DNS Fai-da-Te: Blocca le Pubblicità a Livello di Rete

Se gestisci già una rete Tailscale self-hosted con Headscale, hai risolto la connettività privata e crittografata tra i tuoi dispositivi. Ma c'è un aspetto che in molti trascurano: puoi bloccare ads e tracciamenti direttamente al livello DNS, con protezione automatica su telefono, laptop, tablet e PC, ovunque ti connetti.

Il metodo classico? Reindirizzare tutto su resolver pubblici come Cloudflare o Quad9. Funziona, ok. Ma ti perdi opportunità importanti.

Perché un DNS Interno Cambia Tutto

Con Headscale che gestisce la risoluzione DNS per l'intero tailnet, accade una cosa potente: ogni dispositivo riceve risultati DNS filtrati, senza configurazioni sul client. Niente app da installare. Niente liste di blocco per device. Niente soluzioni multiple da gestire.

I vantaggi pratici sono chiari:

• Pubblicità sparite ovunque. Reti di ads intrusive? Non arrivano mai al tuo dispositivo.
• Hostname interni fluidi. Il tuo server di casa su homeserver.tailnet.local si risolve all'istante, su ogni device.
• Sicurezza uniforme. Decidi tu cosa risolvere e cosa no. Zero eccezioni.

Blocky: la Scelta Perfetta per Self-Hoster

Sai di Pi-hole o AdGuard Home? Ottimi tool, collaudati. Ma hanno dashboard web, database e opzioni che complicano la vita. Non sempre serve tutto quel ben di Dio.

Blocky è un'altra storia. DNS proxy minimalista, per chi vuole filtraggio puro senza fronzoli. Un solo file YAML. Gira ovunque. Blocca richieste DNS cattive e basta.

Il compromesso? Niente interfaccia fighetta. Per chi vive da terminale, è un pregio, non un difetto.

Cosa lo rende unico:

• Configurazione elementare. Zero database, zero web UI da aggiornare.
• Supporto nativo per blocklist. Usa liste community o creane di tue.
• Super leggero. Perfetto su Raspberry Pi, VPS minuscolo o dove hai Headscale.
• Crittografia upstream pronta. DNS-over-TLS (DoT) verso il resolver pubblico che preferisci.

Il Problema con Private DNS su Android

Scenario comune: usi "Private DNS" di Android verso un resolver DoT pubblico (tipo AdGuard), tutto liscio. Aggiungi Tailscale e boom, DNS si inceppa.

Cosa succede: Tailscale impone le sue impostazioni DNS via Headscale. Android le accetta e instrada su 100.100.100.100, il relay interno di Tailscale. Ma quello non usa DoT, solo DNS base. Il probe di Android fallisce, niente si risolve.

Soluzione? Lascia il controllo DNS totale a Tailscale. Disattiva Private DNS su Android. Metti Blocky nel tailnet, punta Headscale lì e lascia che Tailscale gestisca tutto. Blocky crittografa l'upstream verso i resolver pubblici. Android Private DNS? Superfluo.

Obiettivi Chiari per il Deployment

Prima di lanciare Blocky, definisci cosa vuoi ottenere:

Obiettivo 1: Blocco ads e tracker su tutta la rete. Ogni device nel tailnet ha DNS filtrati, senza setup utente.

Obiettivo 2: DNS upstream crittografato. Da Blocky al resolver pubblico, usa DoT. WireGuard protegge già il resto.

Obiettivo 3: Risoluzione hostname interni. Servizi privati con nomi DNS che funzionano ovunque, tipo homeserver.ts.internal.

Obiettivo 4: Zero config per device. Headscale spinge le impostazioni, i client le prendono e via.

Come Funziona l'Architettura

Il flusso è semplice:

1. Dispositivi si connettono a Tailscale tramite Headscale.
2. Headscale assegna l'IP di Blocky come DNS del tailnet.
3. Query DNS dal device arrivano a Blocky.
4. Blocky controlla le blocklist: blocca con NXDOMAIN, inoltra il resto.
5. Upstream via DoT a resolver pubblici (Cloudflare, Quad9, ecc.).
6. Risultati cachati da Blocky, tornano al device.
7. Tutto su WireGuard crittografato. Tu controlli filtri e infrastruttura.

Perché Conta Oggi

Nel 2024, privacy e blocco ads sono basilari. Ma la maggior parte delle soluzioni le tratta come extra per device singoli. L'approccio rete scala meglio. Aggiungi un telefono al tailnet? Ads bloccate subito, zero fatica. Da un amico? Protezione attiva.

Per dev e sysadmin, riduci la superficie d'attacco. Tu gestisci DNS, auditi blocklist, scegli resolver fidati. È la filosofia self-hosted applicata al DNS.

Prossimi Passi

Hai Headscale? Aggiungi Blocky, è naturale. Vuoi alternative? Unbound, Bind o Coredns vanno bene. Ma Blocky vince per semplicità.

Il bello: non sei vincolato. Cambi esigenze? Sostituisci Blocky. Headscale e Tailscale non battono ciglio.

Il tuo DNS è troppo cruciale per delegarlo alla cieca. Prendilo in mano. Blocca il rumore. Tieni i dati nella tua rete. È il self-hosting puro, e ce l'hai a portata.