{"id":428,"date":"2026-08-30T19:30:00","date_gmt":"2026-08-30T17:30:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/?p=428"},"modified":"2026-10-24T01:12:11","modified_gmt":"2026-10-23T23:12:11","slug":"blokowanie-reklam-i-bezpieczenstwo-na-poziomie-dns-pi-hole-i-adguard-home","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/raspberry-pi-pl\/blokowanie-reklam-i-bezpieczenstwo-na-poziomie-dns-pi-hole-i-adguard-home\/","title":{"rendered":"Blokowanie reklam i bezpiecze\u0144stwo na poziomie DNS: Pi-hole i AdGuard Home w sieci UniFi"},"content":{"rendered":"

Pi-hole i AdGuard Home filtruj\u0105 zapytania DNS: odpytywanie nazw domen mo\u017cna zablokowa\u0107 przed nawi\u0105zaniem po\u0142\u0105czenia. Pozwala to ograniczy\u0107 reklamy i \u015bledzenie korzystaj\u0105ce z oddzielnych domen na wielu urz\u0105dzeniach. Filtr nie analizuje tre\u015bci stron i nie usuwa wybi\u00f3rczo reklam z tej samej domeny co potrzebna zawarto\u015b\u0107. Bezpo\u015brednie po\u0142\u0105czenia z adresami IP, inne resolwery i tunele mog\u0105 omin\u0105\u0107 filtrowanie DNS.<\/p>\n

\"Regu\u0142a
Filtrowanie DNS kontroluje zapytania o domeny na skonfigurowanej \u015bcie\u017cce. Szyfrowany upstream nie gwarantuje korzystania z tej \u015bcie\u017cki przez wszystkie urz\u0105dzenia.<\/figcaption><\/figure>\n

Jednoznaczna \u015bcie\u017cka DNS mi\u0119dzy VLAN-ami<\/h2>\n

Oddzielny VLAN serwerowy jest mo\u017cliwym miejscem dla resolwera, a nie warunkiem segmentacji. Sta\u0142y adres lub rezerwacja DHCP zapewniaj\u0105 przewidywalny dost\u0119p do us\u0142ugi. Ka\u017cda obj\u0119ta filtrowaniem sie\u0107 mo\u017ce przekazywa\u0107 adres resolwera przez DHCP. IPv6 r\u00f3wnie\u017c wymaga sp\u00f3jnych ustawie\u0144 DNS za pomoc\u0105 mechanizm\u00f3w obs\u0142ugiwanych przez urz\u0105dzenia i bram\u0119; samo ustawienie IPv4 nie obejmuje IPv6.<\/p>\n

Regu\u0142y zapory powinny umo\u017cliwia\u0107 sieciom klienckim dost\u0119p wy\u0142\u0105cznie do zatwierdzonych adres\u00f3w resolwer\u00f3w na portach UDP i TCP 53. Celem jest strefa serwera, nie automatycznie strefa Gateway. Starsze regu\u0142y UniFi u\u017cywaj\u0105 nazw takich jak LAN IN; obecne regu\u0142y strefowe rozr\u00f3\u017cniaj\u0105 stref\u0119 \u017ar\u00f3d\u0142ow\u0105 i docelow\u0105. Panel administracyjny resolwera powinien pozosta\u0107 dost\u0119pny tylko dla uprawnionych urz\u0105dze\u0144 zarz\u0105dzaj\u0105cych.<\/p>\n

Sam resolwer musi r\u00f3wnie\u017c przyjmowa\u0107 zapytania z routowanych sieci. Domy\u015blny tryb lokalny Pi-hole mo\u017ce odrzuca\u0107 inne VLAN-y mimo poprawnej regu\u0142y zapory. Odpowiedni tryb nas\u0142uchiwania i ograniczenia zapory wymagaj\u0105 wsp\u00f3lnej konfiguracji. Udost\u0119pnianie us\u0142ugi DNS w internecie nie jest potrzebne w tym uk\u0142adzie.<\/p>\n

Szyfrowane przekazywanie zapyta\u0144<\/h2>\n

Upstream to serwer, do kt\u00f3rego lokalny filtr przekazuje zapytania bez gotowej odpowiedzi. AdGuard Home bezpo\u015brednio obs\u0142uguje szyfrowane serwery nadrz\u0119dne. Pi-hole mo\u017ce korzysta\u0107 z odpowiedniej lokalnej us\u0142ugi przekazuj\u0105cej; starsze instrukcje z cloudflared proxy-dns<\/code> nie s\u0105 ju\u017c aktualn\u0105 metod\u0105 instalacji.<\/p>\n

DoT wykorzystuje TLS, zwykle na porcie TCP 853. DoH przesy\u0142a zapytania przez HTTPS, najcz\u0119\u015bciej na porcie 443. Oba rozwi\u0105zania chroni\u0105 skonfigurowane po\u0142\u0105czenie, a nie ka\u017cdy odcinek rozwi\u0105zywania nazwy. Wybrany dostawca nadal otrzymuje zapytania. Szyfrowanie nie jest walidacj\u0105 DNSSEC, kt\u00f3ra sprawdza podpisane dane DNS. DoH bywa trudniejszy do odr\u00f3\u017cnienia od innego ruchu HTTPS, ale nie jest niewidoczny ani niemo\u017cliwy do zablokowania. Niskie op\u00f3\u017anienie nie jest gwarantowane.<\/p>\n

Granice wymuszania ustawie\u0144<\/h2>\n

DHCP przekazuje ustawienia DNS, lecz nie zmusza aplikacji do korzystania z tych ustawie\u0144. Polityka mo\u017ce zezwala\u0107 na zatwierdzone resolwery i blokowa\u0107 pozosta\u0142y nieszyfrowany ruch DNS klient\u00f3w. Blokada mo\u017ce spowodowa\u0107 b\u0142\u0105d aplikacji zamiast prze\u0142\u0105czenia na dozwolony serwer. Po\u0142\u0105czenia resolwer\u00f3w z serwerami nadrz\u0119dnymi wymagaj\u0105 oddzielnego zezwolenia.<\/p>\n

Destination NAT mo\u017ce przekierowa\u0107 pasuj\u0105cy nieszyfrowany ruch DNS, o ile wersja bramy i topologia obs\u0142uguj\u0105 potrzebn\u0105 regu\u0142\u0119. Wyj\u0105tki dla wszystkich dozwolonych resolwer\u00f3w, droga powrotna oraz zachowanie IPv4 i IPv6 wymagaj\u0105 osobnej kontroli. Przekierowanie portu 53 nie obejmuje DoH, DoT, VPN ani po\u0142\u0105cze\u0144 pozostaj\u0105cych w podsieci bez przechodzenia przez bram\u0119.<\/p>\n

Listy znanych szyfrowanych serwer\u00f3w DNS zapewniaj\u0105 cz\u0119\u015bciowe pokrycie i wymagaj\u0105 aktualizacji. Blokowanie wsp\u00f3\u0142dzielonych adres\u00f3w CDN mo\u017ce zak\u0142\u00f3ci\u0107 inne us\u0142ugi. Zarz\u0105dzane polityki przegl\u0105darek lub ograniczony dost\u0119p do internetu w wydzielonej sieci urz\u0105dze\u0144 mog\u0105 by\u0107 bardziej przewidywalne, lecz musz\u0105 odpowiada\u0107 potrzebom aplikacji. W\u0142asny Content Filter UniFi tak\u017ce przekierowuje DNS; po\u0142\u0105czenie obu filtr\u00f3w wymaga przemy\u015blanej konfiguracji i sprawdzenia nazw lokalnych.<\/p>\n

Weryfikacja i utrzymanie<\/h2>\n

Testy z ka\u017cdego VLAN-u powinny obejmowa\u0107 dozwolon\u0105 domen\u0119, celowo zablokowan\u0105 domen\u0119 testow\u0105, nazwy wewn\u0119trzne, DNS przez TCP i UDP oraz skonfigurowan\u0105 \u015bcie\u017ck\u0119 IPv6. Dziennik zapyta\u0144 pokazuje, kt\u00f3ry resolwer faktycznie obs\u0142u\u017cy\u0142 \u017c\u0105danie. Odpowiedzi w pami\u0119ci podr\u0119cznej i istniej\u0105ce po\u0142\u0105czenia mog\u0105 dzia\u0142a\u0107 jeszcze przez pewien czas po zmianie regu\u0142y. Sam wysoki odsetek blokad nie dowodzi ani skutecznej ochrony prywatno\u015bci, ani usterki aplikacji.<\/p>\n

\n

Pytania i odpowiedzi<\/h2>\n

Co nast\u0105pi po awarii resolwera?<\/h3>\n

Nowe zapytania mog\u0105 zawodzi\u0107, podczas gdy zapisane odpowiedzi i istniej\u0105ce po\u0142\u0105czenia nadal dzia\u0142aj\u0105. Drugi filtrowany resolwer poprawia dost\u0119pno\u015b\u0107 tylko wtedy, gdy urz\u0105dzenia i zapora rzeczywi\u015bcie umo\u017cliwiaj\u0105 dost\u0119p do tej instancji. Publiczny drugi resolwer mo\u017ce omija\u0107 polityk\u0119; wyb\u00f3r klienta nie musi oznacza\u0107 \u015bcis\u0142ego prze\u0142\u0105czania z serwera g\u0142\u00f3wnego na zapasowy.<\/p>\n

Czy domena canary Firefoksa wymusza filtrowanie?<\/h3>\n

Negatywna odpowied\u017a dla use-application-dns.net<\/code> sygnalizuje Firefoksowi wy\u0142\u0105czenie automatycznie aktywowanego DoH w udokumentowanych warunkach. Nie zmienia to \u015bwiadomego w\u0142\u0105czenia DoH przez u\u017cytkownika i nie wymusza filtrowania w ca\u0142ej sieci.<\/p>\n

Jak post\u0119powa\u0107 z b\u0142\u0119dnymi blokadami?<\/h3>\n

Powtarzalny b\u0142\u0105d, dziennik zapyta\u0144 danego urz\u0105dzenia i w\u0105ski tymczasowy wyj\u0105tek pomagaj\u0105 ustali\u0107 w\u0142a\u015bciw\u0105 domen\u0119. Po te\u015bcie wyj\u0105tek wymaga przegl\u0105du. Dzienniki DNS ujawniaj\u0105 informacje o odwiedzanych us\u0142ugach, dlatego dost\u0119p i czas przechowywania powinny odpowiada\u0107 potrzebom utrzymania sieci.<\/p>\n<\/div>\n

\n

\u0179r\u00f3d\u0142a<\/h2>\n