DNS Caseiro: Bloqueie Anúncios na Raiz da Rede

Se você já roda uma rede Tailscale self-hosted com Headscale, parabéns: conectividade privada e criptografada entre dispositivos está resolvida. Mas tem mais: é possível cortar anúncios e trackers direto no DNS, aplicando isso em todos os aparelhos – celular, notebook, tablet, PC – sem esforço extra.

Esqueça o jeito antigo de jogar tudo em resolvers públicos como Cloudflare ou Quad9. Funciona, mas desperdiça potencial enorme.

Por Que um DNS Interno Muda Tudo

Com Headscale gerenciando o DNS do seu tailnet inteiro, a mágica rola: cada dispositivo recebe respostas filtradas automaticamente, sem instalar nada. Sem apps, sem listas por aparelho, sem malabarismos.

Vantagens na prática:

• Anúncios somem em toda a rede. Aquela rede de ads maliciosa nem chega no seu device.
• Nomes internos fluem liso. Seu servidor em homeserver.tailnet.local resolve na hora, em qualquer lugar.
• Política de segurança unificada. Você manda no que resolve ou não. Sem brechas.

Blocky: A Escolha Perfeita para Self-Hosters

Pi-hole e AdGuard Home são ótimos e comprovados. Mas trazem dashboards web, bancos de dados e configs infinitas – às vezes, exagero puro.

Blocky é outra vibe. DNS proxy minimalista para quem quer filtro sem bagunça. Um YAML só. Roda em qualquer canto. Foca no essencial: barrar DNS ruins.

Sem frescuras visuais. Para devs e ops que vivem no terminal, isso é prêmio, não defeito.

Destaques do Blocky:

• Config ridiculamente simples. Sem banco, sem interface web, sem updates de dashboard.
• Suporte nativo a blocklists. Puxe listas prontas ou crie as suas.
• Leve como pena. Perfeito para Raspberry Pi, VPS minúsculo ou onde o Headscale mora.
• Criptografia upstream pronta. DNS-over-TLS (DoT) para o resolver público que você curtir.

O Problema do Private DNS no Android

Cenário clássico que quebra tudo: Android com "Private DNS" apontando para DoT público (tipo AdGuard), tudo nos trinques. Aí entra Tailscale, e o DNS pifa.

O que rola: Tailscale injeta configs DNS via Headscale. Android obedece e manda queries para o resolver interno (100.100.100.100). Mas ele não fala DoT – só relay básico. O probe do Android falha, esperando criptografia. Nada resolve. Caos.

Solução? Deixe Tailscale dominar o DNS todo. Desligue Private DNS no Android. Rode Blocky no tailnet, aponte Headscale pra ele. Blocky cuida da criptografia upstream. Adeus, Private DNS.

Objetivos Claros na Hora de Implantar

Antes de levantar Blocky, defina o alvo:

Objetivo 1: Bloqueio total de ads e trackers. Todo device no tailnet ganha filtro DNS auto. Zero configuração pro usuário final.

Objetivo 2: Upstream criptografado. Tráfego Blocky para resolver público via DoT. WireGuard já protege o resto; não pule o último passo.

Objetivo 3: Resolução de internos. Serviços privados com nomes DNS que funcionam em toda rede. homeserver.ts.internal rola suave.

Objetivo 4: Zero setup por device. Headscale empurra as configs. Clientes pegam e pronto.

Como a Arquitetura Funciona

Fluxo simples:

1. Devices conectam no Tailscale (Headscale).
2. Headscale envia configs DNS pro IP do Blocky no tailnet.
3. Query DNS vai pro Blocky.
4. Blocky checa blocklists: ruim? NXDOMAIN. Limpo? Encaminha upstream.
5. Upstream usa DoT pro resolver público (Cloudflare, Quad9, o que for).
6. Resposta volta, cacheia no Blocky e chega no device.
7. Tudo sob WireGuard. Você controla tudo.

Por Que Isso Importa Hoje

Em 2024, privacidade e bloqueio de ads são básicos. Mas soluções comuns são remendos por device. A rede resolve de verdade. Novo celular no tailnet? Proteção instantânea. Na casa do amigo? Mesma blindagem.

Para devs e engenheiros, é corte de superfície de ataque. Você audita blocklists, escolhe resolvers confiáveis. Filosofia self-hosted no DNS puro.

Próximos Passos

Headscale no ar? Blocky é o pulo natural. Troque por Unbound, Bind ou Coredns se quiser – mas Blocky brilha pela facilidade.

Melhor: nada te prende. Mude de resolver quando precisar. Headscale e Tailscale seguem firmes.

Seu DNS é vital demais pra delegar cegamente. Assuma o controle. Corte o ruído. Mantenha dados na sua rede. Self-hosting dos sonhos, ao seu alcance.