Best Practice: AdGuard Home & unbound als DNS-Server

[Duffman]

Guten Abend zusammen,

vielen Dank für die Mühe diese Anleitung bereitzustellen. Ich bin noch relativer Neuling bei Synology und vor Allem im Thema Docker. Hab mich jetzt mal hier durchgehangelt bis zum Punkt 5.1. Soweit war eigentlich alles nachvollziehbar.
AdGuard läuft soweit, allerdings scheint nichts geblockt zu werden. Hier im Forum kommt Werbung durch und auch zB bei Spiegel online.

Meine Fritzbox bietet noch die Möglichkeit neben der DNSv4-Server-Adresse auch die DNSv6-Server-Adresse anzupassen. Hier habe ich aktuell noch die voreingestellte, vom Internetanbieter zugewiesene Adresse stehen. Könnte das das Problem sein? Welche Adresse müsste ich denn im Fall der Fälle dort eingeben?

Ansonsten hab ich alles so eingestellt wie hier beschrieben...

 

[Gagac]

Hast du als DHCP-Server die IP deiner Synology vergeben? Da hab ich den Fehler gemacht und hab es einfach von der Anleitung abgeschrieben und die IP von der Anleitung eingegeben. Da hat bei mir auch nichts geblockt, bis ich es auf die IP meiner NAS korrigierte.

Edit: ich meinte unter Punkt 5.1 den DNSv4-Server, nicht den DHCP-Server.

 

[Duffman]

Da ist die Adresse vom NAS drin. Es läuft auch Netzwerkverkehr über AdGuard. Das sehe ich im Protokoll. Aber offensichtlich wird nicht alles gefiltert. Daher war meine Vermutung, dass das Meiste über den Umweg DNSv6 über den ISP und somit ungefiltert läuft.

Ich weiß nur nicht welche Adresse ich bei DNSv6 hinterlegen muss in der Fritzbox..

 

[plang.pl]

Du kannst in der FritzBox die IPv6 vom NAS als DNSv6 Server hinterlegen.

Hast du auch entsprechend Blocklisten hinzugefügt?
Hast du mal alle Geräte neu gestartet, damit die sich den geänderten DNS per DHCP ziehen?

 

[Duffman]

Hi, vielen Dank für deine Antwort. Leider war ich heute unterwegs und konnte nichts testen. Werde ich morgen nachholen.

Nur schonmal so viel: IPv6 ist beim NAS nicht aktiv. Kann ich trotzdem DNSv6 nutzen?? Hab ja keine Adresse...

Muss ich Blocklisten manuell hinzufügen? Wenn ich das von Freitag richtig im Kopf habe, waren da doch schon Standardlisten hinterlegt, oder?

 

[plang.pl]

Wenn IPv6 am NAS aus ist, gibt es auch keine IPv6 und kannst die nicht nutzen. Entweder IPv6 am NAS anmachen oder IPv6 an der Fritte aus
Weiß nicht mehr, ob da Standardlisten drinne sind, musst mal kucken

 

[Gagac]

@Duffman
Im AdGuard unter Filter -> Sperrlisten siehst du, ob und welche Filter aktiv sind. Unter "Sperrliste hinzufügen" kannst du weitere aus der Liste aktivieren. Oben im Punkt "Abfrageprotokoll" siehst du, ob geblockt wird oder nicht.

 

[Duffman]

Wenn IPv6 am NAS aus ist, gibt es auch keine IPv6 und kannst die nicht nutzen. Entweder IPv6 am NAS anmachen oder IPv6 an der Fritte aus
Weiß nicht mehr, ob da Standardlisten drinne sind, musst mal kucken

Wie handhabt ihr das denn mit IPv4/IPv6?
Ich bin ehrlich gesagt zum ersten Mal mit dem Thema konfrontiert. ChatGPT sagt, dass die Deaktivierung von IPv6 an der Fritzbox zu Problemen führen kann.
Die Aktivierung von IPv6 am NAS kann zu Sicherheitsproblemen führen?! Bzw die Firewall muss ordentlich konfiguriert sein. Das hat mich etwas verunsichert...

 

[mj084]

Das hat doch alles nix mehr mit dem ursprünglichen Thema zu tun oder?

Wenn du ChatGPT bezüglich IPv6 fragen musst, warum willst du dann bitte AdGuard betreiben?

Investiere entweder Zeit für die Basics oder Geld in jemanden, der dir fachlich unter die Arme greifen kann...

 

[Duffman]

Das ist relativ einfach. Ich will AdGuard betreiben weil ich Werbung blockieren will.
Die im Eingangsbeitrag genannten Voraussetzungen erfüllen ich. Daher habe ich mich an die Umsetzung getraut

 

[Gagac]

Investiere entweder Zeit für die Basics oder Geld in jemanden, der dir fachlich unter die Arme greifen kann...

Sorry, aber diese Aussage ist an Überheblichkeit nicht zu übertreffen. Wenn man, deiner Meinung nach, AdGuard nur mit Fachwissen einrichten sollte, wozu braucht man dann noch überhaupt eine Anleitung? Das ist doch nicht der Sinn und Zweck dieses Themas. Diese Anleitung wurde erstellt, um Leuten zu helfen, AdGuard Home auf eine Synology NAS einzurichten - ungeachtet ob es Newbies sind, oder Poweruser wie du. Außerdem wird darauf hingewiesen, dass man sich bezüglich Fragen hierzu gerne melden kann. Zudem plang.pl, der Ersteller dieser Anleitung, selbst gewillt ist, Leuten ohne Fachwissen weiterzuhelfen. Und jetzt willst du andere auf ihren Platz verweisen, nur weil sie deiner Meinung nach keine Ahnung haben? Denk ein wenig darüber nach. Dieses Forum wurde erstellt, um Leuten zu helfen, nicht um auf sie herabzuschauen.

 

[mj084]

@Gagac

Deine gespielte Empörung ist echt erstaunlich.

Ich habe nur den Hinweis gegeben, dass man sich mit den Basisc erstmal vertraut machen sollte, bevor man so einen zentralen und essentiellen Dienst wie Adguard selbst aufsetzt.

Ich habe niemanden irgendwo hin verwiesen, dass interpretierst du so herein...

 

[*kw*]

Hilfe anzubieten ist das eine, aber - nicht nur bei diesem Thema - ist es wichtig, sich das dazugehörige Grundwissen anzueignen und vor allem die Zusammenhänge zu verstehen. Es steht nicht umsonst gleich unter "Nr. 1" im Nutzerleitfaden.

 

[Gagac]

@mj084
Hier ist nichts gespielt. Ich gebe nur meine tatsächliche Meinung wieder. Denn dein "Temperament" ist mir schon öfters hier im Forum aufgefallen.

@*kw*
Ja, ein Grundwissen über Synology-Systeme soll man haben. Aber ich denke, das hat so gut wie jeder, der ein solches System hat. Ansonsten könnte derjenige es nicht betreiben. Der Fragesteller hat bis zum finalen Punkt 5 anscheinend alles umgesetzt und verstanden. Und die Voraussetzungen zu diesem Thema, welche zum Grundwissen für den Betrieb einer Synology-NAS gehören, erfüllt er ebenfalls. Dennoch scheint etwas nicht richtig geklappt zu haben. Deshalb denke ich, dass man einzelne Fragen zum jeweiligen Thema, auch beantworten kann, ohne gleich darauf hinzuweisen, dass etwas selbstverständlich sein sollte.

Ich zumindest gehe immer auf Fragen ein und beantworte sie, soweit es mein Knowledge zulässt - egal wie "dumm" diese klingen mögen. Aber gut, ich will das jetzt nicht weiter aufkochen.

 

[mj084]

Und die Voraussetzungen zu diesem Thema, welche zum Grundwissen für den Betrieb einer Synology-NAS gehören, erfüllt er ebenfalls.

Das ist deine Meinung - ich habe da eine andere

Deshalb denke ich, dass man einzelne Fragen zum jeweiligen Thema, auch beantworten kann, ohne gleich darauf hinzuweisen, dass etwas selbstverständlich sein sollte.

Es hat niemand darauf hingewiesen, dass es selbstverständlich sein sollte - nur, dass man sich Grundlagen (nicht nur Synology DSM), sondern dann eben auch Netzwerke etc. aneignen sollte - gerade wenn solch kritische Themen wie DNS angeht - thats all

Ich werde aber in Zukunft nicht mehr darauf hinweisen

 

[BlackUser]

Hallo zusammen,
im Log werden mir ständig folgende Fehler angezeigt:

ERROR response received addr=192.168.178.1:53 proto=udp status="exchanging with 192.168.178.1:53 over udp: read udp 192.168.178.38:42356->192.168.178.1:53: i/o timeout"

ERROR response received addr=192.168.178.1:53 proto=udp status="exchanging with 192.168.178.1:53 over udp: read udp 192.168.178.38:47019->192.168.178.1:53: i/o timeout"

ERROR response received addr=192.168.178.1:53 proto=udp status="exchanging with 192.168.178.1:53 over udp: read udp 192.168.178.38:40189->192.168.178.1:53: i/o timeout"

[error] dnsproxy: unpacking udp packet err="dns: buffer size too small"

...

Ich habe schon gelesen dass es daran liegen kann, wenn unter DNS-Einstellungen bei Upstream-DNS-Server und Bootstrap-DNS-Server die gleiche Adresse eingetragen ist. Bei mir aber nicht der Fall:

Upstream-DNS-Server:
https://dns.cloudflare.com/dns-query
https://dns.quad9.net/dns-query

Bootstrap-DNS-Server:
9.9.9.10
149.112.112.10
2620:fe::10
2620:fe::fe:10

Weiß jemand woran das liegt?
Vielen Dank

 

[plang.pl]

https://www.synology-forum.de/threads/adguard-home-unbound-erweiterte-konfiguration.132761/

EDIT: Du warst ja schon im anderen Thread...

 

[Duffman]

Hallo zusammen, ich habe ein Problem mit Unbound. Es wird direkt nach dem Start wieder geschlossen. In den Logs findet sich nichts aufschlussreiches.

Ich vermute ein Berechtigungsproblem. Wenn ich für "Everyone" Lese und Schreibrechte auf den data-Ordner gebe läuft es. Bei meinem normalen Setup aber nicht. Everyone hört sich aber für mich eher unsicher an. Wie kann ich herausfinden welcher User nun Berechtigung für Data braucht? Eigentlich sind Admins sowie mein Dockeruser berechtigt.

In der yaml-Datei wird ja auch keine User oder Group ID verlangt?!

 

[Duffman]

Ich versuche es nochmal. Sorry für meinen etwas nichtssagenden Post von Gestern Abend aber nach zwei Stunden erfolgloser Ursachenforschung war ich frustriert und hatte keine Lust mehr auf den ganzen Mist
Heute packt mich natürlich wieder der Ehrgeiz diesen nervigen Fehler zu finden...

Also ich habe Anfang Mai AdGuard Home und Unbound nach der vorne beschriebenen Anleitung aufgesetzt. Das hat soweit auch alles funktioniert und es lief auch die 2,5 Monate sauber ohne Komplikationen.
Ich hatte allerdings immer wieder Berechtigungsprobleme bei der Installation von Docker-Containern, so dass ich mich dazu entschieden habe einen eigenen Dockeruser samt Gruppe zu erstellen der über alle Rechte in den Docker-Ordnern verfügt. Auch das hat meine Berechtigungsprobleme soweit gelöst und es funktionierte soweit alles.

Letzten Donnerstag hatte ich dann plötzlich kein Internet mehr. Eine Ursachenforschung ergab, dass Unbound wohl nicht mehr ordnungsgemäß funktioniert. Habe dann Unbound deaktiviert und einen öffentlichen DNS-Resolver in AGH hinterlegt. Internet läuft also wieder - Unbound jedoch nicht.

Beim Versuch Unbound zu starten wird der Container direkt wieder beendet. Ohne Meldung im Log. Ich vermute es liegt ein Berechtigungsproblem vor. Ich hatte irgendwann ein paar Tage vor dem Unbound-Crash die Berechtigungen des Haupt Docker-Ordners auf die Unterordner vererbt. Dabei hab ich vielleicht irgendetwas zerschossen. Es ist zwar verwunderlich, dass der Crash erst mehrere Tage später erfolgte, aber wie oben geschrieben funktioniert Unbound, wenn ich "Everyone" Lese- und Schreibrechte auf den unbound/data-Ordner gebe.
Jetzt ist für mich die Frage wie ich das wieder gerade gebogen bekomme ohne "Everyone" zu nutzen.

Eine Abfrage des Docker Users mittels "sudo docker exec -it <Container-ID> whoami" zeigte "root" an. Der User root sollte aber doch ohnehin überall Rechte haben, oder? Ich Frage mich jetzt welchem User ich welche Rechte auf den Ordner data geben muss und bin mit meinem (zugegebenermaßen recht kleinen) Latein ziemlich am Ende...

 

[plang.pl]

Du kannst mal versuchen, ob es läuft, wenn du die Dateien einzeln in den Container mappst und nicht den ganzen Ordner. Hier wurde das mit dem Image von madnuttah gezeigt (das du genauso gut nehmen kannst):
https://www.synology-forum.de/threa...me-unbound-als-dns-server.127983/post-1241057