iPhone DNS Probleme

copytech2000

Probleme mit Unbound DNS bei iPhones – DNS Query Forwarding löst das Problem

Hallo zusammen,

ich habe aktuell ein etwas ungewöhnliches Problem mit dem DNS Resolver (Unbound) in pfSense und wollte fragen, ob jemand ein ähnliches Verhalten beobachten konnte.

Das Problem tritt ausschließlich bei iPhones auf. Andere Geräte im gleichen Netzwerk sind davon nicht betroffen.

Das Problem

Wenn der pfSense DNS Resolver mit Unbound läuft und „DNS Query Forwarding“ deaktiviert ist, laden bestimmte Webseiten auf iPhones teilweise extrem langsam.

Besonders deutlich fällt das bei Webseiten wie:

Merkur.de
Focus.de

auf.

Die Seiten beginnen zwar zu laden, aber anschließend dauert es teilweise sehr lange, bis wirklich alle Inhalte geladen sind. Teilweise scheint der Ladevorgang sogar für längere Zeit hängen zu bleiben.

Gerade diese Webseiten sind natürlich relativ komplex und bauen eine große Anzahl externer Verbindungen auf. Neben den eigentlichen Inhalten werden zahlreiche weitere Domains für Werbung, Tracking, Consent-Management, Analytics, CDNs usw. aufgerufen.

Interessanterweise lässt sich das Problem sehr einfach reproduzieren

Wenn ich in pfSense unter

Services → DNS Resolver → DNS Query Forwarding

die Option „Enable DNS Query Forwarding“ aktiviere, verschwindet das Problem praktisch sofort.

Dabei bleibt Unbound als DNS Resolver weiterhin aktiv.

Es wird also nicht zwischen Unbound und dem alten DNS Forwarder gewechselt.

Der Vergleich sieht folgendermaßen aus:

Unbound + DNS Query Forwarding deaktiviert:

iPhone → teilweise sehr langsamer Seitenaufbau
Merkur.de / Focus.de laden teilweise nur sehr langsam vollständig
zahlreiche externe Inhalte benötigen auffällig lange
andere Geräte zeigen das Problem nicht

Unbound + DNS Query Forwarding aktiviert:

iPhone → Seiten laden schnell
Seiten werden vollständig geladen
eingebettete Inhalte laden ebenfalls normal
das Problem ist nicht mehr reproduzierbar

Das Verhalten lässt sich mehrfach nachvollziehen.

Ich vermute daher, dass es möglicherweise einen Zusammenhang mit der rekursiven DNS-Auflösung von Unbound gibt.

Ohne „DNS Query Forwarding“ arbeitet Unbound im Resolver-Modus und löst die DNS-Anfragen direkt über die DNS-Hierarchie auf.

Mit aktiviertem „DNS Query Forwarding“ werden die DNS-Anfragen dagegen an die unter System → General Setup eingetragenen DNS-Server weitergeleitet. Genau dieses Verhalten beschreibt auch die pfSense-Dokumentation.

Möglicherweise gibt es bei iOS bzw. Safari Besonderheiten beim DNS-Verhalten, die in Verbindung mit einer sehr großen Anzahl von DNS-Anfragen besonders auffällig werden.

Gerade Webseiten wie Merkur.de oder Focus.de erzeugen beim Laden vermutlich sehr viele DNS-Anfragen für unterschiedliche Drittanbieter-Domains.

Was mich besonders wundert

Das Problem tritt nicht auf Windows-PCs, Macs oder anderen Geräten im gleichen Netzwerk auf, sondern bisher ausschließlich auf iPhones.

Die Netzwerkumgebung und pfSense-Konfiguration bleiben dabei unverändert.

Es wird lediglich zwischen

DNS Query Forwarding AUS

und

DNS Query Forwarding AN

umgeschaltet.

Alleine diese Änderung führt dazu, dass die Webseiten auf dem iPhone wieder schnell und vollständig geladen werden.

Hat jemand ähnliche Erfahrungen?

Mich würde interessieren, ob jemand dieses Verhalten ebenfalls beobachten konnte – insbesondere in Kombination mit:

pfSense
Unbound
iPhone / iOS
Safari
vielen DNS-Anfragen bzw. stark werbe-/trackinglastigen Webseiten
DNS Query Forwarding deaktiviert

Interessant wäre auch, ob das Problem eventuell mit DNSSEC, IPv6/AAAA-Anfragen, EDNS, Timeouts oder der rekursiven Auflösung bestimmter DNS-Zonen zusammenhängt.

Falls jemand das Verhalten reproduzieren kann, wäre ein Vergleich mit DNS Query Forwarding aktiviert/deaktiviert interessant.

Ich werde das Verhalten auch noch weiter analysieren und ggf. DNS-Logs bzw. Packet Captures vergleichen. pfSense bietet hierfür beispielsweise die Möglichkeit, die von Unbound empfangenen und beantworteten DNS-Anfragen zu protokollieren.

Mich würde vor allem interessieren, ob das ein bekanntes Verhalten von Unbound/pfSense ist oder ob eventuell eine bestimmte Einstellung dafür verantwortlich ist.

Kurz gesagt:

iPhone + Unbound ohne DNS Query Forwarding = Webseiten wie Merkur.de/Focus.de laden teilweise extrem langsam.
iPhone + Unbound mit DNS Query Forwarding = alles lädt schnell und vollständig.

Hat jemand eine Idee, woran das liegen könnte?

JeGr

@copytech2000 said in iPhone DNS Probleme:

Mich würde interessieren, ob jemand dieses Verhalten ebenfalls beobachten konnte – insbesondere in Kombination mit:

Nöp. Wir haben hier zwar keinerlei iPhones, aber wenn die Kids mal wieder vorbei kommen haben die welche und da hat noch keiner über lange Ladezeiten geklagt. Eher im Gegenteil.

Ich würde daher ggf. mal beim iPhone selbst beginnen zu suchen, besonders bei den "tollen" Apple eigenen Spezialfunktionen. Also

DNS via DoH/DoT/DoQ oder irgendwas an?
"Secure" Verbindung via Apple Tunneling (weiß nicht mehr wie das Feature hieß, das dann nen Teil/alles durch die Apple Cloud jagt zur Absicherung)

Zusätzlich ist auch die Frage ob du an Unbound selbst irgendwas modifiziert hast oder ob da bspw. pfBNG mit DNS Blocking noch drin hängt etc. etc.

Cheers

copytech2000

Hallo, vielen Dank für die Ideen,
ich habe bereits diesen Unsinn von Apple (Relay Icloud, IP Adresse verbergen usw.) bereits ausgeschaltet am Iphone. Ich habe auch keinen PFsense Blocker an, ider sonst etwas am Unbound modifiziert. So richtig fiel mir deshalb dazu nichts mehr ein.

Mit freundlichen Grüßen

copytech2000