+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

[Скрипт] Автоматическая смена DNS, если Pi-hole перестал работать

[Скрипт] Автоматическая смена DNS, если Pi-hole перестал работать, RouterOS

erkexzcx

Guest

31.05.2020 11:44:00

Я написал скрипт, который отслеживает, когда Pi-Hole перестаёт работать, и автоматически переключается на публичные DNS 1.1.1.2, 1.0.0.2. Отступление: я знаю, что можно указать несколько DNS-серверов, но чтобы Pi-Hole работал, нужно указывать только IP-адрес Pi-Hole. Сценарий использования: Настройка Mikrotik и RPI с Pi-Hole. Когда RPI падает, у всех в локальной сети интернет «отваливается», а этого никому не хочется. Добавьте скрипт на Mikrotik, который определит, что Pi-Hole перестал резолвить запросы, и переключит все DNS-настройки на Mikrotik на публичные DNS, например, 1.1.1.2, 1.0.0.2. А ещё уведомит вас, что RPI не работает. Второй RPI стоит денег и не приносит пользы, кроме высокой доступности, так что этот вариант не подходит.

Вариант 1 — меняет только DNS-сервер у роутера. Предполагается, что все устройства используют роутер как единственный DNS-сервер:

:local currentDNS [/ip dns get server]
:local piholeDNS "192.168.0.50"
:local backupDNS "1.1.1.2,1.0.0.2"
:local testDomain "www.google.com"

:if ($currentDNS = $piholeDNS) do={
:do {
:resolve $testDomain server $piholeDNS
} on-error={
/ip dns set servers=$backupDNS
}
} else={
:do {
:resolve $testDomain server $piholeDNS
/ip dns set servers=$piholeDNS
} on-error={}
}

Вариант 2 — меняет только DNS-сервер у роутера + уведомляет вас о падении Pi-Hole через Telegram-бота. Предполагается, что все устройства используют роутер как единственный DNS-сервер:

:local telegramBotKey "XXXXXXXXX:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
:local chatID "XXXXXXXXX"

:local currentDNS [/ip dns get server]
:local piholeDNS "192.168.0.50"
:local backupDNS "1.1.1.2,1.0.0.2"
:local testDomain "www.google.com"

:if ($currentDNS = $piholeDNS) do={
:do {
:resolve $testDomain server $piholeDNS
} on-error={
/ip dns set servers=$backupDNS
/tool fetch "https://api.telegram.org/bot$telegramBotKey/sendmessage?chat_id=$chatID&text=Pi-Hole не работает! Смена DNS с $currentDNS на $backupDNS." keep-result=no
}
} else={
:do {
:resolve $testDomain server $piholeDNS
/ip dns set servers=$piholeDNS
/tool fetch "https://api.telegram.org/bot$telegramBotKey/sendmessage?chat_id=$chatID&text=Pi-Hole снова работает. Смена DNS с $currentDNS на $piholeDNS." keep-result=no
} on-error={}
}

Вариант 3 — меняет DNS-сервер у роутера и во всех сетях (IP → DHCP Server → Networks). В зависимости от времени аренды, DNS обновится не сразу у всех клиентов, зато Pi-Hole сможет показывать, кто им пользуется:

:local currentDNS [/ip dns get server]
:local piholeDNS "192.168.0.50"
:local backupDNS "1.1.1.2,1.0.0.2"
:local testDomain "www.google.com"

:if ($currentDNS = $piholeDNS) do={
:do {
:resolve $testDomain server $piholeDNS
} on-error={
/ip dns set servers=$backupDNS
/ip dhcp-server network set [find] dns-server=$backupDNS;
}
} else={
:do {
:resolve $testDomain server $piholeDNS
/ip dns set servers=$piholeDNS
/ip dhcp-server network set [find] dns-server=$piholeDNS;
} on-error={}
}

Вариант 4 — меняет DNS-сервер у роутера и во всех сетях (IP → DHCP Server → Networks) + уведомляет вас через Telegram-бота, когда Pi-Hole падает. Обновление DNS у клиентов зависит от времени аренды, но позволяет Pi-Hole показывать, кто им пользуется:

:local telegramBotKey "XXXXXXXXX:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
:local chatID "XXXXXXXXX"

:local currentDNS [/ip dns get server]
:local piholeDNS "192.168.0.50"
:local backupDNS "1.1.1.2,1.0.0.2"
:local testDomain "www.google.com"

:if ($currentDNS = $piholeDNS) do={
:do {
:resolve $testDomain server $piholeDNS
} on-error={
/ip dns set servers=$backupDNS
/ip dhcp-server network set [find] dns-server=$backupDNS;
/tool fetch "https://api.telegram.org/bot$telegramBotKey/sendmessage?chat_id=$chatID&text=Pi-Hole не работает! Смена DNS с $currentDNS на $backupDNS." keep-result=no
}
} else={
:do {
:resolve $testDomain server $piholeDNS
/ip dns set servers=$piholeDNS
/ip dhcp-server network set [find] dns-server=$piholeDNS;
/tool fetch "https://api.telegram.org/bot$telegramBotKey/sendmessage?chat_id=$chatID&text=Pi-Hole снова работает. Смена DNS с $currentDNS на $piholeDNS." keep-result=no
} on-error={}
}

Использование: В системе → планировщик → добавить. Интервал поставить 00:00:30, любое имя, и вставить скрипт в поле «On Event:». Не забудьте заменить значения переменных под свой IP-адрес Pi-Hole.

ИЗМЕНЕНИЕ: Обновил скрипты согласно комментариям и предложил больше вариантов.

ladegro

Guest

29.07.2020 07:25:00

Большое спасибо, именно то, что я искал, и очень полезно. Даже если будет небольшой простой из-за еще не закончившегося времени аренды, это гарантирует, что всё рано или поздно снова запустится. Так что если меня не будет дома, жена не будет переживать. Отлично! (Кстати, использую вместе с adGuard, но это, конечно, не важно)

TDJ211

Guest

11.08.2020 10:05:00

О, вау, это идеально для меня! Я использую локальный DNS-сервер Unbound для производительности и, как и ты, понял, что единственный надежный способ заставить Mikrotik использовать локальный DNS — выставить только один DNS-сервер. Раньше уже обжигался, забывая поменять DNS при обслуживании сервера. Хорошо знать, что у меня будет резерв на случай, если сервер вдруг реально упадёт.

Dennypr Guest	#4 0 11.08.2020 17:04:00 Пожалуйста, помогите, можно ли автоматически менять MAC-адрес с помощью скрипта каждый день?.. Кстати, спасибо всем, кто сможет помочь.

Jotne Guest	#5 0 18.08.2020 20:00:00 Да, это можно сделать. Задайте это как новый вопрос.

hollerauer

Guest

06.01.2021 11:52:00

!! Из-за случайных сбоев (в моей установке), влияющих на DNS-запросы, НЕ рекомендуется использовать предложенную конфигурацию в ПРОИЗВОДСТВЕННОЙ среде. Этот пост будет обновлён после устранения проблемы!!

Этот скрипт — именно то, что я искал. Хочу поделиться ещё более изящным способом интеграции Pi-Hole в вашу локальную сеть.

Сценарий использования: Настроить mikrotik как DNS-сервер для ваших LAN(-сегментов)

/ip dns set allow-remote-requests=yes servers=$YourPrefferedPublicDNSServers$;
/ip dhcp-server network set dns-server=$YourMikrotikLANAddress$

Добавьте NAT правило для каждого LAN(-сегмента), чтобы перенаправлять любой трафик с LAN(-сегмента), связанный с UDP портом 53, на Pi-Hole. Прокомментируйте правило как “pihole”.

/ip firewall nat add chain=dstnat action=dst-nat to-addresses=$YourPiHoleAddress$ protocol=udp src-address=$YourLANSegment$ dst-address=!$YourPiHoleAddress$ dst-port=53 comment="pihole"

Добавьте скрипт для переключения (включения|отключения) NAT правила:

local piholeDNS "$YourPiHoleAddress$"
local testDomain "www.example.com"
local piholeRulesEnabled [/ip firewall nat print count-only where comment~"pihole" && !disabled]

if ($piholeRulesEnabled > 0)
do={
:do {:resolve $testDomain server=$piholeDNS}
on-error={/ip firewall nat disable [find comment~"pihole"]}
}
else={
:do {
:resolve $testDomain server=$piholeDNS;
/ip firewall nat enable [find comment~"pihole"]
}
on-error={}
}

Добавьте планировщик для запуска скрипта по расписанию

Преимущества:
- Все DNS-запросы (даже от клиентов, где изменить DNS-сервер нельзя) перенаправляются на Pi-Hole
- Pi-Hole "видит" всех клиентов LAN
- Резервный вариант, если Pi-Hole недоступен

!! Из-за случайных сбоев (в моей установке), влияющих на DNS-запросы, НЕ рекомендуется использовать предложенную конфигурацию в ПРОИЗВОДСТВЕННОЙ среде. Этот пост будет обновлён после устранения проблемы!!

zilexa

Guest

14.01.2021 15:50:00

Без использования fallback-скрипта: правило NAT работает не так, как ожидалось.

Сценарий 1, моя рабочая ситуация без fallback:
IP роутера: 192.168.88.1 с IP > DHCP сервер > DNS установлен на 192.168.88.1
IP > DNS установлен на 192.168.88.2
Мой (Ubuntu) сервер с PiHole имеет IP 192.168.88.2.
В этом случае интернет работает.

Сценарий 1, изменённый для поддержки fallback (пока без самого скрипта):
Я меняю IP > DNS на 1.1.1.1 (необходимо для сценария с fallback).
Добавляю правило NAT:
/ip firewall nat add chain=dstnat action=dst-nat to-addresses=192.168.88.2 protocol=udp src-address=192.168.88.0/24 dst-address=!192.168.88.2 dst-port=53 comment="pihole"

Проблема 1:
После добавления правила NAT, мои клиенты больше не могут разрешать DNS-адреса. Даже перезагрузка подключения не помогает.

Проблема 2:
Ваше правило содержит dst-address=!$YourPiHoleAddress$, не очень понятно, что это значит, но разве это не исключает сервер? Мне всё ещё нужен этот сервер для других задач, где требуется разрешение доменов. Очень хотелось бы, чтобы ваше правило NAT заработало.

ДОПОЛНЕНИЕ:
Чтобы правило вообще работало, нужно добавить маскарадинг:
add action=masquerade chain=srcnat src-address=192.168.88.0/24 dst-address-list=192.168.88.2 dst-port=53 protocol=udp

Но даже тогда сервер с Pi-Hole не может разрешать домены. И кажется, что ни одно из моих устройств не работает. Как только я отключаю ваше правило NAT и маскарадинг — всё снова работает.

hollerauer

Guest

14.01.2021 19:14:00

Ты прав. Именно это я и имел в виду под $YourFavoritePublicDNSServers$ — например, 1.1.1.1, 1.0.0.1 и так далее.

Сценарий 1 — слегка изменённый, чтобы добавить fallback (самого скрипта пока нет): меняю IP > DNS на 1.1.1.1 (необходимо для fallback-сценария). Добавляю NAT-правило:
/ip firewall nat add chain=dstnat action=dst-nat to-addresses=192.168.88.2 protocol=udp src-address=192.168.88.0/24 dst-address=!192.168.88.2 dst-port=53 comment="pihole"

Проблема 1:
После добавления NAT-правила мои клиенты больше не могут разрешать DNS, даже если отключить и заново подключить их.

Параметры выставлены правильно, но твой кейс отличается от моего. У меня pihole находится в другом IP-сегменте (10.0.0.0/8). Если роутер Mikrotik — твой интернет-шлюз, он будет «зацикливать» DNS-трафик (UDP порт 53) обратно на pihole.
Тебе нужно второе правило, которое должно стоять выше правила с pihole (то есть обрабатываться первым):

ip firewall nat add chain=dstnat src-address=192.168.88.2 protocol=udp dst-port=53 comment="traffic pihole to www"

Проблема 2:
В твоём правиле есть dst-address=!$YourPiHoleAddress$ — я не уверен, что это значит, но не исключает ли это сервер? Мне нужен мой сервер для других задач, которые требуют разрешения доменных имён. То есть, если DNS-трафик идёт напрямую на твой сервер, он исключён из этого правила. Тебе стоит настроить сервер так, чтобы в качестве DNS он использовал 127.0.0.1.

EDIT: чтобы всё вообще заработало, также нужно добавить правило маскарадинга:
add action=masquerade chain=srcnat src-address=192.168.88.0/24 dst-address-list=192.168.88.2 dst-port=53 protocol=udp

Это неверно. Маскарадинг, srcnat или редирект не нужны. Маскарадинг — особая версия srcnat, предназначенная для трафика из LAN во внешний интернет с меняющимся публичным IP. Правило dstnat само перенаправит DNS-трафик обратно на устройство. Это работает так:
- Устройство A запрашивает у Mikrotik (DNS-сервер назначен по DHCP) разрешение домена example.com
- Mikrotik получает запрос и проверяет, есть ли для него правило firewall (nat) — правило (pihole) есть
- Mikrotik перенаправляет запрос pihole от имени устройства A
- Pihole отвечает Mikrotik и просит переслать ответ обратно устройству A
- Mikrotik получает ответ, проверяет, есть ли для него правило firewall (nat)
- Mikrotik пересылает ответ pihole устройству A

Попробуй добавить в своей конфигурации дополнительное NAT-правило. Если всё заработает, я отредактирую свой исходный пост.

LordTMortis

Guest

15.01.2021 15:59:00

Привет! Я успешно использую PiHole для улучшения ситуации с рекламой и пытаюсь настроить какой-то скрипт с резервным вариантом на случай, если мой Pi перестанет работать. Mikrotik для меня не в новинку, но в скриптинге я пока новичок. Сейчас немного застрял, потому что не хочу менять DNS для всей системы, а только для клиентов, которые используют DHCP.

Я использовал такой код, чтобы переключаться с piholeDNS на backupDNS:

:local piholeDNS "192.168.88.6"
:local backupDNS "8.8.8.8,8.8.4.4"
:local currentDHCPDNS []

:if ([/ping $piholeDNS count=20] =0) do={
:log info "Сервер PiHole недоступен, меняю DNS-сервер для DHCP-клиентов на запасной."
/ip dhcp-server network set [find] dns-server=$backupDNS;
} else={
:log info "Сервер PiHole доступен, менять ничего не нужно."
}

Этот код позволяет моему MK менять DNS для DHCP-клиентов. Это не идеально, потому что когда мой Pi снова в сети, автоматического переключения с backupDNS обратно на piholeDNS не происходит. Сейчас я добавил в блок else такую строку:

/ip dhcp-server network set [find] dns-server=$piholeDNS;

Это работает... но проблема в том, что срабатывает каждый раз, и в логах я вижу, что DNS меняется постоянно. Такое поведение не оптимально, и я бы хотел, чтобы смена происходила только если у DHCP-клиентов сейчас стоит не piholeDNS.

Вот тут я и застрял, потому что не нашёл, как получить информацию только о текущем DNS в DHCP. Пытался создать локальную переменную, в которую сохранял значение:

:local currentDHCPDNS [/ip dhcp-server network get [find dns-server]]

Это не работает, поэтому пробовал:

:local currentDHCPDNS [/ip dhcp-server network get dns-server]

Но, похоже, я не могу понять, как достать нужную инфу. Можете, пожалуйста, подсказать, как получить текущее значение DHCP DNS? Большое спасибо!

hollerauer

Guest

#10

22.01.2021 07:23:00

Вы можете получить количество DHCP-серверов, которые используют pihole в качестве DNS-сервера, с помощью команды:
:local currentDHCPDNS [/ip dhcp-server network print count-only where dns-server=$piholeDNS]
и принять решение на основании этого:
:if ($currentDHCPDNS = 0) ...

Другой вариант — вместо скрипта использовать инструмент netwatch:
/tool netwatch add host=$piholeDNS up-script=[/ip dhcp-server network set dns-server=$piholeDNS] down-script=[/ip dhcp-server network set dns-server=$backupDNS]

Главный минус обоих методов в том, что клиенты заметят изменения только после обновления DHCP-аренды. В зависимости от времени аренды это может занять довольно много времени (по умолчанию 10 минут).

zilexa

Guest

#11

29.01.2021 11:16:00

Извините, но это действительно не работает: роутер на 192.168.88.1, у меня есть сервер/NAS/рабочая станция на 192.168.88.2. VLAN или другие сети, кроме 192.168.88.0/24, не настроены. IP > DNS: публичный DNS-сервер (9.9.9.9) и включена опция "Allow Remote Requests". IP > DHCP Server > Networks > 192.168.88.0/24 > 192.168.88.1 (сам роутер).

chain=dstnat protocol=udp src-address=192.168.88.2 dst-port=53

```text
dstnat action=dst-nat to-addresses=192.168.88.2 protocol=udp src-address=192.168.88.0/24 dst-address=!192.168.88.2 dst-port=53
```

Короткое правило стоит выше длинного. Они находятся вверху моего списка NAT, ниже этих двух правил осталось всего несколько правил проброса портов (к моему серверу на 192.168.88.2). Правила фаервола — просто стандартные. Я использую RouterOS 6.48 stable.

zilexa

Guest

#12

29.01.2021 16:06:00

Хорошо, просто для теста я добавил правило masquerade под теми двумя правилами, что ты дал: add action=masquerade chain=srcnat src-address=192.168.88.0/24 dst-address-list=192.168.88.2 dst-port=53 protocol=udp. Теперь работает, НО Pihole видит все запросы, идущие с моего роутера. К сожалению, нет статистики по каждому клиенту отдельно. Без этого правила masquerade клиенты вообще не могут разрешать домены. Как только я отключаю правило masquerade, всё перестаёт работать.

Ddram

Guest

#13

09.02.2021 15:38:00

Привет! У меня тут тоже были проблемы. Мой Pi-Hole настроен с unbound на порту 5335 для разрешения через DNS-Root-серверы. Решение, которое работает у меня, я взял из другой темы тут: http://forum.mikrotik.com/t/pi-hole-forced-dns-redirection-with-failover-script/145290/1 и немного изменил под свою конфигурацию и некоторые мои размышления. Моя конфигурация: RB2011iL: 192.168.0.1 с двумя внешними DNS-серверами (1.1.1.1, 1.0.0.1) Pi-Hole: 192.168.0.250 DHCP-диапазон: 192.168.0.0/24, Pi-Hole в качестве DNS Своими руками добавил два NAT-правила, чтобы перехватывать все DNS-запросы и направлять их на мой сконфигурированный сервер.

6 ;;; Mikrotik forced
chain=dstnat action=dst-nat to-addresses=192.168.0.1
protocol=udp src-address=!192.168.0.1
dst-address=!192.168.0.1 in-interface=bridge dst-port=53
log=no log-prefix=""

7 ;;; pihole forced
chain=dstnat action=dst-nat to-addresses=192.168.0.250
protocol=udp src-address=!192.168.0.250
dst-address=!192.168.0.250 in-interface=bridge
dst-port=53 log=no log-prefix=""

Чтобы проверить работу pi-hole, у меня настроено задание в планировщике, которое каждые 5 минут резолвит google.com через pihole. Если возникает ошибка, правило NAT для pihole отключается, а правило для mikrotik включается:

:local piholedown [/ip firewall nat get value-name=disabled [find comment="pihole forced"]]
:local piholeDNS "192.168.0.250"
:local testDomain "www.google.com"

:if ($piholedown = false) do={
:do {
:resolve $testDomain server $piholeDNS
} on-error={
/ip firewall nat;
disable [find comment="pihole forced"];
enable [find comment="Mikrotik forced"];
}
} else={
:do {
:resolve $testDomain server $piholeDNS;
/ip firewall nat;
enable [find comment="pihole forced"];
disable [find comment="Mikrotik forced"];
} on-error={}
}

Короче, pi-hole — это мой стандарт, и только в случае ошибки происходит принудительная переадресация DNS на роутер с внешними DNS-серверами. Может, тебе стоит попробовать (надеюсь, удачно).

Как я уже сказал, изначальная идея взята отсюда: http://forum.mikrotik.com/t/pi-hole-forced-dns-redirection-with-failover-script/145290/1

Хорошего дня!
P.S. Английский — не мой родной язык, так что не судите строго, может быть какая-то чепуха.

zilexa

Guest

#14

12.02.2021 09:13:00

@Ddram, спасибо, что опубликовал это. Можешь, пожалуйста, подтвердить пару моментов? Какая версия RouterOS у тебя стоит? У тебя только одна подсеть/диапазон DHCP, верно? Значит, и PiHole, и клиенты в локальной сети у тебя находятся в одном и том же IP-диапазоне. В PiHole ты видишь DNS-запросы и красивые статистики по каждому клиенту? Или эта схема означает, что PiHole будет «видеть» все DNS-запросы просто, как будто они идут от роутера? Потому что мне очень важно иметь статистику по каждому отдельному клиенту, и я верю, что твое решение работает, но в PiHole будет казаться, что у тебя только один клиент — ведь все запросы идут от роутера?

Ddram

Guest

#15

12.02.2021 17:44:00

Привет, zilexa! У меня версия 6.48. Да, это моя маленькая домашняя сеть — всего одна подсеть, и всё находится в ней. Да, я читал твои предыдущие сообщения, и именно этого я хочу и уже имею! Каждый клиент обращается к Pi по своему полному доменному имени. Например, я вижу в запросах pihole, что мой мобильный телефон запрашивает "OnePlus7T.home.arpa". Думаю, проблема в правиле srcnat masquerading (кто-то ранее об этом упоминал). При маскарадинге все запросы, похоже, идут от твоего роутера. А это совсем не то, чего ты хочешь. Привет!

zilexa Guest	#16 0 13.02.2021 23:31:00 Моя мысль в том, что без правила masquerade это должно быть невозможно. Ни один из моих клиентов не может получить доступ к каким-либо доменам, если стоит только то единственное правило, которое вы упомянули, чтобы перенаправлять DNS на ваш pihole. Вы используете стандартные правила брандмауэра из версии 6.48? Есть ли у вас другие настроенные правила NAT? Я спрашивал об этом на голландском форуме, и там подтвердили, что без правила masquerade это работать не может.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры