doku geholt. Da wird sich dann aber wohl einiges geändert haben. Dann klären wir das mal final per PN und dann gibt es hier ein Update hätt ich gesagt