Cómo limpiar el tráfico a nivel DNS sin listas de filtros infladas

Si alguna vez has configurado un Pi-hole casero o AdGuard Home, probablemente has pasado por una fase de gigantomanía. Yo mismo la experimenté: encuentras un par de docenas de listas de bloqueo diferentes, las lanzas al resolutor y disfrutas del contador mostrando tres millones de dominios bloqueados.

La alegría generalmente dura hasta la primera noche. Primero, alguien en casa pierde la autenticación en su aplicación bancaria, luego las vistas previas de los mensajeros dejan de cargarse, y la mitad de los servicios necesarios requieren desactivar el bloqueador de anuncios. Terminas pasando horas revisando registros de solicitudes y cazando falsos positivos.

El repositorio 1Hosts del desarrollador badmojr resuelve este problema con un enfoque completamente opuesto. El proyecto existe desde diciembre de 2017 y se centra en la compacidad de las listas sin sacrificar la calidad del filtrado.

¿Cuál es la idea del proyecto

Muchas listas de bloqueo populares sufren de duplicación y entradas desactualizadas. Tienen dominios que han estado cerrados hace mucho tiempo o cambiaron de propietarios durante años. El resolutor sigue desperdiciando RAM almacenándolos y buscando en el árbol de reglas.

El autor de 1Hosts curador las reglas para que la lista ocupe el mínimo espacio pero intercepte anuncios, rastreadores y recursos de phishing. En lugar de cientos de archivos dispersos, ofrece solo dos versiones básicas, pero en docenas de formatos listos para usar según el software específico.

Dos versiones para diferentes escenarios

El proyecto se divide en dos ramas, y confundirlas es difícil:

1. Lite — una versión equilibrada basada en el principio de "configúralo y olvídalo". Está orientada al uso diario en casa o en la oficina. Hay un riesgo mínimo de romper sitios web normales, aplicaciones o dispositivos inteligentes. Los falsos positivos se mantienen al mínimo.

2. Xtra (actualmente en Beta) — una opción dura para entusiastas de la privacidad y quienes quieren un bloqueo agresivo. La lista corta agresivamente la telemetría, nuevos dominios sospechosos y recursos controvertidos. Prepárate para que algunos sitios legítimos se rompan, y necesitarás agregarlos manualmente a la lista blanca o enviar un informe al repositorio.

Un truco interesante que sugiere el autor: usa la versión Lite directamente en un dispositivo local a través del archivo hosts del sistema, y coloca el filtrado más agresivo más arriba en la cadena en el servidor DNS. De esta manera, la basura básica se filtra localmente y no satura los registros de tu resolutor DNS, mientras que los errores en casos extremos son inmediatamente visibles en el registro de red.

Formatos para cualquier software y stack

El dolor de cabeza principal al configurar filtros de red es la incompatibilidad de sintaxis. AdGuard usa un conjunto de reglas, Unbound requiere su propia configuración, y dnsmasq necesita un formato separado.

En 1Hosts, las listas se generan automáticamente para las soluciones más populares:

• Archivo hosts estándar (funciona en Windows, Linux, Android a través de AdAway)
• Listas de dominios para Pi-hole y OpenSnitch
• Formato de reglas para uBlock Origin y AdGuard Home
• Configuraciones para demonios DNS locales: dnsmasq, Unbound, Knot, Bind9, PowerDNS
• Reglas para firewalls como Little Snitch

Así es como se ve conectar la versión Lite en una configuración de dnsmasq:

# Скачиваем готовый конфиг правил
curl -o /etc/dnsmasq.d/1hosts-lite.conf https://badmojr.github.io/1Hosts/Lite/dnsmasq.conf

# Перезапускаем службу
systemctl restart dnsmasq

Si ejecutas Unbound en casa, simplemente extrae el archivo de configuración generado usando la directiva include:

# В секции server файла unbound.conf
include: "/etc/unbound/1hosts-lite.conf"

DNS públicos listos para usar sin desplegar tu propio servidor

No todos quieren configurar su propio servidor solo para bloquear rastreadores en su teléfono mientras viajan. El autor de 1Hosts anticipó esto y preparó integraciones con servicios DNS seguros públicos que soportan DNS-over-HTTPS (DoH) y DNS-over-TLS (DoT).

Por ejemplo, en ControlD la lista se actualiza cada 30 minutos con soporte de reglas comodín. Simplemente puedes ingresar la dirección en la configuración de DNS privado en Android:

DoT: x-1hosts-lite.freedns.controld.com
DoH: https://freedns.controld.com/x-1hosts-lite

Perfiles similares están configurados para NextDNS, AdGuard DNS y RethinkDNS. Para dispositivos móviles, esto suele ser más que suficiente sin instalar aplicaciones de terceros.

Soporte y comunidad

El repositorio ha acumulado más de 2.1k estrellas y continúa siendo actualizado regularmente. Hay bastante issues abiertos, alrededor de novecientos, pero casi todos son informes de falsos positivos. El mantenedor elimina rápidamente los dominios de las listas si interfieren con servicios populares.

El repositorio en sí se distribuye bajo la licencia gratuita MPL 2.0 (Mozilla Public License). Esto te permite usar libremente estas listas como base para tus propios builds o políticas de filtrado corporativas.

A quién le conviene probarlo

Si estás cansado de mantener manualmente una combinación monstruosa de diez listas de bloqueo diferentes, prueba restablecer tu configuración e instalar solo la versión Lite de 1Hosts. Para el 95% de las tareas diarias de red doméstica, es más que suficiente: los banners desaparecen, el análisis se bloquea y las páginas de tiendas en línea y bancos siguen abriendo sin sorpresas.

La versión Xtra solo vale la pena probarla para quienes están conscientemente listos para lidiar con solicitudes caídas y disfrutan ajustando finamente las reglas de red a sus necesidades.