Fritz!Box DNS

Fritz!Boxen haben eine Option Firmware ohne Anmeldung am Router zu aktualisieren. Standardmäßig aktiviert. Das sehe ich als größeres Problem an. 

DNS over TLS

DoT Priorisierung ist 1. Valid cert chain (volle Kette) und danach 2. Fastest reply wins.

In der Regel gibts dann dns.google im Wechsel mit quad1 (also Cloudflare). Beides übertrumpft Quad9. Freifunk und co. hat gegen Google keine Chance. 

DoT ohne Fallback bricht Sophos SSLVPN (DNS) Verantwortung dafür nicht bei AVM sondern beim SSLVPN Endpunkt. (Idee: Zielserver nicht als Domainname)

Ich habe auch weiterhin DNS-Auflösungsprobleme innerhalb von WireGuard VPNs, eventuell auch IPSec Tunneln. Daher:

Ausstehend für Anfrage an AVM: 

• Wie erkenntgenau bestimmt die Fritz!Box DNSwohin Pakete?DNS-Anfragen Werdengehen, wenn im Fritz!OS etwas anderes konfiguriert ist?

Funktioniert dies durch eine Umleitung aller Pakete peraus dem LAN, die über UDP 53 gesendet werden? Ähnlich, wie man es bei einer Stateful Firewall /konfigurieren deepwürde? packetWerden inspectionalle aufPakete udpangefasst, 53oder abgegriffen?nur (sodie wieDNS-Anfragen esdie auchexplizit aufan jederdie statefulLAN-IP firewall gemacht werden müsste) ich habe mitder Fritz!Box wenigergestellt Problemewurden? (etwas umformuliert: Falls ein einzelner LAN-Client einen anderen DNS-Server als mitdie packetFritz!Box hijackinganfragt - z.B. 9.9.9.9 - schreibt die Fritz!Box auch diese Anfrage um, oder nur die DNS Anfragen, die explizit an 192.168.178.1 gestellt wurden?) Anhand welcher Kriterien wählt die Fritz!Box aus, ob ein Fallback auf udpunverschlüsseltes 53DNS (Beispielnotwendig Wireguard auf gleichem Port)ist?