DIY DNS: Защо да блокираш рекламите на ниво мрежа

Ако вече имаш Tailscale мрежа на собствен хост (чрез Headscale), си решил основния проблем – сигурна връзка между устройствата ти. Но много пропускат следното: можеш да блокираш реклами и проследяване директно на DNS нивото. И това важи навсякъде – телефон, лаптоп, таблет, компютър – без да мръднеш пръст.

Старото решение? Насочваш всичко към Cloudflare, Quad9 или подобен публичен resolver. Работи, но губиш много.

Защо си струва вътрешен DNS

Когато Headscale поема DNS за цялата tailnet, всичко се опростява: всяко устройство получава филтрирани DNS отговори автоматично. Няма приложения за инсталация. Няма blocklists на отделно устройство. Няма да гониш различни инструменти.

Практическите плюсове:

• Реклами изчезват навсякъде. Онези съмнителни мрежи за проследяване? Не стигат до устройството ти.
• Вътрешни имена работят веднага. homeserver.tailnet.local се резолвира на всяко място.
• Една сигурност за всичко. Ти решаваш какво се резолвира, без изключения.

Защо Blocky е топ за самохостъващи

Сигурно си чул за Pi-hole или AdGuard Home. И двете са надеждни. Но имат уеб панели, бази данни и безкрай опции – понякога прекалено.

Blocky е по-различен. Това е DNS proxy за хора, които искат филтриране без излишни неща. Един YAML файл. Стартира се където поискаш. Фокусира се върху блокиране на лоши DNS заявки и го прави перфектно.

Минусът? Няма якия интерфейс. Но ако си в командния ред, това е плюс.

Какво го прави специален:

• Лесна настройка. Без база данни, без уеб панел, без ъпдейти на дашборд.
• Поддръжка на blocklists. Използвай готови от общността или си направи свои.
• Лек. Тича на Raspberry Pi, малък VPS или където е Headscale.
• Шифрован upstream. Поддържа DNS-over-TLS (DoT) към публичен resolver.

Проблемът с Android Private DNS

Често хората се спъват тук: ползваш Android "Private DNS" към публичен DoT (като на AdGuard) и всичко е ок. После добавяш Tailscale – и DNS спира да работи.

Какво става: Tailscale чрез Headscale налага свои DNS настройки. Android ги приема и изпраща заявки към 100.100.100.100 в tailnet. Но този resolver не поддържа DoT – просто relay. Android теста за шифроване фейлва. Нищо не се резолвира.

Решението? Дай на Tailscale пълен контрол над DNS. Забрави Android Private DNS. Пусни Blocky в tailnet, насочи Headscale към него. Blocky ще шифрова upstream – Android функцията не ти трябва.

Целите ти при стартиране

Преди да пуснеш Blocky, уточни какво искаш:

Цел 1: Блокиране на реклами навсякъде. Всяко устройство в tailnet да получава филтрирани DNS автоматично. Без настройки за потребители.

Цел 2: Шифрован upstream. Трафикът от Blocky към публичния resolver – през DoT. Дори WireGuard да защитава устройството до Blocky, последният скок трябва да е сигурен.

Цел 3: Резолв на вътрешни имена. Приватните ти услуги да имат DNS имена, които работят в цялата мрежа. homeserver.ts.internal – без проблеми.

Цел 4: Няма настройки на устройства. Headscale раздава DNS и готово. Клиентите го хващат сами.

Как работи архитектурата

Потокът е прост:

1. Устройствата ти се свързват към Tailscale (Headscale).
2. Headscale раздава DNS към IP-то на Blocky в tailnet.
3. Заявка за DNS отива при Blocky.
4. Blocky проверява blocklists. Лошите връщат NXDOMAIN. Добрите – към upstream.
5. Upstream е през DoT към Cloudflare, Quad9 или каквото избереш.
6. Резултатите се кешират в Blocky и стигат до устройството.
7. Всичко е през WireGuard. Ти контролираш инфраструктурата и филтрите.

Защо е важно точно сега

През 2024 блокиране на реклами и защита на приватност са задължителни. Но повечето решения са за отделни устройства. Мрежовият подход расте лесно. Нов телефон в tailnet? Реклами блокирани веднага. При приятел – пак си защитен.

За разработчици и инфраструктурни хора това намалява риска. Ти управляваш DNS. Проверяваш blocklists. Избираш доверени resolver-и. Класически self-hosted подход.

Какво да направиш сега

Ако Headscale ти работи, Blocky е следващата стъпка. Можеш да смениш с Unbound, Bind, Coredns – каквото искаш. Но Blocky е супер лесен за повечето.

Най-доброто? Не си в капан. Смених нуждите – смени resolver-а. Headscale и Tailscale не се интересуват.

DNS е твърде важен, за да го оставиш на други. Вземи контрол. Блокирай шумът. Дръж данните си в мрежата. Това е мечтата на self-hosted и е напълно реална.