Pi-hole v6 pe Raspberry Pi: filtrare DNS pentru toată rețeaua

Pi-hole e un server DNS mic care refuză să rezolve domeniile de reclame, de urmărire și, cu listele potrivite, domenii cunoscute pentru malware și phishing. Îl instalați o dată pe un Raspberry Pi și protejează toate dispozitivele din rețea: telefoane, televizoare smart, laptopuri, inclusiv cele pe care nu puteți instala nimic. Instalarea durează zece minute. Configurarea corectă a rețelei e partea unde greșește lumea, așa că acolo insistăm.

Ce vă trebuie

Practic orice Raspberry Pi. Un Pi 3B sau chiar un Pi Zero 2 W ține fără efort o rețea de casă sau de birou mic. Recomandăm conexiune pe cablu, pentru că dacă Pi-ul cade, cade internetul tuturor (cel puțin aparent). Sistemul: Raspberry Pi OS Lite pe 64 de biți, actualizat.

Adresa fixă, înainte de orice

Un server DNS cu adresă care se schimbă e o rețetă sigură pentru o seară pierdută. Aveți două variante.

Rezervare DHCP în router, varianta pe care o preferăm. În controllerul Omada, de exemplu, găsiți Pi-ul la Clients, deschideți-l și setați adresa ca fixă (opțiunea „Use Fixed IP Address”). La alte routere, căutați „DHCP reservation” sau „Address Reservation”.

Adresă statică pe Pi. Raspberry Pi OS actual folosește NetworkManager, deci fără să editați dhcpcd.conf ca în tutorialele vechi:

nmcli con show
sudo nmcli con mod "Wired connection 1" ipv4.method manual \
  ipv4.addresses 192.168.0.2/24 ipv4.gateway 192.168.0.1 ipv4.dns 1.1.1.1
sudo nmcli con up "Wired connection 1"

Adaptați numele conexiunii și adresele la rețeaua voastră. Alegeți o adresă din afara intervalului DHCP al routerului.

Instalarea

Instalatorul oficial pentru versiunea 6:

curl -sSL https://install.pi-hole.net | bash

Dacă nu vă place să rulați direct un script descărcat (și e un reflex bun), descărcați-l întâi, citiți-l, apoi rulați-l cu sudo bash. În asistent, alegeți interfața eth0, un furnizor DNS de upstream (Quad9 sau Cloudflare sunt alegeri bune) și lăsați lista implicită de blocare.

La final, setați parola pentru interfața web:

sudo pihole setpassword

Interfața e la http://192.168.0.2/admin. În versiunea 6 nu mai există lighttpd și PHP separat, serverul web e integrat, iar configurația stă într-un singur fișier, /etc/pihole/pihole.toml.

Partea importantă: cum ajung clienții la Pi-hole

Pi-hole funcționează doar dacă dispozitivele îl folosesc ca DNS. Cel mai curat e să-l anunțe serverul DHCP al routerului. În Omada, în setările rețelei LAN, la DHCP Server, puneți DNS-ul pe Manual și introduceți adresa Pi-ului. Pe routerele de la furnizorii de internet, opțiunea e de obicei la setările LAN sau DHCP.

Apoi reconectați un dispozitiv și verificați:

# Windows
ipconfig /all
nslookup doubleclick.net

# Linux / macOS
resolvectl status
dig doubleclick.net

Un domeniu blocat răspunde cu 0.0.0.0.

Greșelile pe care le vedem cel mai des

DNS secundar public. Cineva pune Pi-hole ca DNS primar și 8.8.8.8 ca secundar, „ca să fie sigur”. Clienții nu folosesc secundarul doar când cade primarul. Îl folosesc când vor ei, deci reclamele trec în continuare. Dacă vreți redundanță, puneți un al doilea Pi-hole.

IPv6. Dacă furnizorul vă dă IPv6, routerul anunță adesea propriul DNS IPv6, iar dispozitivele îl preferă. Rezultatul: Pi-hole pare că nu blochează nimic pe telefoane. Fie configurați routerul să anunțe adresa IPv6 a Pi-ului, fie dezactivați anunțarea DNS-ului IPv6 din router.

DNS-ul criptat din browser. Firefox și Chrome pot folosi DNS over HTTPS și ocolesc complet Pi-hole. Pe calculatoarele din firmă se dezactivează prin politici. Acasă, verificați setările browserului.

Liste prea agresive. Cu cât adăugați mai multe liste găsite pe internet, cu atât crește riscul să blocați ceva legitim: linkurile din e-mailurile de marketing, aplicațiile băncii, actualizările televizorului. Începeți cu lista implicită și adăugați câte una pe rând.

Comenzi de întreținere

pihole status          # merge sau nu
pihole -up             # actualizează Pi-hole
pihole -g              # reîmprospătează listele de blocare
pihole -t              # urmărește cererile în timp real
pihole allow exemplu.ro   # deblochează un domeniu

Când cineva din birou spune că un site nu se deschide, Query Log din interfață vă arată în câteva secunde dacă Pi-hole a blocat ceva. Deblocați de acolo cu un clic.

Ce nu face Pi-hole

Nu e antivirus și nu e firewall. Nu blochează reclamele servite de pe același domeniu cu conținutul (cele din YouTube, de exemplu) și nu vă protejează dacă cineva deschide un atașament infectat. E un strat în plus, ieftin și eficient, care reduce mult zgomotul din rețea. Pentru o firmă mică, combinat cu rețele separate pentru oaspeți și pentru camere, schimbă destul de mult nivelul de siguranță.

Dacă aveți deja echipamente Omada sau vreți să vă refaceți rețeaua cu VLAN-uri separate și filtrare DNS, ne puteți cere o ofertă.