https://techcorner.max-it.de/index.php?action=history&feed=atom&title=OPNsense_-_DNSCrypt-ProxyOPNsense - DNSCrypt-Proxy - Versionsgeschichte2026-10-11T07:55:24ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=OPNsense_-_DNSCrypt-Proxy&diff=4080&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: DNSCrypt-Proxy (DNSCrypt, DoH, ODoH, Anonymized DNS, Unbound-Anbindung, DNSBL), Stand OPNsense 26.7 / os-dnscrypt-proxy 1.172026-10-09T00:00:00Z<p>Neuer Artikel: DNSCrypt-Proxy (DNSCrypt, DoH, ODoH, Anonymized DNS, Unbound-Anbindung, DNSBL), Stand OPNsense 26.7 / os-dnscrypt-proxy 1.17</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = OPNsense 26.1 und 26.7 mit Plugin os-dnscrypt-proxy 1.17 (dnscrypt-proxy 2.1)<br />
| bereich = IT-Security<br />
| dauer = ca. 20 Minuten (Plugin, Server-Auswahl, Anbindung an Unbound, optional DNSBL)<br />
| rechte = Administrator (OPNsense-WebUI)<br />
| stand = Oktober 2026 (OPNsense 26.7.5)<br />
}}<br />
'''DNSCrypt-Proxy in OPNsense''' verschlüsselt die DNS-Anfragen der Firewall auf dem Weg ins Internet. Das Plugin ''os-dnscrypt-proxy'' bindet den freien DNS-Proxy ''dnscrypt-proxy'' ein, der die Protokolle '''DNSCrypt v2''', '''DNS over HTTPS''' ([[DoH]]) und '''Oblivious DoH''' (ODoH) beherrscht. Er wählt automatisch die schnellsten Server aus einer signierten öffentlichen Liste, kann Anfragen über Relays anonymisieren und bringt eigene [[DNS]]-Blocklisten gegen Werbung, Tracking, [[Phishing]] und [[Malware]] mit.<br />
<br />
Dieser Artikel zeigt Installation und Grundeinstellungen, die empfohlene Kombination mit Unbound, Server-Auswahl und Filter, Anonymized DNS, Blocklisten, Forwarders, Overrides und Whitelists sowie Logs und Fehlerbehebung.<br />
<br />
[[Datei:OPNsense-DNSCrypt-Proxy.png|thumb|center|750px|DNSCrypt-Proxy auf der OPNsense: Clients fragen Unbound, Unbound leitet alle Anfragen an dnscrypt-proxy auf 127.0.0.1:5353 weiter; dieser filtert per DNSBL und sendet die Anfragen verschlüsselt per DNSCrypt, DoH oder ODoH – optional über Relays – an die Resolver.]]<br />
<br />
== Warum DNS verschlüsseln? ==<br />
Klassisches DNS läuft unverschlüsselt über UDP/TCP Port 53. Jeder auf dem Übertragungsweg – Provider, öffentliches WLAN, Angreifer – kann sehen, welche Domains aufgerufen werden, und Antworten manipulieren. [[DNSSEC]] schützt nur die Echtheit der Antworten, nicht die Vertraulichkeit.<br />
{| class="wikitable"<br />
! Verfahren !! Transport !! Besonderheit<br />
|-<br />
| '''DNSCrypt v2''' || UDP/TCP, meist Port 443 || eigenes Protokoll mit Signatur der Serverzertifikate; schnell, auch über UDP<br />
|-<br />
| '''DNS over HTTPS (DoH)''' || HTTPS, Port 443 || von normalem Webverkehr kaum zu unterscheiden, schwer zu blockieren<br />
|-<br />
| '''Oblivious DoH (ODoH)''' || HTTPS über einen Relay || Relay kennt die Absender-IP, aber nicht die Anfrage; der Resolver kennt die Anfrage, aber nicht die Absender-IP<br />
|-<br />
| ''DNS over TLS (DoT)'' || TLS, Port 853 || bietet dnscrypt-proxy nicht an; dafür reicht Unbound allein (siehe unten)<br />
|}<br />
<br />
== DNSCrypt-Proxy oder Unbound mit DNS over TLS? ==<br />
Für reine Verschlüsselung braucht es kein Plugin: [[OPNsense - Unbound DNS Resolver|Unbound]] beherrscht unter ''Services → Unbound DNS → DNS over TLS'' bereits DoT zu ausgewählten Anbietern. DNSCrypt-Proxy lohnt sich, wenn<br />
* DoH oder DNSCrypt gewünscht ist (z. B. weil Port 853 im Netz blockiert wird),<br />
* die '''automatische Auswahl''' der schnellsten Server aus einer großen Liste mit Filtern (''NoLog'', ''DNSSEC'', ''NoFilter'') genutzt werden soll,<br />
* '''Anonymized DNS''' oder '''ODoH''' die Absenderadresse vor dem Resolver verbergen soll.<br />
<br />
== Installation und Grundeinstellungen ==<br />
# '''System → Firmware → Plugins''': ''os-dnscrypt-proxy'' installieren, Seite neu laden.<br />
# '''Services → DNSCrypt-Proxy → Configuration''', Reiter '''General'''.<br />
{| class="wikitable"<br />
! Feld !! Standard !! Empfehlung<br />
|-<br />
| '''Enable DNSCrypt-Proxy''' || aus || aktivieren<br />
|-<br />
| '''Listen Address''' || <code>0.0.0.0:5353</code> || bei Betrieb hinter Unbound auf <code>127.0.0.1:5353</code> (und ggf. <code>[::1]:5353</code>) begrenzen<br />
|-<br />
| '''Use IPv4 Servers''' / '''Use IPv6 Servers''' || an / aus || IPv6 nur bei funktionierender IPv6-Anbindung<br />
|-<br />
| '''Use DNSCrypt Servers''' / '''Use DNS-over-HTTPS Servers''' || an / an || beide aktiv lassen<br />
|-<br />
| '''Use Oblivious-DNS-over-HTTPS Servers''' || aus || nur zusammen mit ODoH-Relays sinnvoll<br />
|-<br />
| '''Require DNSSEC''' || aus || aktivieren – nur Server mit DNSSEC-Validierung<br />
|-<br />
| '''Require NoLog''' || an || aktiv lassen – nur Server, die keine Anfragen protokollieren<br />
|-<br />
| '''Require NoFilter''' || aus || aus lassen, wenn auch filternde Server (z. B. Malware-Schutz) erlaubt sind<br />
|-<br />
| '''Server List''' || leer (automatisch) || bestimmte Server erzwingen, z. B. <code>quad9-dnscrypt-ip4-filter-pri</code>, <code>cloudflare</code><br />
|-<br />
| '''Disabled Servers List''' || leer || einzelne Server ausschließen<br />
|-<br />
| '''Fallback Resolver''' || <code>9.9.9.9:53</code> || nur für das Laden der Serverliste beim Start (unverschlüsselt); interne oder Provider-DNS möglich<br />
|-<br />
| '''Cache''' / '''Cache Size''' || an / 512 || beibehalten; hinter Unbound cacht ohnehin Unbound<br />
|-<br />
| '''Enable query logs''' || an || für Fehlersuche; im Dauerbetrieb aus Datenschutzgründen prüfen<br />
|-<br />
| ''Timeout'' / ''Keepalive'' || 2500 ms / 30 s || beibehalten<br />
|}<br />
Weitere Optionen: ''Force TCP'', ''Proxy'' (SOCKS5, z. B. für Tor), ''Block IPv6'' (AAAA-Anfragen sofort beantworten), ''Ephemeral Keys'' (für DNSCrypt neue Schlüssel pro Anfrage) und ''TLS Disable Session Tickets''.<br />
<br />
Die öffentliche Serverliste (''public-resolvers'') und die Relay-Listen lädt dnscrypt-proxy aus dem Projekt DNSCrypt-Resolvers, prüft deren '''Minisign-Signatur''' und aktualisiert sie alle 72 Stunden.<br />
<br />
== Empfohlener Aufbau: Unbound vor DNSCrypt-Proxy ==<br />
Bewährt ist die Kombination: Clients fragen weiterhin '''Unbound''' auf Port 53 – mit Hostnamen aus DHCP, Overrides, Blocklisten und Cache –, und Unbound leitet alle externen Anfragen an dnscrypt-proxy weiter.<br />
# DNSCrypt-Proxy: ''Listen Address'' <code>127.0.0.1:5353</code>, '''Save'''.<br />
# '''Services → Unbound DNS → Query Forwarding''': Eintrag ohne Domain (alle Anfragen), Server <code>127.0.0.1</code>, Port <code>5353</code>. OPNsense setzt für Weiterleitungen an localhost automatisch <code>do-not-query-localhost: no</code>.<br />
# Auf derselben Seite '''Use System Nameservers''' deaktiviert lassen, damit Unbound nicht zusätzlich die (unverschlüsselten) DNS-Server des Providers fragt; Änderungen übernehmen.<br />
# Test: ''Interfaces → Diagnostics → DNS Lookup'' bzw. von einem Client <code>nslookup www.max-it.de</code>; im Log ''Log / Queries'' erscheinen die Anfragen.<br />
Alternativ kann dnscrypt-proxy seit Plugin-Version 1.13 als alleiniger DNS-Server der Firewall auf Port 53 laufen. Dann muss Unbound deaktiviert oder auf einen anderen Port gelegt werden, und Funktionen wie DHCP-Hostnamen entfallen – für die meisten Umgebungen ist der Aufbau mit Unbound die bessere Wahl.<br />
<br />
=== DNS-Umgehung verhindern ===<br />
Damit Clients nicht an der Firewall vorbei unverschlüsselt fragen, sollte ausgehender DNS-Verkehr (Port 53) in den [[OPNsense - Firewall-Regeln|Firewall-Regeln]] nur zur Firewall erlaubt oder per [[OPNsense - NAT und Portweiterleitungen|Destination NAT]] auf Unbound umgeleitet werden. Port 853 (DoT) lässt sich blockieren; DoH von Clients (Browser) ist über Port 443 nur per Richtlinie im Browser, DNS-Blocklisten für bekannte DoH-Server oder einen Proxy einzuschränken.<br />
<br />
== Anonymized DNS und ODoH ==<br />
Mit '''Anonymized DNS''' laufen DNSCrypt-Anfragen über einen '''Relay''': Der Relay sieht die Absender-IP, kann die verschlüsselte Anfrage aber nicht lesen; der Resolver sieht die Anfrage, aber nur die IP des Relays.<br />
* Im Feld '''Relay List''' die Namen der Relays eintragen (z. B. <code>anon-cs-de</code>, <code>anon-cs-nl</code>) – die Namen stehen in der öffentlichen Liste ''relays.md''. Das Plugin leitet dann '''alle''' Server über diese Relays.<br />
* Relay und Resolver sollten von unterschiedlichen Betreibern stammen.<br />
* Für '''ODoH''' zusätzlich ''Use Oblivious-DNS-over-HTTPS Servers'' aktivieren und passende ODoH-Server und -Relays wählen.<br />
* Anonymisierung kostet Latenz; Unbound-Cache und dnscrypt-proxy-Cache gleichen das im Alltag weitgehend aus.<br />
<br />
== DNS-Blocklisten (DNSBL) ==<br />
Reiter '''DNSBL''': ''Enable DNSBL and RPZ'' aktivieren und unter ''Type of DNSBL'' eine oder mehrere Listen wählen, u. a.:<br />
* Werbung und Tracking: AdGuard List, AdAway List, Easy List, Easyprivacy List, Steven Black List, Simple Ad/Tracker List, YoYo List<br />
* Kombinierte Listen: '''OISD big/small (wildcard)''', OISD NSFW<br />
* Telemetrie: WindowsSpyBlocker (spy, update, extra)<br />
* Krypto-Mining: NoCoin List; Phishing/Betrug: Blocklist.site Phishing/Fraud<br />
* '''Q-Feeds''' – erscheint, wenn das Plugin [[OPNsense - Q-Feeds Threat Intelligence|Q-Feeds]] installiert ist (Malware-, Phishing- und C2-Domains)<br />
Die Listen werden beim Speichern geladen. Für regelmäßige Updates unter '''System → Settings → Cron''' einen Job mit dem Befehl ''Download DNSCrypt-Proxy DNSBLs and restart'' anlegen (z. B. täglich nachts). Blockierte Anfragen protokolliert dnscrypt-proxy in <code>/var/log/dnscrypt-proxy/blocked.log</code>.<br />
<br />
Wer bereits die Blocklisten von Unbound nutzt, sollte nicht doppelt filtern – entweder in Unbound oder in dnscrypt-proxy blockieren, das erleichtert die Fehlersuche.<br />
<br />
== Forwarders, Overrides und Whitelists ==<br />
{| class="wikitable"<br />
! Reiter !! Zweck !! Beispiel<br />
|-<br />
| '''Forwarders''' || Domains an bestimmte DNS-Server weiterleiten (''forwarding-rules'') || <code>ad.example.internal</code> → <code>192.168.10.10</code> (Domain Controller)<br />
|-<br />
| '''Overrides''' || feste Antworten für Namen (''cloaking-rules'') || <code>nas.example.internal</code> → <code>192.168.10.20</code><br />
|-<br />
| '''Whitelists''' || Namen, die trotz Blockliste aufgelöst werden || <code>*.microsoft.com</code><br />
|-<br />
| '''Servers''' || eigene Server per '''SDNS Stamp''' hinzufügen (z. B. eigener DoH-Server) || Stamp aus dem Stamp-Calculator von dnscrypt.info (Präfix <code>sdns://</code> ergänzt das Plugin)<br />
|}<br />
Im Aufbau mit Unbound gehören interne Domains und Overrides besser in Unbound, da dnscrypt-proxy dann nur noch externe Anfragen sieht.<br />
<br />
== Logs und Fehlerbehebung ==<br />
Unter '''Services → DNSCrypt-Proxy''' stehen ''Log / General'', ''Log / Queries'' und ''Log / NX'' (nicht existierende Domains) bereit.<br />
{| class="wikitable"<br />
! Symptom !! Ursache und Lösung<br />
|-<br />
| Dienst startet nicht || Port bereits belegt (z. B. 53 durch Unbound oder Dnsmasq) – anderen Port wählen; das Plugin verhindert doppelte Ports.<br />
|-<br />
| Keine Auflösung nach dem Start || Serverliste konnte nicht geladen werden: ''Fallback Resolver'' erreichbar? Ausgehende Verbindungen auf Port 443 erlaubt? Uhrzeit korrekt (Zertifikate)?<br />
|-<br />
| Keine Server nach Filterung || Kombination aus ''Require DNSSEC/NoLog/NoFilter'', IPv6-only und Relay zu streng – Filter lockern oder ''Server List'' setzen.<br />
|-<br />
| Langsame Auflösung || Relays weit entfernt oder ODoH aktiv – nähere Relays wählen; Cache aktiv lassen.<br />
|-<br />
| Webseite fehlt / „Seite nicht gefunden“ || Domain in DNSBL – ''blocked.log'' prüfen, Eintrag unter ''Whitelists'' ergänzen.<br />
|-<br />
| Interne Namen nicht auflösbar || Clients fragen dnscrypt-proxy direkt – interne Domain in Unbound oder unter ''Forwarders'' eintragen.<br />
|}<br />
<br />
== Fazit ==<br />
DNSCrypt-Proxy macht die DNS-Anfragen der OPNsense vertraulich und manipulationssicher: Mit DNSCrypt und DoH, automatischer Auswahl protokollierungsfreier Server mit DNSSEC, optionaler Anonymisierung über Relays und eingebauten Blocklisten ist er eine starke Ergänzung zu Unbound. Im bewährten Aufbau bleibt Unbound der DNS-Server für die Clients und reicht externe Anfragen an dnscrypt-proxy auf 127.0.0.1:5353 weiter – ergänzt um Firewall-Regeln, die DNS-Umgehung verhindern.<br />
<br />
== Unterstützung von m.a.x. it ==<br />
Sie möchten DNS in Ihrem Netz verschlüsseln, Blocklisten und Threat-Intelligence einbinden oder DNS-Umgehung zuverlässig unterbinden? m.a.x. it unterstützt Sie als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it] und einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[OPNsense - Unbound DNS Resolver]]<br />
* [[OPNsense - Q-Feeds Threat Intelligence]]<br />
* [[OPNsense - Firewall-Regeln]]<br />
* [[OPNsense - NAT und Portweiterleitungen]]<br />
* [[OPNsense - Plugin-Liste]]<br />
* [[DoH]]<br />
* [[DNSSEC]]<br />
<br />
== Links und Quellen ==<br />
* [https://docs.opnsense.org/manual/how-tos/dnscrypt-proxy.html OPNsense-Doku – DNSCrypt-Proxy]<br />
* [https://github.com/DNSCrypt/dnscrypt-proxy dnscrypt-proxy – Projektseite und Wiki]<br />
* [https://dnscrypt.info/public-servers/ DNSCrypt – öffentliche Server und Relays]<br />
* [https://github.com/opnsense/plugins/tree/master/dns/dnscrypt-proxy OPNsense-Plugins – os-dnscrypt-proxy (Quellcode)]<br />
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion