Porzuciłem DNS Google na rzecz Raspberry Pi za 20 USD i przestałem przekazywać moją historię przeglądania osobom trzecim

Chyba że wpisujesz adresy IP ręcznie, za każdym razem, gdy odwiedzasz stronę internetową, najpierw wykonujesz zapytanie DNS. Domyślnie twoja sieć prawdopodobnie wskazuje na publiczny serwer DNS, taki jak serwer twojego dostawcy usług internetowych, 8.8.8.8 Google’a lub 1.1.1.1 Cloudflare’a. Są one wygodne i szybkie, ale oznacza to również, że strona trzecia ma niezamazany wgląd w odwiedzane przez ciebie strony internetowe.

Jeśli chcesz zminimalizować ilość informacji, które przekazujesz Google, możesz zamienić publiczny serwer DNS na niedrogiego Raspberry Pi działającego z Pi-hole i Unbound.

Twój serwer DNS zna każdą odwiedzaną przez ciebie stronę internetową

Twoje żądania wyszukiwania DNS zazwyczaj również nie są szyfrowane

Za każdym razem, gdy łączysz się ze stroną internetową przy użyciu nazwy domeny, serwer DNS gdzieś na świecie tłumaczy tę nazwę domeny na adres IP, którego twój komputer używa w tle, aby faktycznie połączyć się ze stroną. Każdy serwer DNS, którego używasz, ma pełną widoczność każdej domeny, którą wpisujesz w przeglądarce, a jeśli twoje żądania DNS nie są zaszyfrowane, każdy, kto przechwyci twoje żądania DNS, może również zobaczyć odwiedzane przez ciebie strony internetowe. To mnóstwo informacji, którym należy zaufać stronie trzeciej.

Na szczęście można użyć niedrogiego Raspberry Pi Zero 2 W i kilku projektów open-source, aby rozwiązać ten problem.

Serwery DNS i jak internet znajduje swoją drogę
Wyzwanie trivia

Od 8.8.8.8 do tego, jak twoja przeglądarka znajduje filmy o kotach — dowiedz się, ile naprawdę wiesz o DNS.

Co oznacza DNS?

Zanim wynaleziono DNS, jak komputery rozwiązywały nazwy hostów w wczesnym internecie (ARPANET)?

Słynny serwer DNS o adresie IP 8.8.8.8 jest obsługiwany przez którą firmę?

Rozwiązanie DNS firmy Cloudflare pod adresem 1.1.1.1 zostało uruchomione w 2018 roku z dużym naciskiem na jaki punkt sprzedaży?

Czym jest 'resolver' DNS (nazywany również rekurencyjnym resolverem)?

Jaki rodzaj ataku polega na zatruwaniu pamięci podręcznej DNS fałszywymi wpisami w celu przekierowania użytkowników na złośliwe strony internetowe?

Który typ rekordu DNS odpowiada za mapowanie nazwy domeny na adres IPv4?

DNS-over-HTTPS (DoH) i DNS-over-TLS (DoT) mają na celu rozwiązanie tego samego podstawowego problemu. Czym on jest?

Twój wynik

Dziękujemy za grę!

Pi-hole i Unbound mogą zapewnić Ci prywatność i bezpieczeństwo

Nie musisz bezpośrednio zapytywać serwera DNS

Faktycznie potrzebujesz serwera DNS, jeśli chcesz używać nazw domen do łączenia się ze stronami internetowymi, ale nic nie mówi, że faktycznie musisz bezpośrednio pytać serwer DNS. Zamiast tego możesz zbudować własny za pomocą programu o nazwie Unbound, który jest rekursyjnym resolverem.

Unbound komunikuje się bezpośrednio z całą „hierarchią DNS”, co oznacza, że pobiera dane bezpośrednio z serwera głównego, serwerów TLD oraz autorytatywnych serwerów nazw. Zasadniczo pyta wszystkie komputery zaangażowane w łączenie domen z adresami IP o ich informacje, a następnie zapisuje te informacje lokalnie. Kiedykolwiek będziesz potrzebować dostępu do tej domeny w przyszłości, będziesz mógł korzystać z zapisanych wyników Unbound zamiast pytać Google lub Cloudflare o połączenie z witryną.

Wcale nie potrzebujesz serwera Google 8.8.8.8 — wszystko, czego potrzebujesz, znajduje się w twojej sieci domowej.

Dodatkowo, Unbound jest w stanie korzystać z DNSSEC, które wykorzystuje kryptografię do weryfikacji, że otrzymywane rekordy DNS nie zostały zmienione. Chociaż zdarza się to rzadko, zatrucie DNS było wykorzystywane do przekierowywania ruchu z legalnych stron internetowych na złośliwe kopie w celu kradzieży poufnych informacji, takich jak numery kart kredytowych. Duże serwery DNS są atrakcyjnymi celami, ponieważ skuteczne skompromitowanie jednego mogłoby wpłynąć na dziesiątki milionów ludzi.

To prawdopodobnie nie będzie problemem, ale uruchamianie własnego małego resolvera DNS, który podwójnie sprawdza tożsamość witryny, sprawia, że jesteś bardzo odporny na tego rodzaju atak.

Pi-hole dodaje dodatkową warstwę zabezpieczeń

Pi-hole to świetne naturalne połączenie z Unbound. Pi-hole działa jako sieciowy serwer DNS typu „sinkhole”. Gdy Twoje urządzenia próbują połączyć się z domeną, Pi-hole sprawdza swoje listy blokad. Jeśli domena jest znana z prowadzenia reklam, śledzenia lub hostowania malware, Pi-hole zwraca 0.0.0.0, co zapobiega jakimkolwiek połączeniom z zablokowaną domeną w pierwszej kolejności.

Ponieważ filtrowanie odbywa się na warstwie DNS, nie musisz instalować oprogramowania na każdym indywidualnym telefonie, inteligentnym telewizorze ani urządzeniu IoT w swoim domu.

Kiedy używasz razem z Unbound, uzyskujesz dwie warstwy działające w tandemie. Wszystko w twojej sieci najpierw komunikuje się z Pi-hole, który automatycznie blokuje niepożądane domeny. Gdy twój ruch został przefiltrowany przez Pi-hole, jest przekazywany do Unbound, który następnie łączy nazwę domeny z adresem IP dla ciebie i następuje połączenie.

Nie jest wymagany żaden podmiot trzeci, a ty możesz zablokować rozsądną ilość złośliwego oprogramowania, zanim w ogóle będzie miało szansę zarazić jakiekolwiek urządzenia. Za niewielki jednorazowy koszt sprzętowy i minimalne zużycie energii masz pełną kontrolę nad swoją siecią. Gdy lokalna pamięć podręczna zostanie załadowana, powtarzające się wyszukiwania są prawie natychmiastowe.

Konfiguracja Pi-hole i Unbound

Godzina i Raspberry Pi to wszystko, czego potrzebujesz

Aby rozpocząć, wgraj Raspberry Pi OS Lite (64-bit) na kartę microSD za pomocą Raspberry Pi Imager i zainstaluj ją w swoim Raspberry Pi. Następnie zaloguj się do swojego routera i przypisz Raspberry Pi statyczny adres IP — jeśli się zmieni, wszystko przestanie działać.

Mając to ustawione, połącz się z Raspberry Pi przez SSH, zainstaluj Pi-hole, uruchamiając curl -sSL https://install.pi-hole.net | bash, a następnie połącz się z panelem webowym, aby zakończyć konfigurację. To jest dość bezobsługowe — instalator został zaprojektowany tak, aby był bardzo przyjazny dla użytkownika i poprowadzi cię przez najważniejsze części.

Po zakończeniu tych czynności, ponownie połącz się przez SSH i zainstaluj Unbound za pomocą sudo apt install unbound. Musisz upewnić się, że nasłuchuje on na adresie loopback (127.0.0.1) na porcie 5335 oraz że DNSSEC jest włączony. Aby to zrobić, utwórz plik konfiguracyjny w "/etc/unbound/unbound.conf.d/pi-hole.conf" zgodnie z instrukcjami Pi-hole. Powinien wyglądać tak:

Teraz musisz powiedzieć dwóm urządzeniom, aby faktycznie zaczęły się ze sobą komunikować. Otwórz panel sterowania Pi-hole i przejdź do ustawień, następnie ustaw swój nadrzędny DNS na niestandardowy wpis 127.0.0.1#5335 i odznacz wszystkie inne opcje, w tym 8.8.8.8 Google'a. Pozostaw DNSSEC Pi-hole wyłączony.

Na koniec ustaw w ustawieniach DNS routera adres IP Pi, tak jak zwykle robisz to dla Pi-hole.

Istnieje kilka kompromisów

Połączenie Pi-hole i Unbound jest świetne, jeśli zależy Ci na prywatności lub jeśli jesteś domowym entuzjastą, który może skorzystać z szczegółowej kontroli. Jednak ma kilka wad.

Za pierwszym razem, gdy odwiedzisz nową domenę, wyszukiwanie będzie wolniejsze niż w przypadku publicznego resolvera, ponieważ Unbound musi wszystko załadować przy pierwszej wizycie. Kolejne odwiedziny są znacznie szybsze, ale początkowe opóźnienie prawdopodobnie zauważysz.

Dodatkowo pamiętaj, że tworzysz pojedynczy punkt awarii. Jeśli twój Raspberry Pi zostanie strącony z półki przez ciekawskiego kota, cała twoja sieć domowa straci dostęp do internetu, chyba że masz skonfigurowany zapasowy resolver lub dopóki nie naprawisz problemu.