Aufgerufenen URLs eines Netzwerkgerätes ermitteln und blocken?

[HabNeFritzbox]

Dein Pi is der DNS den du verwenden möchtest damit Anfragen im Sande verlaufen.

Wie wo der IP Pool für den DHCP liegt ist irrelevant.

Ich setze bevorzugt in FB bei dem Gerät einen Haken für selbe IP und gut ist, so bekommen Geräte via DHCP ihre selbe IP. Sonst musst ja nach dem neumachen des Gerätes, evt. noch für jedes Betriebssystem, nach einem Treiber Update ect. jedesmal wieder Netzwerk manuell eingeben.

Entweder gibst intern einen eigenen DNS an, dann wird dieser via DHCP bekannt gegeben statt die IP der FB.

Oder lässt die FB den Pi als externen DNS befragen, wo andere sonst Google DNS ect. eintragen.

 

[Peter_Lehmann]

Als Anhaltspunkt (!), so ist meine Konfiguration:

• Jedem meiner Geräte habe ich eine feste IP ("Gerät hinzufügen") außerhalb des lokalen DHCP-Bereiches und natürlich auch einen aussagekräftigen Namen vergeben. (also keine IP-Vergabe in den lokalen Einstellungen der Geräte).
• DHCP ist aktiv, wird aber nur für "Gäste" eine dynamische IP vergeben, für alle anderen Geräte eben die eingestellte IP.
• => jedes dieser Geräte ist dauerhaft mit seinem Hostnamen anzusprechen, ein "ping" löst den Namen in die IP auf.
• als DNS-Server in der Fritz!box kann der des Providers eingetragen bleiben. Ich nutze allerdings "Quad9", 9.9.9.9
  
• Als "lokalen DNS-Server" trage ich in der Fritz!box die IP des pi-hole ein. => diese wird als DNS per DHCP an alle lokalen Clients verteilt.
  
• Im pi-hole ist die IP der Fritz!box als Upstream-DNS-Server eingetragen (Custom 1).
• Der DHCP-Server des pi-hole ist deaktiviert, es wird also, wie oben beschrieben, nur der des Routers genutzt.
• je nach Betriebssystem kann dann mit Bordmitteln der zu nutzende DNS-Server angezeigt werden => es muss die IP des pi-hole erscheinen.
• Die Funktion des pi-hole kannst du testen, indem du einen nslookup auf einen bekannten Werbeserver (bspw. adscale.de) abschickst. Als Ergebnis muss wieder die IP des pi-hole angezeigt werden.
• Desweiteren kannst du auch mit Bordmitteln des pi-hole (tail pihole.log) life sehen, was passiert. Und im Dashboard siehst du sogar, wie oft dieser Name geblockt wurde.

OK?

edit: Das Vorgenannte beschreibt nur die Nutzung von IPv4. Falls du (so wie ich) auch IPv6 (Dualstack) nutzt, dann solltest du natürlich auch die (richtigen!) IPv6-Adressen für den pi-hole in den Router als lokalen DNS und die des Routers im pi-hole als Upstream-DNS-Server eintragen. Nicht, dass sich dein TV die unerwünschten Seiten per IPv6 holt.


MfG Peter

 

[Mr. Brooks]

Entweder gibst intern nen eigenen DNS an, dann wird dieser via DHCP bekannt gegeben statt die IP der FB.

Oder lässt die FB den Pi als externen DNS befragen, wo andere sonst Google DNS ect. eintragen.

Bezieht sich das auf den "lokalen DNS-Server" unter "Heimnetzwerkübersicht / Netzwerkeinstellungen / IP4-Adressen" oder auf den normalen DNS-Server unter "Internet / Zugangsdaten / DNSv4-Server"? Beim zweiten will er für die Änderung eine Bestädigung über ein angeschlossenes Telefon. Hab aber keines angeschlossen. Das liegt noch in irgendeinem Umzugskarton.

Die Funktion des pi-hole kannst du testen, indem du einen nslookup auf einen bekannten Werbeserver (bspw. adscale.de) abschickst. Als Ergebnis muss wieder die IP des pi-hole angezeigt werden.

Ich bin unter Ubuntu unterwegs. Da kommt

nslookup adscale.de
Server:        127.0.1.1
Address:    127.0.1.1#53

Non-authoritative answer:
Name:    adscale.de
Address: 91.242.212.27

Was ist jetzt hier der verwendete DNS-Server? Vermutlich 127.0.1.1? In den FritzBox-Settings steht leider die IP des Provider-Servers nicht drin.

 

[HabNeFritzbox]

Heimnetz ist interne, der per DHCP mitgeteilt wird.

Bei Internet ist externe, welchen die FB dann befragt.

Beim ersten würden die Geräte direkt den Pi befragen, beim zweiten halt erst die FB und diese dann den Pi und cacht diese ggf. noch und würde so ggf. Änderungen an gesperrten Seiten verzögern.

 

[Mr. Brooks]

Heimnetz ist interne, der per DHCP mitgeteilt wird.

Das heißt für externe Aufrufe müsste ich den Pi bei den Zugangsdaten eingeben? Bei mir ist zwar der DHCP-Server aktiv, die Geräte haben aber alle eine statische IP. Erhält da der Computer dennoch den richtigen DNS-Server mitgeteilt, auch wenn er seine IP nicht per DHCP bekommt?

EDIT
Hab jetzt mal ein Telefon rausgekramt und einfach mal die IP des Pi bzw. die von einem Vorredner genutze 9.9.9.9 als DNS-Server verwendet. Bei 9.9.9.9 läuft alles wie bisher. Bei der IP des Pi gehen die Seitenaufrufe etwas langsamer, nsloopup schlägt aber fehl:

nslookup adscale.de
;; connection timed out; no servers could be reached

Als alternativen Server hab ich einfach 92.92.92.92 eingegeben um sicherzustellen, dass nicht zufällig dieser verwendet wird. Vermute mal 92.92.92.92 ist nicht zufällig auch ein Server.

Interessanterweise sieht der nsloopup-Aufrufe bei dem Server 9.9.9.9 genauso aus wie beim Provider-Server. Irgendwo müsste dich ein anderer DNS-Server stehen.

 

[HabNeFritzbox]

Die FB befragte den "externen" DNS für alles für was die nicht zuständig ist.

fritz.nas fritz.box ect. macht die FB selbst, der Rest wird abgefragt und gecacht.

Wenn Geräte manuell konfigurierst, ignorieren diese natürlich DHCP. Und mit jedem neumachen der Geräte, ggf. auch nem Netzwerktreiber Update ist manuelle Konfiguration eh wieder hinfällig.

Solltest also mal IP in FB ändern wollen, musst alle Geräte auch manuell verändert. Halte ganze eh für Schwachsinn, da IPv4 manuell hast, und IPv6 lässt wohl automatisch laufen.

Man kann den Geräten in FB selbe IP zuweisen lassen, und mittlerweile sogar im WebIF ändern, und Gerät würde nach neuer Verbindung/Neustart dann die neue IP bekommen.

Es ist kein Telefon notwendig wenn Fenster kommt, einfach eine der Knöpfe an FB drücken geht auch.

 

[Mr. Brooks]

Ich teste einfach nur den pi-hole und will deswegen nicht die ganze Konfig ändern. So ist sie nun einmal, mich stört der Aufwand mit dem anpassen der IP nicht. Das macht man ja nicht alle 2 Wochen.

Die Frage ist wie kann ich testen ob der ip-hole hier als DNS-Server genutzt wird? Soll angeblich mit nsloopup gehen, aber alle Anfragen zeigen haargenau den gleichen Output auch wenn ich den DNS-Server ändere. Ich habe wie geschrieben testweise 9.9.9.9 als externen eingestellt, das müsste man doch im nsloopup-Output sehen. Das gleichen wenn ich den Pi als externen DNS-Server einstelle. Auch das müsste man in nsloopup sehen, oder?

Ich habe die IP des Pi jetzt als DNS-Server unter Zugangsdaten hinterlegt. Das heißt er wird für alle externen Aufrufe genutzt? Ist das korrekt? Weiterhin steht er als interner DNS-Server drin. Das heißt pi-hole wird auch für internen Aufrufe genutzt? Korrekt?

Zunächst geht es erstmal nur um die Konfiguration von IPv4.

 

[HabNeFritzbox]

In nslookup siehst den befragten DNS, und dass ist Standard die FB. Seiden hast manuell anderen eingetragen, oder FB anderen zuweisen lassen als internen.

Du siehst dort nicht, was die FB befragt. Zudem cacht die FB ganze ja, also Änderungen können dauern, seiden fragst neue Hostnamen ab, sonst bekommst halt Antwort aus dem alten Cache.

127er IP ist Lokal, hast Abfrage wohl auf dem Pi gemacht und nicht vom anderen Gerät.

Wenn in Konsole anderen DNS befragen möchtest, schreibst diesen hinter den Hostnamen

C:\>nslookup fritz.box
Server:  fritz.box
Address:  fd00::X

Name:    fritz.box
Addresses:  fd00::X
          2003:X
          192.X

C:\>nslookup fritz.box 8.8.8.8
Server:  google-public-dns-a.google.com
Address:  8.8.8.8

*** fritz.box wurde von google-public-dns-a.google.com nicht gefunden: Non-existent domain.

 

[Mr. Brooks]

Zudem cacht die FB ganze ja, also Änderungen können dauern[/CODE]

Wie lange dauert das denn so bei der Fritzbox?

127er IP ist Lokal, hast Abfrage wohl auf dem Pi gemacht und nicht vom anderen Gerät.

Ich hab die Abfrage vom Ubuntu-Rechner aus gemacht. Aber da ist ja die Fritzbox als DNS-Server eingerichtet und wenn ich dich richtig verstehe richtet der Ubunturechner seine Anfrage an die Fritzbox. Daher wäre die Ausgabe von nslookup korrekt. Das ist aber nslookup als "Testwerkzeug", ob pi-hole tatsächlich verwendet wird, nicht geeignet.

Wenn in Konsole anderen DNS befragen möchtest, schreibst diesen hinter den Hostnamen

Na ja, das ist aber kein echter Test ob pi-hole läuft.

Ich vermute es hier aber mal, denn ein paar Minuten nach Änderung des DNS-Servers in der Fritzbox dauert die Seitenaufrufe merklich länger. Können das andere die pi-hole schon länger nutzen bestätigen? Wurde hier ja ziemlich gelobt? Ich habe es aber nur auf einem Pi2 und nicht mit einem frischen Raspbian-Image genutzt sondern mein DL-Server-Image wiederhergestellt. Da laufen halt auch NZBGet und sabnzbdplus parallel. Ist auch kein Jessie.

 

[HabNeFritzbox]

Cache kann schon mal halben oder ganzen Tag alte IPs haben.

Wenn nslookup von Pi kommt, befragt Tool wohl sich selbst, und nicht die FB, sonst würde da die FB als Server stehen, und dass ist eben nicht der Fall.

Doch ist ein Test ob der Pi seinen Job macht, befragst einmal den Pi, und einmal externen DNS.

nslookup adscale.de Pi-IP
nslookup adscale.de 8.8.8.8

bzw. änderst an einem Gerät den DNS auf die IP vom Pi und machst nslookup ohne extra DNS Angabe.

 

[Mr. Brooks]

Mit IP des Pi als externem DNS-Server kommt:

nslookup adscale.de 192.168.10.23
Server:       192.168.10.23
Address:   192.168.10.23#53

Name:   adscale.de
Address: 192.168.10.23

nslookup adscale.de 8.8.8.8
Server:       8.8.8.8
Address:   8.8.8.8#53

Non-authoritative answer:
Name:   adscale.de
Address: 91.242.212.27

nslookup adscale.de
;; connection timed out; no servers could be reached

All das hab ich unter Ubuntu ausgeführt. Direkt unter dem Pi sind die Ausgaben genauso. Wenn ich 192.168.10.23 als Server hinter nslookup einfüge ist ja klar, dass dieser als Server auch ausgegeben wird. Versteh das ganze nicht. adscale.de ist ohne Angabe des Servers gar nicht zu erreichen. Wieso nicht?

Einziger Hinweis auf den genutzten pi-hole ist die echt langsame Geschwindigkeit mit der Seiten geöffnet werden.

Mir ist das echt zu hoch.

 

[HabNeFritzbox]

Bei ersten Aufgabe hat der Pi sich selbst als Ziel angegeben statt die wirkliche IP vom Hostnamen, also funktioniert.

Die zweite Ausgabe ist ja auch korrekt, da direkt Google DNS befragst, und DNS Einstellungen ignoriert werden.

Bei der letzten ist wohl kein DNS oder fehlerhafter hinterlegt, daher keine Ausgabe.

Wenn alle Geräte die FB nutzen als DNS auch wegen internen Hostnamen, ist der Pi als externen bzw Zugangsdaten anzugeben. Wenn internen Hostnamen nicht verwenden möchst und eh mit IPs arbeitest, und nicht möchtest dass die FB DNS zwischenspeichert, dann direkt den Pi als DNS angeben, und lässt die externen einfach vom Internetanbieter.

 

[Micha0815]

Weil PiHole diese URL blacklisted?
LG

 

[HabNeFritzbox]

Wenn du die erste Ausgabe meinst, dann ja. Ziel ist ja dass Anfragen nicht an Werber/Spamer/Tracker ect. geht, und so im Sande verlaufen.

 

[Mr. Brooks]

Ich hab jetzt diese Adressen in der Blacklist eingetragen:

136.166.4.110
yumenetworks.com
smartclip.net
smartclip.com
llnwd.net
ibis.lgappstv.com
smartshare.lgtvsdp.com

Aktuell hab ich das Problem, dass z. B. die YouTube-App manchmal nicht startet da scheinbar keine Zeitsynchronisation mit einem Zeitserver erfolgt und daher alle 7 oder so Tage das Auslieferungsdatum eingestellt wird. YT meldet dann einen Zertifikatsfehler. Ich muss die Zeit manuell einstellen. Kann man erkennen welche dieser Adressen dafür verantwortlich ist? Ich hab erstmal testweise 'smartshare.lgtvsdp.com' raus genommen.