Pihole и Unbound в Docker-контейнерах - Unbound не получает запросы - PullRequest
Новая
       29

Pihole и Unbound в Docker-контейнерах - Unbound не получает запросы

0 голосов
/ 07 января 2019

Я пытаюсь запустить 2 контейнера Docker на Raspberry pi 3, один для Unbound и один для Pihole. Идея состоит в том, что Pihole сначала заблокирует любые запросы, прежде чем использовать Unbound в качестве своего DNS-сервера. Я следовал документации Pihole, чтобы найти этот ход здесь и получил как запуск контейнеров, так и работу pihole. Однако при запуске docker exec pihole dig pi-hole.net @127.0.0.1 -p 5333 или -p 5354 я получаю ответ 

; <<>> DiG 9.10.3-P4-Debian <<>> pi-hole.net @127.0.0.1 -p 5354
;; global options: +cmd
;; connection timed out; no servers could be reached

Я предположил, что это может быть связано с тем, что контейнер pihole не может обмениваться данными с контейнером Unbound через localhost, поэтому обновил мой docker-compose, чтобы попытаться исправить это с помощью моста netowkr. Однако после этого я все равно получаю ту же ошибку, независимо от того, какие порты я пробую. Я новый Docker и Unbound, так что это было немного погружением в глубокий конец! Мои docker-compose.yml и unbound.conf находятся ниже.

докер-compose.yml 

version: "3.7"

services:
  unbound:
    cap_add:
      - NET_ADMIN
      - SYS_ADMIN
    container_name: unbound
    image: masnathan/unbound-arm
    ports:
      - 8953:8953/tcp
      - 5354:53/udp
      - 5354:53/tcp
      - 5333:5333/udp
      - 5333:5333/tcp
    volumes:
      - ./config/unbound.conf:/etc/unbound/unbound.conf
      - ./config/root.hints:/var/unbound/etc/root.hints
    restart: always
    networks:
      - unbound-pihole
  pihole:
    cap_add:
      - NET_ADMIN
      - SYS_ADMIN
    container_name: pihole
    image: pihole/pihole:latest
    ports:
      - 53:53/udp
      - 53:53/tcp
      - 67:67/udp
      - 80:80
      - 443:443
    volumes:
      - ./config/pihole/:/etc/pihole/
    environment:
      - ServerIP=10.0.0.20
      - TZ=UTC
      - WEBPASSWORD=random
      - DNS1=127.0.0.1#5333
      - DNS2=no
    restart: always 
    networks:
      - unbound-pihole

networks:
  unbound-pihole:
    driver: bridge

unbound.conf 

server:
# If no logfile is specified, syslog is used
# logfile: "/var/log/unbound/unbound.log"
verbosity: 0

port: 5333
do-ip4: yes
do-udp: yes
do-tcp: yes

# May be set to yes if you have IPv6 connectivity
do-ip6: no

# Use this only when you downloaded the list of primary root servers!
root-hints: "/var/unbound/etc/root.hints"

# Trust glue only if it is within the servers authority
harden-glue: yes

# Require DNSSEC data for trust-anchored zones, if such data is absent, the zone becomes BOGUS
harden-dnssec-stripped: yes

# Don't use Capitalization randomization as it known to cause DNSSEC issues sometimes
# see https://discourse.pi-hole.net/t/unbound-stubby-or-dnscrypt-proxy/9378 for further details
use-caps-for-id: no

# Reduce EDNS reassembly buffer size.
# Suggested by the unbound man page to reduce fragmentation reassembly problems
edns-buffer-size: 1472

# TTL bounds for cache
cache-min-ttl: 3600
cache-max-ttl: 86400

# Perform prefetching of close to expired message cache entries
# This only applies to domains that have been frequently queried
prefetch: yes

# One thread should be sufficient, can be increased on beefy machines
num-threads: 1

# Ensure kernel buffer is large enough to not loose messages in traffic spikes
so-rcvbuf: 1m

# Ensure privacy of local IP ranges
private-address: 192.168.0.0/16
private-address: 169.254.0.0/16
private-address: 172.16.0.0/12
private-address: 10.0.0.0/8
private-address: fd00::/8
private-address: fe80::/10

Спасибо!

1 Ответ

0 голосов
/ 04 августа 2019

Из документов https://nlnetlabs.nl/documentation/unbound/unbound.conf/ под access-control section: 

  By default only localhost is allowed, the rest is refused.   The
  is  refused, because that is protocol-friendly. The DNS
  protocol is not designed to handle dropped packets due  to  pol-
  icy,  and  dropping  may  result in (possibly excessive) retried
  queries.

Сервер без привязки по умолчанию прослушивает соединения только с localhost. в этом случае запрос к DNS-серверу может быть разрешен изнутри док-контейнера, работающего без ограничений.

Поэтому, чтобы разрешить DNS, разрешенный unbound в docker-compose, добавьте следующее к unbound.conf

server:
   access-control: 0.0.0.0/0 allow
...