# Pihole + unbound mit DoT; BOGUS

**URL:** <https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549>\
**Category:** Deutschsprachige Hilfe\
**Tags:** v4-0, unbound\
**Created:** [November 20, 2018, 3:55pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549 "2018-11-20T15:55:24Z")\
**Posts on this page:** 11\
**Page:** 1

<div class="post-metadata">

**Author:** ![JohnWayne](https://discourse-cdn.pi-hole.net/letter_avatar_proxy/v4/letter/j/a698b9/32.png) [@JohnWayne](https://discourse.pi-hole.net/u/JohnWayne)\
**Post date:** [November 20, 2018, 3:55pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/1 "2018-11-20T15:55:24Z")

</div>

Hallo zusammen,

aktuell läuft bei mir auf einem Devuan Ascii Pihole v 4.0 in Kombination mit unbound v. 1.6.0.  
Dieser übermittelt wiederrum per forward addr die Daten via DoT an einen externen DoT-Resolver.  
DNSSEC-Validierung ist im pihole sowie unbound aktiviert.  
Das ganze lief zirka einen Tag reibungslos, auch nach mehreren Neustarts.

Plötzlich, nach einem Neustart funktioniert die DNS-Auflösung nicht mehr. Obwohl nichts verändert wurde.  
Da bei jeder Anfrage im Pihole-Querylog OK (forwarded)  
und in roter Schrift 'BOGUS' steht, vermute ich dass irgendwo ein Problem mit der DNSSEC-Validierung in unbound besteht, aber wieso jetzt? Unbound läuft laut status korrekt.  
Da ich ohne DNS-Resolving keine Logs hochladen kann, findet er sich hier:

> **[Disroot Bin - Encrypted pastebin by PrivateBin](https://bin.disroot.org/?564e27b50235ce38#Lr5EZU1mCrGlyZJctpDzAx4glgRDtiyVxWb6nuatIcc=)**
>
> Visit this link to see the note. Giving the URL to anyone allows them to access the note, too.

Vielen Dank schonmal 🙂

---

<div class="post-metadata">

**Author:** ![JohnWayne](https://discourse-cdn.pi-hole.net/letter_avatar_proxy/v4/letter/j/a698b9/32.png) [@JohnWayne](https://discourse.pi-hole.net/u/JohnWayne)\
**Post date:** [November 20, 2018, 4:11pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/3 "2018-11-20T16:11:05Z")

</div>

DNSSEC in Pihole abschalten hilft nicht, dann zeigt er lediglich den Fehler BOGUS nicht mehr an. Die Adressauflösung geht dann aber weiterhin nicht.

---

<div class="post-metadata">

**Author:** ![JohnWayne](https://discourse-cdn.pi-hole.net/letter_avatar_proxy/v4/letter/j/a698b9/32.png) [@JohnWayne](https://discourse.pi-hole.net/u/JohnWayne)\
**Post date:** [November 20, 2018, 4:17pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/5 "2018-11-20T16:17:53Z")

</div>

Also DNSSEC in unbound abschalten?

---

<div class="post-metadata">

**Author:** ![DL6ER](https://discourse-cdn.pi-hole.net/user_avatar/discourse.pi-hole.net/dl6er/32/281_2.png) [@DL6ER](https://discourse.pi-hole.net/u/DL6ER)\
**Post date:** [November 20, 2018, 4:36pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/7 "2018-11-20T16:36:47Z")

</div>

Ich (und so ziemlich jeder andere) verwende DNSSEC innerhalb von `unbound` seit langem absolut reibungslos.

Wie sieht es aus wenn Du die Domains direkt an Deinem `unbound` Server versuchst aufzulösen?

---

<div class="post-metadata">

**Author:** ![JohnWayne](https://discourse-cdn.pi-hole.net/letter_avatar_proxy/v4/letter/j/a698b9/32.png) [@JohnWayne](https://discourse.pi-hole.net/u/JohnWayne)\
**Post date:** [November 20, 2018, 4:48pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/10 "2018-11-20T16:48:01Z")

</div>

Also ich habe gerade mal die Section mit DNSSEC auskommentiert, bringt aber auch nichts.

Direkt prüfe ich das doch mit:  
`dig sigok.verteiltesysteme.net @127.0.0.1#5353`  
wenn der Port von unbound 5353 ist? Das wundert mich übrigens, im log tauchen noch zwei andere unbound Ports auf.  
Dann bekomme ich ganz merkwürdig:  
`dig: couldn't get address for '127.0.0.1#5353': failure`

Das verwunderliche ist halt, ich habe nichts verändert und auf einmal lief er nicht mehr...

---

<div class="post-metadata">

**Author:** ![DL6ER](https://discourse-cdn.pi-hole.net/user_avatar/discourse.pi-hole.net/dl6er/32/281_2.png) [@DL6ER](https://discourse.pi-hole.net/u/DL6ER)\
**Post date:** [November 20, 2018, 4:53pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/11 "2018-11-20T16:53:58Z")

</div>

> [@JohnWayne](#):
>
> Dann bekomme ich ganz merkwürdig:  
> `dig: couldn't get address for '127.0.0.1#5353': failure`

Syntax Fehler:

```auto
dig sigok.verteiltesysteme.net @127.0.0.1 -p 5353

```

---

<div class="post-metadata">

**Author:** ![JohnWayne](https://discourse-cdn.pi-hole.net/letter_avatar_proxy/v4/letter/j/a698b9/32.png) [@JohnWayne](https://discourse.pi-hole.net/u/JohnWayne)\
**Post date:** [November 20, 2018, 4:55pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/12 "2018-11-20T16:55:21Z")

</div>

Danke, bin schon ganz blind bei den ganzen Befehlen...

Gibt mir ein SERVFAIL zurück, also liegt das Problem wohl an unbound?  
Brauchst du die ganze Meldung?

---

<div class="post-metadata">

**Author:** ![DL6ER](https://discourse-cdn.pi-hole.net/user_avatar/discourse.pi-hole.net/dl6er/32/281_2.png) [@DL6ER](https://discourse.pi-hole.net/u/DL6ER)\
**Post date:** [November 20, 2018, 4:59pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/13 "2018-11-20T16:59:37Z")

</div>

> [@JohnWayne](#):
>
> Gibt mir ein SERVFAIL zurück, also liegt das Problem wohl an unbound?

Ja.

> [@JohnWayne](#):
>
> Brauchst du die ganze Meldung?

Ja, das wäre eine gute Idee. Als nächstes kannst Du den Loglevel in der `/etc/unbound/unbound.conf.d/pi-hole.conf` erhöhen, vielleicht.

```auto
    logfile: "/var/log/unbound.log"
    verbosity: 3

```

und dann nach einem Neustart vom `unbound` schauen was dort geloggt wird.

Noch eine Frage: Lass mal bitte `date` laufen und schu ob die Uhrzeit auf dem Pi-hole stimmt.

---

<div class="post-metadata">

**Author:** ![JohnWayne](https://discourse-cdn.pi-hole.net/letter_avatar_proxy/v4/letter/j/a698b9/32.png) [@JohnWayne](https://discourse.pi-hole.net/u/JohnWayne)\
**Post date:** [November 20, 2018, 5:05pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/15 "2018-11-20T17:05:48Z")

</div>

Die Uhrzeit stimmt definitiv nicht, den Rest teste ich kurz.

; \<\<\>\> DiG 9.10.3-P4-Debian \<\<\>\> sigok.verteiltesysteme.net @127.0.0.1 -p 5353  
;; global options: +cmd  
;; Got answer:  
;; -\>\>HEADER\<\<- opcode: QUERY, status: SERVFAIL, id: 491  
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:  
; EDNS: version: 0, flags:; udp: 1472  
;; QUESTION SECTION:  
;sigok.verteiltesysteme.net. IN A

;; Query time: 941 msec  
;; SERVER: 127.0.0.1#5353(127.0.0.1)  
;; WHEN: Thu Jan 01 03:53:45 UTC 1970  
;; MSG SIZE rcvd: 55

---

<div class="post-metadata">

**Author:** ![DL6ER](https://discourse-cdn.pi-hole.net/user_avatar/discourse.pi-hole.net/dl6er/32/281_2.png) [@DL6ER](https://discourse.pi-hole.net/u/DL6ER)\
**Post date:** [November 20, 2018, 5:12pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/16 "2018-11-20T17:12:02Z")

</div>

Aha, wenn die Uhrzeit nicht stimmt, dann ist der Rest auch schon für die Tonne, denn die Signaturen sind zeitempfindlich. Bitte nachstellen.

---

<div class="post-metadata">

**Author:** ![JohnWayne](https://discourse-cdn.pi-hole.net/letter_avatar_proxy/v4/letter/j/a698b9/32.png) [@JohnWayne](https://discourse.pi-hole.net/u/JohnWayne)\
**Post date:** [November 20, 2018, 5:16pm UTC](https://discourse.pi-hole.net/t/pihole-unbound-mit-dot-bogus/14549/17 "2018-11-20T17:16:46Z")

</div>

Irre... die Uhrzeit war das Problem.  
Dann scheint er bei einem Neustart als ich auch die Karte für das Backup entfernt habe die Uhrzeit verloren zu haben.  
Da merkt man wieder dass es auf die Kleinigkeiten ankommt. ☝🏻👌🏻