Wireguard - AdGuard - DoT Server

    Hallo,

    folgendes Setting:

    Auf einem VPS läuft ein Wireguard Server mit Docker, in der Config sind div. DNS Server eingetragen. Viele davon waren DoT Server, z.B. 5.9.164.112 dns3.digitalcourage.de. Jetzt habe ich gemerkt, dass Wireguard gar kein DoT unterstützt, außer durch einen zusätzlichen DNS Proxy wie z.B. dnscrypt-proxy.

    Auf einem anderen VPS hab ich nen Adguard Home, auch mit Docker.

    Folgende Idee:

    - Ich trage in meinen Wireguard Configs die IP des Adguard Server ein, also nicht als DoT, sondern unverschlüsselt. Und vll. noch 1.1.1.1 und 8.8.8.8 als Backup, falls der Adguard Server nicht erreichbar ist.

    - Im Adguard sind div. DoT Server konfiguriert.

    - In der Firewall des Adguard Servers lasse ich nur Zugriffe auf den DNS Port von der IP des Wireguard Server zu.

    Damit hätte ich doch trotzdem DoT bei meinen Wireguard Verbindungen und gleichzeitig auch den Werbeblocker.

    Funktioniert das?

    Vorraussetzung ist natürlich, dass WG die DNS Server in den Configs sequentiell abarbeitet und nicht alle an den Ubuntu Resolver weiterleitet, der meines Wissen die Server paralell abarbeitet... Stimmt das? Dann würde das nichts bringen und ich müsste nur die IP des Agduarg Servers alleine eintragen


    Danke

    Zitat von Interessent

    dass Wireguard gar kein DoT unterstützt

    Wireguard an sich unterstützt gar kein DNS. Alle Hostnamen und DNS-Informationen werden ausschließlich vom Verwaltungstool verwendet. Wireguard selbst kennt nur IP-Adressen. Was du in den Konfigurationsdateien einträgst, wird von dem Verwaltungstool im System als DNS-Server eingetragen. Was das System damit macht, interessiert Wireguard nicht weiter. Aus der man-page für wg-quick:

    Zitat

    DNS — a comma-separated list of IP (v4 or v6) addresses to be set as the interface's DNS servers, or

    non-IP hostnames to be set as the interface's DNS search domains. May be specified multiple times. Upon

    bringing the interface up, this runs `resolvconf -a tun.INTERFACE -m 0 -x` and upon bringing it down,

    this runs `resolvconf -d tun.INTERFACE`. If these particular invocations of resolvconf(8) are undesir‐

    able, the PostUp and PostDown keys below may be used instead.

    Diese Einträge werden nicht an die "Clients" übertragen. Das sind gleichberechtigte Peers und die beachten nur die Einträge im Interface-Abschnitt ihrer eigenen conf-Datei.