Stap 14 – Pi-hole: thuis direct, onderweg via de tunnel (split-horizon DNS)¶

Doel: thuis geeft het "telefoonboek" (DNS) voor fotos.jouwdomein.nl het lokale adres van je Umbrel. Onderweg geeft het publieke internet het adres van Cloudflare. Zelfde naam, kortste weg, en thuis geen uploadlimiet. Tijd: 45 minuten.

🛑 Dit is de spannendste stap. Als de Umbrel na deze stap uitvalt, heeft je hele huis "geen internet", want niemand kan dan namen opzoeken. Lees eerst stap 16 – Noodkaart en je routerkaart.

14.1 Pi-hole installeren¶

Umbrel App Store → Pi-hole → Installeren.
Open de beheerpagina: meestal http://umbrel.local:8082/admin/. ⚠️ Te controleren de poort zie je in de adresbalk als je de app opent vanuit het dashboard.
Log in met het wachtwoord dat Umbrel bij de app toont, en wijzig het. ⚠️ Te controleren waar dit staat in jouw versie.

14.2 Basisinstellingen¶

Upstream DNS (Settings → DNS): kies bijvoorbeeld Cloudflare (1.1.1.1, 1.0.0.1) of Quad9. Zo zoekt Pi-hole alle andere namen op.
(Optioneel) Blokkeerlijsten (Lists): bijv. https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts (advertenties, malware, tracking). Begin met één lijst; te veel lijsten geven vaker "deze site werkt niet".

14.3 Lokale namen toevoegen¶

Local DNS → DNS Records: voeg per dienst een A-record toe:

Domein	IP
`fotos.jouwdomein.nl`	`192.168.1.x` (jouw Umbrel-IP)
`bestanden.jouwdomein.nl`	`192.168.1.x`
`office.jouwdomein.nl` (optioneel)	`192.168.1.x`

14.4 IPv6-lek dichten (belangrijk!)¶

Pi-hole beantwoordt met bovenstaande records alleen IPv4-vragen. Vraagt een apparaat om het IPv6-adres (AAAA), dan stuurt Pi-hole die vraag door naar internet en krijgt het apparaat het IPv6-adres van Cloudflare. Browsers kiezen dan vaak alsnog de weg via de tunnel. Het gevolg: trage uploads, de limiet van 100 MB, en "Connection is lost" in OnlyOffice.

Oplossing: laat Pi-hole alle vragen voor jouw domein zelf beantwoorden.

Pi-hole → Settings → zet bovenaan de modus op Expert.
All settings → Miscellaneous → misc.dnsmasq_lines.
Voeg deze regel toe (één regel per regel):
```
local=/jouwdomein.nl/
```
Save & Apply.

🛑 Gevolg: thuis bestaan nu alleen de namen die je in 14.3 hebt toegevoegd. Draait er op hetzelfde domein ook een website of iets anders (bijv. www.jouwdomein.nl)? Dan werkt die thuis niet meer, tenzij je hem ook als lokaal record toevoegt met het juiste adres. Daarom het advies uit stap 11: een apart domein voor je thuiscloud.

⚠️ Te controleren menunamen in Pi-hole v6. Bij Pi-hole v5 werkt dit anders, via een bestand in /etc/dnsmasq.d/.

14.5 Eerst testen op één computer (veilig)¶

Voordat je het hele huis omzet, test je op één computer:

Zet de DNS-server van die computer handmatig op 192.168.1.x (Umbrel-IP):
Mac: Systeeminstellingen → Netwerk → Wi-Fi → Details → DNS → +
Windows: Instellingen → Netwerk → Wi-Fi → Hardware-eigenschappen → DNS-servertoewijzing → Bewerken
Controleer:
```
nslookup fotos.jouwdomein.nl
```
→ moet 192.168.1.x geven.
```
nslookup example.com
```
→ moet gewoon een adres geven (internet werkt).
Open https://fotos.jouwdomein.nl. Je ziet een slotje, en Immich laadt.
Zet de handmatige DNS daarna weer terug op automatisch (leeg). Anders mis je straks de controle in 14.7.

✅ Controlepunt: op de testcomputer wijst fotos.jouwdomein.nl naar je Umbrel, met HTTPS zonder waarschuwing, en gewoon internet werkt ook.

14.6 Het hele huis omzetten (router) 🛑¶

Nu laat je de router aan alle apparaten vertellen: "gebruik Pi-hole als DNS".

Volg je routerkaart: zoek de instelling lokale DNS-server of DNS-server voor DHCP, en vul het Umbrel-IP in.
Niet verwarren met de DNS-instelling voor de internetverbinding (WAN) van de router. Die is alleen voor de router zelf en mag blijven zoals hij is.
Kan je router dit niet (vaak bij providerrouters)? Zie de routerkaart voor alternatieven.

Laat apparaten het nieuwe adres ophalen: wifi uit en weer aan, of een herstart.

14.7 Controleren op je apparaten¶

Mac

ipconfig getpacket en0 | grep domain_name_server   # moet het Umbrel-IP zijn (en0 = wifi op de meeste Macs)
networksetup -getdnsservers Wi-Fi                  # moet "There aren't any DNS Servers set" zijn
scutil --dns | head -15                            # bovenste nameserver = Umbrel-IP (tenzij VPN aan)

Windows (PowerShell)

ipconfig /all            # bij "DNS-servers" staat het Umbrel-IP
Resolve-DnsName fotos.jouwdomein.nl

Alle systemen: controleer IPv4 en IPv6:

python3 -c "import socket; print(sorted({i[4][0] for i in socket.getaddrinfo('fotos.jouwdomein.nl',443)}))"

→ thuis moet dit alleen ['192.168.1.x'] geven. Zie je ook adressen als 104.…, 172.…, 188.… of 2606:…/2a06:…, dan gaat het (deels) nog via Cloudflare. Lees dan stap 15.

Telefoon: zet 4G uit en wifi aan, en open https://fotos.jouwdomein.nl. Het moet snel laden.

14.8 (Optioneel) Apparaatnamen in het Pi-hole-dashboard¶

Settings → DNS → Conditional forwarding: dan ziet Pi-hole apparaatnamen in plaats van IP-adressen. Bijvoorbeeld: true,192.168.1.0/24,192.168.1.1,<lokale-domeinnaam-router> (je netwerk, het IP van je router, en de lokale naam die je router gebruikt, bijv. fritz.box bij een Fritz!Box).

Goed om te weten¶

De Umbrel zelf (en de apps erop) gebruikt niet Pi-hole, maar een publieke DNS. Dat is prima en zelfs gewenst: als Pi-hole hapert, kan de Umbrel zichzelf nog bijwerken. Split-horizon is alleen bedoeld voor de apparaten van je gezin.

✅ Controlepunt: thuis wijst fotos.jouwdomein.nl op elk apparaat alleen naar het Umbrel-IP. Onderweg (4G) werkt hetzelfde adres via Cloudflare.

➡️ Volgende: Stap 15 – Controleren en valkuilen