Keine DNS-Auflösung in der DMZ

[Alcamar]

Hallo Netzwerkexperten,

Ich habe eine Routerkaskade mit der pfSense und Fritzbox.
Folgende Netze laufen:

• LAN (192.168.1.0)
• WAN (192.168.178.0)
• DMZ (10.10.1.0)

Folgendes Problem:

• ping www.google.de geht bei LAN-Clients aber nicht bei DMZ-Clients.

• ping 8.8.8.8 geht in DMZ und LAN

Der Client im DMZ ist ein Raspi. Der in der /etc/resolv.conf leider nur sich selbst drin stehen hat:

# Generated by resolvconf
nameserver 127.0.0.1

Da sollte natürlich ein richtiger Nameserver stehen, der aber auch aus meiner Anfängerbrille von der pfSense kommen müsste. Deshalb vermute ich da auch mein Problem. Laut Beiträge im Netz, soll man in der pfsense im General Setup unter DNS Server Settings keine DNS-Server eintragen, weil diese über DHCP von der FritzBox kommen. Ist aber eher nicht der Fall, oder?

So sehen meine Einträge im DMZ-Interface und im DHCP-Server für DMZ aus.
Kann mir bitte jemand einen Hinweis wonach ich schauen sollte?
Ich denke, dass mein Fehler in der pfSense ist, weiss aber nicht, ob ein Setting oder eine Firewall-Regel fehlt.

nslookup, traceroute, dig kann ich in der DMZ nicht aufrufen. Da kommt maximal ein connection timeout.

[NOCling]

Wenn du in der DMZ per DHCP IPs verteilst, dann trage hier bitte für die DMZ noch den DNS Server ein, das ist die IP der pfSense im jeweiligem Netz. Also bei dir die 10.10.1.1.

Was unter General steht ist nur für den Fall gedacht, wenn der interne Resolver (Unbound) nicht funktioniert.
Es kommt also darauf an was du im DNS Resolver so eingestellt hast, ob und wie gut dieser funktioniert.
Hast du hier nichts verbogen, sollte mit den Default Setting arbeiten und Namen Auflösen können.

Edit:
Und das Regelwerk in der DMZ muss DNS zu IP der pfSense berechtigen.

[Alcamar]

@nocling Danke für Deine Rückmeldung.
meinst Du diese Regel?

[NOCling]

Ja fast, ich regle so etwas mit einer Int Group und Ziel "This Firewall":

[Alcamar]

@nocling

ich vermute, dass beim DNS Resolver nichts "verbogen" ist, oder?

Deine Rules erscheinen mir plausibel, und ich habe sie übernommen. Nach Reboot des Raspis im DMZ ist aber das Ergebnis leider unverändert.

[viragomann]

@alcamar said in Keine DNS-Auflösung in der DMZ:

Generated by resolvconf

nameserver 127.0.0.1
Da sollte natürlich ein richtiger Nameserver stehen, der aber auch aus meiner Anfängerbrille von der pfSense kommen müsste. Deshalb vermute ich da auch mein Problem.

Und warum änderst du den Eintrag nicht einfach?

Wenn die pfSense selbst den DNS bereitstellt, ist dafür übrigens kein Eintrag in der DHCP Konfiguration erforderlich. Die jeweilige Interface IP wird automatisch an die Client verteilt.

[Alcamar]

@viragomann Du meinst also, das wäre nicht zwingend notwendig gewesen den DNS-Eintrag im DHCP-Server der DMZ vorzunehmen?

die /etc/resolv.conf hatte ich schonmal geändert. Das ist recht umständlich, weil die Datei immer wieder neu (von resolvconf) generiert und überschrieben wird. Man kann der Datei dann ein Attribut verpassen, damit auch root die dann nicht überschreibt.
sudo chattr -f +i /etc/resolv.conf
Das hat aber nichts gebracht, weshalb ich mit bestätigt sah, dass das Problem in der pfsense versteckt sein muss.

[viragomann]

@alcamar said in Keine DNS-Auflösung in der DMZ:

Du meinst also, das wäre nicht zwingend notwendig gewesen den DNS-Eintrag im DHCP-Server der DMZ vorzunehmen?

Nein, wie gesagt, ist das Feld leer, wird die Interface IP als DNS an die Clients geschickt.

die /etc/resolv.conf hatte ich schonmal geändert. Das ist recht umständlich, weil die Datei immer wieder neu (von resolvconf) generiert und überschrieben wird. Man kann der Datei dann ein Attribut verpassen, damit auch root die dann nicht überschreibt.
sudo chattr -f +i /etc/resolv.conf

Bei der Raspi Konfig kann ich auch nicht helfen. Ich denke aber, es sollte möglich sein, den DNS Server manuell zu setzen.
Vor allem macht der "fixe" Eintrag von localhost nur dann Sinn, wenn auf dem System selbst ein DNS Server läuft. Ist das vielleicht so?

Das hat aber nichts gebracht, weshalb ich mit bestätigt sah, dass das Problem in der pfsense versteckt sein muss.

Ich würde davon ausgehen, dass die pfSense alles richtig macht. Aber du kannst es ja mit einem Packet Capture überprüfen. Das DHCP Protokoll kann man schön mitlesen.
Lass einfach ein Capture am jeweiligen Interface mit dem Portfilter "67|68" laufen, während der Raspi eine neue IP vom DHCP ziehen soll und schau dann, was die pfSense an den Client übermittelt.
Du kannst natürlich stattdessen auch am Raspi ein tcpdump laufen lassen.

[Alcamar]

@viragomann beim capture mit 67|68 und reboot vom raspi passiert gar nichts. Leer! Das erklärt vermutlich, dass die raspi mit der pfsense gar nicht kommuniziert, zumindest IP und DNS

[viragomann]

@alcamar
Ich würde das mal so interpretieren, als dass er keinen DHCP Client laufen hat. D.h., dass er eine feste IP Einstellung hat. Die müsstest du dann manuell konfigurieren. Dann ist natürlich auch den DNS Server manuell zu setzen.

[Alcamar]

@viragomann ja, ist habe statisch gesetzt:

• DNS
• IP
• Router

trotzdem keine chance. Versuche gerade den DHCP-Client auf der Raspi zum Laufen zu bekommen und dann es neu zu versuchen.

[viragomann]

@alcamar said in Keine DNS-Auflösung in der DMZ:

ja, ist habe statisch gesetzt:

DNS
IP
Router

Die Netzwerkmaske wäre noch wichtig. Aber dann sollte eine Verbindung möglich sein.

Geht da nichts, in keine Richtung?
Auch keine ARP-Einträge in den Tabellen?

Wenn die IP auf DHCP gesetzt wird, sollte der Client arbeiten.

Die Netzwerkmaske muss auch auf pfSense passen, damit die Geräte kommunizieren können.

[Alcamar]

@viragomann
Aus meiner Sicht ist die Maske ok.
ARP-Eintrag in der pfSence mit der IP des RASPI ist vorhanden.

@viragomann said in Keine DNS-Auflösung in der DMZ:

Die Netzwerkmaske muss auch auf pfSense passen, damit die Geräte kommunizieren können.

wo meinst Du?

Ich komme auf den RASPI per HAProxy von außen rein. Das Ding ist im Netz. Nur die Namensauflösung geht nicht über die pfSense

[viragomann]

@alcamar
Das sieht eh soweit in Ordnung aus, doch wird kein DNS-Server hinzugefügt und IPv6-Anfragen werden anscheinend nicht beantwortet, ist aber auch nicht nötig.

Aber dann müsste die DHCP Kommunikation auch im Packet Capture zu sehen sein.
Es würde nur zeigen, dass pfSense einen DNS Server zuweist.

Dann musst du den DNS irgendwie manuell einstellen können.
Wenn die /etc/resolv.conf überschrieben wird, muss es doch eine andere Möglichkeit der Konfiguration geben.

[Alcamar]

@viragomann Die manuelle permanente Zuweisung in der /etc/resolv.conf hat nichts gebracht. Die Namensauflösung geht nicht.

Ich habe ein ganz neues Raspi 4 aufgesetzt. Nur das blanke, ganz neu Raspi OS, mit DHCP-Client.

• Zuerst an der pfSense angebunden: gleiches Phänomen. Namensauflösung geht nicht. Aber /etc/resolv.conf ist richtig generiert.

• Danach an der FritzBox angebunden: ping www.google.com geht.

Damit denke ich, dass meine Lösung in der pfSense liegt. Nur wo fällt mir nix mehr ein. Ich finde auch keine Hinweise im Netz, dass sich pfSense und Raspi nicht DNS-mäßig vertragen.

[NOCling]

Was zeigt der Pi denn an bei?
ip a
ip r
cat /etc/resolv.conf

Stimmt per DHCP, die IP, die Maske, das Gateway und der DNS ist auch sauber eingetragen, sind private Ips, bis auf deine Public Domain, kannst hier ruhig alles zeigen.

[Alcamar]

ich vermute, dass ich den (bzw. einen) Fehler gefunden habe.
Auch wenn ich die Auswirkung nicht kapiere und auch nicht mehr weiß, warum ich beim Konfigurieren diesen Eintrag gemacht habe.

Ich habe die Regel auskommentiert, die mit Port 53 (DNS) etwas zu tun hatte.

Ich hoffe, dass ich einen Weg der Qualitätssicherung finde, wenn ich mit der Einrichtung der pfSense fertig bin. Viele Fehler erkennt man mit der Hilfe dieses Forums, für das ich sehr dankbar bin. Danke für Eure Hilfe!
Aber vermutlich sind noch viele Fehler in meiner pfSense vergraben, die einfach nur gefährlich sind, aber keine sichtbare Fehlfunktion generieren.
Gerade bei der Definition von Regeln habe ich nicht das Gefühl exakt zu kapieren, was da passiert. :-(

[viragomann]

@alcamar
Das ist eine Port Farwarding Regel von DNS auf die pfSense localhost Adresse.
Standardmäßig nimmt der DNS Resolver Anfragen auf allen Interface IPs entgegen und dieses Forwarding sollte nicht nötig sein. Außerdem ist sie nur am LAN, nicht auf der DMZ existent.

Damit denke ich, dass meine Lösung in der pfSense liegt. Nur wo fällt mir nix mehr ein.

Du solltest keine Vermutungen anstellen, sondern die Fakten überprüfen.
@NOCling hatte dazu ein paar Fragen gestellt. Antworten könnten da sehr hilfreich sein.

Auch interessant wäre, welche DNS IP der Raspi für die Auflösung tatsächlich nutzt. ein dig oder nslookup, was er immer installiert hat, würde das zeigen. Dann braucht es keine Spekulationen.

[Alcamar]

@viragomann dann versuche ich es konkreter mit den Fakten. Diese Einstellung ist definitiv diejenige, die meine Problem gelöst hat.

Und leider ist auch ein Fakt, dass ich persönlich noch nicht dahintergestiegen bin warum. Mit Deiner Rückmeldung (LAN) komme ich vielleicht noch dahinter, obwohl sie sich dennoch definitiv auf die DMZ auswirkt.

Anhand der Beobachtungen war meine Arbeitshypothese, dass es an der pfSense liegen muss. Diese Vermutung hat sich bestätigt.

@NOCling Fragen und Anregungen, gingen auch meiner Sicht in eine andere Richtung, nämlich dass man sich die Raspi genauer anschauen müsste. Das hatte ich aber ja bereits und auch, dass ich die /etc/resolv.conf länger bearbeiten musste, damit sie auch den richtigen DNS-Server permanent speichert. Das war so ziemlich der Anfang meines Posts. Ich hätte seine Fragen dennoch noch beantwortet.

@viragomann said in Keine DNS-Auflösung in der DMZ:

Auch interessant wäre, welche DNS IP der Raspi für die Auflösung tatsächlich nutzt. ein dig oder nslookup, was er immer installiert hat, würde das zeigen. Dann braucht es keine Spekulationen.

Auch in meinem Initialbeitrag hatte ich erwähnt dass, dig, traceroute, nslookup nicht gingen. Jetzt geht nur noch traceroute nicht. Habe dies aber zunächst nicht weiter verfolgt.

[Bob.Dig]

@alcamar said in Keine DNS-Auflösung in der DMZ:

Anhand der Beobachtungen war meine Arbeitshypothese, dass es an der pfSense liegen muss. Diese Vermutung hat sich bestätigt.

Wenn man haufenweise Regeln hat, von denen man nicht genau weiß, was sie eigentlich tun, dann ist die Vermutung richtig, dass es an deinem Regelwerk liegt. Die besagte Regel wirkt sich aber nur auf LAN aus. Es kann aber sein, dass Du irgendwelche verqueren Regeln drin hast, die man so eigentlich nicht nutzen sollte... vermutlich ist dein Raspi im LAN und nicht in der DMZ.