DIY DNS: Γιατί να μπλοκάρεις διαφημίσεις σε όλο το δίκτυο

Αν τρέχεις ήδη δίκτυο Tailscale με Headscale, έχεις λύσει το βασικό: ιδιωτική σύνδεση με κρυπτογράφηση μεταξύ συσκευών. Αλλά μπορείς να πας παραπέρα. Μπλόκαρε διαφημίσεις και trackers απευθείας στο DNS. Και αυτό ισχύει παντού: κινητό, laptop, tablet, PC. Χωρίς extra ρυθμίσεις.

Η παλιά μέθοδος; Στείλε τα πάντα σε Cloudflare ή Quad9. Λειτουργεί. Αλλά χάνεις πολλά.

Γιατί να φτιάξεις δικό σου DNS

Με Headscale να ελέγχει το DNS σε όλο το tailnet, όλα γίνονται μαγικά: κάθε συσκευή παίρνει φιλτραρισμένα αποτελέσματα DNS αυτόματα. Τίποτα apps. Τίποτα λίστες ανά συσκευή. Τίποτα μπερδέματα.

Πρακτικά πλεονεκτήματα:

• Διαφημίσεις εξαφανίζονται παντού. Κανένα tracking network δεν φτάνει στη συσκευή σου.
• Εσωτερικά hostnames δουλεύουν άψογα. Το homeserver.tailnet.local λύνεται παντού, αμέσως.
• Πάντα ίδια πολιτική ασφαλείας. Εσύ αποφασίζεις τι λύνεται.

Γιατί το Blocky ταιριάζει στους self-hosters

Pi-hole και AdGuard Home είναι κλασικά, δοκιμασμένα. Έχουν dashboard, βάσεις δεδομένων, άπειρες επιλογές. Μερικές φορές είναι υπερβολή.

Το Blocky ξεχωρίζει. Είναι DNS proxy για απλότητα. Ένα YAML αρχείο. Τρέχει οπουδήποτε. Κάνει μόνο blocking κακών queries.

Μειονέκτημα; Χωρίς γκλαμ UI. Αλλά αν ζεις στο terminal, αυτό είναι πλεονέκτημα.

Τι το κάνει top:

• Εύκολη ρύθμιση. Χωρίς database, χωρίς web interface, χωρίς updates.
• Έτοιμο για blocklists. Χρησιμοποίησε community λίστες ή φτιάξε δικές σου.
• Ελαφρύ. Τρέχει σε Raspberry Pi, μικρό VPS, δίπλα στο Headscale.
• Κρυπτογράφηση upstream. Υποστηρίζει DNS-over-TLS (DoT) σε resolver της επιλογής σου.

Το πρόβλημα με Private DNS στο Android

Φαντάσου: Χρησιμοποιείς Private DNS του Android σε AdGuard DoT. Τα πάει καλά. Προσθέτεις Tailscale, και κολλάει.

Τι γίνεται: Το Tailscale στέλνει DNS settings via Headscale. Το Android τα παίρνει και στέλνει queries στο 100.100.100.100. Αυτό δεν μιλάει DoT. Το probe του Android αποτυγχάνει. Τίποτα δεν λύνεται.

Λύση: Άσε το Tailscale να ελέγξει όλο το DNS. Ξέχνα το Private DNS του Android. Βάλε Blocky μέσα στο tailnet, στρέψε το Headscale εκεί. Το Blocky χειρίζεται DoT upstream. Έτοιμο.

Τι θες να πετύχεις

Πριν στήσεις Blocky, σκέψου στόχους:

Στόχος 1: Blocking παντού. Κάθε συσκευή στο tailnet παίρνει φίλτρα αυτόματα. Χωρίς ρυθμίσεις χρηστών.

Στόχος 2: Κρυπτογράφηση upstream. Blocky προς public resolver με DoT. Το WireGuard καλύπτει το εσωτερικό.

Στόχος 3: Λύση εσωτερικών ονομάτων. homeserver.ts.internal δουλεύει σε όλο το δίκτυο.

Στόχος 4: Μηδενικές ρυθμίσεις ανά συσκευή. Headscale τα σπρώχνει, clients τα παίρνουν μόνα.

Πώς δουλεύει η αρχιτεκτονική

Η ροή:

1. Συσκευές συνδέονται στο Tailscale (Headscale).
2. Headscale στέλνει DNS settings προς IP του Blocky.
3. Query φτάνει στο Blocky.
4. Blocky ελέγχει blocklists. Blocked = NXDOMAIN. Καθαρά πηγαίνουν upstream.
5. Upstream με DoT σε Cloudflare, Quad9 κλπ.
6. Αποτελέσματα cache-άρονται και γυρίζουν. Όλα κρυπτογραφημένα με WireGuard.

Γιατί μετράει τώρα

Το 2024, privacy και ad-blocking είναι βασικά. Οι περισσότεροι τα λύνουν per συσκευή. Το δίκτυο κλιμακώνεται. Νέο κινητό; Άμεσο blocking. Σε φίλο; Προστασία on.

Για devs και infra, μειώνει επιθέσεις. Εσύ ελέγχεις DNS, λίστες, resolvers. Pure self-hosted.

Επόμενα βήματα

Έχεις Headscale; Πρόσθεσε Blocky. Αν θες, βάλε Unbound, Bind, Coredns. Το Blocky κερδίζει σε απλότητα.

Δεν κλειδώνεσαι. Άλλαξε resolver όποτε θες. Headscale/Tailscale μένουν ίδια.

Μην αφήνεις DNS σε ξένους. Πάρε τον έλεγχο. Κόψε θόρυβο. Κράτα data μέσα. Αυτό είναι το self-hosted όνειρο. Εφικτό.