Genau so verstehe ich es eigentlich auch. Das Pi-Hole läuft schon seit über einem Jahr und wird auch schon seit diesem Zeitpunkt als DNS via DHCP verteilt. Wenn ich in der Pi-Hole Gui meine Netzwerkgeräte anschaue, ist bei wirklich jedem ein Haken bei "uses Pi-Hole" drin.
Das Rätsel hat sich jetzt aber gelöst: Die 5%, die über die Fritzbox aufgelöst werden sind ausschließlich Anfragen an "wpad.fritz.box". Das ist ja meines Wissens diese Proxy-Geschichte. Unschön aber hat jetzt damit nicht zu tun. Für andere Anfragen scheint die Fritze korrekterweise also wirklich nicht benutzt zu werden.
Funktioniert nicht. Vermutlich, weil die Anfragen vom Reverse Proxy der Synology Diskstation bearbeitet werden.
Nur 80 und 443 an die Synology Diskstation. Von dort verteilt dann der Reverse Proxy die Anfragen an interne IPs / Ports weiter.
Komischerweise funktioniert es ja jetzt auch beim Zugriff von innen, nur dass eben bei Zugriffen von außen plötzlich der Rebind Schutz eingreift, aber nur beim Zugriff auf das Fritzbox-Interface. Anfragen an die Synology und den Bitwarden-Safe funktionieren perfekt. Ich könnte natürlich die Fritzbox Subdomain beim Rebind-Schutz eintragen aber ich verstehe nicht, warum die jetzt eine Sonderbehandlung braucht.
Meine Einstellungen nochmal zusammengefasst:
- FB verteilt per DHCP das Pihole
- DNS der Fritzbox ist der Provider-DNS
- Upstream DNS des Pihole ist Google
- fb./ds./bw.example.com sind bei local DNS im Pihole eingetragen, jeweils mit ihrer internen IPV4 und IPV6. Auflösung passt auch, ich bekomme die interne Adresse zurück und merke auch dass die Zugriffe über intern gehe, z.B. am Downloadspeed wenn ich eine Datei aus dem DSM Filemanager herunterlade
- Conditional Forwarding ist an
- Die beiden "never Forward... " Punkte sind aus
- Meine .myfritz Adresse und fb.example.com sind als Ausnahmen für den Rebind Schutz hinterlegt. Ersteres zu Testzwecken, weiß nicht ob das was bringt, zweiteres weil sonst beim Zugriff von außen unerklärlicherweise der Rebind-Schutz greift
- Die .myfritz Adresse ist als CNAME Ziel der Subdomains beim Domainprovider hinterlegt