Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    DNS over TLS + Diagnostic > DNS Lookup

    Scheduled Pinned Locked Moved
    Deutsch
    dns over tls
    5
    20
    2.1k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • V
      viragomann
      last edited by

      Hallo,

      um DNS Requests an unserem Provider vorbei zu schleusen habe ich vor 2 Wochen DNS over TLS eingerichtet.

      Ich habe mir dazu auf https://de.wikipedia.org/wiki/DNS_over_TLS ein paar Server ausgesucht, die das unterstützen und laut Angaben nicht loggen und diese in den General Settings eingetragen und eingestellt, dass ausschließlich der Resolver genutzt wird.

      Im Resolver habe ich "DNS Query Forwarding" und "Use SSL/TLS for outgoing DNS Queries" aktiviert.
      Und zu meiner Freude hat das auch gleich auf Anhieb funktioniert und bislang gibt es keine DNS Probleme auf den Clients.

      Doch ein Problem macht nun allerdings Diagnostics > DNS Lookup, das DoT nicht verwendet und die Requests unverschlüsselt auf die in System > General eingetragenen Server schickt. Diese hören aber gar nicht auf Port 53 und das Tool wartet für jeden der drei Server den unvermeidlichen Timeout ab.
      Damit dauert es knapp 1 Minute, bis man das Ergebnis erhält. Das DNS Lookup Werkzeug ist so nicht mehr zu gebrauchen.

      Kennt jemand eine Möglichkeit, der pfSense zu sagen, dass sie ebenfalls DoT verwenden soll, oder die Abfrage der externen Server überhaupt zu deaktivieren?
      Letzteres sollte ja aus der "DNS Resolution Behavior" Einstellung ohnehin hervorgehen.

      Bob.DigB 1 Reply Last reply Reply Quote 0
      • Bob.DigB
        Bob.Dig LAYER 8 @viragomann
        last edited by Bob.Dig

        @viragomann Moin, kann das Problem nicht nachvollziehen.

        Capture.PNG

        Capture2.PNG

        V 1 Reply Last reply Reply Quote 0
        • V
          viragomann @Bob.Dig
          last edited by

          @bob-dig
          Hi,

          vermutlich, weil deine Server allesamt auch unverschlüsseltes DNS machen.

          Ich hatte aber eine so glückliche Auswahl getroffen, dass das auf keinen einzigen Server zutrifft.

          4f891887-0b58-4dae-9a62-c3e9b26fada8-grafik.png

          Wäre jetzt zu blöd, die DNS Lookup Server nur wegen des des Tools zu ändern.
          Von einem Windows oder Linux Client im LAN kann ich ja einen Lookup über DoT machen, aber die pfSense macht es nicht und das Tool hatte ich gerne genutzt, weil es schnell zur Stelle ist.
          Daher wäre die Frage, ob man das wo aktivieren könnte.

          JeGrJ 1 Reply Last reply Reply Quote 0
          • JeGrJ
            JeGr LAYER 8 Moderator @viragomann
            last edited by JeGr

            @viragomann Du kannst ab 2.6 in den General Settings ja das Handling von DNS einstellen. Wenn du nur verschlüsselt sprechen willst, darfst du die DNSe im General nicht unverschlüsselt direkt verwenden lassen. Also beim DNS Res Behavior einstellen, dass NUR 127.0.0.1 genutzt werden soll, dann werden auch keine Requests unverschlüsselt an die IPs geschickt.

            Cheers :)

            c1d88f94-912e-4649-92ed-c05486f4e357-image.png

            Don't forget to upvote 👍 those who kindly offered their time and brainpower to help you!

            If you're interested, I'm available to discuss details of German-speaking paid support (for companies) if needed.

            V 1 Reply Last reply Reply Quote 0
            • V
              viragomann @JeGr
              last edited by

              @jegr
              Hallo,

              hatte gedacht, dass es Sinn machen könnte, die Version noch mit anzugeben: 2.5.2

              Allerdings, die in deinem Screenshot gezeigte Einstellung gibt es da auch und ist auch so gesetzt. Das habe ich ja oben geschrieben.

              Das dürfte auch soweit einwandfrei funktionieren. Einzig das DNS Lookup Tool der pfSense versucht dennoch, die eingetragenen DNS Server abzufragen.

              JeGrJ 1 Reply Last reply Reply Quote 0
              • JeGrJ
                JeGr LAYER 8 Moderator @viragomann
                last edited by

                @viragomann Oh my bad, ich hatte da nicht richtig hingesehen. Stimmt das Lookup Tool versucht stumpf immer alle DNSe zu erreichen. Müsste man ggf. mal als Bug eintüten oder mit nem Feature Request verpacken, dass man ggf. trotz Einstellung alle testen kann. Aber da hast du recht, der versucht einfach stumpf gegen alle.

                Don't forget to upvote 👍 those who kindly offered their time and brainpower to help you!

                If you're interested, I'm available to discuss details of German-speaking paid support (for companies) if needed.

                Bob.DigB V 2 Replies Last reply Reply Quote 0
                • Bob.DigB
                  Bob.Dig LAYER 8 @JeGr
                  last edited by Bob.Dig

                  @jegr Und nutzt nie 853. Weiß aber nicht, ob ich das wirklich schlimm finden soll oder man einfach mindestens einen DNS Server nutzt, der auch Port 53 kann.

                  V 1 Reply Last reply Reply Quote 0
                  • V
                    viragomann @JeGr
                    last edited by

                    @jegr
                    Wäre interessant, was da im Hintergrund läuft. In der Shell bietet pfSense sowohl dig als auch nslookup.
                    Mit dig kann ich DoT-Server abfragen, mit nslookup hatte ich das nur auf Windows geschafft.

                    1 Reply Last reply Reply Quote 0
                    • V
                      viragomann @Bob.Dig
                      last edited by

                      @bob-dig said in DNS over TLS + Diagnostic > DNS Lookup:

                      oder man einfach mindestens einen DNS Server nutzt, der auch Port 53 kann.

                      Dann bleibe mir immer noch, die Timeouts der anderen abzuwarten, um ein Ergebnis zu sehen.

                      Bob.DigB 1 Reply Last reply Reply Quote 0
                      • Bob.DigB
                        Bob.Dig LAYER 8 @viragomann
                        last edited by Bob.Dig

                        @viragomann Wo bei mir gerade gar nichts ging, kamen auch sofort die timeouts...
                        Das Logging aller DNS requests hat meine Sense außerdem in die Knie gezwängt, musste ich feststellen.

                        V 1 Reply Last reply Reply Quote 0
                        • V
                          viragomann @Bob.Dig
                          last edited by

                          @bob-dig said in DNS over TLS + Diagnostic > DNS Lookup:

                          Das Logging aller DNS requests hat meine Sense außerdem in die Knie gezwenkt, musste ich feststellen.

                          ?
                          Was loggst du da?

                          Bob.DigB 1 Reply Last reply Reply Quote 0
                          • Bob.DigB
                            Bob.Dig LAYER 8 @viragomann
                            last edited by Bob.Dig

                            @viragomann hab mal alles mit Port 53 und 853 loggen wollen, hab außerdem währenddessen das Logfile löschen wollen, damit kam sie dann nicht mehr so recht klar...

                            V 1 Reply Last reply Reply Quote 0
                            • V
                              viragomann @Bob.Dig
                              last edited by

                              @bob-dig
                              Packet capture mit full-details?
                              Hast wohl eine Menge DNS Abfragen.

                              W 1 Reply Last reply Reply Quote 0
                              • W
                                wkn @viragomann
                                last edited by

                                Was ist denn eigentlich der große Nutzen von DoH oder DoT, wenn die IP aus der aufgelösten DNS-Query dann doch danach wieder direkt "kontaktiert" wird?

                                Ich nutze Unbound in Resolver-Modus, das LAN redirected auf die pfSense, DoH-Server blockiert.

                                V 1 Reply Last reply Reply Quote 0
                                • V
                                  viragomann @wkn
                                  last edited by

                                  @wkn
                                  Das Vertrauen in unseren Provider ist nicht mehr gegeben und wir werden uns mittelfristig auch von ihm trennen. Aber bis dahin möchte ich unser Netz möglichst von ihm abschotten.

                                  Unverschlüsseltes DNS könnte auf einen eigenen Server umgeleitet und mit Overrides belegt werden. Mit DoT oder DoH geht das nicht.

                                  T 1 Reply Last reply Reply Quote 0
                                  • T
                                    thiasaef @viragomann
                                    last edited by thiasaef

                                    @viragomann said in DNS over TLS + Diagnostic > DNS Lookup:

                                    Aber bis dahin möchte ich unser Netz möglichst von ihm abschotten.

                                    WireGuard auf einen Server des Vertrauens ... done

                                    Unverschlüsseltes DNS könnte auf einen eigenen Server umgeleitet und mit Overrides belegt werden. Mit DoT oder DoH geht das nicht.

                                    Ohne DoT oder DoH auch nicht, denn DNSSEC sichert die Integrität der unverschlüsselten DNS Antwort ab.

                                    V 1 Reply Last reply Reply Quote 0
                                    • V
                                      viragomann @thiasaef
                                      last edited by

                                      @thiasaef
                                      VPN ist jetzt nicht die Option. Wir nutzen IPs des Providers für eingehende Verbindungen.

                                      Danke für den Link zum DNSSEC Guide.
                                      DNSSEC setzt demnach voraus, dass die erfragte Domain signiert ist. Wie verbreitet ist denn das? Das ist irgendwie schlecht greifbar für mich.
                                      Ich nehme an, dass die "Großen", die für beispw. Updates kontaktiert werden, alle signierte Domains haben.(?) Damit wäre wohl das Wichtigste eh schon abgedeckt.

                                      T 1 Reply Last reply Reply Quote 0
                                      • T
                                        thiasaef @viragomann
                                        last edited by thiasaef

                                        @viragomann said in DNS over TLS + Diagnostic > DNS Lookup:

                                        DNSSEC setzt demnach voraus, dass die erfragte Domain signiert ist.

                                        Nein! Authentizität != Integrität.

                                        Wie verbreitet ist denn das?

                                        Wenig: https://rick.eng.br/dnssecstat/

                                        V 1 Reply Last reply Reply Quote 0
                                        • V
                                          viragomann @thiasaef
                                          last edited by

                                          @thiasaef said in DNS over TLS + Diagnostic > DNS Lookup:

                                          Nein! Authentizität != Integrität.

                                          Dann versteh ich wohl nicht, wie DNSSEC die Integrität sicherstellt. So wie ich das lese, ist die Signatur dafür nötig.

                                          T 1 Reply Last reply Reply Quote 0
                                          • T
                                            thiasaef @viragomann
                                            last edited by

                                            @viragomann ich bin bisher davon ausgegangen, dass es zur Wahrung der Integrität der Antwort genügt, wenn der verantwortliche autoritative Nameserver DNSSEC unterstützt, aber jetzt, wo du nachfragst, bin ich mir nicht mehr sicher, ob das stimmt. 🤔

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post