Adguard oder Pihole per UDM nicht möglich

OK, wenn der RasPi generell Probleme mit seinem eigenen DNS Zugang auf dem im PiHole oder Adguard konfigurierten Upstream DNS hat, dann liegt vermutlch da dein ursächliches Problem.
Ein nslookup oder dig vom RasPi muss sauber durchlaufen. Z.B.
dig @6649 www.administrator.de
(ggf. vorher die DNS Utils mit sudo apt install dnsutils installieren wenn nicht schon geschehen).
Wie gesagt, dieser Check MUSS auf dem Adguard oder PiHole Host fehlerfrei laufen und auch mehrfach hintereinander !
Es ist doch ganz einfach....
Einmal kann man es machen wie du jetzt auch. Jeder VLAN DHCP Server gibt die PiHole/Adguard IP an jedes Endgerät.
Die andere Option ist das du den DNS leer lässt. Dann arbeitet der Router/Firewall wie immer als DNS Cache und gibt seine eigene IP and Endgerät. Der Router/Firewall fragt dann zentral den PiHole/Adguard. So macht es ja jede FritzBox und vermutlich auch deine Unify Gurke die immer im Default als DNS Cache Server arbeiten.
Es ist aber letzlich Wumpe wie man es löst.
Die letztere Variante ist etwas eleganter und erspart einem das umständliche Firewall Regelsetup mit UDP/TCP 53 aus allen VLANs. Funktionieren tun beide Optionen gleich.

Was ja auch logisch ist unbd dir oben ja schon beschrieben wurde. UDM arbeitet dann als DNS Cache und reicht die DNS Anfragen zentral an seinen konfigurierten Upstream DNS weiter. Bei dir ja die 192.168.30.100. Das ist das beschriebene Szenario 2.
Kannst du dann an deinem 192.168.30.100er DNS auch selber sehen wenn du dort einmal einen Paket Sniffer mit tcpdump port 53 laufen lässt der alle eingehenden Port 53 Anfragen anzeigt. Dort siehst du dann die vom UDM geforwardeten DNS Anfragen seiner VLANs.
Das ist dann wieder die erste Version. So haben die Endgeräte den 192.168.30.100er DNS direkt eingetragen und gehen direkt dorthin und nicht über den UDM als Cache.
Kannst du auch mit dem tcpdump sehen wenn du dir die Absender IP Adressen einmal ansiehst. Einmal kommt alles zentral von der UDM IP, einmal kommen sie von jedem Endgerät einzeln.
Beides führt aber immer zum selben Ergebnis.
Möglich das du hier 2 DNS IP Adressen angegeben hast. Timed der erste aus wird der 2te genommen. Auch möglich das du VOR deinen Test den Cache nicht löst. Sowohl dein UDM als auch der PiHole/Adguard cachen die DNS Einträge um DNS Traffic zu reduzieren und nicht ewig und immer die Provider Upstream DNS zu fragen.
Wenn du also die Caches nicht löschst und immer wieder dieselben Adressen anfragst werden die vom Cache bedient !
nslookup oder dig zeigt dir doch immer an von WEM die DNS Antwort kommt !!! Da weisst du doch immer explizit WER die Endgeräte Anfrage beantwortet hat ! DER ist dann auch der relevante DNS.
Sorry, aber das ist doch nun ziemlicher Quatsch. Am Host also dem PiHole RasPi änderst du doch rein gar nichts mit seinem Upstream DNS. Der löst also immer auf egal was unter ihm im DHCP gesetzt wird oder nicht. Es ist doch Unsinn anzunehmen das der PiHole irgendwie mitbekommt ob ein vorgelagerter Router andere DNS IPs hat oder nicht. Das gehört ins Reich der IT Märchen.
DHCP und DNS sind doch 2 völlig unterschiedliche Baustellen die NICHTS miteinander zu tun haben. Vergiss diesen Unsinn also.
Häää ?? Den Kauderwelch versteht kein Mensch. Sorry, aber mit nslookup kann man nichts setzen, das ist ein simples Abfragetool. Und...wer oder was ist Server ?

Man wir den Verdacht nicht los das du da grundsätzlich irgendwelchen Mist konfiguriert hast.
Im Grunde ist das ein simples und banales Design mit den 2 Optionen. Egal welche der beiden Varianten man verwendet sie funktionieren BEIDE alle absolut fehlerlos.
Die Variante das die UDM als Cache arbeitet hat den Vorteil das der ganze lokale DNS Traffic nicht geroutet werden muss sondern pro Segment direkt beantwortet wird. Letztlich sind aber beide im Ergebnis aber immer gleich.

Ein Bild sagt mehr als 1000 Worte... So sähe es richtig aus L3 Sicht aus mit beiden Optionen:

Beachte das das TCP und UDP sein muss ! DNS nutzt beides !
Das sieht in der Tat dann gut aus !
OK, das gilt dann nur für die UTM selber. Dadurch das du den Endgeräten direkt den PiHole gibts als DNS fragen die ja die UTM gar nicht mehr als Caching DNS.
Das sollte generell nicht stören.
Relevant ist wenn du auf dem RasPi ein dig @6649 www.administrator.de ausfürhrt und was dort angezeigt wird welchen Upstream DNS Server er fragt.
Idealerweise setzt man dem RasPi hier eine statische IP und Gateway wie es für Server üblich ist was diese Problematik dann umgeht.
Generell ja erstmal normal. Der .30.100 DNS ist ja dein zentraler DNS im gesamten Netz ! Sämtliche DNS Requests landen also bei ihm was ja gewollt ist.
Bahnhof ?? Ägypten ?? Was sollen uns diese kryptischen Worte sagen ?? Von der public IP des UTMs ist natürlich unsinnig aber das sind lokale DNS Requests der UTM die fürs sich und ihr Management ja auch einen DNS Server benötigt. Das die natürlich ihre Public IP als Absender IP für DNS Requests an einen lokalen DNS Server verwendet zeigt eher mal wieder was für ein Schrott UBQT ist. Naja..was erwartet man wenn sich ein WLAN Hersteller an Security versucht...egal.
Das solltest du aber versuchen umszustellen, denn sonst rennst du in Hairpin NAT Probleme usw. wenn die UTM so einen Blödsinn macht.
Hast wohl vergessen Filterlisten zu aktivieren. Gehe auch Schrottseiten wie bild.de oder t-online.de die voller Schnüffelpixel und Werbung stecken. Dort sollten die Counter dann in 10er Schritten nach oben schnellen und du solltest diese Webseiten dann völlig werbefrei sehen ! Immer ein Indix das der PiHole/Adguard dann sauber rennt.
Das dürfte niemals sein !!! Zeigt das dein DNS Server dann nicht richtig läuft bzw. ein anderer Host unter gleicher IP DNS Server spielt. Vermutlich hat das mit deiner Docker Frickelei zu tun.
Steck da mal einen SD Karte rein wo der PiHole/Adguard auf dediziertem Blech rennt.
Wenn du dem den Stecker ziehtst geht im ganzen Netzwerk dann logischerweise gar nichts mehr. Wie denn auch wenn DNS zentral nicht mehr geht !
Dieses Verhalten sollte dich also zutiefst beunruhigen ! Das ist definitiv NICHT normal !
Jepp, aber sowas von schief ! Schiefer gehts nicht mehr !
So sollte es aussehen:
Eigentlich nicht, denn du gibst ja in deinen ganzen IP Segmenten nicht mehr die UTM als DNS an sondern die .3.100. Folglich benutzt keiner der Clients mehr die UTM als DNS und damit ist deren Filter dann eh ungenutzt.
Sonst müsstest du die UTM als Uplink DNS im PiHole/Adguard angeben. Normal nimmt man da aber ja DoH oder DoT DNS Server um die Schnüffelei gering zu halten.
Irgendwas ist aber generell total schief wenn du den DNS Server ausschaltest und alles geht fröhlich weiter.
Zumindestens Hostnamen die nicht im lokalen Cache liegen sollten dann sofort scheitern.
Bei Windows hilft ein ipconfig -flushdns um den DNS komplett zu löschen. Spätestens dannach geht gar nix mehr wenn der DNS weg ist.