"DNS-Server" Erreichbar vom: "WAN" = Kritisch

[jfuchs]

Weiß jemand welche Konfiguration dazu führt, dass der DNS-Server angeblich vom WAN erreichbar sein soll?
Es gibt ja die Systeminformationen -> Dienste Seite, wo folgendes bei einem 1790EF dargestellt wird:

dns-server-wan-kritisch.png

Ich habe per diff die Konfiguration (readscript) mit der auf einem 1781EW-plus (wo das DNS-Server offenbar nicht auf dem WAN erreichbar sein soll) verglichen, finde jedoch keine relevante Option die ich auf dem 1790EF anders gesetzt habe.

Wenn ich von außerhalb auf den 1790EF eine DNS-Anfrage sende (bspw. "dig heise.de @<ip>"), bekomme ich keine Antwort (connection refused), ebenso bleibt der DNS Trace auch leer.

Fw. 10.92.0018-Rel, war aber auch mit 10.90RU3 auf dem 1790EF so.

[Dr.Einstein]

Release Notes der 10.92Rel:

Bei Verwendung einer unmaskierten Default-Route für eine IKEv2-Verbindung
wurde fälschlicherweise angezeigt, dass der DNS-Server aus dem WAN
erreichbar war.

Hast du noch eine andere Art von VPN-Verbindung, die unmaskiert läuft, z.B. L2TP oder PPTP?

[jfuchs]

Hast du noch eine andere Art von VPN-Verbindung, die unmaskiert läuft, z.B. L2TP oder PPTP?

Tatsächlich habe ich zwischen den beiden 1790EF und eben dem 1781EW-plus eine IKEv2 VPN Verbindung ohne Encapsulation o.ä. - allerdings kein L2TP oder PPTP. Da ich eher im WLAN zuhause bin, tue ich mich gerade schwer was mit unmaskiert gemeint ist sonst? Zwischen beiden Netzen kann direkt ohne NAT o.ä. geroutet werden, da sie in unterschiedlichen Subnetzen sind (192.168.2.x vs. 192.168.0.x bei je /24).

Danke fürs zeigen auf die Release-Notes - war mir so noch nicht bekannt. Aber scheint dann ja wohl lediglich ein Anzeige Bug zu sein, der warum auch immer in meinem Fall doch noch nicht behoben ist..

[Dr.Einstein]

Vielleicht hat man die Meldung jetzt nicht mehr bei Default-VPN-Routen sondern bei Netz-VPN-Routen. Aber denke, du brauchst dir keine Sorgen machen. Hast getestet, ob über WAN ein DNS-Service reagiert. Das ist nicht der Fall, also immer noch der Anzeigebug, vermutlich in neuer Ausprägung.

Unmaskiert meint NAT/PAT, also wenn deine Quell-IP-Adresse + Port nicht manipuliert wird. Richtung Internet hast du NAT/PAT, Richtung VPN eher selten, da kommt deine IP transparent durch.