{"id":427,"date":"2026-08-30T14:50:00","date_gmt":"2026-08-30T12:50:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/?p=427"},"modified":"2026-08-19T10:14:01","modified_gmt":"2026-08-19T08:14:01","slug":"dns-level-ad-blocking-security-pi-hole-adguard-home-unifi-de","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/raspberry-pi-de\/dns-level-ad-blocking-security-pi-hole-adguard-home-unifi-de\/","title":{"rendered":"DNS-Level Ad-Blocking & Sicherheit: Pi-hole und AdGuard Home im UniFi-Netzwerk"},"content":{"rendered":"\r\n
Die Filterung von Datenverkehr auf Ebene des Domain Name Systems (DNS) stellt eine \u00e4u\u00dferst wirksame Methode dar, um Werbung, Tracking-Skripte und unerw\u00fcnschte Telemetriedaten netzwerkweit zu blockieren. Die Integration eines eigenst\u00e4ndigen DNS-Resolvers wie Pi-hole oder AdGuard Home in eine UniFi-Netzwerkarchitektur erm\u00f6glicht eine zentrale Inspektion der Namensaufl\u00f6sung, ohne dass Client-Software oder Browser-Erweiterungen auf den Endger\u00e4ten installiert werden m\u00fcssen.<\/p>\r\n\r\n\r\n\r\n
1. Multi-VLAN-DNS-Architektur im UniFi-Umfeld<\/h2>\r\n\r\n\r\n\r\n
Eine saubere Netzwerksegmentierung verlangt, den DNS-Resolver in ein gesch\u00fctztes Management- oder Server-VLAN zu setzen (z. B. 10.0.10.0\/24<\/code>). Damit Endger\u00e4te in isolierten Subnetzen \u2013 wie IoT-, G\u00e4ste- und Hauptnetzwerken \u2013 den lokalen Resolver nutzen, muss die interne IP-Adresse in den DHCP-Einstellungen des jeweiligen VLANs explizit als prim\u00e4rer DNS-Server konfiguriert werden.<\/p>\r\n\r\n\r\n\r\n
\r\n
DHCP-DNS-Zuweisung:<\/strong> Im UniFi Network Controller sollte der Eintrag f\u00fcr den DHCP-Name-Server in jedem VLAN ausschlie\u00dflich auf die IP des lokalen Resolvers verweisen anstatt auf das Standard-Gateway oder externe Anbieter.<\/li>\r\n
Inter-VLAN-Firewall-Regeln:<\/strong> Eine dedizierte “LAN IN”-Firewall-Regel muss Verbindungen auf TCP\/UDP-Port 53 aus den Client-VLANs zum DNS-Server im Server-Subnetz gestatten, w\u00e4hrend sonstiger Inter-VLAN-Zugriff gesperrt bleibt.<\/li>\r\n<\/ul>\r\n\r\n\r\n\r\n\n\nDen DNS-Server per DHCP zu setzen ist eine Bitte, keine Pflicht. Erst die NAT-Regel am Gateway macht eine daraus \u2014 sie schreibt jede Anfrage auf Port 53 zur\u00fcck auf den Filter.<\/figcaption>\n<\/figure>\n\n
2. Verschl\u00fcsselung der Upstream-Anfragen: DoH und DoT<\/h2>\r\n\r\n\r\n\r\n
Klassischer DNS-Datenverkehr erfolgt unverschl\u00fcsselt \u00fcber UDP-Port 53 und kann von Internetanbietern (ISPs) oder Dritten mitgelesen oder manipuliert werden. F\u00fcr eine gesch\u00fctzte Namensaufl\u00f6sung muss der lokale Resolver so konfiguriert werden, dass ausgehende Anfragen \u00fcber verschl\u00fcsselte Protokolle an externe Upstream-Server weitergeleitet werden:<\/p>\r\n\r\n\r\n\r\n
\r\n
DNS-over-TLS (DoT):<\/strong> Verschl\u00fcsselt Anfragen \u00fcber den dedizierten TCP-Port 853 und bietet eine geringe Latenz sowie eine kryptografische Validierung autoritativer Upstream-Resolver (z. B. Cloudflare, Quad9).<\/li>\r\n
DNS-over-HTTPS (DoH):<\/strong> Kapselt DNS-Abfragen im standardm\u00e4\u00dfigen HTTPS-Datenverkehr auf Port 443, wodurch die Namensaufl\u00f6sung nicht vom normalen Webverkehr zu unterscheiden ist und Port-Sperren umgangen werden.<\/li>\r\n<\/ul>\r\n\r\n\r\n\r\n
3. Unterbindung von DNS-Bypasses am Gateway<\/h2>\r\n\r\n\r\n\r\n
Zahlreiche IoT-Ger\u00e4te, Streaming-Hardware und Smart-TVs ignorieren die per DHCP zugewiesenen DNS-Server und setzen stattdessen fest einprogrammierte Adressen (wie 8.8.8.8<\/code> oder 1.1.1.1<\/code>) ein. Um die Filterung kompromisslos durchzusetzen, muss das UniFi-Gateway jeglichen ausgehenden DNS-Verkehr abfangen:<\/p>\r\n\r\n\r\n\r\n
Konfiguration der NAT- und Firewall-Umleitung<\/h3>\r\n\r\n\r\n\r\n
\r\n
Abfangen von Port 53:<\/strong> Eine NAT-\/Firewall-Regel auf dem Router muss alle Pakete aus den Client-Subnetzen an TCP\/UDP-Port 53 abfangen, die nicht an die interne IP-Adresse des lokalen Resolvers gerichtet sind.<\/li>\r\n
Transparente Umleitung oder Sperrung:<\/strong> Die abgefangenen Pakete k\u00f6nnen entweder transparent an die interne Pi-hole-\/AdGuard-Home-Instanz umgeleitet oder verworfen werden, was Applikationen zum R\u00fcckfall auf den zugewiesenen Server zwingt.<\/li>\r\n
Sperrung externer DoH-\/DoT-Server:<\/strong> Um das Umgehen von Filtern durch verschl\u00fcsselte externe Verbindungen zu unterbinden, sollten die \u00f6ffentlichen IP-Adressen bekannter externer DoH-Server in der Firewall ausgehend gesperrt werden \u2013 allerdings nur f\u00fcr die Client-Subnetze, damit die verschl\u00fcsselten Upstream-Verbindungen des lokalen Resolvers selbst weiterhin zugelassen bleiben.<\/li>\r\n<\/ul>\r\n\r\n\r\n\r\n
4. Mehrschichtige Blockierung von Telemetrie und Tracking<\/h2>\r\n\r\n\r\n\r\n
Die Kombination zentraler Blocklisten mit effizientem DNS-Caching reduziert unn\u00f6tigen Datenverkehr im Hintergrund drastisch. Durch das Blockieren von Telemetrieanfragen von Betriebssystemen, Haushaltsger\u00e4ten und mobilen Apps auf DNS-Ebene wird Bandbreite eingespart, die Ladezeit von Webseiten verk\u00fcrzt und ein hohes Datenschutzniveau im gesamten Netzwerk etabliert.<\/p>\r\n\n\n
![\"Multi-VLAN-DNS](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/hand-pihole-de.png\")
\n