Redundantes DNS zu Hause: ein Setup für VPN, Privatsphäre und Seelenfrieden
Wenn Sie an Ihrem Heimnetzwerk herumbasteln und sich fragen, ob sich ein robustes DNS-Setup lohnt: ja, und es kann auch richtig Spaß machen. Ein Nutzer hat kürzlich seinen umfassenden Heimnetzwerk-Aufbau rund um Redundanz, Privatsphäre und VPN-Integration geteilt. Ich bin durchgegangen, was er gemacht hat und was Sie daraus mitnehmen können, egal, ob Sie ein Hardcore-Homelab-Enthusiast sind oder einfach nur Ihr DNS robuster machen wollen.
So sieht das Setup aus
Zuerst ein kurzer Überblick über die Architektur. Ein Router (in diesem Fall ein Ubiquiti) ist die primäre DNS-Front für alle Clients. Dahinter stehen zwei (oder mehr) Server, auf denen Pi-hole + Unbound auf Small-Form-Factor-Hardware (Raspberry Pis) laufen; einer ist „aktiv", einer ist „Standby".
DNS ist auf rekursiv gestellt (über Unbound). Die Server wenden sich also direkt an die Root-DNS-Server, statt sich rein auf Upstream-Resolver zu verlassen. Eine schwebende (virtuelle) IP über Keepalived sorgt dafür, dass bei Ausfall eines Servers der andere automatisch übernimmt.
Der gesamte Heimtraffic läuft über ein VPN (in diesem Fall ProtonVPN), sodass selbst die Root-DNS-Abfragen vor dem ISP anonymisiert werden. Auf Pi-hole-Ebene gibt es kein Caching; der Nutzer verlässt sich vollständig auf Unbounds Cache-Warming und Rekursion. Lokale DNS-Einträge werden weiterhin über den Router und lokales DNS verwaltet, damit interne Geräte auch dann erreichbar bleiben, wenn der DNS-Cluster mal spinnt.
Im Grunde ist das ein Mini-DNS-Stack auf Enterprise-Niveau mitten im eigenen Zuhause, und er ist überraschend leicht umzusetzen.
Warum das zu Hause machen?
Sie fragen sich vielleicht, ob das nicht Overkill für ein Heimnetzwerk ist. Die Frage ist fair, und die Antwort hängt davon ab, wie wichtig Ihnen Zuverlässigkeit, Privatsphäre und Kontrolle sind. Das sind die wichtigsten Vorteile.
Zuverlässigkeit und Redundanz
Wenn Ihr DNS ausfällt, funktioniert nichts mehr. Es als geschäftskritischen Teil Ihrer Infrastruktur zu behandeln (so wie Sie es auch in einem kleinen Unternehmen tun würden), ergibt durchaus Sinn, wenn Sie Geräte im Remote-Einsatz oder wichtige Heimdienste haben. Mit Keepalived + Pi-hole übernimmt bei Ausfall eines Knotens der andere nahtlos.
Privatsphäre und Vertrauen
Indem Sie Unbound rekursiv betreiben, verringern Sie die Abhängigkeit von DNS-Resolvern Dritter und umgehen einige der „Upstream"-Tracking-Probleme. Der Nutzer routet zusätzlich den gesamten DNS-Traffic durch das VPN. Damit werden selbst Root-Server-Abfragen nicht gegenüber dem ISP offengelegt.
Kontrolle und Einblicke
Sie sehen genau, was Geräte auflösen, blockieren Werbung und Tracker (über Pi-hole) und pflegen eigene lokale DNS-Einträge (für Homelab-Geräte). Wenn Sie ohnehin schon ein Lab betreiben oder Workloads migrieren (was Sie ja tun), haben Sie so das DNS-Verhalten eng im Griff.
Zukunftssicherheit
Je mehr Geräte dazukommen (IoT, Remote-Mitarbeiter, Kubernetes-Cluster, Backups), desto mehr wollen Sie ein DNS, das einfach funktioniert. Ein DNS-Fallback-System macht Ihr Heimnetzwerk robuster.
Wie es funktioniert
Das „Wie" lässt sich in einfachen Worten erklären.
Unbound als rekursiver Resolver
Statt Pi-hole auf einen Upstream wie Google oder Cloudflare zeigen zu lassen, fragt Unbound stellvertretend für Ihr Netzwerk direkt die Root-Server ab. Sie sind damit weniger von einem externen Anbieter abhängig und verbessern Privatsphäre und Performance. Viele Tutorials zeigen, wie man Unbound dafür konfiguriert.
Pi-hole als DNS-Filter + Statistik-Engine
Pi-hole blockiert unerwünschte Domains (Werbung, Tracker) und ist der DNS-Einstiegspunkt Ihres Netzwerks. In diesem Setup übernimmt es kaum Caching, das bleibt Unbound überlassen, und das hält die Architektur sauber.
Keepalived + virtuelle IP für Failover
Beide Pi-hole/Unbound-Knoten teilen sich eine virtuelle IP-Adresse im lokalen Netzwerk, und der Router gibt diese virtuelle IP als DNS-Server aus. Fällt der Master-Knoten aus oder ist er nicht erreichbar, verschiebt Keepalived die virtuelle IP automatisch auf den sekundären Knoten. Die Clients merken davon nichts, weil sie weiterhin dieselbe IP erreichen.
VPN-Routing für mehr Privatsphäre
Der gesamte DNS-Traffic (und in diesem Fall der gesamte Heimnetzwerk-Traffic) läuft über einen VPN-Dienst. Wenn Unbound Root-Server kontaktiert, geschieht das also durch den verschlüsselten Tunnel, und Ihr ISP kann weder passiv mitlesen noch eingreifen.
Lokale DNS-Einträge und Fallback-Pfad
Der Router selbst verwaltet die lokalen DNS-Einträge (sodass Sie zum Beispiel nas.home oder k8s.lab erreichen können) und dient als Ausfallsicherung: Fällt der DNS-Cluster komplett aus, haben Sie zumindest intern noch eine grundlegende Namensauflösung.
Worauf Sie achten sollten (und wie Sie es stabil halten)
Wer das gut umsetzen will, muss die Kompromisse und Fallstricke kennen.
Auch wenn kleine Hardware wie ein Raspberry Pi funktioniert, brauchen Sie zuverlässige Stromversorgung, Netzwerkanbindung und Kühlung. Außerdem hängt alles an einem einzelnen Router: Selbst mit zwei DNS-Knoten leiden Ihre Clients, wenn der Router ausfällt. Der Nutzer gab zu: „Ja, mein Router ist ein Single Point of Failure".
Testen Sie das Failover, indem Sie bei einem Knoten den Stecker ziehen und schauen, ob der andere die virtuelle IP übernimmt. Mehrere Nutzer wiesen auf Fallstricke im realen Failover-Verhalten hin. Wenn Sie mehrere Pi-hole-Instanzen betreiben, sollten Sie außerdem deren Blocklisten und Konfigurationen synchron halten. Tools wie Nebula-Sync (oder ältere wie Gravity-Sync) helfen dabei.
Dann ist da die Frage nach Komplexität und Nutzen. Für ein typisches Zuhause mit wenigen Geräten reicht eine einzelne Pi-hole-Instanz mit Standard-Upstream vermutlich aus. Wenn Sie aber Remote-Mitarbeiter, selbst gehostete Dienste oder Labs haben, zahlt sich der Mehraufwand aus.
Und schließlich die Security-Hygiene: Wenn Sie mehr Infrastruktur exponieren (VPN, DNS, selbst gehostete Dienste), sollten Sie sicherstellen, dass der Zugriff abgesichert ist, die Software aktuell gehalten wird und Logs überwacht werden.
Wie Sie das für Ihr Szenario bei Catalogic anpassen könnten
Da Sie im Bereich Backup/Migration + Kubernetes arbeiten und KI-/ChatGPT-Content erstellen, legen Sie vermutlich schon Wert auf Zuverlässigkeit und Kontrolle. Es gibt einige Stellen, an denen dieser DNS-Stack in Ihren Kontext passt.
Im Homeoffice und bei Remote-Entwicklungsarbeit können Sie das redundante DNS-Setup für das Heimnetzwerk Ihres Teams nutzen, damit ein Knotenausfall niemanden aus der Bahn wirft. Wenn Sie zu Hause Kubernetes-Cluster hochziehen oder Backup-/Migrations-Workflows testen, sind lokale DNS-Auflösung + Transparenz ein großes Plus für die Lab-Infrastruktur.
Für die Content-Erstellung könnten Sie schreiben oder zeigen, wie Ihr DNS-Stack Privatsphäre, Zuverlässigkeit bei Remote-Arbeit und Hybrid-Cloud-/Homelab-Konfigurationen unterstützt, was gut zu Ihrem KI-/ChatGPT-Publikum passt. Und wenn Sie Kunden bei Backup/Migration unterstützen, könnten Sie zeigen, dass DNS-Resilienz ein grundlegender Bestandteil moderner Infrastruktur ist (selbst zu Hause) und sich bis auf Enterprise-Niveau skalieren lässt.
Schlusswort
Dieses Setup ist nicht für jeden. Wenn Sie nur eine Handvoll Geräte haben und sich nicht an DNS-Ausfällen stören, kommen Sie auch mit einem einfachen Setup gut zurecht. Wenn Sie aber Dienste hosten, remote arbeiten, Wert auf Privatsphäre legen und keine „es ist einfach offline gegangen"-Überraschungen wollen, lohnt sich die Investition in redundantes DNS.
Nebenbei ist es ein cooles Projekt. Sie lernen etwas über Rekursion, Failover und VPN-Routing und bekommen tiefe Einblicke, wie DNS im Hintergrund alles im Internet trägt. Für alle, die gerne basteln (und das tun Sie!), ist das sehr befriedigend.