Pi-hole؛ مسدودکنندهٔ تبلیغات و ردیاب در سطح DNS

استفاده‌های رایج Pi-hole روی سرور ابری:

این همان کاری است که اسکریپت آزمایشی ما انجام می‌دهد، با این تفاوت که شما پورت ۵۳ را از اول محدود می‌کنید. روی سرور Ubuntu‏، Docker را نصب کنید. در Ubuntu سرویس systemd-resolved معمولاً روی پورت ۵۳ یک شنوندهٔ محلی دارد که با Pi-hole تداخل می‌کند؛ آن را غیرفعال کنید، شنوندهٔ آن را در resolved.conf خاموش کنید و فایل /etc/resolv.conf را با یک nameserver بیرونی بازنویسی کنید تا خود سرور همچنان نام‌ها را پیدا کند.

سپس پوشه‌های /opt/pihole/etc-pihole و /opt/pihole/etc-dnsmasq.d را بسازید و ایمیج رسمی pihole/pihole را با سیاست restart خودکار اجرا کنید: پورت ۵۳ روی TCP و UDP، پورت ۸۰ داخلی روی ۸۰۸۹ سرور، TZ برابر Asia/Tehran و رمز پنل با متغیر FTLCONF_webserver_api_password. نسخهٔ ۶ Pi-hole تنظیمات را با متغیرهای FTLCONF می‌گیرد و وب‌سرور داخلی خودش را دارد.

اسکریپت ما حالت شنیدن را all می‌گذارد تا Pi-hole به درخواست‌های بیرون از شبکهٔ محلی هم پاسخ دهد؛ این روی سرور ابری لازم است، اما دقیقاً به همین دلیل محدودکردن فایروال حیاتی است. پیش از آنکه هیچ دستگاهی را به آن وصل کنید، قسمت امنیت همین راهنما را اجرا کنید.

قانون فایروالی که اسکریپت آزمایشی ما برای پورت ۵۳ می‌سازد منبع را همهٔ اینترنت می‌گذارد؛ دلیل اینکه نصب یک‌کلیک Pi-hole را فعال نکرده‌ایم همین است. اگر همین‌طور بماند، Pi-hole به هر کسی در دنیا پاسخ می‌دهد. ربات‌ها چنین سرورهایی را در چند ساعت پیدا می‌کنند و برای حملهٔ تقویت DNS به کار می‌گیرند: سرور شما پاسخ‌های بزرگ را به سمت قربانی می‌فرستد، ۵۰ گیگابایت ترافیک ماهانه سریع تمام می‌شود و ترافیک سرور تا خرید بستهٔ اضافه قطع می‌شود، و IP سرور در فهرست‌های سوءاستفاده ثبت می‌شود.

راه درست دو گزینه دارد. اگر IP ثابت دارید، در تب فایروال سرور یا فایروال شبکه منبع دو قانون پورت ۵۳ را فقط همان IP بگذارید. اگر IP شما متغیر است، که برای اینترنت خانگی و همراه معمول است، پورت ۵۳ را کاملاً برای اینترنت ببندید و از WireGuard استفاده کنید تا دستگاه‌ها فقط از داخل تونل به Pi-hole برسند.

پنل مدیریت روی پورت ۸۰۸۹ را هم به IP خودتان محدود کنید یا فقط از داخل تونل باز کنید و رمز آن را قوی بگذارید. در تنظیمات Pi-hole، گزینهٔ محدودیت نرخ درخواست برای هر کلاینت را فعال نگه دارید.

امن‌ترین و کاربردی‌ترین چیدمان Pi-hole روی سرور ابری، کنار WireGuard است. WireGuard یک تونل رمزگذاری‌شده بین دستگاه و سرور می‌سازد و فقط پورت UDP خودش را روی اینترنت باز می‌خواهد. Pi-hole روی آدرس داخلی تونل پاسخ می‌دهد و پورت ۵۳ هیچ‌وقت برای اینترنت باز نمی‌شود. نتیجه: هر جا که باشید، تبلیغ و ردیاب روی گوشی بسته می‌شود و درخواست‌های DNS هم از دید شبکهٔ محلی پنهان می‌ماند.

در پیکربندی کلاینت WireGuard، مقدار DNS را آدرس داخلی سرور در تونل بگذارید. اگر فقط می‌خواهید DNS از تونل عبور کند و بقیهٔ ترافیک مستقیم برود، در AllowedIPs فقط زیرشبکهٔ تونل را بگذارید؛ این کار مصرف ترافیک ماهانهٔ سرور را هم بسیار کم نگه می‌دارد. اگر کل ترافیک از تونل عبور کند، همهٔ وب‌گردی دستگاه‌ها از سهمیهٔ سرور کم می‌شود.

Pi-hole رایگان و بسیار سبک است و تنها هزینه اجارهٔ ساعتی سرور ابری است. پلن mini با یک گیگابایت RAM برای چند ده دستگاه کاملاً کافی است. اگر می‌خواهید WireGuard‏، Unbound یا چند ابزار سبک دیگر را هم کنارش اجرا کنید، standard فضای راحت‌تری می‌دهد.

هر پلن ۵۰ گیگابایت ترافیک ماهانه دارد که برای DNS تنها، حتی با ده‌ها دستگاه، بسیار بیش از نیاز است؛ فقط در حالت DNS باز یا عبور کل ترافیک از تونل ممکن است تمام شود. هزینه ساعتی از کیف پول کسر می‌شود و قرارداد ماهانه ندارد. برای مقایسه از ماشین‌حساب هزینه استفاده کنید.

Pi-hole با یک فهرست پیش‌فرض شروع می‌کند. از بخش مدیریت فهرست‌ها می‌توانید فهرست‌های دیگری را با نشانی اینترنتی‌شان اضافه کنید؛ فهرست‌های جامعه در سطح‌های مختلف سخت‌گیری منتشر می‌شوند. با یک فهرست متوسط شروع کنید و چند روز گزارش را ببینید، چون فهرست‌های بسیار سخت‌گیر گاهی ورود به حساب، پرداخت یا ارسال لینک ایمیل را خراب می‌کنند.

اگر سایتی درست کار نکرد، در گزارش درخواست‌ها دامنه‌های مسدودشدهٔ همان لحظه را پیدا کنید و دامنهٔ لازم را به فهرست مجاز ببرید. با گروه‌ها می‌توانید برای دستگاه‌های کودکان فهرست سخت‌گیرتر و برای دستگاه‌های کاری فهرست ملایم‌تر بگذارید. پس از هر تغییر فهرست، به‌روزرسانی گرانش یعنی gravity را اجرا کنید.

همهٔ تنظیمات، فهرست‌ها، گروه‌ها و رکوردهای محلی Pi-hole در پوشهٔ /opt/pihole است. سریع‌ترین بکاپ، خروجی Teleporter از بخش تنظیمات پنل است که یک فایل فشرده می‌دهد و روی هر Pi-hole دیگری بازیابی می‌شود؛ پس از هر تغییر مهم یک نسخه بگیرید و جایی بیرون از سرور نگه دارید.

بکاپ کامل سرور را هم هر وقت خواستید از تب بکاپ پنل بسازید؛ بکاپ خودکار زمان‌بندی‌شده برای سرور ابری فعال نیست و فضای بکاپ ساعتی ۲ تومان به ازای هر گیگابایت حساب می‌شود. جزئیات در صفحهٔ پشتیبان‌گیری. برای انتقال از Pi-hole خانگی، خروجی Teleporter را از آن بگیرید و در نصب تازه وارد کنید.

نصب یک‌کلیک Pi-hole فعلاً در صفحهٔ سفارش فعال نیست و راه‌اندازی امروز دستی است. Pi-hole روی سرور ابری فقط با IP ثابت یا تونل WireGuard امن است؛ استفادهٔ مستقیم با IP متغیر به DNS باز منجر می‌شود. اگر یکی از دستگاه‌ها DNS رمزگذاری‌شدهٔ داخلی مرورگر یا سیستم‌عامل را روشن کرده باشد، درخواست‌هایش از Pi-hole عبور نمی‌کند.

از سمت Pi-hole: DNS رمزگذاری‌شده را مستقیم به دستگاه‌ها ارائه نمی‌دهد، تبلیغ‌هایی که از دامنهٔ اصلی سایت می‌آیند را نمی‌بندد و اگر سرور در دسترس نباشد، دستگاه‌هایی که فقط آن را به‌عنوان DNS دارند اینترنتشان مختل می‌شود. برای دفتر، یک DNS دوم پشتیبان در نظر بگیرید. اگر DNS برای دامنه‌های خودتان لازم دارید، مدیریت DNS ایران‌کلاد کار دیگری انجام می‌دهد.