Pi-hole ma jimblokkax ir-reklami wara li l-VPN jgħaqqad: ħames kontrolli

Reklami għadhom jidhru fuq klijent, Pi-hole jirrapporta li huwa b'saħħtu, u t-tunnel huwa attiv, għalhekk l-istint huwa li jgħaddi t-traffiku ta' dak il-klijent mill-Pi. Dik hija l-kurva ħażina. Il-filtrazzjoni teħtieġ il-mistoqsijiet, mhux il-pakketti, u klijent li l-mistoqsijiet tiegħu jmorru għand is-soluzzjonatur tal-fornitur jibqa' mhux filtrat kull fejn tgħaddi t-traffiku tiegħu. Għaddi minn din il-lista fl-ordni u waqaf fl-ewwel pass li jonqos, għax pass aktar tard ma jista' jgħidlek xejn waqt li pass preċedenti jkun miksur.

1. Aqra s-soluzzjonatur li l-klijent fil-fatt qed juża

Staqsi lill-klijent, mhux lir-router. Fuq Linux resolvectl status jistampa s-servers DNS skont il-link u liema link jirbaħ; /etc/resolv.conf waħdu normalment huwa stub li jindika lejn 127.0.0.53. Fuq Windows ipconfig /all jelenka s-servers fornuti mid-DHCP skont l-adapter, u fuq macOS scutil --dns juri l-istess ħaġa skont l-ambitu. Jekk it-tweġiba mhijiex l-indirizz ta' Pi-hole, għandek problema ta' assenjazzjoni u l-pass 2 huwa fejn tinsab.

Żewġ affarijiet jegħlbu lis-soluzzjonatur tas-sistema anke meta jkun issettjat sewwa. Il-browsers bid-DNS sigur tagħhom (l-għażla “Use secure DNS” ta' Chrome, network.trr.mode ta' Firefox) jibagħtu mistoqsijiet permezz ta' HTTPS lil soluzzjonatur pubbliku u qatt ma jiftħu l-port 53. U klijent VPN fuq il-klijent innifsu jista' jinstalla server DNS fuq l-interface tat-tunnel tiegħu b'dominju ta' routing ~., li jagħmel dak il-link awtorevoli għal kull isem.

Ittestja l-mogħdija li jieħdu l-applikazzjonijiet, mhux il-mogħdija li tieħu għodda tad-debugging. resolvectl query example.com juri liema link wieġeb, u getent hosts example.com jgħaddi mill-istess mogħdija NSS li tgħaddi applikazzjoni; fuq macOS dscacheutil -q host -a name example.com jaqra s-soluzzjonaturi skont l-ambitu li jelenka scutil --dns. dig vojt ma jagħmilx dan: jaqra /etc/resolv.conf u jaqbeż l-għażla skont il-link, għalhekk jista' jwieġeb minn Pi-hole waqt li kull applikazzjoni tuża s-soluzzjonatur imbuttat, u dan huwa eżattament il-falliment li għalih teżisti din il-lista. Żomm dig @192.168.1.53 biex ittestja server wieħed speċifiku.

2. Ikkonferma min iqassam it-tweġiba

L-assenjazzjoni tiġi minn kull ma jwieġeb għad-DHCP. Fuq dnsmasq hija linja waħda, dhcp-option=6,192.168.1.53; fl-interface web ta' router hija l-qasam DNS fit-taqsima DHCP tal-LAN. Il-klijenti jridu jġeddu qabel jarawha. Apparat li ilu mixgħul għal jiem għadu jżomm il-kirja l-qadima, u apparat b'soluzzjonatur miktub bl-idejn iżommha għal dejjem. Ġedded fuq klijent tat-test minflok tassumi l-propagazzjoni.

IPv6 huwa n-nofs li jintesa. L-avviżi tar-router jistgħu jġorru s-server DNS tagħhom (RDNSS), u fuq OpenWrt din hija l-għażla ra_dns ta' odhcpd; klijent li jippreferi IPv6 juża dak is-server waqt li l-għażla DHCPv4 li għadek kemm issettjajt tibqa' mhux użata. Jekk m'intix lest li taqdi DNS permezz ta' IPv6, ħassar biss l-avviż DNS: ra_dns f'odhcpd, jew l-għażla RDNSS f'kull ma jwieġeb l-avviżi tar-router. Itfi l-avviż kollu jneħħi wkoll l-indirizzar IPv6 mil-LAN, li huwa bidla ferm akbar minn dik li kellek f'moħħok, filwaqt li tħassir tal-għażla DNS biss iżomm l-indirizzar intatt u jagħmel l-RDNSS nieqes viżibbli fi qabda tal-pakketti.

3. Ipprova li l-mistoqsija tasal għand Pi-hole

Mistoqsija mill-Pi ma tipprova xejn dwar il-mogħdija tan-netwerk. Mexxiha mill-klijent u aqra l-kodi tat-tweġiba:

dig @192.168.1.53 example.com
dig @192.168.1.53 doubleclick.net

Timeout jindika l-filtrazzjoni jew rotta; REFUSED jindika regola ta' aċċess; SERVFAIL jindika s-soluzzjonatur 'il fuq wara Pi-hole; tweġiba korretta li qatt ma tidher fil-log tal-mistoqsijiet tfisser li l-klijent staqsa xi ħaġa oħra. Iċċekkja UDP u TCP 53, għax tweġibiet kbar u xi soluzzjonaturi jaqgħu lura għal TCP, u ppubblika t-tnejn meta Pi-hole jaħdem f'kontejner. Mappa li tkopri biss UDP tipproduċi fallimenti intermittenti li jidhru bħal telf ta' pakketti.

Imbagħad il-mod ta' smigħ ta' Pi-hole jiddeċiedi jekk iwieġeb xejn. Fil-mod lokali biss dnsmasq jinjora l-mistoqsijiet minn sorsi li mhumiex fuq subnetwork imqabbad direttament, u eżatt hekk jidher klijent wara router ieħor jew li jiġi permezz ta' tunnel: il-klijent jiskadi u l-mistoqsija qatt ma tasal għal-log. Mistoqsija li xorta tidher bħala REFUSED ġiet miċħuda minn lista ta' aċċess jew regola tal-firewall. Li tippermetti l-origini kollha hija l-fejqan tas-soltu, flimkien ma' regola tal-firewall li tillimita l-port 53 għas-subnetworks tiegħek stess.

4. Iċċekkja jekk it-tunnel issostitwixxiex jew belgħet it-tweġiba

Dan huwa l-każ li fih jinħbew iż-żewġ sintomi. Meta r-router innifsu huwa klijent VPN, għażla DNS imbuttata tista' tegħleb is-setting tal-LAN fil-mument li t-tunnel jogħla: is-servers OpenVPN jimbottaw dhcp-option DNS, u l-profili WireGuard iġorru d-dħul DNS tagħhom. Aqra s-soluzzjonatur effettiv tar-router bit-tunnel attiv, mhux qabel, u injora dak li tiddikjara l-paġna tal-LAN.

Il-ħsara l-oħra hija l-aċċessibbiltà, mhux is-sostituzzjoni. Jekk il-prefissi permessi tat-tunnel jinkludu s-subnetwork tal-LAN tiegħek, ir-router għandu rotta li tibgħat il-mistoqsijiet għal 192.168.1.53 fit-tunnel, u n-naħa l-oħra m'għandhiex rotta lura: il-mistoqsijiet jiskadu għalkemm it-tunnel huwa b'saħħtu. Il-kuntrarju jiġri meta Pi-hole jkun fuq subnetwork li t-tunnel ma jġorrx. Qabbel l-indirizz mal-prefissi permessi tat-tunnel u mat-tabella tar-rotot tar-router qabel ma terġa' tmiss id-DNS.

Aħtar fejqan wieħed, mhux it-tnejn. Jew żomm it-tunnel 'il bogħod mid-DNS — b'pull-filter ignore “dhcp-option DNS” fuq OpenVPN u mingħajr prefiss tal-LAN f'AllowedIPs fuq WireGuard —, jew aċċetta s-soluzzjonatur imbuttat u ċedi l-filtrazzjoni lokali għall-klijenti wara dak ir-router. Tkun xi tkun l-għażla tiegħek, iktebha ħdejn il-profil, għax il-persuna li jmiss li teditaha xort'oħra se tibdel id-deċiżjoni b'inqas.

5. Erġa' agħmel it-test wara konnessjoni mill-ġdid

Agħmel mistoqsija minn klijent, ikkonferma li dak il-klijent jidher fil-log ta' Pi-hole, imbagħad issolvi dominju li għandu jiġi mblukkat u ċċekkja li qed tieħu t-tweġiba tal-imblukkar minflok dik reali. Erġa' qabbad it-tunnel u mexxi l-istess żewġ mistoqsijiet, għax setting tas-soluzzjonatur li jdum biss sal-konnessjoni li jmiss huwa r-riżultat tas-soltu ta' fejqan applikat fil-livell ħażin.

Ħalli mogħdija sekondarja tas-soluzzjonatur li ma tiddependix mit-tunnel, sabiex waqfa ta' Pi-hole tiddigrada għal browsing mhux filtrat minflok xejn browsing. Żomm il-valuri preċedenti tad-DHCP u tas-soluzzjonatur sakemm it-test jgħaddi darbtejn; bidla li tkisser l-internet tad-dar waqt il-pranzu hija ferm aktar diffiċli biex tiddibuggja minn waħda li tista' tirreverti f'minuta.