HowTo Yggdrasil - archive:pi-hole

DNS-Over-HTTPS на Pi-hole

anonymous@undisclosed.example.com (Anonymous) — Mon, 15 Dec 2025 09:52:28 +0000

DNS-Over-HTTPS на Pi-hole

DNS-Over-HTTPS - это протокол, позволяющий выпонять DNS-запросы по протоколу HTTPS, т.е., используя DNS-Over-HTTPS, вы защищаете свои DNS-запросы от просмотра и подмены.

Pi-hole можно относительно легко настроить для работы с DNS-Over-HTTPS proxy от Cloudflare. После настройки мы получим блокировщик рекламы, который отправляет все разрешенные DNS-запросы через HTTPS. Таким образом, вы сможете скрыть свои запросы даже от своего интернет-провайдера.

Для работы с DNS-Over-HTTPS proxy от Cloudflare используется разработанная Cloudflare утилита cloudflared, её необходимо будет установить в систему, на которой работает pi-hole.

Примечание: cloudflared можно настроить для работы и с другими DoH-провайдерами, например, с Google's DNS-Over-HTTPS service (https://8.8.8.8/dns-query).

Установка cloudflared

Выбираем подходящий нам установщик со страницы: https://developers.cloudflare.com/argo-tunnel/downloads и скачиваем его:
(можно использовать репозиторий: https://pkg.cloudflare.com/)

wget https://bin.equinox.io/c/VdrWdbjqyF/cloudflared-stable-linux-arm.deb

Устанавливаем:

sudo dpkg -i cloudflared-stable-linux-arm.deb

Либо так:

cloudflared для arm64 (64-bit Raspberry Pi)

wget -O cloudflared https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-arm64
sudo mv cloudflared /usr/local/bin
sudo chmod +x /usr/local/bin/cloudflared
cloudflared -v

cloudflared для armhf (32-bit Raspberry Pi)

wget https://bin.equinox.io/c/VdrWdbjqyF/cloudflared-stable-linux-arm.tgz
tar -xvzf cloudflared-stable-linux-arm.tgz
sudo cp ./cloudflared /usr/local/bin
sudo chmod +x /usr/local/bin/cloudflared
cloudflared -v

Настройка автозапуска cloudflared

Ручная настройка

Создаем пользователя для запуска демона cloudflared

sudo useradd -s /usr/sbin/nologin -r -M cloudflared

Создаем конфигурационный файл:

sudo nano /etc/default/cloudflared

Копируем в конфигурационный файл следующие строки:

# Commandline args for cloudflared, using Cloudflare DNS
CLOUDFLARED_OPTS=--port 5053 --upstream https://1.1.1.1/dns-query --upstream https://1.0.0.1/dns-query

Задаем права для конфигурационного файла:

sudo chown cloudflared:cloudflared /etc/default/cloudflared
sudo chown cloudflared:cloudflared /usr/local/bin/cloudflared

Создаем юнит systemd:

sudo nano /etc/systemd/system/cloudflared.service

Копируем в юнит текст:

[Unit]
Description=cloudflared DNS over HTTPS proxy
After=syslog.target network-online.target

[Service]
Type=simple
User=cloudflared
EnvironmentFile=/etc/default/cloudflared
ExecStart=/usr/local/bin/cloudflared proxy-dns $CLOUDFLARED_OPTS
Restart=on-failure
RestartSec=10
KillMode=process

[Install]
WantedBy=multi-user.target

Запускаем демон и включаем автозагрузку:

sudo systemctl enable cloudflared
sudo systemctl start cloudflared
sudo systemctl status cloudflared

Автоматическая настройка

Внимание: в этом случае устанвка будет произведена c правами root.

Создаем конфигурационный файл для установщика:

sudo mkdir /etc/cloudflared/
sudo nano /etc/cloudflared/config.yml

Копируем в него текст:

proxy-dns: true
proxy-dns-port: 5053
proxy-dns-upstream:
  - https://1.1.1.1/dns-query
  - https://1.0.0.1/dns-query
  #Uncomment following if you want to also want to use IPv6 for  external DOH lookups
  #- https://[2606:4700:4700::1111]/dns-query
  #- https://[2606:4700:4700::1001]/dns-query

Запускаем установку командой:

sudo cloudflared service install --legacy

Запускаем сервис и проверяем его статус:

sudo systemctl start cloudflared
sudo systemctl status cloudflared

Проверить, что все работает можно такой командой:

pi@raspberrypi:~ $ dig @127.0.0.1 -p 5053 google.com

; <<>> DiG 9.11.5-P4-5.1-Raspbian <<>> @127.0.0.1 -p 5053 google.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12157
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; COOKIE: 22179adb227cd67b (echoed)
;; QUESTION SECTION:
;google.com.                    IN      A

;; ANSWER SECTION:
google.com.             191     IN      A       172.217.22.14

;; Query time: 0 msec
;; SERVER: 127.0.0.1#5053(127.0.0.1)
;; WHEN: Wed Dec 04 09:29:50 EET 2019
;; MSG SIZE  rcvd: 77

Настройка Pi-hole

Необходимо указать наш сервис cloudflared в качестве вышестоящего DNS-сервера (Settings - DNS):

На этом настройка завершена. Дополнительную информацию можно получить на странице руководства: https://docs.pi-hole.net/guides/dns/cloudflared/

Ссылки

cloudflared (DoH) (EN): https://docs.pi-hole.net/guides/dns/cloudflared/

DNSCrypt на Pi-hole

anonymous@undisclosed.example.com (Anonymous) — Mon, 15 Dec 2025 09:52:43 +0000

DNSCrypt на Pi-hole

DNSCrypt - это сетевой протокол, реализующий шифрование DNS-запросов между компьютером пользователя и специальными DNS-серверами.

Шифрование DNS запросов позволяет защитить себя от некоторых видов сетевых атак, скрывает от посторонних глаз ваш трафик по протоколу DNS и позволяет обойти блокировки на уровне DNS-запросов.

Для использования DNSCrypt на клиентских машинах (или на локальном DNS-сервере) необходимо установить DNSCrypt-proxy, код которого открыт и размещен на GitHub.

В качестве DNSCrypt-сервера (резолвера) могут использоваться публичные сервера (сразу несколько), либо собственный сервер на базе dnscrypt-server.

Установка DNSCrypt-proxy

Со страницы релизов скачиваем архив для нашей системы:

cd ~ && wget https://github.com/DNSCrypt/dnscrypt-proxy/releases/download/2.0.45/dnscrypt-proxy-linux_arm-2.0.45.tar.gz

Распаковываем и удаляем архив:

tar -xvzf dnscrypt-proxy-linux_arm-2.0.45.tar.gz && rm -f dnscrypt-proxy-linux_arm-2.0.45.tar.gz

Переходим в распакованный каталог, создаем конфигурационный файл, путем копирования файла из поставки:

mv linux-arm dnscrypt-proxy && cd dnscrypt-proxy && cp example-dnscrypt-proxy.toml dnscrypt-proxy.toml

Настройка DNSCrypt-proxy

Редактируем файл:

nano dnscrypt-proxy.toml

Указываем адрес и порт, на котором будет работать сервис:

listen_addresses = ['127.0.0.1:5053']

Параметру cache можно присвоить значение false, для того, чтобы dnscrypt-proxy не использовала собственный кэш, т.к., у нас будет использоваться кэш pi-hole.

cache = true

По-умолчанию, в качестве резолверов будут использоваться публичные сервера, содержащиеся в списках на GitHub.

Адреса этих списков перечислены в разделе [sources] конфигурационного файла.

DNSCrypt-proxy будет автоматически выбирать из них самые быстрые сервера.

Для того, чтобы использовать только ограниченный набор серверов из этих списков, необходимо раскомментировать строку:

# server_names = ['scaleway-fr', 'google', 'yandex', 'cloudflare']

Здесь через запятую перечисляются имена серверов, которые будут использоваться DNSCrypt-proxy (имена, описание и адреса можно посмотреть в конкретном списке (public-resolvers.md)).

Например, для использования только серверов AdGuard можно оставить такую строку:

server_names = ['adguard-dns']

Для использования какого-то одного DNS-резолвера (например, своего собственного или какого-то платного), укажите его имя иадрес в секции [static].

Пример:

[static]
 
[static.'myserver']
stamp = 'sdns://AQcAAAAAAAAAAAAQMi5kbnNjcnlwdC1jZXJ0Lg'

Не забудьте в этом случае указать имя вашего сервера в параметре server_names:

server_names = ['myserver']

Для анонимизации ваших обращений к DNS-резолверам и усложнения идентификации исходного места отправления DNS-запроса можно использовать секцию routes.

В этой секции сопоставляются сервера, которые вы планируете использовать с путями их достижения, т.е., с промежуточными серверами, через которые будут идти ваши запросы.

Пример:

routes = [
    { server_name='example-server-1', via=['anon-example-1', 'anon-example-2'] },
    { server_name='example-server-2', via=['sdns://gRIxMzcuNzQuMjIzLjIzNDo0NDM'] }
]

В этом примере для разрешения имен будут использоваться два сервера: example-server-1 и example-server-2. Запросы к первому серверу будут идти через сервера anon-example-1 и anon-example-2, ко второму серверу - через сервер с адресом sdns://gRIxMzcuNzQuMjIzLjIzNDo0NDM.

Кроме того, можно отключить запросы к несовместимым серверам с помощью параметра: skip_incompatible = false

Более подробную информацию о списках можно получить со страницы: https://github.com/DNSCrypt/dnscrypt-resolvers

Остальные параметры конфигурационного файла можно оставить без изменений.

Проверяем корректность конфигурационного файла:

./dnscrypt-proxy -check

Установка сервиса DNSCrypt-proxy

Установка производится исполнением распакованного бинарного файла с параметром -service install:

sudo ./dnscrypt-proxy -service install

Запуск сервиса:

sudo ./dnscrypt-proxy -service start

Проверяем, что всё работает:

sudo systemctl status dnscrypt-proxy

./dnscrypt-proxy -resolve www.aol.com

Настройка Pi-hole

Необходимо указать сервис адрес и порт установленного DNSCrypt-proxy в соответствующем поле настроек для вышестоящего DNS-сервера (Settings - DNS):

На этом всё.

Информацию по быстрой настройке собственного DNSCrypt-сервера можно найти на этой странице (EN):
https://github.com/DNSCrypt/dnscrypt-proxy/wiki/How-to-setup-your-own-DNSCrypt-server-in-less-than-10-minutes

Ссылки

Страница проекта на GitHub: https://github.com/DNSCrypt/
Сравнение DNS over TLS и DNSCrypt (EN): https://tenta.com/blog/post/2017/12/dns-over-tls-vs-dnscrypt

Добавление доменов в чёрный список Pi-hole из правил ...

anonymous@undisclosed.example.com (Anonymous) — Mon, 15 Dec 2025 09:53:02 +0000

Добавление доменов в чёрный список Pi-hole из правил Adblock Plus

Поделюсь удобным скриптом, который скачивает ruadlist+easylist.txt от Adblock Plus и добавляет домены из него в черный список Pi-hole. Скрипт можно поместить в crontab и выполнять ежедневно (новые домены добавляются в правила довольно часто).

В правилах Adblock Plus содержатся не только домены, но и специальные регулярные выражения, которые Pi-hole просто не поймет. Для отсеивания таких выражений применяется скрипт на perl, найденный когда-то в reddit-сообществе pi-hole:

selectDomainNamesFromAdlist.pl

#!/usr/bin/perl -w
 
 use strict;
 
 my %hosts = (); 
 while ( <> ) { 
     if ( $_ =~ m/^\|\|([a-z][a-z0-9-_.]+\.([a-z]{2,3}))\^\s*$/ ) { 
         $hosts{$1} = 1;
     }   
 }
 
 foreach my $host ( sort keys %hosts ) { 
     print( "$host\n" );
 }

Этот perl-скрипт должен лежать в одной директории со скриптом ниже.

Скрип создания списка блокировки и размещения его на web-сервере Pi-hole:

#!/bin/sh
 
#get AdList
LST="$(curl --silent --insecure -4 https://easylist-downloads.adblockplus.org/ruadlist+easylist.txt)"
 
#get domains from AdList
echo "$LST" | "$(dirname $0)/selectDomainNamesFromAdlist.pl" | grep -v '^$' | sort -u > '/var/www/html/pihole/ruadlist_easylist.txt'
 
#в настройках Pi-hole список можно будет добавить так: http://pi.hole/pihole/ruadlist_easylist.txt
#(проверьте предварительно, что он доступен через web)

Заключение

У Adblock Plus много разных наборов правил для разных языков, со всеми можно ознакомиться здесь: https://adblockplus.org/ru/subscriptions

Кроме того, без всякой предварительной обработки в настройки Pi-hole можно добавить список блокировки от AdGuard: https://pgl.yoyo.org/adservers/serverlist.php?hostformat=hosts;showintro=0&useip=0.0.0.0

Pi-hole

anonymous@undisclosed.example.com (Anonymous) — Mon, 15 Dec 2025 09:49:55 +0000

Pi-hole

Pi-hole - это ПО, предназначенное для блокирования нежелательного контента интернет без использования клиентских компонентов на конечных устройствах.

Статьи внутри раздела

Ссылки

Сайт проекта: https://pi-hole.net/
Wiki (EN): https://en.wikipedia.org/wiki/Pi-hole