Stap 15 – Controleren op alle apparaten, en de valkuilen die Pi-hole omzeilen¶
Doel: zeker weten dat elk apparaat thuis de directe route neemt en onderweg de tunnel. Tijd: 30 minuten.
15.1 Testronde (route 1 en 2)¶
Doe dit per telefoon en computer:
| Test | Thuis (wifi) | Onderweg (4G, wifi uit) |
|---|---|---|
| Immich-app opent foto's | ☐ | ☐ |
https://fotos.jouwdomein.nl in de browser |
☐ (route 2: snel, lokaal) | ☐ |
| Video van >100 MB uploaden | ☐ moet lukken | ☐ mag mislukken (Cloudflare-limiet); de app zet hem later thuis alsnog over |
| Bestanden openen | ☐ | ☐ |
Route 1: controleer in de Immich-app (Instellingen → Netwerk) dat hij thuis het lokale adres gebruikt. Daarna ben je klaar met deze stap. Ga naar stap 16.
15.2 Valkuilen: apparaten die Pi-hole omzeilen (route 2)¶
Pi-hole werkt alleen als het apparaat Pi-hole ook echt vraagt. Deze instellingen sturen DNS-vragen buiten Pi-hole om. Het gevolg is dat thuis het verkeer alsnog via Cloudflare gaat, met trage of mislukte grote uploads en in OnlyOffice "Connection is lost".
a. Handmatige DNS op het apparaat¶
Staat er op een laptop of telefoon handmatig 1.1.1.1, 8.8.8.8 of iets anders ingesteld, dan wordt Pi-hole genegeerd, ook al zet de router het goed.
- Mac: Systeeminstellingen → Netwerk → Wi-Fi → Details → DNS: maak de lijst leeg. In de terminal:
networksetup -setdnsservers Wi-Fi Empty. - Windows: DNS-servertoewijzing op Automatisch (DHCP).
- iPhone: Instellingen → Wi-Fi → (i) bij je netwerk → DNS configureren → Automatisch.
b. VPN¶
Met een VPN aan (werk-VPN, privacy-VPN) gebruikt je apparaat meestal de DNS van de VPN. Thuis gaat het dan via de tunnel. Oplossingen:
- Zet de VPN thuis uit, of
- stel in de VPN-app "toegang tot lokaal netwerk" of "eigen DNS" in met het Umbrel-IP (als de VPN-app dat ondersteunt).
Op een Mac zie je dit in scutil --dns: de bovenste nameserver[0] is dan het adres van de VPN, niet je Umbrel.
c. IPv6 van je router¶
Veel Nederlandse providers leveren IPv6. Je router kan via IPv6 een eigen DNS-server aan apparaten doorgeven. Die gaat dan naast of in plaats van Pi-hole, en die DNS-server kent je lokale namen niet.
- Kijk in je routerkaart of je kunt instellen welke DNSv6-server de router doorgeeft, of dat de router geen eigen IPv6-DNS meer aankondigt.
- Of zet IPv6 in het thuisnetwerk uit (als je router dat toelaat). Voor de meeste gezinnen is dat geen probleem.
- De
local=/jouwdomein.nl/-regel uit stap 14.4 helpt alleen als de vraag bij Pi-hole aankomt.
⚠️ Te controleren per router.
d. "Veilige DNS" in de browser (DNS-over-HTTPS)¶
Browsers kunnen zelf versleuteld DNS opvragen bij bijv. Google of Cloudflare, en dan gaan ze buiten Pi-hole om.
- Chrome / Edge: Instellingen → Privacy en beveiliging → Beveiliging → Veilige DNS gebruiken. Kies "Huidige serviceprovider"/automatisch, of zet het uit. Niet een vaste provider kiezen.
- Firefox: Instellingen → Privacy & Beveiliging → DNS via HTTPS: Standaardbescherming of Uit. Bij Maximale bescherming wordt Pi-hole altijd genegeerd.
- ⚠️ Te controleren Pi-hole v6 laat Firefox standaard weten dat er in het netwerk een eigen DNS is (het zogenoemde "canary domain"), zodat de automatische DoH van Firefox uit blijft. Handmatig ingeschakelde DoH blijft wel actief.
e. Android "Privé-DNS"¶
Instellingen → Netwerk en internet → Privé-DNS (de naam verschilt per merk):
- Automatisch: meestal prima.
- Hostnaam van privé-DNS-provider (bijv.
dns.google): omzeilt Pi-hole altijd. Zet dit op Automatisch of Uit.
⚠️ Te controleren menunamen per merk (Samsung, Pixel enz.).
f. iCloud Privédoorgifte (iCloud Private Relay)¶
Met iCloud+ kan Safari het verkeer en DNS via Apple sturen. Pi-hole v6 blokkeert dit standaard netjes in je netwerk: het geeft voor mask.icloud.com een "bestaat niet" terug, waarna je iPhone of Mac meldt dat Privédoorgifte op dit netwerk uit staat. Bron: Pi-hole-documentatie (dns.specialDomains.iCloudPrivateRelay, standaard true).
- Zie je die melding? Dat is goed en verwacht.
- Je kunt het ook per wifi-netwerk regelen: Instellingen → Wi-Fi → (i) → iCloud Privédoorgifte uit. ⚠️ Te controleren de exacte naam per iOS-versie.
- Beperk IP-adrestracering (Instellingen → Wi-Fi → (i)) kan een vergelijkbaar effect hebben. Zet het voor je thuisnetwerk uit als je problemen ziet.
g. Gastnetwerk¶
Apparaten op het gastnetwerk krijgen vaak niet de DNS-instelling van het hoofdnetwerk, en kunnen je Umbrel bewust niet bereiken. Zij gebruiken dus altijd de tunnel. Dat is prima en veilig.
15.3 Snelle diagnose¶
nslookup fotos.jouwdomein.nl
| Uitkomst thuis | Betekenis |
|---|---|
192.168.1.x |
✅ goed |
een Cloudflare-adres (104.…, 172.…, 188.…) |
❌ dit apparaat vraagt Pi-hole niet. Zie a–e |
| Server: niet je Umbrel-IP | ❌ router of apparaat stuurt naar een andere DNS. Zie de routerkaart en a/b |
| time-out / geen antwoord | 🛑 Pi-hole of de Umbrel is onbereikbaar. Zie stap 16 |
✅ Controlepunt: alle apparaten in huis halen de tests uit 15.1 en de diagnose geeft 192.168.1.x.
➡️ Volgende: Stap 16 – Noodkaart