{"id":428,"date":"2026-08-30T19:30:00","date_gmt":"2026-08-30T17:30:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/?p=428"},"modified":"2026-08-13T14:27:47","modified_gmt":"2026-08-13T12:27:47","slug":"dns-level-ad-blocking-security-pi-hole-adguard-home-unifi-pl","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/raspberry-pi-pl\/dns-level-ad-blocking-security-pi-hole-adguard-home-unifi-pl\/","title":{"rendered":"Blokowanie reklam i bezpiecze\u0144stwo na poziomie DNS: Pi-hole i AdGuard Home w sieci UniFi"},"content":{"rendered":"\r\n
Filtrowanie ruchu sieciowego na poziomie systemu nazw domen (DNS) stanowi niezwykle skuteczn\u0105 metod\u0119 eliminacji reklam, skrypt\u00f3w \u015bledz\u0105cych oraz niepo\u017c\u0105danej telemetrii we wszystkich pod\u0142\u0105czonych urz\u0105dzeniach. Wdro\u017cenie lokalnego resolvera DNS, takiego jak Pi-hole lub AdGuard Home, w architekturze sieciowej UniFi umo\u017cliwia scentralizowan\u0105 kontrol\u0119 zapyta\u0144 bez konieczno\u015bci instalowania dodatkowego oprogramowania czy rozszerze\u0144 w przegl\u0105darkach klient\u00f3w.<\/p>\r\n\r\n\r\n\r\n
1. Architektura DNS w \u015brodowisku wielo-VLANowym UniFi<\/h2>\r\n\r\n\r\n\r\n
Prawid\u0142owa segmentacja sieci wymaga umieszczenia serwera DNS w zabezpieczonym podsieci zarz\u0105dzania lub serwer\u00f3w (np. 10.0.10.0\/24<\/code>). Aby obs\u0142u\u017cy\u0107 urz\u0105dzenia zlokalizowane w odizolowanych sieciach VLAN \u2013 takich jak sie\u0107 IoT, go\u015bcinna czy g\u0142\u00f3wna sie\u0107 LAN \u2013 parametry serwera DHCP dla ka\u017cdego VLAN-u musz\u0105 wskazywa\u0107 wewn\u0119trzny adres IP resolvera jako podstawowy serwer DNS.<\/p>\r\n\r\n\r\n\r\n
\r\n
Konfiguracja DHCP Name Server:<\/strong> W kontrolerze UniFi Network ustawienia serwera DNS dla poszczeg\u00f3lnych sieci VLAN powinny jednoznacznie wskazywa\u0107 na adres IP lokalnego resolvera, zamiast domy\u015blnego adresu bramki lub publicznych dostawc\u00f3w DNS.<\/li>\r\n
Regu\u0142y zapory sieciowej (LAN IN):<\/strong> Dedykowana regu\u0142a firewall na interfejsie “LAN IN” musi zezwala\u0107 na ruch TCP\/UDP na porcie 53 pochodz\u0105cy z sieci klient\u00f3w do serwera DNS w podsieci serwerowej, przy jednoczesnym blokowaniu pozosta\u0142ej nieautoryzowanej komunikacji mi\u0119dzy VLAN-ami.<\/li>\r\n<\/ul>\r\n\r\n\r\n\r\n\n\nUstawienie serwera DNS przez DHCP to pro\u015bba, nie obowi\u0105zek. Dopiero regu\u0142a NAT na bramie czyni z niej obowi\u0105zek \u2014 przepisuje ka\u017cde zapytanie na porcie 53 z powrotem na filtr.<\/figcaption>\n<\/figure>\n\n
2. Szyfrowanie zapyta\u0144 wychodz\u0105cych: DoH i DoT<\/h2>\r\n\r\n\r\n\r\n
Tradycyjne zapytania DNS s\u0105 przesy\u0142ane otwartym tekstem na porcie UDP 53, co nara\u017ca ruch na pods\u0142uchiwanie i manipulacj\u0119 ze strony dostawc\u00f3w Internetu (ISP) lub os\u00f3b trzecich. Zabezpieczenie procesu rozwi\u0105zywania nazw wymaga skonfigurowania lokalnego serwera do przekazywania zapyta\u0144 nadrz\u0119dnych za pomoc\u0105 szyfrowanych protoko\u0142\u00f3w:<\/p>\r\n\r\n\r\n\r\n
\r\n
DNS-over-TLS (DoT):<\/strong> Szyfruje zapytania z wykorzystaniem dedykowanego portu TCP 853, zapewniaj\u0105c minimalne op\u00f3\u017anienia oraz weryfikacj\u0119 kryptograficzn\u0105 publicznych rekurencyjnych serwer\u00f3w nadrz\u0119dnych (np. Cloudflare, Quad9).<\/li>\r\n
DNS-over-HTTPS (DoH):<\/strong> Kapsu\u0142kuje ruch DNS wewn\u0105trz standardowego po\u0142\u0105czenia HTTPS na porcie 443, co sprawia, \u017ce zapytania staj\u0105 si\u0119 niemo\u017cliwe do odr\u00f3\u017cnienia od zwyk\u0142ego ruchu przegl\u0105darkowego i s\u0105 odporne na blokady port\u00f3w.<\/li>\r\n<\/ul>\r\n\r\n\r\n\r\n
3. Blokowanie obej\u015b\u0107 DNS na poziomie routera<\/h2>\r\n\r\n\r\n\r\n
Wiele urz\u0105dze\u0144 IoT, odtwarzaczy multimedialnych oraz telewizor\u00f3w Smart TV ignoruje ustawienia DNS przydzielane przez serwer DHCP, wymuszaj\u0105c po\u0142\u0105czenia z wpisanymi na sta\u0142e adresami (np. 8.8.8.8<\/code> lub 1.1.1.1<\/code>). Aby zagwarantowa\u0107 pe\u0142n\u0105 skuteczno\u015b\u0107 filtrowania, brama UniFi musi przechwytywa\u0107 i przekierowywa\u0107 ca\u0142y wychodz\u0105cy ruch DNS:<\/p>\r\n\r\n\r\n\r\n
Konfiguracja przekierowa\u0144 NAT i regu\u0142 zapory<\/h3>\r\n\r\n\r\n\r\n
\r\n
Przechwytywanie portu 53:<\/strong> Regu\u0142a przekierowania NAT na routerze UniFi powinna przechwytywa\u0107 wszystkie pakiety z podsieci klienckich skierowane na port TCP\/UDP 53, kt\u00f3re nie s\u0105 adresowane do wewn\u0119trznej instancji lokalnego resolvera.<\/li>\r\n
Przekierowanie lub blokada (Drop):<\/strong> Przechwycone pakiety mog\u0105 by\u0107 transparentnie przekierowywane na adres Pi-hole\/AdGuard Home lub odrzucane, co zmusza aplikacje klienckie do powrotu do autoryzowanego serwera DNS.<\/li>\r\n
Blokowanie publicznych serwer\u00f3w DoH\/DoT:<\/strong> W celu zapobiegania omijaniu filtr\u00f3w przez szyfrowane po\u0142\u0105czenia bezpo\u015brednie, adresy IP znanych zewn\u0119trznych serwer\u00f3w DoH powinny zosta\u0107 zablokowane na wyj\u015bciu z sieci (WAN OUT) \u2013 wy\u0142\u0105cznie dla podsieci klienckich, tak aby szyfrowane po\u0142\u0105czenia nadrz\u0119dne samego lokalnego resolvera pozosta\u0142y dozwolone.<\/li>\r\n<\/ul>\r\n\r\n\r\n\r\n
4. Wielowarstwowa eliminacja telemetrii i skrypt\u00f3w \u015bledz\u0105cych<\/h2>\r\n\r\n\r\n\r\n
Po\u0142\u0105czenie scentralizowanych list blokowania z wydajnym zarz\u0105dzaniem pami\u0119ci\u0105 podr\u0119czn\u0105 DNS znacz\u0105co ogranicza zb\u0119dny ruch sieciowy w tle. Wycinanie zapyta\u0144 telemetrycznych generowanych przez systemy operacyjne, sprz\u0119t AGD oraz aplikacje mobilne oszcz\u0119dza przepustowo\u015b\u0107 \u0142\u0105cza, przyspiesza wczytywanie witryn i zapewnia wysoki poziom prywatno\u015bci w ca\u0142ej infrastrukturze.<\/p>\r\n\n\n
![\"DNS](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/hand-pihole-pl.png\")
\n