Hi,

da ich nun Kunde der Telekomiker bin deren Glasfaser Anschluss IPv6 verwendet, stell ich mir die Frage, muss ich in der FritzBox unter den IPv6 Einstellungen jetzt die IPv6 Adresse des Pihole auch dort Eintragen damit die Fritz!Box diese an die Clients als DNS verteilt?
Weil im LAN wird doch weiter IPv4 verwendet. Mein MacStudio hat jetzt, wenn ich in den Einstellungen unter "Netzwerk" nachsehe sowohl eine IPv4 Adresse als auch ein IPv6 Adresse.

Ich frage deshalb, weil ich gelesen habe das bei IPv6 kein NAT mehr gemacht wird. D.h. ja bisher ist es so das nur der Router vom Provider einer IP Adresse bekommen hat und die Clients hinter dem Router wurden dank NAT "geschützt" hatte nur eine lokale IP Adresse und die Anfragen ans Internet gingen über den Router und dessen IP.
Bei IPv6 soll das jetzt so sein das auch Client hinter dem Router eine IPv6 Adresse bekommen und direkt mit dieser im Internet Kommunizieren. Das bedeutet ja das ich denen schon die IPv6 Adresse den PiHole als DNS Server geben muss damit deren Adressauflösungsanfragen über den PiHole gehen.

Wie ich die IPv6 DNS auf der FritzBox einrichte und am Pihole weiß ich. Mir stellt sich nur die Frage... Brauch ich das jetzt oder nicht?

Ein Telekom-Anschluss nutzt immer DualStack, Du nutzt also sowohl IPv4 eine eigene öffentliche IPv4-Adresse als auch ein eigenes IPv6-Netz (Router bekommt /56-Präfix zugewiesen, im eigenen Netz wird dann meistens ein /64 verteilt) . Ansonsten wäre auch garnicht alles im Internet vernünftig erreichbar. Ja, Clients bekommen eine eigene öffentliche IPv6-Adresse (z.B. 2003:*) aus Deinem zugewiesenen Präfix. Heißt aber nicht, dass das weniger sicher ist, die stehen ja nicht einfach offen. Du müsstest genauso gut Ports im Router dafür freigeben.
"Brauchen" tust Du das nicht, kannst auch weiter rein IPv4 verwenden. Wenn Du es nutzen willst musst Du es natürlich dementsprechend auch mit PiHole einrichten, ansonsten blockiert er Dir nur Werbung mit iPv4, nicht mit IPv6, Dir wird also dementsprechend mehr Werbung angezeigt.

PS: Es gibt keinen Grund hier die Telekom zu beleidigen.

Das mit den "Telekomikern" ist kein Beleidigung. Das hat sich so als Insider Gag etabliert. Keine Schuldzuweisung für IPv6. Nur eine Feststellung.

OK d.h. wenn Zielseiten sukzessiv auf IPv6 setzen werde ich um die IPv6 Konfiguration nicht herumkommen weil dann sonst der PiHolen nicht als DNS verwendet und damit Werbung geblockt wird.
Dann habe ich das verstanden... Danke.

Kannst ja gerne mal Mitarbeiter der Telekom fragen, was die von diesem Begriff halten. Von wegen "Insider-Gag", wer soll hier der "Insider" sein? Natürlich ist dieser Begriff weitaus bekannt, habe den auch schon vor 20 Jahren gehört. Dennoch ist es meiner Meinung nach eine Beleidigung deren Mitarbeiter gegenüber.

Eher dem Unternehmen und mehr deren Leitung und Entschieden als den Mitarbeiten.

Zurück zum Topic. So wie meine Beschränkten Infos zu IPv6 sind verstehe ich es ja so um die Privatsphäre trotzdem zu gewährleisten werden Teile der IPv6 Adresse ja dynamisch neu vergeben. Das würde ja bedeuten das der PiHole auch dann in unregelmäßigen Abständen eine neue IPv6 Adresse bekommt. Dann kann ich die ja gar nicht fest in der FritzBox hinterlegen... Oder verstehe ich da jetzt was falsch.

Zwei weitverbreitete Irrtümer:

1. "IPv6 ist unsicher, weil IPv4 durch NAT geschützt ist".

NAT schützt zunächst mal gar nichts. NAT ist eher ein Ärgernis als ein Schutz. Paketfilter schützen, und wenn man keine Portfreischaltungen am Router vornimmt, ist das nichts anderes als ein Paketfilter. Der Router selbst ist exponiert und da sollte man in der Tat genau überlegen, was man nach außen freischaltet - die meisten Routerhersteller sind da zum Glück in den Grundeinstellungen sehr konservativ.

2. "Ich muß meinen DNS per IPv6 abfragen, um IPv6-Adressen auflösen zu können".

Das ist schlicht falsch. Ob man eine Anfrage beim DNS-Server über IPv4 oder IPv6 absendet, hat keinerlei Auswirkungen auf die Antwort. Wenn ich eine IPv6-Adresse auflösen will, frage ich nach einem AAAA-Record, wenn ich eine IPv4-Adresse auflösen will, nach einem A-Record. Welche Frage ich stelle ist entscheidend, nicht über welches Protokoll.

Ergo: Du kannst alles so lassen, wie es ist. Wenn Du (was ich bezweifle, meist merkt man es nämlich gar nicht, daß man IPv6 benutzt) im internen Netz ausschließlich IPv4 hast, dann kannst Du halt keine nur über IPv6 erreichbaren Server ansprechen. Daran kann auch Dein Router nichts ändern. Umgekehrt geht es (6to4, CLAT).

Das heißt aber trotzdem das ja mittel und langfristig IPv4 abgelöst wird und Internet Dienste irgendwann nur noch über IPv6 erreichbar sind. Dann brauch ich trotzdem die IPv6 Konfiguration für den Pihole sonst werden die DNS Anfragen an den DNS Server z.B. des Providers gestellt und da ist ja nix mit Werbeblocker.
Also JETZT merke ich noch gar nichts, aber mittel und langfristig wird der PiHole Arbeitslos wenn ich dessen IPv6 Adresse den Clients nicht mitteile oder?

.. und wenn dem so ist, dann brauch ich ja ne Lösung für eine Feste IPv6 Adresse für den Pihole Server weil der ja sonst immer eine neue Adresse bekommt.

Hab die Doku hier dazu gefunden. Scheint recht plausibel zu sein:

Bei mir hat diese Anleitung zum Einrichten von Kuketz gut funktioniert. Seitdem klappt Pi-hole auch mit IPv6. Eine feste IPv6-Adresse benötigst Du nicht.

Alles klar. Unterscheidet sich jetzt nicht wirklich von meiner Doku. Durch das manuelle festlegen es Präfixes ist das ja in der Regel die "feste" IPv6 Adresse.

Unterschied zu meiner verlinkten Doku ist nur das die alle Stellen des Präfixes selbst festlegen.

Du musst Dich von dem Gedanken lösen, dass ein Anschluss (oder gar das Gerät) nur eine einzige Adresse hätte.

Bei IPv6 geht man üblicherweise so verschwenderisch mit Adressen um, dass jeder Anschluss viele Adressen hat. Einige Adressen bleiben automatisch fest, andere ändern sich absichtlich ständig. Aber um beides muss man sich nicht kümmern.

Ein Anschluss hat oft:

• eine "Link-Local"-Adresse, die nur für eine lokale Direktverbindung von Gerät zu Gerät verwendet wird,
• eine automatisch feste Adresse (basierend auf der MAC-Adresse) für Kommunikation im lokalen Netz,
• eine sich alle paar Stunden ändernde Adresse für anonyme Kommunikation im Internet,
• ein oder mehrere verfallene, aber immer noch ansprechbare Versionen früherer anonymer Adressen, die nach ein paar Tagen automatisch gelöscht werden

Über die oben erwähnten ULA-Adressen löst man das Problem, dass rein private Adressen für das eigene lokale Netz vergeben werden, die im Internet ungültig sind, und bei denen der vordere Adressteil fest bleibt.

Richtig ist es dann aber nicht. Natürlich nutzt er im privaten Netz vor allem IPv4, und auch über IPv4 lassen sich AAAA Records abfragen. Falls jetzt aber eine Webseite über IPv6 angesprochen wird, und die DNS Abfrage für die IPv6 Adressen am PiHole vorbei läuft (weil möglicherweise als Fallback der Router befragt wird), wird im wieder Werbung angezeigt. Falls IPv6 Anfragen garnicht beantwortet werden kann er sich IPv6 auch komplett schenken.

Berichtest Du aus eigener Erfahrung oder denkst Du Dir ein Szenario aus? Ich frage, weil das, was Du schreibst, bei korrekter DNS-Konfiguration niemals passieren kann.

Nochmal: Es ist egal, ob Du den DNS über IPv4 oder IPv6 abfragst.

Wenn Dein Client den DNS-Server 192.0.0.1 in seiner Resolver-Config eingetragen hat (ob per DHCP oder per statischer Eintragung), dann fragt er den. Und sonst keinen. Einen "Fallback" gibt es nicht. Wenn er einen anderen fragt, dann wurde der automatisch oder manuell eingetragen, und auch dann ist es wieder egal, ob das per IPv4 oder per IPv6 passiert ist.

Der Ablauf eines jeden Zugriffs auf eine Webseite ist:

1. Es erfolgt eine DNS-Anfrage an den DNS-Server, der konfiguriert ist. Das ist, wenn die Konfirguration stimmt, das Pihole. Egal ob seine IPv4 oder seine IPv6-Adresse angesprochen wird.
2. Heute ist es so ("happy eyeballs"), daß in der Regel eine Anfrage nach A und eine nach AAAA gleichzeitig gestellt werden. Werden beide beantwortet, wird IPv6 bevorzugt, wenn das nicht geht (z.B. weil das interne Netz nur v4 beherrscht und es keine Routen für v6 gibt) IPv4.
3. Dann erfolgt der Zugriff auf den Webserver, je nach Konnektivität per v4 oder v6. An dieser Stelle hat das Pihole schon keine Karten mehr. Für die Funktionalität des Pihole ist nur wichtig, daß es die DNS-Anfragen beantwortet, es ist kein Proxy.

Und deswegen ist es vollkommen unerheblich, ob Du seine IPv4-, seine IPv6- oder beide Adressen einträgst.

Das Szenario habe ich mir "ausgedacht". Wenn per DHCP die IPv6-Adresse des Routers als DNS verteilt werden sollte, kann der eben auch angefragt werden. Ich habe keine Fritz!Box mehr, daher kann ich das nicht genau sagen. Aber wird, wenn man im IPv6-Bereich nichts weiter konfiguriert hat, nicht standardmäßig auch die IPv6-Adresse des Routers als DNS per DHCP verteilt? Damit hätte man den Zustand, dass sowohl PiHole als auch der Router als DNS-Server eingetragen sind.

Du sagst ja der Fritzbox, welchen DNS sie den Clients annoncieren soll (nämlich das Pihole). Das macht sie dann. Und damit ist das Thema auch erledigt. Da wird nicht einfach mal so an der Fritzbox vorbei ein anderer DNS-Server per v6 verteilt.

Ich nutze die Dinger auch nicht, habe aber diverse aufgesetzt - man kann konfigurieren, welche IPv4- und IPv6-DNS-Server verteilt werden, ob es einen Fallback auf öffentliche geben soll und ob DoH eingesetzt werden soll.

Solange alle Einstellungen auf das Pihole zeigen, kein Fallback eingestellt ist und kein DoH erlaubt ist, kann da eigentlich nichts schiefgehen.

Du sagst oben:Wenn er das tut hat er den PiHole in den IPv6-Einstellungen nicht konfiguriert. PiHole wurde ja nur in den IPv4-Einstellungen als DNS-Server hinterlegt. Grundsätzlich erstmal nicht schlimm, der PiHole kann ja auch AAAA-Records über IPv4 beantworten (hast Du ja auch soweit erklärt). Wenn er jetzt allerdings IPv6 einschaltet, wird die Fritz!Box standardmäßig eben ihre IPv6-Adresse zusätzlich als DNS-Server verteilen. Natürlich kann man das dementsprechend einstellen, man muss es aber auch tun. Daher ist eben doch eine Änderung an den Einstellungen nötig.

Genau diese Frage wurde oben doch gestellt:Entweder das muss er einstellen, oder eben keine IPv6 DNS-Server Adresse verteilen. Wenn er aber nichts ändert (wie von Dir gesagt), wird wahrscheinlich die IPv6-Adresse der Fritz!Box auch als DNS-Server vergeben. Darauf wollte ich hinaus.

Mach doch einfach, was Du willst. Mein Problem ist es nicht.

Was willst Du denn jetzt von mir? Nach dem Saufen einen Kommentar geschrieben? Lächerlich.

Ich mache garnichts, ich bin von diesem Problem nicht betroffen. Ich habe lediglich klar gemacht, dass es zu Problemen kommen kann wenn er, wie Du gesagt hast, alles so lässt wie es ist.

Angeregt von dieser Leitung von Kuketz (danke für den Link) habe ich nun Pi-hole auf einem Raspi3 installiert, nur bekomme ich diese Fehlermeldung, wenn ich die Filterliste aktualisieren möchte:



Bin die Anleitung nochmals durchgegangen und hänge nun an einem Punkt fest.



Unter Punkt 6 - Pi-Hole: Welche Adresse muss man unter CIDR Notation eintragen?

Mein Router hat die Adresse "192.168.1.1". Die CIDR ist dann "192.168.1.0/24"

Das habe ich auch so verstanden und entsprechend eingegeben, dennoch bekomme ich o.g. Fehlermeldung bzw. kann die Filterliste nicht aktualisieren. Woran könnte das liegen?

Hast du eine aktuelle Adlist eingetragen? In der Seitenleiste steht "Adlists". Dort trägst Du Links von Listen ein, die Du hier in der Spalte "Raw hosts" findest. Ein Beispiellink: https://raw.githubusercontent.com/StevenBlack/hosts/master/alternates/fakenews-gambling-porn/hosts
Anschließend kannst Du in "Tools" durch "Update Gravity" die Listen in Pi-hole laden.

Danke marm für deine Kommentierung , klappt leider auch nicht deinem Link nicht, siehe Snapshot:


Die erste Filterliste stammt von der Pi-hole Installation, die zweite von dir. Beide konnten mit Tools/Update Gravity nicht modifiziert werden.

Irgendetwas stimmt nicht

Den zweiten Filter von mir kannst Du löschen; die erste Filterliste ist zumindest in Ordnung.
Ansonsten musst Du die Konfiguration nochmals Punkt für Punkt durchgehen 🤷‍♂️ Ich habe keinen Einblick, was Du eingestellt hast.

Danke dir trotzdem

Und damit hast du absolut Recht. Wenn man die IPv6 DNS-Einstellungen in der Fritzbox unverändert lässt, verteilt sie natürlich ihre eigene IPv6 Adresse als DNS Server. Damit nimmt man Pihole für alle Geräte mit Dual Stack aus dem Spiel, was selbstverständlich nicht gewünscht sein kann.

Für euch getestet!

Dann war sie aber von vornherein nicht korrekt konfiguriert. Deswegen mein Verweis auf die Konfigurationsoptionen.

Wenn die Konfiguration vorsieht, die IPv4-DNS-Adresse per DHCP zu verteilen ...



... und den IPv6-DNS in Ruhe zu lassen ...



... dann braucht man keinerlei Änderung.

Insbesondere braucht man wirklich keinen IPv6-DNS, solange im Heimnetz noch IPv4 läuft und alle Clients noch IPv4 haben. Und eine Änderung ist - leider - bis auf weiteres kaum absehbar.

Korrekt oder nicht korrekt ist hier erstmal egal. Das ist die Standardeinstellung der Fritz!Box. Und damit ist eine Änderung der Einstellungen nötig. Genau darauf wollte ich doch hinaus!

In der Standardeinstellung der Fritzbox wird das Pihole nicht als DNS-Server verteilt. Also nein, Du kannst nicht von der Standardeinstellung ausgehen, sondern mußt schon die korrekte als Ausgangspunkt nehmen.

Wir sprechen NICHT von der IPv4-DNS Konfiguration, die hatte der OP doch erfolgreich auf den PiHole gestellt. Wir sprechen von der IPv6-Standardkonfiguration. Die Konfiguration im IPv6-Bereich lässt sich ohne eingeschaltetes IPv6 auch überhaupt nicht anfassen, daher konnte da auch nichts daran geändert werden.

Und eben jetzt (NEU) wollte der OP gerne IPv6 nutzen und fragte ob er noch was im DNS Bereich ändern muss wenn er IPv6 einschaltet. Und dann hast DU doch davon gesprochen, dass er alles so lassen kann wie es ist, was falsch ist. Nämlich in der Standardkonfiguration wird die Fritz!Box nach Einschalten von IPv6 eben sich selbst als DNS-Server (IPv6) verteilen, wie oben auch beschrieben.