AdGuard Home über eigene Domain für mobil freigegeben (Port 853/80) – Externe DNS-Scanner im Log: Wie richtig absichern?

Hallo zusammen,

ich brauche mal euren Rat bezüglich meines aktuellen Setups und der Absicherung gegen externe Scanner.

Mein Setup: Ich betreibe zu Hause ein UniFi-Netzwerk (Gateway) und einen Raspberry Pi 5, auf dem AdGuard Home läuft. Um meine Familie und die Handys der Kinder auch unterwegs im Mobilfunknetz abzusichern, habe ich AdGuard über eine eigene Domain von außen erreichbar gemacht. Auf den Smartphones ist die Domain als „Privates DNS“ (DNS-over-TLS) fest eingetragen. Das Filtern im WLAN und über mobile Daten funktioniert soweit auch absolut perfekt.

Damit das Ganze läuft, habe ich auf meinem UniFi-Gateway entsprechende Portweiterleitungen eingerichtet. Aktuell sind Port 853 (für DoT) und Port 80 (für die HTTP-Zertifikatsverlängerung) nach außen offen.

Hier ist ein Screenshot meiner aktuellen Firewall-Regeln:

Mein Problem: Seit der Öffnung sehe ich im AdGuard-Abfrageprotokoll immer wieder Anfragen von externen IP-Scannern, die meinen Port abklopfen. Aktuell ist mir ein Server von "Driftnet Ltd" aus Großbritannien aufgefallen, der gezielt Test-Anfragen schickt (vermutlich auf der Suche nach einem Open Resolver).

Hier der Screenshot aus meinem AdGuard-Log:

Meine Fragen an euch:

1. Wie sichere ich das am elegantesten ab, ohne dass ich mir den mobilen Zugriff meiner Familie verhaue?
2. Wenn ich in AdGuard mit der Zugriffskontrolle (Erlaubte Clients) arbeite oder in UniFi ein Geo-Blocking (z. B. nur Deutschland) einrichte – was passiert, wenn wir im Ausland im Urlaub sind? Über das private DNS identifizieren sich die Handys ja per Namen (Subdomain) bei AdGuard, aber die IPs wechseln im Mobilfunk oder Hotel-WLAN ständig.
3. Habt ihr Best-Practice-Tipps für die Kombination aus UniFi und AdGuard Home, um solche ungebetenen Gäste komplett auszusperren, während die eigenen Geräte weltweit reibungslos funktionieren?

Vielen Dank im Voraus für eure Hilfe und Tipps!

Danke für Euere Antworten. Das ist echt ernüchternd. Dachte ich habe es endlich geschafft eine DNS Adresse zu haben, ob im Wlan oder unter mobile Daten Wie löst ihr das denn?

Ich hätte dazu noch mal eine kurze Rückfrage für mein Verständnis, um zu sehen, ob ich das richtig durchdacht habe.

Auf reiner Firewall-Ebene ist Port 853 natürlich offen, klar. Aber fängt AdGuard das nicht auf Anwendungsebene wieder granular ab?

Mein Gedankengang war folgender: Ich nutze DNS-over-TLS über die native „Privates DNS“-Funktion mit eigenen Client-IDs per Subdomain. Wenn ich in AdGuard unter Erlaubte Clients strikt nur Folgendes hinterlege:

10.50.0.0/16 (für das komplette Heimnetz)

handy1 (Client-ID Smartphone 1)

handy2 (Client-ID Smartphone 2)

...dann müsste ein externer IP-Scanner, der diese spezifische ID ja gar nicht kennt und mitschickt, von AdGuard doch einfach komplett ignoriert werden, oder? Der Port wäre dann zwar offen, aber die Anfrage läuft für den Angreifer ins Leere, weil AdGuard gar nicht antwortet.

Stimmt das so oder übersehe ich da was Entscheidendes? Ein VPN würde ich wegen des Komforts unterwegs und im Ausland im Urlaub nämlich echt gerne vermeiden.

Top, danke für Eure Antworten. Grossmeister_L: Ich habe eine Domain über INWX mit DynDNS. Ich habe ein Problem den Update Server einzurichten. Hast du eine Idee wie man den beim Gateway eingeben muss? Ich habe die Deutsche Glasfaser und brauche dann ja die Ipv6 oder sehe ich das falsch?

Quote from DoPe

Falls Du nur eine öffentliche IPv6 hast, dann wird das mit dem UI DDNS Client nur gehen, wenn dein DynDNS Anbieter eine Aktualisierungsmöglichkeit bietet, die explizit mit IPv6 erreichbar ist und nicht der Inhalt der Aktualisierung, sondern die Source IP der Aktualisierung genutzt wird. Die UI DDNS Implementierung ist etwas "behindert" der Client kennt seine eigene WAN IP gerne nicht.

Habe es jetzt gelöst bekommen indem ich die aktualisierung über den PI laufen lasse. Der DYNDNS Dienst vom Gateway ist echt buggy Ich finde nirgends eine info, wie man die serveradresse eintragen muss.
Bei INWX steht das zwar, aber es geht nicht:

Quote from Grossmeister_L

Vor einem Scan wirst du dich nicht schützen können.

Öffne nur das nötigste. Z.B. den Port 80 brauche ich auch nur temporär für die Zertifikatsverlängerung. Den öffne ich dann nur, wenn dieser auch gebraucht wird und anschließend schließe ich diesen wieder.

Ansonsten nutze ich auch meinen eigenen DNS unterwegs und das dann über VPN. Klappt super und ist sogar WAF (Wife Approval Factor)

Wenn Du dich über VPN verbindest, wozu brauchst Du dann das Zertifikat? Das hatte ich mit Lets Encrpst auf dem PI laufen aber mit dem VPN habe ich das verworfen und den 80er Port geschlossen.