136892
136892
Mar 13, 2021
view2410
view3
0
Goto Top

PfSense Captive Portal mit Pihole

GermansolvedQuestionFirewallSecurity
Hallo,

ist es möglich Captive Portal und gleichzeitig den Pihole als DNS Server laufen zu lassen?
Ich möchte gerne im Gastnetz (192.168.10.0/24) ein Captive Portal einrichten und um Webseiten zu blocken, den Pihole (192.168.10.2) einsetzten.
Jetzt ist das Problem das Captive Portal die gleiche DNS-Server IP wie die pfSense (192.168.10.1) sein muss, damit man sich darüber anmedlen kann.

Habt ihr ne Idee wie man das dann mit dem Pihole als DNS blocker löst?
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 662335

Url: https://administrator.de/contentid/662335

Printed on: April 27, 2024 at 03:04 o'clock

3 Comments
Latest comment
Goto Top
Member: aqui
aqui Mar 13, 2021 at 23:51:13 (UTC)
Goto Top
Warum sollte das deiner Meinung nicht gehen ?? DNS hat doch mit dem CP nicht das geringste zu tun !
Die Frage ist WIE du den PiHole integrieren willst ?? Leider sagst du dazu kein Wort so das wir hier in die Kristallkugel sehen müssen... face-sad
  • PiHole ist mit im Gastnetz, Client bekommt PiHole DNS IP vom DHCP und du musst eine Ausnahmeregel im CP erstellen das PiHole Traffic durch Portal durch darf
  • PiHole ist in einem anderen IP Netz an der pfSense. Hier kann man jetzt entweder den DNS Forwarder der pfSense auf den PiHole setzen dann fragt der Client erst die pfSense, die reicht dann weiter an den PiHole
  • Oder Client hat PiHole DNS direkt, dann wieder Ausnahmeregel im CP das DNS Request durch darf
Es gibt zig Optionen das umzusetzen. Mit deiner leider sehr oberflächlichen Beschreibung wie du das umsetzen musst müsste man aber jetzt im freien Fall raten. Vielleicht machst du dazu erstmal ein paar Angaben bevor wir ins Eingemachte gehen.
Wichtig dafür ist das du vorab in der pfSense den DNS Forwarder und Resolver entsprechend richtig einstellst:
PfSense - web.de wird trotz aktiver "Scheunentor-Regel" blockiert
Mitglied: 136892
136892 Mar 15, 2021 at 17:55:36 (UTC)
Goto Top
Ok ich versuche es mal zu beschreiben.

Ich habe ein VLAN Gastnetz mit der 192.168.10.0/24 auf meiner pfSesne laufen.
Die pfSense hat die 192.168.10.1. pfSense vergibt per DHCP die Adressen.
Als DNS Blocker habe ich Pihole mit der IP: 192.168.10.2 am laufen.

Jetzt möchte ich es so haben das ich ein Captive Portal im Gastnetz betreiben möchte.
Habe das Problem wenn ich den Pihole als DNS Server das Captive Portal nicht "anspringt" bzw nicht im Browser erscheint.
Wenn ich wieder pfSense als DNS-Server nutze (192.168.10.1) funktioniert das Captive Portal.

Hier ein Screenshot, pfSense als DNS-Server (ohne Pihole):

captiv portal ohne pihole

Hier mit Pihole, dort kommt die Captive Portal abfrage nicht:

captiv portal mit pihole

Habe das mit dem Captive Portal auch noch nie gemacht und möchte mich dort etwas einlernen face-smile
Member: aqui
Solution aqui Mar 15, 2021 at 18:54:13 (UTC)
Goto Top
Habe das Problem wenn ich den Pihole als DNS Server das Captive Portal nicht "anspringt" bzw nicht im Browser erscheint.
Dazu 3 wichtige Fragen:
  • 1.) Welche DNS IP vergibt der pfSense DHCP Server an die Gast Clients ?
  • 2.) WO steht der PiHole ? Im Gastnetz Segment selber oder woanders
  • 3.) WIE lautet die DNS Weiterleitungsadresse des PiHole ?
Das ist essentiell wichtig zu wissen.

Laut deinem Adressierungs Screenshot steht der PiHole im gleichen Gastsegment. Für ihn gilt also auch die Sperre des CPs, sprich der PiHole kommt nicht nach draussen um DNS Adressen auflösen zu können und ist ohne Authentisierung genau so blockiert wie alle Gäste.
Dazu gibt es 2 Lösungen um dem PiHole freie Fahrt zu gewähren. In jedem Fall muss die Adresse des PiHole in der CP Ausnahme konfiguriert sein damit der PH das CP ungehindert passieren kann.
  • Hardware Adresse des PiHole im CP unter "MACs" eintragen als Ausnahme.
mac
Vorteil: Ein Eintrag genügt da sich die Mac nie ändert und einzigartig ist
Mac Adresse des PiHole am eth0 Interface zeigt dir das Kommando ifconfig
  • IP Adresse des PiHole im CP unter "Allowed IP Adsresses" eintragen als Ausnahme.
ip
Nachteil: Die IP kann sich ändern wenn du den PiHole mit einer DHCP IP Adresse versorgst. Hat die sich mal geändert klappt wieder kein CP und DNS. Deshalb musst du im DHCP Server über die Mac Adresse des PiHole dem eine feste IP vergeben oder dem PiHole eine statische IP geben. Mehr Aufwand...

Sollte der PiHole als DNS in einem anderen Segment stehen und der DHCP Server diesen als DNS an die Clients vergibt kommen die Gast Clients logischerweise NICHT raus. Henne Ei Problem... Logisch, denn ohne Authentisierung (oder Ausnahme) kann kein DNS Traffic bzw. generell kein Traffic das CP passieren. DNS muss aber schon vorher zwindend möglich sein.

Sinnvoll ist also weiter die pfSense als DNS im Gastsegment zu betreiben ihr aber selber als DNS Forwarding Adresse die des PiHoles einzutragen. So kannst du generell allen Traffic auch aus allen anderen Segmenten, Werbe, Trojaner und Malware frei betreiben.
GermansolvedQuestionFirewallSecurity