DNS intern/extern

Es gibt 7 Antworten in diesem Thema, welches 1.658 mal aufgerufen wurde. Der letzte Beitrag () ist von jkasten.

    Hallo Forum,


    ich merke gerade, dass ich wohl deutliche Defizite beim Verständnis von DNS habe und bitte um dringende HILFE. :grinning_squinting_face:


    Ich habe die Domain meinedomain.net extern gehostet. Mein internes Netzwerk lief domainfrei bzw. mit dem Unifistandard (.localdomain).


    Jetzt habe ich für mein Hauptnetz im DNS der UDM SE einfach mal gesetzt: intern.meinedomain.net


    Das führt aber dazu, dass wenn ich z.B. mein NAS anpinge, nas.intern.meinedomain.net in eine externe IP-Adresse aufgelöst wird (die zu meinem Domainhoster gehört).

    Wenn ich für das NAS dann in der UDM SE den local dns record setze, klappt die Namensauflösung wieder - aber ich will natürlich gar nicht, dass Anfragen intern nach außen weitergeleitet werden.


    Kann mir jemand das Ganze in einfachen Worten erklären? Erzeuge ich gerade eine Sicherheitslücke?


    Dankeeeee!

    Moin,


    die UDM hat nur einen DNS resolver. Das bedeutet, allem, dem du nicht explizit mit einem Namen mit IP vergibst wird extern aufgelöst.


    Ich hab das bei mir mit PiHole gelöst. Dort eine lokale Domain eingetragen und alles von dieser Domain wird lokal aufgelöst. Ich weiß nicht ob du das nur mit der UDM machen könntest. Netter Nebeneffekt mit dem PiHole wäre, du kannst Werbung filtern.


    Eine Sicherheitslücke hast du bislang nur insofern geschaffen, dass alle nicht lokal definierten DNS Namen bei deinem Hoster als Anfrage landen.


    VG

    Gefällt mir 1

    Moin Lightrider,

    besten DAnk für Deine Erklärung, die mich auch etwas beruhigt. :grinning_squinting_face:


    Was ich noch nicht verstehe: Warum ändert die UDM ihr Verhalten als DNS resolver, sobld ich eine interne Domain per DHCP verteile?


    Ich habe mir mal PiHole installiert, hatte ich eh lange schon vor, danke für den Hinweis!

    Hier allerdings das nächste Problem: ich bekomme von meinem Provider zwar echten DualStack, aber kein festes v6-Präfix. Da die UDM wohl noch immer nicht die Nutzung von GUAs beherrscht, kann ich dem PiHole also keine feste v6-Adresse zuweisen. Somit scheitert ein PiHole in einem Unifi-Netz im Ansatz, sobald man IPv6 nutzen will. Oder übersehe ich hier etwas?


    Vielen Dank für eine weitere Lehreinheit! :grinning_squinting_face:

    Ich denke das verhalten der UDM liegt an der Priorisierung der Einträge. Kann da aber in Ermangelung einer UDM nicht mehr zu sagen.


    Ich würde da eine fd00:: Adresse benutzen. Vor ein paar Wochen stand nämlich vor dem selben Problem. Vor allem Windows 11 und Apple geräte bevorzugen einen DNS Server per IPv6. Ich hab meinem pihole eine statische IP im Bereich fd00:: gegeben (z.B. fd00::02) und diese dann in der Fritzbox als DNS Server für ipv6 eingetragen. Das müsste bei dir dann in der UDM erfolgen.


    Vielleicht helfen dir diese beiden Links noch weiter:

    AVM Hilfe zu IPv6

    Pi-Hole mit IPv6 an einer FritzBox

    Gefällt mir 1

    Ok, ich dachte, das würde so gar nicht gehen. "fd00" sind ja ULAs, die würde ich definitiv gerne einsetzen.

    Ich habe keine Fritzbox, die UDM hängt direkt am Modem. Was ich bisher gelesen habe ist, dass die UDM nicht GUAs (global unique adresses) und ULAs parallel nutzen kann. Und so stellt es sich mir leider auch in der GUI da.


    Falls Du oder jemand anders hier weiß, wie ich ULAs über die UDM SE verteilen kann, wäre ich SEHR dankbar!

    Einfach die Link local nehmen. Funktioniert hervorragend.

    Die funktioniert nur solange, wie du nicht über Netz Segmente springen möchtest. Die link local ist non routable. Daher die Nutzung der fd00.

    Die GUA benötigst du glaube ich eigentlich nicht wenn du nat6 machst.

    Zitat von Lightrider87

    Die funktioniert nur solange, wie du nicht über Netz Segmente springen möchtest. Die link local ist non routable. Daher die Nutzung der fd00.

    Die GUA benötigst du glaube ich eigentlich nicht wenn du nat6 machst.

    Schon klar, fd00 kann nur Unifi nicht. Für mich klang das auch so das die Geräte in einem Netz sind.