So bereinigen Sie Traffic auf DNS-Ebene ohne aufgeblähte Filterlisten

Wenn Sie jemals einen eigenen Pi-hole oder AdGuard Home eingerichtet haben, sind Sie wahrscheinlich auch durch eine Phase der Gigantomanie gegangen. Ich habe es selbst erlebt: Sie finden ein paar Dutzend verschiedene Blocklisten, werfen sie in den Resolver und genießen den Zähler, der drei Millionen blockierte Domains anzeigt.

Die Freude hält meist nur bis zum ersten Abend. Zuerst verliert jemand im Haushalt die Authentifizierung in seiner Banking-App, dann laden Messenger-Vorschauen nicht mehr, und die Hälfte der notwendigen Dienste erfordert das Deaktivieren des Werbeblockers. Am Ende verbringen Sie Stunden damit, Anfrage-Logs zu durchsuchen und Fehlerpositive zu jagen.

Das 1Hosts-Repository von Entwickler badmojr löst dieses Problem mit einem völlig gegensätzlichen Ansatz. Das Projekt existiert seit Dezember 2017 und konzentriert sich auf Kompaktheit der Listen, ohne die Filterqualität zu opfern.

Was ist die Idee des Projekts

Viele beliebte Blocklisten leiden unter Duplikaten und veralteten Einträgen. Sie haben Domains, die längst geschlossen wurden oder den Besitzer gewechselt haben, die aber jahrelang herumhängen. Der Resolver verschwendet immer noch RAM, um sie zu speichern und den Regelbaum zu durchsuchen.

Der 1Hosts-Autor kuratiert Regeln, sodass die Liste minimalen Platz einnimmt, aber Werbung, Tracker und Phishing-Ressourcen abfängt. Anstatt Hunderter verstreuter Dateien bietet es nur zwei Basisversionen an, aber in Dutzenden von fertigen Formaten für spezifische Software.

Zwei Versionen für verschiedene Szenarien

Das Projekt ist in zwei Zweige aufgeteilt, und sie zu verwechseln ist schwierig:

1. Lite — eine ausgewogene Version basierend auf dem „einmal einstellen und vergessen"-Prinzip. Sie ist für den täglichen Gebrauch zu Hause oder im Büro gedacht. Es besteht ein minimales Risiko, normale Websites, Apps oder Smart-Geräte zu beschädigen. Fehlerpositive werden auf ein Minimum beschränkt.

2. Xtra (derzeit in Beta) — eine kompromisslose Option für Datenschutz-Enthusiasten und diejenigen, die aggressives Blockieren wollen. Die Liste schneidet aggressiv Telemetrie, neue verdächtige Domains und kontroverse Ressourcen ab. Seien Sie darauf vorbereitet, dass einige legitime Seiten nicht funktionieren, und Sie müssen sie manuell zur Whitelist hinzufügen oder einen Bericht an das Repository senden.

Ein interessanter Trick, den der Autor vorschlägt: Verwenden Sie die Lite-Version direkt auf einem lokalen Gerät über die System-Hosts-Datei, und setzen Sie das aggressivere Filtern weiter oben in der Kette auf dem DNS-Server ein. Auf diese Weise wird grundlegender Müll lokal gefiltert und überladen nicht Ihre DNS-Resolver-Logs, während Fehler in Randfällen sofort im Netzwerk-Journal sichtbar sind.

Formate für jede Software und jeden Stack

Das Hauptproblem bei der Konfiguration von Netzwerkfiltern ist die Syntaxinkompatibilität. AdGuard verwendet einen Regelsatz, Unbound erfordert seine eigene Konfiguration, und dnsmasq benötigt ein separates Format.

In 1Hosts werden Listen automatisch für die beliebtesten Lösungen generiert:

• Standard-Hosts-Datei (funktioniert für Windows, Linux, Android über AdAway)
• Domain-Listen für Pi-hole und OpenSnitch
• Regelformat für uBlock Origin und AdGuard Home
• Konfigurationen für lokale DNS-Daemons: dnsmasq, Unbound, Knot, Bind9, PowerDNS
• Regeln für Firewalls wie Little Snitch

So sieht das Anschließen der Lite-Version in einer dnsmasq-Konfiguration aus:

# Скачиваем готовый конфиг правил
curl -o /etc/dnsmasq.d/1hosts-lite.conf https://badmojr.github.io/1Hosts/Lite/dnsmasq.conf

# Перезапускаем службу
systemctl restart dnsmasq

Wenn Sie Unbound zu Hause betreiben, ziehen Sie einfach die generierte Konfigurationsdatei mit der Include-Direktive:

# В секции server файла unbound.conf
include: "/etc/unbound/1hosts-lite.conf"

Fertige öffentliche DNS-Server ohne eigenen Server aufzusetzen

Nicht jeder möchte einen eigenen Server aufsetzen, nur um Tracker auf dem Telefon beim Reisen zu blockieren. Der 1Hosts-Autor hat dies antizipiert und Integrationen mit öffentlichen sicheren DNS-Diensten vorbereitet, die DNS-over-HTTPS (DoH) und DNS-over-TLS (DoT) unterstützen.

In ControlD aktualisiert sich die Liste beispielsweise alle 30 Minuten mit Unterstützung für Wildcard-Regeln. Sie können die Adresse einfach in den privaten DNS-Einstellungen auf Android eingeben:

DoT: x-1hosts-lite.freedns.controld.com
DoH: https://freedns.controld.com/x-1hosts-lite

Ähnliche Profile sind für NextDNS, AdGuard DNS und RethinkDNS konfiguriert. Für mobile Geräte ist dies oft mehr als ausreichend, ohne Apps von Drittanbietern zu installieren.

Support und Community

Das Repository hat über 2,1k Sterne gesammelt und wird weiterhin regelmäßig aktualisiert. Es gibt ziemlich viele offene Issues, etwa neunhundert, aber fast alle sind Fehlerpositive-Berichte. Der Maintainer entfernt Domains aus den Listen umgehend, wenn sie beliebte Dienste beeinträchtigen.

Das Repository selbst wird unter der freien MPL 2.0-Lizenz (Mozilla Public License) vertrieben. Dies erlaubt Ihnen, diese Listen frei als Grundlage für Ihre eigenen Builds oder Unternehmens-Filterrichtlinien zu verwenden.

Für wen lohnt es sich

Wenn Sie es leid sind, manuell ein monsterhaftes Kombinat aus zehn verschiedenen Blocklisten zu pflegen, versuchen Sie, Ihre Einstellungen zurückzusetzen und nur die 1Hosts Lite-Version zu installieren. Für 95% der alltäglichen Heimnetzwerk-Aufgaben ist es mehr als ausreichend: Banner verschwinden, Analytik wird blockiert, und Online-Shop- und Banking-Seiten öffnen sich weiterhin ohne Überraschungen.

Die Xtra-Version lohnt sich nur für diejenigen, die bewusst bereit sind, sich mit verworfenen Anfragen auseinanderzusetzen und Freude am Feintuning von Netzwerkregeln nach ihren Bedürfnissen haben.