Internes DNS hängt beim Internetausfall

musv · Advocate Joined: 01 Dec 2002 Posts: 3369 Location: de

Guten Mittag,

gestern ist bei mir das Internet ausgefallen. Konkret meldete zwar die Fritzbox eine DSL-Konnektivität zum DLSAM, allerdings kein Internet.

Auf meinem NAS betreibe ich ein DNSMASQ, was soweit auch ganz brauchbar funktioniert.

Da ich keine öffentliche Domain hab, hab ich als lokale Domain "erz" verwendet.

Das Problem ist jetzt, dass sowohl auf dem Smartphone als auch auf dem Desktoprechner die Auflösung der lokalen Domain im Browser ungewöhnlich lange dauert (ca. 30 Sekunden). Frag ich die Rechner (FQDN) per Curl oder Ping ab, bekomm ich sofort eine Antwort. Funktioniert das Internet, dann sind auch die lokalen Rechner im Browser sofort verfügbar.

Es scheint so, als ob die DNS-Abfragen im Browser grundsätzlich erst mal nach draußen gehen wollen, anstatt ausschließlich den lokalen DNS-Server zu verwenden.

Meine Config (/etc/dnsmasq.conf)

mike155 · Posted: Wed Jun 08, 2022 9:42 am Post subject:

DNS over HTTPS?

Hänge Dich am besten mit tcpdump oder Wireshark dran - und prüfe, welcher DNS Server für die Namensauflösung angefragt wird.

Wenn es DOH ist, kannst Du es in der Firefox Config deaktivieren.

Zusätzlichen kannst Du - zumindest für den Firefox - noch folgende Regel in die dnsmasq.conf aufnehmen:

musv · Advocate Joined: 01 Dec 2002 Posts: 3369 Location: de

Musste mich jetzt erst mal wieder durch die Wireshark-Optionen wühlen. Hab das Programm ewig nicht mehr benutzt:

mike155 · Posted: Wed Jun 08, 2022 4:03 pm Post subject:

Ich habe gerade mal einen Stromausfall simuliert - durch Ziehen des DSL Kabels.

Mein Browser startet aber trotzdem in Sekundenbruchteilen - und zeigt auch die interne Homepage an.

Entweder liegt es daran, dass die Website, die Dein Browser beim Starten anzeigt, auf externe Inhalte zugreift. Oder Deine dnsmasq Konfiguration ist anders als meine.

musv · Advocate Joined: 01 Dec 2002 Posts: 3369 Location: de

Hab auch grad noch mal das Kabel rausgezogen.

Der Browserstart war jetzt nicht das Problem. Allerdings verwende ich Speeddial 2. Und anscheinend laden einige meiner lokal genutzten Dienste einige Inhalte aus dem Web nach bzw. versuchen das zumindest.

Das Mediawiki war sofort verfügbar.

Ich denke, wir können das Thema hier abschließen. Danke für Deine Unterstützung.

firefly · Watchman Joined: 31 Oct 2002 Posts: 5329

ChrisJumper · Advocate Joined: 12 Mar 2005 Posts: 2403 Location: Germany

Hi musv,

Digitalcourage hat jetzt den Server mit einer neuen IP: 46.182.19.48

Wenn du aber schon deren Existenz kennst, frage ich mich warum du Cloudflare oder Speedy nutzt.
Wenn du deinem ISP misstraust, empfehle ich Digitalcourage - die haben jetzt auch einen D(NS)O(ver)T(SL): 5.9.164.112
Quelle: https://digitalcourage.de/support/zensurfreier-dns-server

Wenn du beiden nicht so recht trauen willst und einige Anfragen hast, kannst du mit unbound und dnscrypt-proxy einen Dienst aufsetzen der IP-Adressen cached und bei den Root-Servern auflösen lässt und diesen Deinst auch via DNS over HTTPS im LAN bereit stellt.

Hier noch ein kurzer Anriss warum es wichtig ist:
Hintergrund: https://media.ccc.de/v/Camp2019-10213-doh_or_don_t

Es hilft aber nicht gegen Anwendungen und Apps, die sofort den (Appeigenen) DNS-Service nutzen. Die IT-Riesen nutzen halt bewusst immer öfter auch Browser, die beim Dienst in der Cloud nach DNS-Infos nach fragen statt es über das Betriebssystem oder lokale Netzwerk aufzulösen. So fallen einfach viel mehr Informationen zur Analyse bei Nutzung der App oder des Internets an, die sich halt verkaufen lassen.

Wenn du mal Zeit hast, solltest du es dir genauer anschauen.

musv · Advocate Joined: 01 Dec 2002 Posts: 3369 Location: de

Hi, danke für die Infos. Ich hab die IP von Digital Courage angepasst und Cloudflare sowie Speedy in der Liste weiter unten angeordnet.

Mir geht's gar nicht so sehr um Privatsphäre oder Misstrauen. Unabhängige DNS-Server sind für mich einfach die Sicherheit, dass bestimmte URLs nicht per DNS-Sperre "geblockt" werden.

Unbound will ich nicht aufsetzen. Das wäre wohl zuviel des Guten. Es geht hier um mein Heimnetzwerk. Ich verwende ja schon dnsmasq, da DHCP + Bind unnötig groß wären.

Die Gründe für den eigenen DNS-Server:

Werbeblocker für das Netzwerk. Spart mir die Addons bei jedem einzelnen Browser
VHosts für den heimischen Webserver (Mediawiki, NFS, TV-Headend)
Umgehung von potentiellen DNS-Sperren durch den Provider
Und zusammen mit dem DHCP-Teil: Zuweisung von IP-Adressen der lokalen Rechner + Rechner im Familien-VPN