Nid yw Pi-hole yn blocio hysbysebion ar ôl i'r VPN gysylltu: pum gwiriad

Mae hysbysebion yn dal i ymddangos ar gleient, mae Pi-hole yn dweud ei fod yn iach, ac mae'r twnnel i fyny, felly'r reddf yw llwybro traffig y cleient hwnnw drwy'r Pi. Tro cyfeiliornus yw hynny. Mae hidlo angen y cwestiynau, nid y pecynnau, ac mae cleient y mae ei ymholiadau'n mynd i ddatrysiwr y darparwr yn aros heb ei hidlo ni waeth ble mae ei draffig yn llifo. Ewch drwy'r rhestr hon yn eu trefn a stopiwch ar y cam cyntaf sy'n methu, oherwydd ni all cam diweddarach ddweud dim wrthych tra bo un cynharach yn doredig.

1. Darllenwch y datrysiwr y mae'r cleient yn ei ddefnyddio mewn gwirionedd

Gofynnwch i'r cleient, nid i'r llwybrydd. Ar Linux mae resolvectl status yn argraffu'r gweinyddion DNS fesul cyswllt a pha gyswllt sy'n ennill; mae /etc/resolv.conf ar ei ben ei hun fel arfer yn stub sy'n pwyntio at 127.0.0.53. Ar Windows mae ipconfig /all yn rhestru'r gweinyddion a roddwyd gan DHCP fesul addasydd, ac ar macOS mae scutil --dns yn dangos yr un peth fesul cwmpas. Os nad yw'r ateb yn gyfeiriad Pi-hole, mae gennych broblem neilltuo a cham 2 yw'r lle mae'n byw.

Mae dau beth yn trechu datrysiwr y system hyd yn oed pan gaiff ei osod yn gywir. Mae porwyr â'u DNS diogel eu hunain (yr opsiwn “Use secure DNS” yn Chrome, network.trr.mode yn Firefox) yn anfon ymholiadau dros HTTPS i ddatrysiwr cyhoeddus ac yn byth yn agor porth 53. Ac fe all cleient VPN ar y cleient ei hun osod gweinydd DNS ar ei ryngwyneb twnnel â pharth llwybro ~., sy'n gwneud y cyswllt hwnnw'n awdurdodol ar gyfer pob enw.

Profwch y llwybr y mae cymwysiadau'n ei gymryd, nid y llwybr y mae teclyn dadfygio'n ei gymryd. Mae resolvectl query example.com yn dangos pa gyswllt a atebodd, ac mae getent hosts example.com yn mynd drwy'r un llwybr NSS ag y mae cymhwysiad yn mynd; ar macOS mae dscacheutil -q host -a name example.com yn darllen y datryswyr cwmpas y mae scutil --dns yn eu rhestru. Nid yw dig noeth yn gwneud hyn: mae'n darllen /etc/resolv.conf ac yn hepgor y dewis fesul cyswllt, felly gall ateb o Pi-hole tra bo pob cymhwysiad yn defnyddio'r datrysiwr gwthiedig, a dyna'r union fethiant y mae'r rhestr hon yn bodoli i'w ddal. Cadwch dig @192.168.1.53 ar gyfer profi un gweinydd penodol.

2. Cadarnhewch pwy sy'n dosbarthu'r ateb

Daw'r neilltuo o beth bynnag sy'n ateb DHCP. Ar dnsmasq mae hynny'n un llinell, dhcp-option=6,192.168.1.53; mewn panel gwe llwybrydd, y maes DNS yn adran DHCP y LAN yw hwnnw. Rhaid i gleientiaid adnewyddu cyn ei weld. Mae dyfais sydd wedi bod i fyny ers dyddiau'n dal yr hen brydles, ac mae dyfais â datrysiwr wedi'i deipio â llaw yn ei dal am byth. Adnewyddwch ar gleient prawf yn lle tybio ymlediad.

IPv6 yw'r hanner sy'n cael ei fethu. Gall hysbysebion llwybrydd gario eu gweinydd DNS eu hunain (RDNSS), ac ar OpenWrt y opsiwn ra_dns yn odhcpd yw hwnnw; mae cleient sy'n ffafrio IPv6 yn defnyddio'r gweinydd hwnnw tra bo'r opsiwn DHCPv4 a osodwyd gennych newydd yn aros heb ei ddefnyddio. Os nad ydych yn barod i weini DNS dros IPv6, cliriwch yr hysbyseb DNS yn unig: ra_dns yn odhcpd, neu'r opsiwn RDNSS ym mha beth bynnag sy'n ateb hysbysebion llwybrydd. Mae diffodd yr hysbyseb gyfan hefyd yn tynnu cyfeirio IPv6 o'r LAN, sy'n newid llawer mwy na'r un yr oeddech yn bwriadu ei wneud, tra bo clirio'r opsiwn DNS yn unig yn cadw'r cyfeirio'n gyfan ac yn gwneud yr RDNSS coll yn weladwy mewn cipiad pecynnau.

3. Profwch fod yr ymholiad yn cyrraedd Pi-hole

Nid yw ymholiad o'r Pi yn profi dim am lwybr y rhwydwaith. Rhedwch ef o'r cleient a darllenwch y cod ymateb:

dig @192.168.1.53 example.com
dig @192.168.1.53 doubleclick.net

Mae cyfnodau yn awgrymu hidlo neu lwybr; mae REFUSED yn awgrymu rheol mynediad; mae SERVFAIL yn awgrymu'r datrysiwr uwch y tu ôl i Pi-hole; mae ateb cywir nad yw byth yn ymddangos yng nghofnod yr ymholiadau'n golygu bod y cleient wedi gofyn rhywbeth arall. Gwiriwch UDP a TCP 53, oherwydd mae atebion mawr a rhai datryswyr yn disgyn yn ôl i TCP, a chyhoeddwch y ddau pan fo Pi-hole yn rhedeg mewn cynhwysydd. Mae mapio sy'n cwmpasu UDP yn unig yn cynhyrchu methiannau ysbeidiol sy'n edrych fel colli pecynnau.

Yna mae modd gwrando Pi-hole yn penderfynu a yw'n ateb o gwbl. Mewn modd lleol yn unig mae dnsmasq yn anwybyddu ymholiadau o ffynonellau nad ydynt ar isrwydwaith sydd wedi'i chysylltu'n uniongyrchol, sef yn union sut y mae cleient y tu ôl i lwybrydd arall neu un sy'n dod drwy dwnnel yn edrych: mae'r cleient yn rhewi allan ac nid yw'r ymholiad byth yn cyrraedd y cofnod. Mae ymholiad sy'n ymddangos fel REFUSED wedi'i wrthod gan restr mynediad neu reol mur tân. Caniatáu pob tarddiad yw'r atgyweiriad arferol, ynghyd â rheol mur tân sy'n cyfyngu porth 53 i'ch isrwydweithiau eich hun.

4. Gwiriwch a yw'r twnnel wedi disodli neu lyncu'r ateb

Dyma'r achos y mae'r ddau symptom yn cuddio ynddo. Pan fo'r llwybrydd ei hun yn gleient VPN, gall opsiwn DNS gwthiedig ddiystyru gosodiad y LAN yr eiliad y bydd y twnnel yn codi: mae gweinyddion OpenVPN yn gwthio dhcp-option DNS, ac mae proffiliau WireGuard yn cario eu cofnod DNS eu hunain. Darllenwch ddatrysiwr effeithiol y llwybrydd gyda'r twnnel i fyny, nid o'i flaen, ac anwybyddwch beth y mae tudalen y LAN yn ei honni.

Y nam arall yw cyrhaeddedd, nid disodli. Os yw rhagddodiaid a ganiateir y twnnel yn cynnwys eich isrwydwaith LAN, mae gan y llwybrydd lwybr sy'n anfon ymholiadau am 192.168.1.53 i'r twnnel, ac nid oes gan yr ochr bell lwybr yn ôl: mae ymholiadau'n rhewi allan er bod y twnnel yn iach. Mae'r gwrthwyneb yn digwydd pan fo Pi-hole yn eistedd ar isrwydwaith nad yw'r twnnel yn ei gario. Cymharwch y cyfeiriad â rhagddodiaid a ganiateir y twnnel a thabl llwybrau'r llwybrydd cyn i chi gyffwrdd â DNS eto.

Dewiswch un atgyweiriad yn hytrach na'r ddau. Naill ai cadwch y twnnel oddi wrth DNS — gyda pull-filter ignore “dhcp-option DNS” ar OpenVPN a dim rhagddodiad LAN yn AllowedIPs ar WireGuard — neu derbyniwch y datrysiwr gwthiedig a rhoi'r gorau i hidlo lleol ar gyfer cleientiaid y tu ôl i'r llwybrydd hwnnw. Beth bynnag a ddewiswch, ysgrifennwch ef wrth ymyl y proffil, oherwydd bydd y person nesaf sy'n ei olygu fel arall yn gwrthdroi'r penderfyniad ar ddamwain.

5. Ailadroddwch y prawf ar ôl ailgysylltu

Ymholwch o gleient, cadarnhewch fod y cleient hwnnw'n ymddangos yng nghofnod Pi-hole, yna datryswch barth a ddylai gael ei flocio a gwiriwch eich bod yn cael yr ateb blocio yn lle'r un go iawn. Ailgysylltwch y twnnel a rhedeg yr un ddau ymholiad, oherwydd gosodiad datrysiwr sy'n para hyd at yr ailgysylltiad nesaf yn unig yw canlyniad arferol atgyweiriad a gymhwyswyd ar y haen anghywir.

Gadewch lwybr datrysiwr eilaidd nad yw'n dibynnu ar y twnnel, fel bod methiant Pi-hole yn dirywio i bori heb ei hidlo yn lle dim pori o gwbl. Cadwch y gwerthoedd DHCP a datrysiwr blaenorol nes i'r prawf basio ddwywaith; mae newid sy'n torri rhyngrwyd y cartref adeg swper yn llawer anoddach i'w ddadfygio na'r un y gallwch ei wrthdroi mewn munud.