Pi-hole mit DNS over HTTPS

Installation cloudflared

Um diese Funktion zu verwenden, nutze ich das Programm „cloudflared“ von Cloudflare. Dieses kann vorkompiliert von der Webseite des Anbieters heruntergeladen werden. In meinem Fall verwende ich einen Raspberry Pi und benötige hierfür das Paket für einen ARM und Debian.

wget https://bin.equinox.io/c/VdrWdbjqyF/cloudflared-stable-linux-arm.deb
sudo apt-get install ./cloudflared-stable-linux-arm.deb

Sollte die Meldung „package architecture (arm) does not match system (armhf)“ erscheinen, habe ich am Ende dieser Anleitung eine Lösung für dieses Problem beschrieben.

Einrichten des Systemdaemons

Nach der Installation müssen wir den Systemdaemon einrichten. Hierfür sind verschiedene Schritte notwendig.

Aus Sicherheitsgründen lassen wir den cloudflared unter einen eigenen Benutzer laufen. Diesen müssen wir als erstes anlegen. Dies geschieht mit folgenden Befehl:

sudo useradd -s /usr/sbin/nologin -r -M cloudflared

Als nächstes legen wir eine Konfigurationsdatei an, in der wir die Standardparameter angeben. Hier wird auch der Port definiert, auf dem der Daemon später lauscht. Da wir einen eigenen Benutzer verwenden, müssen wir einen sogenannten Higher Port verwenden (über 1024). Da DNS normalerweise den Port 53 nutzt, verwende ich hier einfach 5353. Die Konfigurationsdatei liegt unter /etc/default/cloudflared.

# Parameter für cloudflared
CLOUDFLARED_OPTS=--port 5353 --upstream https://1.1.1.1/dns-query

Im nächsten Schritt passen wir die Berechtigungen an und übereignen sowohl das Programm als auch die Konfiguration unserem vorhin angelegten Benutzer.

sudo chown cloudflared:cloudflared /etc/default/cloudflared
sudo chown cloudflared:cloudflared /usr/local/bin/cloudflared

Zum Abschluss müssen wir dafür sorgen, dass der Daemon auch gestartet wird. Dies geschieht über ein systemd-Skript. Dieses legen wir unter dem Dateinamen /etc/systemd/system/cloudflared.service an:

[Unit]
Description=cloudflared DNS over HTTPS proxy
After=syslog.target network-online.target

[Service]
Type=simple
User=cloudflared
EnvironmentFile=/etc/default/cloudflared
ExecStart=/usr/local/bin/cloudflared proxy-dns $CLOUDFLARED_OPTS
Restart=on-failure
RestartSec=10
KillMode=process

[Install]
WantedBy=multi-user.target

Diesen Daemon starten wir nun und sorgen ebenfalls dafür, dass er zukünftig automatisch gestartet wird.

sudo systemctl enable cloudflared
sudo systemctl start cloudflared
sudo systemctl status cloudflared

Funktionstest

Ist der Daemon eingerichtet, so sollten wir die Funktion überprüfen. Dies geschieht einfach mit dem Befehl dig, welchen wir auf unseren lokalen, gerade eingerichteten cloudflared abschicken. Das Ganze sollte dann wie folgt aussehen:

dig @127.0.0.1 -p 5353 tobias-bauer.de

; <<>> DiG 9.11.5-P4-5.1-Raspbian <<>> @127.0.0.1 -p 5353 tobias-bauer.de
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 9592
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1452
; PAD: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ("................................................................")
;; QUESTION SECTION:
;tobias-bauer.de.               IN      A

;; ANSWER SECTION:
tobias-bauer.de.        1639    IN      A       109.235.58.69

;; Query time: 36 msec
;; SERVER: 127.0.0.1#5354(127.0.0.1)
;; WHEN: Fri Oct 11 09:09:28 CEST 2019
;; MSG SIZE  rcvd: 143

Fehler „package architecture (arm) does not match system (armhf)“ beheben

Erscheint bei der Installation der Fehler „package architecture (arm) does not match system (armhf)“, so läuft das lokale Debian unter armhf und nicht unter der reinen arm-Architektur. Dies kann ganz einfach dadurch behoben werden, dass zum System arm als Architektur hinzugefügt wird. Dies geschieht mit folgendem Befehl:

sudo dpkg --add-architecture arm

Danach sollte sich der cloudflared ohne Probleme installieren lassen.

Probleme kann es jetzt allerdings geben, wenn man ein Update mittels apt-get ausführt. Hier wird dann der Fehler angezeigt, dass die Pakete auf den Servern nicht für arm vorhanden sind. Aber auch dieses Problem kann man relativ leicht beheben, indem man einfach in den Sourcen die Architektur mit angibt.

Dazu editiert man im Verzeichnis /etc/apt/sources.list.d die Dateien und fügt dort in jede Zeile ein [arch=armhf] ein. Eine Datei schaut dann beispielsweise wie folgt aus:

deb [arch=armhf] http://archive.raspberrypi.org/debian/ buster main ui