Gast WLAN macht keine Namensauflösung....

fischershome

Hallo Zusammen...

Habe mich fest gefahren.... :-)

Alles funktioniert im Lan Netz (192.168.0.254)...

Ich habe jetzt eine zweites Gast Netz (192.168.5.254) funktioniert der DNS Dienst nicht...

PFSense Lan-Karte: 192.168.5.254
AP Wlan: 192.168.5.253
DHCP-Server: 192.168.5.100 bis 192.168.5.199
Wlan Client: 192.168.5.100

Via DHCP bekommt im Gast-Netz der Wlan Client die IP Adresse:

Drahtlos-LAN-Adapter WLAN:

   Verbindungsspezifisches DNS-Suffix: Fischershome.com
   Beschreibung. . . . . . . . . . . : Marvell AVASTAR Wireless-AC Network Controller #2
   Physische Adresse . . . . . . . . : 28-16-A8-51-59-6C
   DHCP aktiviert. . . . . . . . . . : Ja
   Autokonfiguration aktiviert . . . : Ja
   Verbindungslokale IPv6-Adresse  . : fe80::e980:3f8c:6372:ed38%30(Bevorzugt)
   IPv4-Adresse  . . . . . . . . . . : 192.168.5.100(Bevorzugt)
   Subnetzmaske  . . . . . . . . . . : 255.255.255.0
   Lease erhalten. . . . . . . . . . : Dienstag, 25. Januar 2022 14:35:40
   Lease läuft ab. . . . . . . . . . : Dienstag, 25. Januar 2022 16:35:41
   Standardgateway . . . . . . . . . : 192.168.5.254
   DHCP-Server . . . . . . . . . . . : 192.168.5.254
   DHCPv6-IAID . . . . . . . . . . . : 640161448
   DHCPv6-Client-DUID. . . . . . . . : 00-01-00-01-24-5B-49-C4-28-16-A8-51-59-6C
   DNS-Server  . . . . . . . . . . . : 178.238.160.67
                                       212.103.95.254
                                       8.8.8.8
                                       8.8.4.4
   NetBIOS über TCP/IP . . . . . . . : Aktiviert

Ich kann auch ein Ping auf 8.8.8.8 absetzen und ich bekomme auch sofort ein Antwort...
(Alle IP-Adressen im internen oder im externen Internet kann ich anpingen)
Ich kann auch ein Homepage im Internet via IP Adresse erreichen.

Homepage z.b. google.com im Browser wird nicht aufgelöst und somit nichts gefunden.

Wenn ich ein Ping z.b. auf den Hostname "google.ch" mache kommt nach 5 Sekunden die Meldung:

ping google.ch
Ping-Anforderung konnte Host "google.ch" nicht finden. Überprüfen Sie den Namen, und versuchen Sie es erneut.

Ich habe mal alle Rules deaktiviert und ein Rule gemacht, dass alles ist offen...

DHCP vom Gast Wlan (192.168.5.0) ist gleich wie DHCP Lan (192.168.0.0)

Der DNS Server sind für alle Netze...

In der Firewall Logs finde ich kein Log Einträge oder eine Sperrung vom Gast Wlan...

Habe mehre PC Geräte ausprobiert bekommt vom DHCP alle Daten aber der DNS reagiert nicht...

Was habe ich übersehen?

viragomann

@fischershome said in Gast WLAN macht keine Namensauflösung....:

Der DNS Server sind für alle Netze...

Das dürfte hier ziemlich irrelevant sein, nachdem du den Clients andere DNS Server über den DHCP setzt.

Können sie die externen auch erreichen? Oder ist das doch nicht beabsichtigt?

fischershome

Das hat PFSense so Standard erstellt... Ich meinte, dass ich nichts Falsch mache habe es so sein gelassen.. :-)

viragomann

@fischershome
Die Mailserver-Einträger im DHCP?
Noch nie gesehen.

fischershome

@viragomann said in Gast WLAN macht keine Namensauflösung....:

@fischershome
Die Mailserver-Einträger im DHCP?
Noch nie gesehen.

Was meinst du mit MailServer?
Sind doch alle ein DNS Server:

178.238.160.67 (ns1.wingo.ch) und 212.103.95.254 (nsa1.nts.ch) von meinen Provider Wingo (Swisscom)
8.8.8.8 und 8.8.4.4 vom Google

Sonst würde auch das Lan Netz nicht funktionieren, wenn es die falschen DNS Server sind....

viragomann

@fischershome
Ja, DNS Server. Sorry, hatte gerade den Kopf mit einem anderen Problem voll.

Okay, du stellst die DNS Server über DHCP bereit.
Gleichzeitig zeigst du uns deine Resolver-Konfiguration. Der Resolver interessiert die Clients aber nicht, die verwenden jene, die du im DHCP angegeben hast.

Wenn du den Resolver verwenden möchtest und aber auch die Server deines Providers, dann musst du die DNS Server aus der DHCP Konfiguration löschen. Die IP der pfSense wird dann automatisch an die Clients übermittelt.
Im Resolver musst du die Weiterleitung aktivieren und die Server in System > General eintragen. Letzteres hast du vermutlich schon gemacht.
Ansonsten nutzt der Resolver Root-DNS-Server.

Und bevor du auf mich zurückklopfst, das ist nicht die Lösung für die Namensauflösung im Gastnetz, aber sollte erst mal in Ordnung gebracht werden.

Dann überprüfe die Auflösung am Client einfach mit nslookup.

NOCling

Irgendwie ergibts das alles keine gerade Linie.

Du hast public DNS die du intern verwendest, hast auf der Sense aber den Resolver aktiv und setzt pfBlocker ein mit uns unbekannten Listen.

Auf einer dieser Liste könnten sich die IPs befinden, die du an deine Clients als DNS Server propagierst.

Ich habe hier auch den Resolver aktiv, lege aber sehr viel Wert drauf dass außer meine pfSense niemals ein Client mit einem externen DNS Server interagieren kann.
Denn nur so habe ich den entsprechenden DNS Schutz durch den pfBlockerNG.
Zudem der Unbound hier im LAN, wenn man ihn gescheit einstellt, mit Cache und prefetch, eh immer der schnellste ist.

Also gehe noch mal ans Reißbrett mit deiner Gesamteinrichtung.

fischershome

Danke für eure Hilfe....

Ich habe alles probiert, leider will Pfsense Firewall den DNS Server im DHCP nicht mehr selber eintragen... (Im System Info sehe ich alle meine DNS Server somit kennt PFsense meine DNS Server)

Sobald ich im DHCP die manuelle DNS Einträge entferne nimmt Pfsense nichts mehr vom Provider oder im Allgemeine Einstellungen die DNS Einträge. Beide Netze (Lan oder Gast-Wlan) machen die Probleme und bekommen nur eine DNS Server (IP-Adresse vom PFsense) vom DHCP und dieser reagiert nicht.

Habe immer wieder von andern Forum gelesen, dass die Benutzer nur noch via Werkseinstellung das Problem lösen konnten...

PFsense ist ein tolle Firewall aber vielleicht doch eine kleine Diva :-)

Habe eine grosse Liste für Reserviert IP Adressen und müsste sie wieder neu erstellen und hoffe, dass es doch noch eine andere Lösung gibt...

Die Sicherung vom PFsense ist vermutlich auch mein Bug mit gespeichert worden...

Habe vor zwei Tagen ein Wiederherstellung gemacht.

Macht es ein unterschied wenn man erst Werkseinstellung macht dann ein Wiederherstellung vom Backup?

Oder kann man nur DHCP und DNS zurücksetzen?

Oder muss ich in den sauren Apfel beissen und von null nochmals anfangen?

micneu

@fischershome keine ahnung was genau bei dir schiefgegangen ist, ich habe unzählige sense aufgesetzt und sowas ist bei mir noch nicht gewesen.

ich würde erstmal empfehlen mit einem minimalen setup neu zu starten und zusehen das in beiden netzen auch dns läuft. wenn du es dann soweit am laufen hast auf alle fälle schon mal das erste backup machen und dann weiter finetunen.

und die sense ist keine diva, das problem ist meist vor dem bildschirm (sorry das ist meine meinung)

viragomann

@fischershome said in Gast WLAN macht keine Namensauflösung....:

Beide Netze (Lan oder Gast-Wlan) machen die Probleme und bekommen nur eine DNS Server (IP-Adresse vom PFsense) vom DHCP und dieser reagiert nicht.

So wäre es ja gedacht, dass die Clients die IP der pfSense zugewiesen bekommen. Und wenn der Resolver läuft, sollte dieser DNS Anfragen auf dieser IP beantworten.
Tut sie das nicht, sollte dieses Problem untersucht werden.

Schließlich möchtest auch deine internen Hostnamen aufgelöst haben. Das würde nicht funktionieren, wenn die Clients DNS Anfragen direkt an die öffentlichen Server schicken, die kennen keine Antwort darauf.

Also würde ich mal sehen, was auf einem Client Rechner

nslookup google.ch

zurückgibt.
Unter Server sollte die IP des verwendeten DNS Servers stehen, also die der pfSense.

Du kannst die Server IP auch mitgeben:

nslookup google.ch <DNS Server>

JeGr

@fischershome said in Gast WLAN macht keine Namensauflösung....:

PFsense ist ein tolle Firewall aber vielleicht doch eine kleine Diva :-)

eigentlich nicht. Meistens (>99%) macht sie strichgenau das was man ihr sagt oder eben nicht sagt ;)

@fischershome said in Gast WLAN macht keine Namensauflösung....:

Sobald ich im DHCP die manuelle DNS Einträge entferne nimmt Pfsense nichts mehr vom Provider oder im Allgemeine Einstellungen die DNS Einträge. Beide Netze (Lan oder Gast-Wlan) machen die Probleme und bekommen nur eine DNS Server (IP-Adresse vom PFsense) vom DHCP und dieser reagiert nicht.

Ja natürlich macht sie das dann nicht - das SOLL sich ja auch nicht! Es wäre manchmal hilfreich, wenn man die Doku liest zu dem was man tut ;)
https://docs.netgate.com/pfsense/en/latest/services/dhcp/ipv4.html#servers

The DNS Servers may or may not need filled in, depending on the firewall configuration. If the built-in DNS Resolver or DNS Forwarder is used to handle DNS, leave these fields blank and pfSense® will automatically assign itself as the DNS server for client PCs. If the DNS forwarder is disabled and these fields are left blank, pfSense will pass on whichever DNS servers are defined under System > General Setup. To use custom DNS Servers instead of the automatic choices, fill in the IP addresses for up to four DNS servers here. In networks with Windows servers, especially those employing Active Directory, it is recommended to use those servers for client DNS. When using the DNS Resolver or DNS forwarder in combination with CARP, specify the CARP Virtual IP address on this interface here.

Also übersetzt: im DNS Server nichts eintragen führt zu:

DNS Resolver intern genutzt und konfiguriert: pfSense trägt sich selbst als DNS ein und schickt das an die Clients - was sie machen MUSS sonst ist der ganze pfBlocker DNSBL Kram nämlich für die Tonne
Wenn DNS Forwarder aus ist und sonst nichts antworten würde, werden die System DNSe vom OS selbst (aus System / General) als DNS an die Clients weitergegeben damit sie überhaupt welche bekommen.
Ansonsten fülle hier die Felder aus mit IPs die an die Clients weitergereicht werden sollen.

Wenn der Client bei einem IPconfig /all (Windows) anzeigt, dass der DHCP und DNS Server die pfSense IP auf dem entsprechenden Interface ist, ist das richtig aufgesetzt, wenn man auf der Sense mit DNS und DNSBL arbeitet.

Wenn DNS dann vom Client mit einem simplen NSlookup nicht geht (siehe Virago), dann klemmts am DNS Resolver und man muss sich die Config mal anschauen. Meistens hat dann jemand irgendwelche ACL Listen definiert, den Resolver auf irgendwelche Interfaces gebunden/konfiguriert etc. was nicht passt und daher gibt er dem Client dann keine Antwort.

Cheers :)