Fritz!OS 7.20 - DNS over TLS führte zu Problemen

[genuede]

Habe heute DoT wieder abgeschaltet. Meine Androiden (Pixel3a sowie Nexus5, 5X) behaupten immer öfter kein Netz. Google scheint wohl die Erreichbarkeit eigener Server abzufragen. Immer war bei mir google.com nicht erreichbar, google.de dagegen schon. Musste zu Hause immer LTE-Daten abschalten, da mir das Datenvolumen trotz voller WLAN-Verbindung abgesaugt wurde.
Nicht erreichbare Seiten immer DNS-Probleme. Zum Schluss auch kein Empfang von E-Mails auf Fritzfon (Server ungültig). Daher DoT deaktiviert und seit 4h keine Probleme mehr.
Gruß Gerhard

 

[genuede]

Habe gestern von AVM eine Antwort auf ein Ticket bezüglich DoT erhalten:

(AVM) 09.10.2020, 11:19 MESZ Guten Tag Herr XXX vielen Dank für die Übermittlung der Informationen. Ich deute Ihre Ausführungen so, als dass die beschriebenen Probleme mit der Abschaltung von DoT beseitigt werden konnten. Sollte dies nicht der Fall sein, so teilen Sie mir dies bitte mit. Ansonsten handelt es sich um ein Verhalten, was uns bereits bei Nutzung von DoT unter FRITZ!OS 7.2x bekannt ist. Bei aktiviertem DoT kann es zu Problemen mit der DNS-Auflösung kommen, was sich dann in der Nichterreichbarkeit von bestimmten Webseiten und Diensten ausdrückt. Zusätzliche Daten zur weiteren Untersuchung benötigen wir nicht. Wir werden dazu eine Lösung mit einem kommenden FRITZ!OS Update bereitstellen. Es hat sich herausgestellt, dass die Funktion durch einen Neustart der FRITZ!Box wieder hergestellt werden kann, jedoch tritt das Verhalten nach unbestimmter Zeit wieder erneut auf, ein weiterer Neustart wäre dann wieder nötig. Sofern DoT deaktiviert wird, gibt es mit der DNS-Auflösung keine Probleme. Entsprechend kann auch ich in Ihrem Fall nur empfehlen, DoT bis zur Veröffentlichung des entsprechenden Updates nicht zu nutzen, insofern Sie die FRITZ!Box nicht sporadisch neustarten wollen. Im Rahmen unseres Supports erhalten Sie eine E-Mail, in der Sie Ihre Zufriedenheit mit unserem Service bewerten können. Sie können dem jederzeit widersprechen. Weitere Informationen erhalten Sie hier.

Eigentlich schade. Habe es vorgestern Abend doch wieder aktiviert. Mal sehen, wie lange es dauert, bis die DNS-Auflösung wieder gestört ist.
Gruß Gerhard

Nachtrag: nach ca. 40h ist google.com nicht erreichbar, google.de dagegen schon!!

 

[henry90]

Übergangsweise kann man seinen Firefox, wer ihn hat, auf DoH (DNS over HTTPS) einstellen.

 

[HabNeFritzbox]

Man hat mehr als nur ein Firefox im Haushalt wo Daten ins Internet gehen. Einfach DoT abschalten, funktioniert ja weiterhin wie früher.

 

[henry90]

Man hat mehr als nur ein Firefox im Haushalt wo Daten ins Internet gehen.

Man kann alle Firefoxe auf DoH stellen

Einfach DoT abschalten, funktioniert ja weiterhin wie früher.

und eigentlich ist verschlüsselte DNS-Abfrage nur was für Paranoiker

 

[HabNeFritzbox]

Wie geschrieben gibt es mehr als nur Firefox was ins Internet geht.

Wenn AVM nur Mist macht in Firmware schaltet man es ab, oder nutzt es und lässt FB täglich per Zeitschaltuhr neustarten.

 

[koyaanisqatsi]

Wir ( Bürger dieses Landes ) sind für unsere Daten selbst verantwortlich.
...aber wer nichts zu verbergen hat...

 

[MartinX3]

Ich schließe mich dem Problem an.
Ich habe selbiges auf meiner 7490 7.20 mit den DNS DoT Servern:
dns.digitale-gesellschaft.ch
dns2.digitalcourage.de

Das Fallback habe ich auch deaktiviert.
Apropo, mir fiel auf, dass auf meinem Laptop das Problem teilweise nur im LAN oder im WiFi auftritt.
Oder nur auf einem Gerät im Netz, z.B. konnte mein Handy imap.web.de nicht mehr erreichen, dafür aber web.de
Oder www.google.de ging, aber nicht google.de
Es ist lustig, dass immer nur einige wenige Addressen betroffen sind.

Workaround:
Wenn ich in meinem Linux vorher z.B. "nslookup github.com" aufrufe, kann ich selbige Seite wieder mit "ping github.com" erreichen.
Das hilft aber nur eine Zeit lang.
Z.B. bis ich die Netzwerkverbindung trenne und neu aufbaue.

 

[HabNeFritzbox]

Aktuell kannst es wohl nur abschalten, und auf den Fix warten in einer der nächsten Updates.

 

[fluffi444]

Habe gestern von AVM eine Antwort auf ein Ticket bezüglich DoT erhalten:
....
Nachtrag: nach ca. 40h ist google.com nicht erreichbar, google.de dagegen schon!!

Danke für Die Info. Das bestätigt ja alle hier genannten Beobachtungen.
Dann mal locker zurücklehnen und abwarten. Problem erkannt (und von AVM akzeptiert) ist die halbe Miete.

Bei mir ist es dann meist google.de - Ist auch meine Startseite... Auch meine Androiden greifen hier oft zu.
So langsam vermute ich, dass hier irgentwelche Logs vollllaufen und so die am meist besuchten Seiten/Adressen zuerst ausfallen.

 

[Jacky686]

Ich hatte auch Probleme mit DoT. Ich habe den Fallback deaktiviert, seitdem läuft es einwandfrei. Es könnte aber auch sein, dass der DNS Server "https://doh.ffmuc.net" einfach besser läuft.
Es war in der Zeit mit Android nicht möglich den Google Playstore oder andere Stores zu erreichen, hingegen lief der Firefox meistens einwandfrei.

 

[genuede]

Es war in der Zeit mit Android nicht möglich den Google Playstore oder andere Stores zu erreichen, hingegen lief der Firefox meistens einwandfrei.

Ich hatte das Problem, dass meine Androiden das WLan nicht nutzen wollten. Fehlermeldung: schlechtes Netz oder keine Verbindung ins Internet. Kommt wahrscheinlich, wenn die Androiden nicht nach Hause telefonieren können!!
Damit habe ich dann trotz WLan mein mobiles Datenvolumen verbraten.
Gruß Gerhard
Vielleicht fehlt der Fritzbox ein "flushdns". Vor allem reicht ein Deaktivieren von DoT nicht. Es ist ein Reboot der Fritzbox nötig!

 

[KunterBunter]

Hast du das nicht schon einmal vor 4 Tagen in Beitrag #21 am Anfang dieser Seite geschrieben?

Wiederhergestellt by stoney und Vollzitat von darunter entfernt - so weiß doch niemand woher Dein zitierter Text kommt, auch gerne wg. solchen "Einzeiler-Vollzitaten" die Meldenfunktion nutzen, aber nicht einfach den zitierten Post löschen - by stoney

 

[genuede]

dazwischen war aber noch die Antwort von AVM sowie neu, dass einfaches Deaktivieren ohne Reboot nicht zum Erfolg führt!

 

[gordon55]

Hallo Ihr Lieben,
vielen Dank für die Infos, hab grad seit Tagen das gleiche Problem mit DoT in der 7.20 auf der 7590 ... heute mal auf 7.21 update gefahren ... ok, is erst ein paar Stunden her ...
Ich vermute aus Euren Kommentaren, dass auch mit 7.21 das Problem bei mir weiterhin besteht ... sehe ich dann wohl bald
Ich hatte die Info hier her ... hoffentlich ist der Link auch erlaubt : privacy-handbuch ... wenn nicht, bitte Link einfach löschen.
Eine Lösung ist wohl von AVM zu liefern nach meinem Verständnis ...
Was empfehlt Ihr bis zum nächsten Update ? Ich möchte ungern auf DoT verzichten auf der Fritte ... ich nutze grad DNS-Server mit Filtern ... meine "devices" :

• 2 Win10-Läppis
• 1 iPad
• 4 Androids (Handies + Tablet, Android 8 und 10)
• Linux : 2 E2-Receiver, NAS, Raspi 3 + 4 mit Smarthome, ReverseProxy etc.

Ich möchte ungern auf jedem Gerät entsprechende Apps / ipfilter einbauen müssen...
Vielen Dank.

 

[genuede]

@gordon55 Einen Raspi als DNS-Server. Mal nach Pi-hole suchen.
Habe selbst aber damit auch noch nicht probiert.

 

[gordon55]

vielen Dank @genuede
ja, piHole hab ich auch schon gesehen und als Alternative vorgemerkt. hab ja noch "Potential frei" aufm RPi4.
jedoch möchte ich meinen Internetzugang der ganzen Geräte NICHT von noch einem zusätzlichen Gerät abhängig machen, wenn die Fritte das schon können sollte ... jedoch noch nicht so ganz zuverlässig kann
Ich bin zwar eigentlich ein Bastler, jedoch als IT-PM strebe ich nach zuverlässigen Lösungen. Hoffentlich bringt AVM da eine relativ kurzfristige Lösung = Update.
Ansonsten werd ich mich wohl mit "würgarounds" wie pi-Hole, Blokada, iptables etc. beschäftigen müssen.
Wie immer, die Hoffnung stirbt zuletzt. Ich hoffe, dass AVM da noch was nachschiebt. In der Zwischezeit reboote ich die Fritte eben mal alle 2-5 Tage, wenn das Problem auftritt ... mal sehen, wie lange ich das durchhalte ...

 

[HabNeFritzbox]

Man kann den RasPi als externen DNS in der FB eintragen mit der internen IP.

Die FB verwendet schnellsten DNS, und Heimnetz sollte schneller sein als DSL.

Wenn PiHole und co nutzt, dann sollte man Konsequent auch Unbound DNS mit Root Zonen verwenden, und nicht noch Resolver wie Google und co mit einbinden.

 

[gordon55]

Wenn PiHole und co nutzt, dann sollte man Konsequent auch Unbound DNS mit Root Zonen verwenden, und nicht noch Resolver wie Google und co mit einbinden.

uih, besten Dank für den Tipp ... jedoch is des grad "harter Tobak" für mich ... "unbound DNS ... Root Zones ... " : schon mal gehört und (noch) nicht verstanden ... "Resolver wie Google" : pfuih, wer nutzt denn noch so was
ja ich seh schon, da muss ich wohl noch etwas tiefer graben und mich etwas mehr "schlau machen".
Vielen Dank für die Tipps !!
PS : "even more than that is definitely / always highly appeciated"

 

[HabNeFritzbox]

Unbound ist fix installiert, die Root Zone muss noch kopiert werden, und dann der Lokale DNS nur noch im PiHole hinzugefügt werden.

Redirecting...

Wenn man schon Mühe macht mit eigenen DNS dann finde ich sollte der Schritt auch mitgemacht werden. So füttert man auch kein Cloudflare und co, und sicher keine Zensur und dann auch noch schneller als Google.