Hi there My pi-hole/unbound was working but stop resolving the DNS queries. After some digging it looks that something is filtering the replies on TCP, (but not on UDP). `dig @198.97.190.53 . DNSKEY +tcp +timeout=5` `;; communications error to 198.97.190.53#53: timed out` `;; communications error to 198.97.190.53#53: timed out` `;; communications error to 198.97.190.53#53: timed out` but using the same dig with the default UDP I immediatly get a reply `dig @198.97.190.53 . DNSKEY +timeout=5` `; DiG 9.18.49-1~deb12u1-Debian @198.97.190.53 . DNSKEY +timeout=5` `; (1 server found)` `;; global options: +cmd` `;; Got answer:` `;; ->>HEADER

@"Werner"#p926760 Thanks for the tips

Pi-Hole stop resolve DNS query

GaoGao

Hi there
My pi-hole/unbound was working but stop resolving the DNS queries. After some digging it looks that something is filtering the replies on TCP, (but not on UDP).
dig @198.97.190.53 . DNSKEY +tcp +timeout=5

;; communications error to 198.97.190.53#53: timed out

but using the same dig with the default UDP I immediatly get a reply

dig @198.97.190.53 . DNSKEY +timeout=5

; <<>> DiG 9.18.49-1~deb12u1-Debian <<>> @198.97.190.53 . DNSKEY +timeout=5

; (1 server found)

;; global options: +cmd

;; Got answer:

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 61471

;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:

; EDNS: version: 0, flags:; udp: 512

;; QUESTION SECTION:

;. IN DNSKEY

;; ANSWER SECTION:

A ping with a MTU of 1472 is successfull so it is not an MUT issue and tcpdump show a success ACK but a refused response from the upstream DNS. It seems that something is preventing the reply from the upstream DNS. Is there something on the Swisscom network that may block DNS TCP query reply?

3 hours on this issue, no progress 😒

Werner

GaoGao

Alle unverschlüsselten Standard-DNS-Anfragen erfolgen normalerweise immer über den Port UDP 53.
Was willst Du denn nun da mit TCP testen, oder allenfalls überhaupt erreichen?
Wobei in Deinem Beitrag natürlich nicht zu erkennen ist, ob Du in Deinem als Spezialität eingesetzten lokalen DNS-Resolver „Unbound“ allenfalls auch vom Standard individuell abweichende Parametrierungen, oder Fehlkonfigurationen vorgenommen hast.

Anders wäre die DNS-Situation effektiv nur, falls Du Richtung Internet die verschlüsselten Spezialitäten von „DNS over TLS“ benutzen würdest, denn da wird dann anstatt der normalen UDP 53 Kommunikation, für die verschlüsselten Anfragen an externe DNS-Server tatsächlich der ausgehende Port TCP 853 benutzt.

GaoGao

Werner Hi Werner, thanks for your reply

This is a standard Pi-hole/Unbound configuration. Pi-hole is listening on port 53, doing filtering and cache then forward the request to the unbound service, configured on the same system on port 5335. Unbound performs recursive queries directly against root and authoritative servers, bypassing third-party providers like Google or Cloudflare to enhance user privacy.
As I mentionned in my previous message the issue is related to TCP DNS queries. For exemple the command, from my pi-hole server, dig @198.41.0.4 . NS +norec +time=3return the expected result, it uses UDP by default but forcing TCP like dig @198.41.0.4 . NS +norec +tcp +time=3 timeout. To the best of my understanding pi-hole and Unbound are doing what they are supposed to do, performing the DNS queries, but I wonder if Swisscom is dropping the TCP DNS traffic. The tcpdump trace shows “0101 = Reply code: Refused (5)” meaning that the query was unanswered.

Werner

GaoGao aber ich frage mich, ob Swisscom den TCP-DNS-Verkehr unterdrückt

Die Swisscom Internet-Boxen sperren mit Sicherheit beim ausgehenden Traffic, anders als beim eingehendemTraffic, keinerlei Ports, also weder UDP- noch TCP-Ports.

Dein Testresultat muss also mit etwas anderem in Deiner Unbound-Konfiguration zu tun haben.

Bist Du übrigens sicher, dass die von Dir beim Test verwendete externe IP-Adresse für den Zielserver überhaupt in der Lage dazu ist, TCP-Kommunikation zu verwenden, oder halt ganz einfach wie jeder andere Standard-DNS-Server nur für UDP-Traffic eingerichtet ist.

Selbst weiss ich zwar was die Zielsetzung eines Einsatzes von Unbound ist, verwende es aber in meinen eigenen Pi-Hole-Anwendungen nicht und habe also deshalb auch keinerlei praktische Erfahrung damit.

Möglicherweise solltest Du Deine Fragestellung einfach mal in einem Unbound-Forum diskutieren, denn mit dem Swisscom-Router hat das mit geschätzten 99.99% rein gar nichts zu tun.

GaoGao

Werner

Thank you for your reply,
The servers I targeted in my dig are root servers in US and should answer to TCP DNS queries, (RFC-7766 DNS Transport over TCP). Anyway I tried the same dig on the Swisscom DNS servers from laptop not using my pi-hole/unbound infrastructure and it failed. So I can only confirm that something is preventing TCP based DNS requests on port 53 on my Swisscom access. As I have no shell access on my Swisscom router I can’t confirm if it is a router limitation or something on Swisscom network. So I reconfigure my unbound to routes everything through an encrypted channel, DNS-over-TLS on port 853 (to Quad9 and Cloudflare), a port that’s very unlikely to be transparently intercepted the way plain TCP/53 is. Now it is working. Here is my pi-hole.conf if someone encounters the same issue.

server:

verbosity: 0

interface: 127.0.0.1

interface: ::1

port: 5335

do-ip4: yes

do-udp: yes

do-tcp: yes

do-ip6: yes

tcp-upstream: yes

prefer-ip6: no

incoming-num-tcp: 50

harden-glue: yes

harden-dnssec-stripped: yes

use-caps-for-id: no

edns-buffer-size: 1232

prefetch: yes

num-threads: 1

so-rcvbuf: 2m

so-sndbuf: 2m

incoming-num-tcp: 40

private-address: 192.168.0.0/16

private-address: 169.254.0.0/16

private-address: 172.16.0.0/12

private-address: 10.0.0.0/8

private-address: fd00::/8

private-address: fe80::/10

# Needed for DNS-over-TLS upstream certificate validation

tls-cert-bundle: /etc/ssl/certs/ca-certificates.crt

forward-zone:

name: "."

forward-tls-upstream: yes

forward-addr: 9.9.9.9@853#dns.quad9.net

forward-addr: 149.112.112.112@853#dns.quad9.net

forward-addr: 1.1.1.1@853#cloudflare-dns.com

forward-addr: 1.0.0.1@853#cloudflare-dns.com

Werner

GaoGao

Gar keine unverschlüsselten DNS-Abfragen zu verwenden ist natürlich sowieso die beste Lösung.

Mache ich übrigens auch so, einfach nicht direkt auf dem Pi-Hole, sondern noch mit dem zusätzlichen „Zwischenknoten“ eines dazwischengeschalteten Asus Merlin Router, auf welchem dann als Netzwerkfilter zur Sicherheit auch zusätzlich noch der ausgehende Port UDP 53 gesperrt ist.

Und noch als kleiner Tipp, bei Cloudflare würde ich empfehlen nicht die ungefilterte Variante, sondern die inkl. Malware-Filter, also die 1.1.1.2 zu verwenden.

Hier noch als Dokumentation die von mir selbst mit einem Random-Mechanismus verwendeten DoT-fähigen DNS-Server inkl. Ihren jeweiligen IPv6-Adressen:

GaoGao

Werner Thanks for the tips