Adguard nur per VPN erreichbar machen

AdGuard solltest Du einfach an das Netzwerk-Interface von WireGuard (wgX, wobei X eine Ziffer ist) binden, dann horcht er nur daran und ist über andere Interfaces nicht zu erreichen, es sei denn Du hast ein Routing konfiguriert. Mit der Fritz!Box wüsste ich nicht, ob Dein Plan Erfolg verspricht. Ich würde einfach eine „Netzwerke koppeln oder spezielle Verbindungen herstellen“ und, sobald das VPN aufgebaut ist, den DNS-Server eintragen und gucken, ob es funktioniert.

Kannst du die Source IP der Fritzbox auf bestimmte Subnetze eingrenzen?

Zitat von Interessent

- soll als DNS Server per (DoT) in der Fritzbox hinterlegt werden,
- Adguard, und nur Adguard soll nur über eine Wireguard Verbindung erreichbar ein, der Rest des Servers normal.

Warum denn DoT UND VPN? Doppelt verschlüsselt hält besser? Wenn du die Erreichbarkeit per VPN einschränkst, reicht auch normales DNS. Sei dir bewusst, dass DoT mit dem nötigen Zertifikatsmanagement nicht leicht wird, wenn der Server nur hinter einem VPN versteckt agieren kann.

Zitat von Interessent

- Wie bringe ich der Fritzbox bei, dass sie dazu eine Wireguard Verbinung zum Adguard Server (dauerhaft) aufrechthalten muss und diese nur für die Adguard DNS Anfragen nutzt, den restlichen Traffic aber nicht über diesen Server schickt.

Das geht hervorragend über die Allowed IPs des Wireguard Tunnels. Da kannst du sehr konkret angeben, dass die Box über VPN nur die Adresse des DNS Servers erreichen darf.

Zitat von Interessent

- Was muss am Server konfiguriert werden, damit Adguard nur auf die Pakete der Fritzbox hört, der rest des Servers aber ganz normal Anfragen annimmt. Geht das überhaupt? Oder denke ich zu quer?

Das wiederum ist einfach. Sowohl ein DNS Server (für unverschlüsseltes DNS) als auch ein vHost auf einem Web-Server (für DoT) können konkret an ein Interface gebunden werden. Aber sei dir bewusst, dass dieses Vorgehen dann zusätzliche Aufwände und öffentlich erreichbare Server benötigt, um die erforderlichen Zertifikate zu erstellen.

Zitat von Interessent

Muss nicht per VPN sein, gerne auch andere Ideen:)

Ein DNS Server sollte immer lokal installiert sein. Das erhöht die Geschwindigkeit und stellt sicher, dass auch bei einem Internetausfall die internen Ressourcen noch funktionieren. Was machst Du, wenn Du z.B. das NAS oder einen Drucker über den DNS Namen ansprechen willst, dieser aber mangels Internet nicht aufgelöst werden kann? Da machste nix mehr.

Und dann hast Du auch alle o.g. Fragen nicht mehr. Nimm den VServer gerne für andere Zwecke, nur für diesen ist es nicht sehr sinnvoll.

Zitat von Interessent

Also vll. täusche ich mich ja, aber wenn ich in der Fritzbox unter DoT Server den Adguard Server "adguard.doamin.de" eintrage, dann gilt dass doch nur für alles was außerhalb des Heimnetzes liegt. Oder Denkfehler.

Joa. Aber das kann jede(r) andere im Internet dann auch machen... D.h. Du betreibst einen offenen DNS Server.

Und warum ist das schlecht? Darum: BSI - CERT-Bund Reports: HOWTOs: Offene DNS-Resolver - CERT-Bund Reports:

Zitat von Interessent

Im Netz will ich ihn eigentlich nicht, da auch Mobilgeräte davon profitieren sollen. Und die vServer liegen eh nur rum, hab ich noch ein paar die nix kosten :), da muss ich nicht darauf Rücksicht nehmen

Andersrum wird ein Schuh draus. Im Internet willst Du ihn nicht.

Für Mobilgeräte gibt es die entsprechenden Adguard Apps.

Zitat von TBT

Joa. Aber das kann jede(r) andere im Internet dann auch machen..

Nicht unbedingt. Wenn adguard.domain.de eine private IP zurückliefert, die nur über VPN erreichbar ist, dann hängt er nicht im Internet.

Zitat von Interessent

Um Ihn eben nicht zur Datenschleuder zu machen, war ja die Frage nach Absicherung per VPN oder sonstigem.

Unnötig. Einfach nicht ins Internet stellen was nicht ins Internet gehört. Wenn überhaupt, kannst Du ihn Dir zu Hause installieren und dann z.B. über Tailscale oder Zerotier verwenden. Aber auch das ist umständlich und nicht sinnvoll.

Zitat von Interessent

Und die Apps bedienen sich meines Wissens irgendwelchen Server der Fa. Adguard (lasse mich aber gerne eines Besseren belehren) und das ist nicht gewünscht

Das kann so sein, muss aber nicht so sein, hängt somit von der Einstellung ab: How to enable system-wide filtering in AdGuard for iOS | AdGuard Knowledge Base

Systemweit kann unter iOS nur über "VPN" Profile gearbeitet werden, da nur so etwas zwischen Server und User passieren kann.

Wenn man aber nur "AdGuard DNS filter" einschaltet (erste Option) und "AdGuard DNS server" aus lässt, wird zwar oben rechts das VPN Icon angezeigt, der Filtervorgang findet aber nur lokal statt, die Adguard DNS Server werden nicht verwendet. D.h. es passiert nur ein "lokales VPN" auf dem iOS Gerät selbst. Bei den DNS Filtern kann man z.B. Systemvoreinstellung verwenden, oder auch Google, Cloudflare oder andere. Zudem kann man benutzerdefinierte DNS Server hinzufügen.

Wenn man zu Hause dann sowieso Adguard (oder PiHole) hat, macht es Sinn, in den Netzwerk-Einstellungen zudem das eigene WLAN als Ausnahme hinzuzufügen, denn das wäre ja doppelt gemoppelt.