AVM FRITZ!Box - Risiko bei der lokalen Namensauflösung (fritz.box)

Schon seit 2016 kann die Top Level Domain .box gebucht werden (Neue Top Level Domain .box bringt manche Netze durcheinander), dies kann abhängig vom jeweiligen DNS-Resolver zu Problemen führen.Bei der Fritzbox von AVM wird standardmäßig der Domainname fritz.box im internen Netz verwendet.

Domainname fritz.box

Die Fritzbox ist im lokalen Netz über den Namen fritz.box erreichbar. Mann muss daher nicht die IP-Adresse z.B. 192.168.178.1, 192.168.1.1 eingeben. 

Allerdings kann die Domains fritz.box sowohl in privaten Netzen als auch im Internet registriert sein (Überfällig: ICANN legt sich auf Namen für interne Domains fest)! Überprüfen lässt sich dies mit Hilfe von nslookup fritz.box (siehe auch für die Verwendung).

Wie lässt sich das Problem bzw. der DNS-Resolver umgehen? 

• Verwendung der IPv4-Adressen z.B. 192.168.178.1 anstatt des Domainnamens. Sie sind für lokale Netze vorgesehen und werden nicht im Internet geroutet.
• Siehe auch offizielle Hilfe von AVM, https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-7590-AX/245_Benutzeroberflache-der-FRITZ-Box-nicht-aufrufbar/.
• Ein DNS-basierte Adblocker wie z.B. pi-hole (Raspberry Pi-hole - Installation) umgeht den DNS-Resolver der Fritzbox. Siehe auch Raspberry Pi-hole - Lokale Namen auflösen (Conditional Forwarding).
• Einträge in der Host-Datei (z.B. 192.168.1.1 fritz.box) des Betriebssystem vornehmen. Siehe auch Cryptomining per JavaScript unterbinden.

 

Raspberry Pi-hole - Spezialisierte Blacklist für SmartTVs

Nutzt man zu Hause die Funktionen seines SmartTVs, ist es sinnvoll für den PiHole spezialisierte Blacklists zu verwenden.

Eine öffentliche Sammlung von Domains gibt es zum Beispiel hier:

• https://github.com/Perflyst/PiHoleBlocklist

 

Raspberry Pi-hole - Android ignoriert PiHole DNS

Ich hatte bei meinem Google Pixel Android Smartphone das Problem, dass die DNS-Einstellungen einer (per DHCP zugewiesen) mein PiHole umgangen wurde "Android sometimes bypassing the PiHole".

Dies kann folgende Ursachen haben:

• Android 9 und höher verfügt über eine private DNS-Option, die Google DNS im automatischen Modus verwendet. "Private DNS" sollte "deaktiviert sein". Überprüft daher dies unter Einstellungen/Netzwerk und Internet/Privates DNS.

• Durch das Anbieten eines anderen DNS-Server (z.B. FritzBox 2. DNS Eintrag). Pi-hole sollte der einzige für Clients verfügbare DNS-Server sein.

• Android werwendet IPv6, "IPv6 deaktivieren", um zu überprüfen, ob das die Ursache ist? => Dies war auch genau mein Problem. Ich habe auf meiner FritzBox im Heimnetzwerk IPv6 komplett deaktiviert.

• Android verwendet heimlich 8.8.8.8 (Google DNS) als sekundären DNS.

Raspberry Pi-hole - Lokale Namen auflösen (Conditional Forwarding)

Möchte man in seinem lokalen Netz den eigenen Server oder auch die AVM FRITZ!Box unter dem eigen Namen erreichen, klappt dies nach der Raspberry Pi-hole - Installation nicht mehr. Es wird nämlich die lokale Namensauflösung übergangen. Dies lässt sich aber mit Hilfe von Conditional Forwarding wieder konfigurieren.

Mit Hilfe von Conditional Forwarding kann man den Filter auffordern, lokale Adressen nicht beim Upstream-DNS-Server zu erfragen.

Hierfür unter "Settings" => "DNS" => "Conditional Forwarding" den folgenden Eintrag (z.B. für eine fritz.box) eintragen:

Raspberry Pi-hole - Backup configuration (settings & lists)

In dem Artikel Raspberry Pi-hole - Installation habe ich beschrieben, wie die Installation auf einem Raspberry Pi durchgeführt werden muss. Ich möchte daher kurz das Sichern der Pi-Hole-Konfiguration (Einstellungen & Listen) eingehen.

Ein Pi-hole Backup erstellt man unter dem Menüpunkt:

• Settings / Teleporter / Backup
  

Anschließend kann man auf dem neuen Pi wieder ein Restore durchführen.

Raspberry Pi-hole - Update Pi-hole

Derzeit kann man Pi-hole noch nicht über die Weboberfläche aktualisieren, da u.a. der Server neu gestartet werden muss.

Der folgende Befehl muss daher per Konsole (SSH-Verbindung) eingegeben werden:

pihole -up

Siehe auch Raspberry Pi-hole - Installation.

Raspberry Pi-hole - DNS Service, FTL is not running

Sollte es nach der Einrichtung von Pi-hole zu den folgenden Problemen kommen, kann ein kurzer "checkout" vom "master Branch" helfen.

Meldungen:

• DNS service is not running
• DNS resolution is not available
• FTL is not running

Die aktuelle Version von Pi-hole mit dem folgenden Befehl installieren, anschließend werden auch die einzelnen Dienste (lighttpd, FTL service und DNS service) wieder gestartet:

pihole checkout master

Please note that changing branches severely alters your Pi-hole subsystems
Features that work on the master branch, may not on a development branch
This feature is NOT supported unless a Pi-hole developer explicitly asks!
Have you read and understood this? [y/N] y

Kommt es hierbei zu keiner Fehlermeldung, sollte Pi-hole wieder einwandfrei funktionieren!

 

Raspberry Pi-hole - Installation

Die Installation von Pi-Hole ist sehr schnell realisiert, wenn man die Ersteinrichtung des Raspberry Pi bereits durchgeführt hat.

Ersteinrichtung durführen

Siehe dazu die folgenden Artikel: Raspberry Pi Stretch Lite - Installation incl. SSH Fernsteuerung

Hinweis: Der WLAN Zugang sollte nicht eingerichtet werden, da der Pi direkt per LAN-Kabel den Router verbunden wird!

Pi-hole - Installation

Ist man mit dem Raspberry Pi per SSH verbunden muss man nur den folgenden Befehl ausführen und die Pi-HoleInstallation wird automatisch gestartet.

curl -sSL https://install.pi-hole.net | bash

Siehe auch https://raw.githubusercontent.com/pi-hole/pi-hole/master/automated%20install/basic-install.sh

Anschließend dem Installationsassistenten folgen und die folgenden Punkte auswählen:

Siehe auch: https://de.wikipedia.org/wiki/Quad9 inkl. Verschlüsselte Namensauflösung im Internet (#DNS over TLS) https://de.wikipedia.org/wiki/Domain_Name_System_Security_Extensions.

Hinweis: Die IP-Adresse habe ich in meinem Fall auf 192.168.1.111 eingestellt. Siehe auch Raspberry Pi - WLAN Konfiguration inkl. reconnect und statische IP "jessie".

Hinweis: Sollten andere Nutzer im Haushalt nicht damit einverstanden sein, muss der "privacy mode" angepasst werden.

Die Installation von Pi-Hole ist jetzt abgeschlossen!

Das generierte Passwort zum Login für das Web-Interface kann auf Wunsch mit dem folgenden Befehl angepasst werden:

pihole -a -p

pihole setpassword

Anschließend sollte der Pi neugestartet werden:
sudo reboot

Das Web-Iinterface ist unter http://pi.hole/admin oder http://192.168.1.111/admin zu erreichen. Hier lassen sich dann z.B. weitere Einstellungen für die "Whitelist" vornehmen, falls Webseiten einen "Adblocker" erkennen.

Pi-Hole als DNS-Server einrichten

Damit Pi-Hole als "Adblocker" arbeiten kann, muss jetzt bei jedem Client im Netzwerk die IP-Adresse des Pi´s als DNS Server eingetragen werden.

 

Update: Die Einstellungen für AVM FRITZ! Boxen funktioniert nicht korrekt (siehe Anleitung unten)! Aus Sicherheitsgründen unterdrückt die FRITZ!Box DNS-Antworten, die auf IP-Adressen im eigenen Heimnetz verweisen. Siehe auch https://en.wikipedia.org/wiki/DNS_rebinding.

Alternative: DNS-Server des Pi-Hole per DHCP bekannt machen

Folgende Einstellungen müssen bei der Fritz! Box vorgenommen werden:

• "Heimnetz" => "Netzwerk" => "Netzwerkeinstellungen" => "IPv4-Konfiguration".
• Jetzt unter "Lokaler DNS-Server" die IP-Adresse des Pi-Hole eintragen.

Jetzt sollten auf der Pi-Hole Weboberfläche "non-FQDN-Anfragen" erlaubt werden, damit im lokalen Netzwerk die Hostnamen der Fritz!Box weiterhin über den DNS-Namen erreichbar sind!

Die bessere Lösung ist aber den DNS-Server im Router (in meinem Fall eine FRITZ!Box 7590) anzupassen. Wie dies funktioniert, sieht man in den nachfolgenden Screenshots.

Hinweis: Es muss immer auch ein Backup DNS Server eingegeben werden. Falls der Pi mal einen defekt hat, kann man dennoch weitersurfen. In meinem Fall habe ich den von Cloudflare (1.1.1.1) verwendet.

Unter Settings => DNS (http://192.168.1.111/admin/settings.php?tab=dns) trägst man zuletzt noch die IP Adresse des Pi’s unter "Upstream DNS Server" ein:

Fazit: Weit über 50% von meinem Traffic ist jetzt werbefrei :-)