Directory Server Pi-Hole und Synology DNS mit Directory Server

[Yippie]

Hi!

Ich plane gerade den Einsatz von Pi-hole im meinem privaten LAN. Das LAN, bzw. die Windows Clients sind in einem Synology Directory Server eingebunden.

Der aktuelle 1. DNS-Server läuft auf einer Firewall, der 2. per DHCP zugewiesene DNS Server, zeigt auf den Synology Primary Domain Controller .
Lt. Doku von Synology bzw. lt. anhand verschiedener Quellen, muss der DNS-Server der Synology zwingend erreichbar sein, wegen der Namensauflösung bzw. autom. Eintragung von A-Records der AD-Clients usw. (die Details bzw. die Technik dahinter kenne ich jetzt nicht im Detail).

Nun soll Pi-hole den bislang 1. DNS Server der Firewall ersetzen und für alle DNS Abfragen zuständig sein.
Kann bzw. wo, muss der weiterhin erforderliche Synology DNS eingetragen werden? In Pi-hole oder wie heute im DHCP-Server?

Hat jemand eine ähnliche Konstellation auf Laufen und kann Tipps geben?

 

[Adama]

Ich benutze insofern was ähnliches, als dass ich eine "richtige" Samba-AD-Domäne hab (Der Directory-Server ist ja nichts anderes).

Die Clients bekommen per DHCP die DNS-Server der DCs. Im AD sollte immer der (die) DNS-Server des (der) DCs der (die) erste (ersten) sein, da die Services des AD (Kerberos etc.) immer über DNS gefunden und angesprochen werden.

In den DNS-Servern der DCs ist dann als Weiterleitung mein PiHole eingetragen.

Es passiert also folgendes: Fragen die Clients nach internen Resourcen, antwortet entspechend der DNS der DCs. Wenn z.B. eine externe Resource angefragt wird, dann leiten die DNS-Server der DCs diese weiter an PiHole, der dann filtert oder die Anfrage an einen der eingetragenen öffentlichen DNS-Server (in meinem Fall Quad9) weiterleitet.

 

[Yippie]

Es passiert also folgendes: Fragen die Clients nach internen Resourcen, antwortet entspechend der DNS der DCs. Wenn z.B. eine externe Resource angefragt wird, dann leiten die DNS-Server der DCs diese weiter an PiHole, der dann filtert oder die Anfrage an einen der eingetragenen öffentlichen DNS-Server (in meinem Fall Quad9) weiterleitet.

Hört sich gut an! Danke für die Rückmeldung!

Somit folgendes Konstrukt sinnvoll (PDC = Primary Domain Controller, SDC = Secondary Domain Controller):
DHCP: DNS PDC (hier bei mir Syno1) + DNS SDC (hier bei mir Syno2)

PDC/Syno1: DNS Weiterleitung -> Pi-hole
SDC/Syno2: DNS Weiterleitung -> Pi-hole

 

[Adama]

Rowland aus der Samba-Mail-Liste würde jetzt antworten: Bei AD gibt es keinen PDC. Alle DCs sind gleichberechtigt, nur einer der DCs hält die FSMO und damit die PDC-Rolle daraus. Das hat aber nur was mit Rückwärts-Kompatibilität zu tun. Aber das nur am Rande.

Aber wie du es beschreibst, wäre es korrekt...

 

[Yippie]

Muss nochmals nachhaken: Ich habe es nun so wie oben beschrieben eingestellt. Bedeutet, dass die (Windows-)Clients zunächst an der Synology anfragen und dise dann an Pi-hole weiterleitet.

Funktioniert hier super, mit dem kleinen unschönen Nachteil, dass im Pi-hole Dashboard jetzt die Synology als der Spitzenreiter bei den DNS-Queries auftaucht. Mir wäre lieber, ich sehe dort die einzelnen Clients.

Wäre dies auch konfigurierbar?

 

[Adama]

Keine Ahnung. Bei mir tauchen auch nur meine DCs in der Liste auf. Ist mir aber - ehrlich gesagt - ziemlich egal.