DNS Resolver nicht auf LAN IF aktiv wenn dieses beim Booten down war

EyeTap

Hallo Leute,

Hätte da bitte eine Frage an die Experten:

Ich habe heute festgestellt, dass wenn ich meine pfSense als erstes Gerät nach den WAN Modems (ISP) starte (also wenn noch kein Switch am LAN Port aktiv ist), der DNS Resolver am LAN Port nicht zur antwortet.
(Also auch dann nicht, wenn der LAN Switch nachher aktiv und der LAN Port up ist).

Wenn man den DNS Resolver Dienst einmal neu startet sobald der LAN Port up ist, funktioniert alles wie es soll.

Ist jetzt kein Drama, schön ist das aber nicht, wenn man sicherstellen muss dass das Netzwerk vor der pfSense up and running ist.

Ist das normal? Lässt sich das ev. ändern?

Vielen herzlichen Dank!

Ach ja - hier meine Netzwerklayout:

                WAN 1                    WAN 2
                 :                       :
                 : DSL-Provider          : Cable-Provider
                 :                       :
                 |                       |
            .----+----.     ISP     .----+----.
            | Router1 |    Router   | Router2 |
            '----+----'             '----+----'
  93.83.54.r1/30 |                       | 212.186.67.r2/28
     (WAN 1)     |      .---------.      |    (WAN 2)
                 +------| pfSense |------+
     93.83.54.p1/30     '----+----' 212.186.67.p2/28
                             |
                         LAN | 192.168.150.0/24
                             | 
                       .-----+------.       .------------. 
                       | LAN-Switch |-------| 2 Pi-Holes |
                       '-----+------'       '------------'
                             |            192.168.150.14 & 15/24
                             |
                     ...-----+-----...
                     (Clients/Servers)

EyeTap

Nachtrag - nachdem mir noch etwas eingefallen ist und um damit jetzt hoffentlich nichts Wesentliches vergessen zu haben:

es handelt sich um pfSense V2.6.0
Auf dem WAN IF ist auch ein VLan zusätzlich eingerichtet
Hardware ist eine IPU882

micneu

@eyetap kann ich bisher nicht nachvollziehen da ich immer mit angeschlossenem switch boote (warum soll ich auch beim booten den switch trennen?)

EyeTap

@micneu

Der Grund ist, dass am angeschlossen Switch teils PoE Devices hängen die ev. flotter als die pfSense (ja, die startet mit ca 2min schon recht schnell) booten….
Anderer Grund wäre falls der Switch langsamer als die pfSense bootet bzw danach erst einen Link aufbaut…

Letztendlich kann man wohl drum herum arbeiten, aber schön wärs doch, wenn der Resolver auch funktioniert wenn der Link zum LAN erst nach dem booten aufgebaut wird…

micneu

@eyetap meine ap`s hängen auch am poe switch, und wenn die sense bootet sind meist die geräte am switch (noch) eingeschaltet

EyeTap

@micneu - meistens ja, manchmal nein.
Teils steck ich auch einfach das LAN Kabel zwischen Routern um, bzw habe ich das in der Vergangenheit (pre pfSense) öfters mal gemacht - wenn man dann anfangen muss Fehler zu suchen, wieso denn die Verbindung ins Internet nicht geht ist das einfach suboptimal...

nonick

@eyetap Ich nutze dafür ein Script. Dieser startet den DNS-Resolver nach einer festgelegten Zeit (im Beispiel 600 Sekunden) nach dem Start/Neustart der pfSense automatisch neu.

#!/bin/sh
PATH=/usr/bin:/usr/sbin:/sbin:/bin:/usr/lib/news/bin:/usr/local/bin

/bin/sleep 600 && /usr/local/sbin/unbound-control -c /var/unbound/unbound.conf reload

Dann noch einen Cronjob erstellen der das Script nach dem Start/Neustart aufruft.

@reboot root /usr/bin/nice -n20 /pfad/zum-script.sh

EyeTap

@nonick

Ich habe da übers Wochenende ziemlich viel gegoogelt und bin über 2 interessante Seiten gestolpert:

https://redmine.pfsense.org/issues/12613
https://redmine.pfsense.org/issues/11547

Insbesondere der 2. Link scheint mir - obwohl das Thema ja bereits erledigt sein sollte - interessant.

Ich bin noch nicht dazu gekommen, das auszuprobieren, aber ich habe als Interfaces im Resolver auch nicht "All" ausgewählt.

Ich habe vor das die Woche zu testen, wenn die Umstellung des IF's als Workaround funktioniert, dann wäre das wahrscheinlich die attraktivste "Lösung" da "Out of the Box"... (insbesondere auch, da das ja offenbar kein Sicherheitsthema sein soll)...

EyeTap

@nonick

Ich habe das jetzt ausprobiert - Das scheint wirklich geholfen zu haben.
Seit ich für den Resolver die Network Interfaces auf "All" gestellt habe, löst der Resolver auch auf wenn das Interface erst nach dem Start einen Link hat...

Ich finde das zwar nicht wirklich verständlich, aber was solls...