Własny DNS: Blokuj reklamy na poziomie całej sieci

Masz już sieć Tailscale na własnym Headscale? Super, masz szyfrowane połączenie między urządzeniami. Ale wielu pomija kolejny krok: blokowanie reklam i trackerów na poziomie DNS. Dzięki temu ochrona działa automatycznie na telefonie, laptopie, tablecie i komputerze – wszędzie, gdzie się łączysz.

Stare metody? Kierujesz wszystko do Cloudflare czy Quad9. Działa, ale tracisz sporo możliwości.

Dlaczego warto mieć własny DNS?

Gdy Headscale zarządza DNS w całej twojej tailnet, magia się dzieje: każde urządzenie dostaje przefiltrowane wyniki bez instalowania czegokolwiek. Zero aplikacji na klientach. Zero list blokad per urządzenie. Jedna prosta konfiguracja.

Praktyczne korzyści:

• Reklamy znikają w całej sieci. Te podejrzane trackery nawet nie dotrą do twoich urządzeń.
• Wewnętrzne nazwy działają od ręki. Twój serwer domowy pod homeserver.tailnet.local rozwiązuje się błyskawicznie, gdziekolwiek jesteś.
• Jednolita polityka bezpieczeństwa. Ty decydujesz, co się rozwiązuje, a co nie.

Blocky – idealny wybór dla self-hostera

Słyszałeś o Pi-hole czy AdGuard Home? Świetne narzędzia, sprawdzone w boju. Ale mają panele www, bazy danych i masę opcji, które przytłaczają.

Blocky to inna liga. DNS proxy dla tych, co chcą filtracji bez zbędnych bajerów. Jeden plik YAML. Uruchamiasz gdziekolwiek. Skupia się na blokowaniu złych zapytań i robi to perfekcyjnie.

Brakuje mu błyszczącego interfejsu? Dla CLI-entów to zaleta, nie wada.

Co wyróżnia Blocky:

• Prosta konfiguracja. Bez baz danych, bez webki do pilnowania.
• Wsparcie dla list blokad. Ładujesz gotowe z netu albo swoje własne.
• Lekki jak piórko. Działa na Raspberry Pi, małym VPS czy tam, gdzie masz Headscale.
• Szyfrowanie upstream. Obsługuje DNS-over-TLS do resolvera publicznego.

Pułapka z Private DNS na Androidzie

Wyobraź sobie: używasz wbudowanego Private DNS na Androidzie z DoT od AdGuard – działa super. Dodajesz Tailscale i bum, DNS pada.

Co się dzieje: Tailscale przez Headscale narzuca swoje ustawienia DNS (100.100.100.100). Android to respektuje, ale ten resolver nie obsługuje DoT. Probka Private DNS kończy się fiaskiem, bo oczekuje szyfrowania. Nic się nie rozwiązuje.

Rozwiązanie? Oddaj DNS w ręce Tailscale. Wyłącz Private DNS na Androidzie. Uruchom Blocky w tailnet, skieruj do niego Headscale. Blocky załatwi szyfrowanie do upstream – klient Androida nie musi nic wiedzieć.

Co chcesz osiągnąć przy wdrożeniu

Zanim odpalisz Blocky, sprecyzuj cele:

Cel 1: Blokada reklam i trackerów na wszystkich urządzeniach. Tailnet automatycznie filtruje DNS. Użytkownicy nie muszą nic konfigurować.

Cel 2: Szyfrowany upstream. Ruch z Blocky do resolvera publicznego po DoT. WireGuard chroni resztę, ale ostatni odcinek też zabezpiecz.

Cel 3: Rozwiązywanie wewnętrznych nazw. Prywatne serwisy jak homeserver.ts.internal działają w całej sieci.

Cel 4: Zero konfiguracji na urządzeniach. Headscale rozsyła ustawienia, klienci łapią automatycznie.

Jak to wygląda w praktyce

Schemat krok po kroku:

1. Urządzenia łączą się z Tailscale (przez Headscale).
2. Headscale wskazuje DNS na IP Blocky w tailnet.
3. Zapytanie z urządzenia trafia do Blocky.
4. Blocky sprawdza listę blokad. Złe zwracają NXDOMAIN, dobre idą upstream.
5. Upstream po DoT do Cloudflare, Quad9 czy innego.
6. Wyniki wracają, cache'ują się i lądują u klienta.
7. Wszystko szyfruje WireGuard. Ty kontrolujesz infrastrukturę i filtry.

Dlaczego to ważne właśnie teraz

W 2024 blokada reklam i prywatność to podstawa. Ale większość rozwiązań działa per urządzenie. Podejście sieciowe skaluje się samo. Nowy telefon w tailnet? Ochrona od razu, bez wysiłku. U kumpla na Wi-Fi? Nadal bezpieczny.

Dla devów i adminów to mniej powierzchni ataku. Ty zarządzasz DNS, audytujesz listy, wybierasz resover'y. Filozofia self-hostingu w DNS – pełna kontrola.

Co dalej

Masz Headscale? Dodaj Blocky jako następny krok. Możesz użyć Unbound, Bind czy Coredns, ale Blocky wygrywa prostotą.

Najlepsze: nie jesteś uwięziony. Potrzeby się zmienią? Wymień resolver. Headscale i Tailscale to obsłużą.

Nie oddawaj DNS komu popadnie. Przejmij kontrolę. Blokuj szum. Trzymaj dane w swojej sieci. Self-hosting w DNS jest na wyciągnięcie ręki.