🧒🏾 🦋 👩🏿‍🎤 हम होम नेटवर्क को DoH में ट्रांसलेट करते हैं, या फ़िल्टरिंग नाक पर एक और क्लिक करते हैं 📐 🎫 😞

नेटवर्क पर उत्पादन में डीएनएस-एचटीटीपीएस (डीओएच) के लिए समर्थन के लॉन्च के मोज़िला द्वारा अपेक्षाकृत हालिया घोषणा के बाद, विवाद जारी हैं कि क्या यह बुराई है या अच्छा है। मेरी राय में, "बुराई" की स्थिति मुख्य रूप से इस तथ्य पर आधारित है कि एक ही समय में आपके DNS प्रश्नों में हेरफेर करना, यहां तक कि आपके लिए उपयोगी उद्देश्यों के लिए भी, मुश्किल होगा, इसलिए अब मैं "अच्छे" की स्थिति में रहता हूं।

रूसी संघ में, टेलीकॉम ऑपरेटरों, हमारे कानून द्वारा बहुत सख्त शर्तों में रखा गया है, रूसी संघ में रोसकोमनाडॉर द्वारा निषिद्ध सामग्री तक पहुंच को अवरुद्ध करने के लिए परिष्कृत मल्टी-लेवल सिस्टम बनाने के लिए मजबूर किया जाता है, जिनमें से एक पर डीएनएस अवरोधन सफलतापूर्वक या कम सफलतापूर्वक काम कर रहा है। DoH के उपयोग से आप इस स्तर पर पहुँच सकते हैं, जो वीपीएन के उपयोग के साथ मिलकर आपके जीवन को थोड़ा आसान बना सकते हैं। कृपया ध्यान दें कि अपने आप में एक समाधान आपको अवरुद्ध होने से नहीं बचा सकता है, क्योंकि रूस में शायद ही कोई प्रदाता है जो केवल DNS के माध्यम से फ़िल्टर करने पर निर्भर करता है। आपको अवरुद्ध करने के लिए कुछ अन्य विकल्प की आवश्यकता है, उदाहरण के लिए, एक वीपीएन, जो मेरे पिछले लेखों में वर्णित हैं।

यह विरोधाभास है, लेकिन वर्तमान पैनोप्टीकॉन में, दूरसंचार ऑपरेटर आपको अपने ताले (इसके लिए विशेष उपकरण का उपयोग करके) को बायपास करने की धमकी नहीं देता है, इसलिए यदि आप उसे इस तरह से नुकसान पहुंचाने से डरते हैं, तो ये भय व्यर्थ हैं।

लेकिन DNS अवरोधन को बायपास करने के लिए एक विशेष ब्राउज़र पर स्विच करना हमारा तरीका नहीं है। हमारा तरीका यह है कि अपने घरेलू नेटवर्क के सभी उपकरणों को DoH में शीघ्रता से, कुशलतापूर्वक और अनावश्यक श्रम के बिना स्थानांतरित किया जाए।

त्याग

चूंकि यह रूसी संघ के क्षेत्र में निषिद्ध सूचना तक पहुंच को दरकिनार करने के तरीकों को प्रकाशित करने के लिए बहुत वैध नहीं है, इसलिए इस लेख का उद्देश्य एक ऐसी विधि के बारे में बात करना होगा जो आपको रूसी संघ के क्षेत्र में अनुमति प्राप्त संसाधनों तक पहुंच को स्वचालित करने की अनुमति देता है, लेकिन किसी के कार्यों के कारण जो सीधे पहुंच योग्य नहीं हैं। अपने प्रदाता के माध्यम से। और लेख से कार्यों के परिणामस्वरूप प्राप्त अन्य संसाधनों तक पहुंच एक दुर्भाग्यपूर्ण दुष्प्रभाव है और लेख का लक्ष्य किसी भी तरह से नहीं है।

टीएल, डॉ

हम दुनिया के लिए प्रश्नों के लिए क्लाउडफेयर DoH का उपयोग करके अपने स्वयं के पाई-होल-आधारित डीएनएस सर्वर को तैनात कर रहे हैं। लक्ष्य इस तरह से DNS अवरोधन के माध्यम से फ़िल्टर करने वाले सभी DNS प्रश्नों और बायपास ऑपरेटर को एन्क्रिप्ट करना है। एक उपयोगी बोनस विज्ञापनों को फ़िल्टर कर रहा है।

कोई जादू नहीं जानता कि कैसे खुलता है, उन लोगों के लिए एक सरल कदम-दर-चरण निर्देश जो खुद को सभी जटिलताओं को समझना नहीं चाहते हैं।

इसके लिए आपको क्या चाहिए

क्लाउडफ्लेयर पर भरोसा करें। यह वास्तव में एक बहुत ही महत्वपूर्ण बिंदु है, क्योंकि वर्णित कार्यान्वयन में आपके सभी DNS प्रश्न क्लाउडफ़ेयर सेवा द्वारा संसाधित किए जाते हैं। यदि आप उस पर भरोसा नहीं करते हैं, तो आपको एक और समाधान लागू करना होगा (और यह वर्णित एक से थोड़ा अधिक जटिल है, लेकिन इस लेख का लक्ष्य नहीं है)।
अपने होम नेटवर्क पर लगातार चलने वाले लिनक्स सर्वर का समर्थन करने में सक्षम होने के लिए जो आपके उपकरणों के डीएनएस प्रश्नों को हैंडल करेगा। पाई-होल की आवश्यकता 512M रैम से है (हालांकि, मैंने थोड़ी मात्रा में काम की जांच नहीं की थी)। यदि आपका राउटर या एनएएस वर्चुअल मशीन के लिए सक्षम है - यह एक उत्कृष्ट विकल्प है, यदि एआरएम पर एक रास्पबेरी पाई या एक अन्य माइक्रो कंप्यूटर शेल्फ पर कहीं झूठ बोल रहा है - कोई कम अच्छा नहीं है, अगर ईएसएक्सआई पर आभासी खेत गलियारे में मेजेनाइन पर गुलजार है - मैं आपको क्या बता रहा हूं, आप और आप स्वयं सब कुछ जानते हैं। यदि आपके पास इस में से कोई भी नहीं है, तो सबसे युवा समाधान, जैसे कि ऑरेंज पी ज़ीरो, सैकड़ों रूबल की इकाइयों के लिए द्वितीयक बाजार में पाया जा सकता है या अली से प्लस या माइनस के लिए समान धन लाया जा सकता है। लेकिन मंच का चुनाव इस लेख के दायरे से बहुत दूर है, इसलिए हम मानते हैं कि आपके पास कुछ है। हालांकि, इस विषय पर प्रश्न टिप्पणियों में पूछे जा सकते हैं।
आपको लिनक्स और नेटवर्किंग से परिचित होना चाहिए। या कम से कम ऐसा विचार लाना चाहते हैं। चूँकि मैं इस बार की अमरता को अपनाने के लिए तैयार नहीं हूँ, इसलिए आपको अपने लिए कुछ अतुलनीय क्षणों का अध्ययन करना होगा। हालांकि, निश्चित रूप से, मैं टिप्पणियों में विशिष्ट प्रश्नों का उत्तर दूंगा और उत्तर देने के लिए केवल एक होने की संभावना नहीं है, इसलिए पूछने में संकोच न करें।

स्रोत डेटा

होम नेटवर्क पर हमारे सर्वर का IPv4 पता 192.168.1.10 है और इसे स्थैतिक के रूप में सौंपा गया है।

लिनक्स पर सेटिंग्स रूट से की जाती हैं (यानी, कॉन्फ़िगरेशन शुरू करने से पहले, हम sudo su - कमांड चलाते हैं)।

संक्षेप में - समाधान का तर्क

पाई-होल को स्थापित और कॉन्फ़िगर करें
क्लाउडफ़्लर्ड को स्थापित और कॉन्फ़िगर करें
अपने होम राउटर को कॉन्फ़िगर करें
हम समस्याओं का समाधान करते हैं

वास्तव में निर्णय

1. पाई-होल को स्थापित और कॉन्फ़िगर करें

पाई-होल एक प्रसिद्ध घर का मंच है जिसे मुख्य रूप से अद्यतन सूची से डोमेन अनुरोधों को अवरुद्ध करके विज्ञापन का सामना करने के लिए डिज़ाइन किया गया है। ऐसा नहीं है कि यह समाधान का एक आवश्यक घटक था, लेकिन अगर आपने होम डीएनएस इकट्ठा करना शुरू कर दिया, तो इसे रोकना मुश्किल हो जाता है। लेकिन गंभीरता से - पाई-होल सही नहीं हो सकता है, लेकिन यह एक ऐसे व्यक्ति से बड़ी मात्रा में सिरदर्द को दूर करता है जिसे "काम" करने की आवश्यकता होती है।

पहले से चल रहे लिनक्स सर्वर पर पाई-होल स्थापित करने के लिए, हमें केवल एक कमांड चलाने की आवश्यकता है:

curl -sSL https://install.pi-hole.net | bash

और फिर रनिंग स्क्रिप्ट आपको इंस्टॉलेशन चरणों के माध्यम से मार्गदर्शन करेगी।

फिलहाल जब वह आपसे अपस्ट्रीम DNS प्रदाता की पसंद के बारे में पूछता है, तो आप कोई भी चुन सकते हैं, क्योंकि अगले चरण में हम अभी भी इसे बदल देंगे। अन्य सभी पैरामीटर सुरक्षित रूप से डिफ़ॉल्ट रूप से छोड़ा जा सकता है।

स्थापना के अंत में, स्क्रिप्ट आपको वेब इंटरफ़ेस से एक बेतरतीब ढंग से उत्पन्न पासवर्ड दिखाएगी, जिसे लिखना आपके लिए उपयोगी होगा।

यदि स्थापना के दौरान कुछ गलत हो गया है, तो आप यहां वर्णित वैकल्पिक तरीकों का उपयोग कर सकते हैं ।

2. क्लाउडफ़ेयर को स्थापित और कॉन्फ़िगर करें

HTTPS से अधिक DNS पर स्विच करने के लिए, हम Cloudflare से एक मानक समाधान का उपयोग करते हैं। क्लाउडफ़ेयर डेमॉन मूल रूप से सब्सक्राइबर की ओर से आर्गो सुरंग को उठाने के लिए बनाया गया था, जिससे आप अपने वेब सर्वर को क्लाउडफेयर सीडीएन में प्रकाशित कर सकते हैं, भले ही वह एनएटी के पीछे एक निजी आईपी पते पर होस्ट किया गया हो। लेकिन इस डेमॉन की एक बहुत ही उपयोगी संपत्ति इसका काम दोह-छद्म के रूप में है, और हम यहां इस संपत्ति का उपयोग करते हैं।

यहां, स्थापना के लिए, हमें थोड़ा और प्रयास करने की आवश्यकता है, लेकिन यह भी विशेष रूप से जटिल नहीं है।

हम अपने प्लेटफॉर्म के लिए इंस्टॉलर का चयन और डाउनलोड करते हैं।

 # For amd64 Debian/Ubuntu cd /tmp wget https://bin.equinox.io/c/VdrWdbjqyF/cloudflared-stable-linux-amd64.deb apt-get install ./cloudflared-stable-linux-amd64.deb cloudflared -v # For amd64 CentOS/RHEL/Fedora cd /tmp wget https://bin.equinox.io/c/VdrWdbjqyF/cloudflared-stable-linux-amd64.rpm yum install ./cloudflared-stable-linux-amd64.rpm cloudflared -v # For ARM cd /tmp wget https://bin.equinox.io/c/VdrWdbjqyF/cloudflared-stable-linux-arm.tgz tar -xvzf cloudflared-stable-linux-arm.tgz cp ./cloudflared /usr/local/bin chmod +x /usr/local/bin/cloudflared cloudflared -v

अंतिम कमांड निष्पादित करने के बाद, हमें निम्न के समान आउटपुट प्राप्त करना चाहिए:

 cloudflared version 2019.9.0 (built 2019-09-06-0333 UTC)

यदि आपके पास एक है (निश्चित रूप से, संस्करण और बिल्ड संख्या भिन्न हो सकती है), तो बधाई, स्थापना सफल रही। अब यह कॉन्फ़िगर करना आपके ऊपर है।

सेवा के लिए एक उपयोगकर्ता बनाएँ:

 useradd -s /usr/sbin/nologin -r -M cloudflared

सेवा कॉन्फ़िगरेशन फ़ाइल बनाएँ / etc / default / cloudflared:

 # Commandline args for cloudflared CLOUDFLARED_OPTS=--port 5053 --upstream https://1.1.1.1/dns-query --upstream https://1.0.0.1/dns-query

और हम इसे बनाए गए नए उपयोगकर्ता को और निष्पादन योग्य फ़ाइल को अधिकार देते हैं:

 chown cloudflared:cloudflared /etc/default/cloudflared chown cloudflared:cloudflared /usr/local/bin/cloudflared

अगला, फ़ाइल /lib/systemd/system/cloudflared.service बनाएं, जो हमें सेवा को सिस्टमड में एकीकृत करने का अवसर प्रदान करेगी:

 [Unit] Description=cloudflared DNS over HTTPS proxy After=syslog.target network-online.target [Service] Type=simple User=cloudflared EnvironmentFile=/etc/default/cloudflared ExecStart=/usr/local/bin/cloudflared proxy-dns $CLOUDFLARED_OPTS Restart=on-failure RestartSec=10 KillMode=process [Install] WantedBy=multi-user.target

हम सेवा को सक्रिय करते हैं और इसे चलाते हैं:

 systemctl enable cloudflared systemctl start cloudflared systemctl status cloudflared

अगर सब कुछ काम कर गया, तो आप देखेंगे कि सेवा सक्रिय (चालू) स्थिति में है।

आप सेवा के संचालन की जांच कर सकते हैं, उदाहरण के लिए डिग कमांड के साथ:

 dig @127.0.0.1 -p 5053 google.com

उत्तर के उत्तर भाग में, आपको IP पता दिखाई देगा कि आपकी सेवा google.com के लिए DoH के माध्यम से प्राप्त हुई है, कुछ इस प्रकार है:

 google.com. 217 IN A 172.217.6.142

यह केवल सेवा को पाई-होल से जोड़ने के लिए बनी हुई है। ऐसा करने के लिए, आप पाई-होल वेब इंटरफेस (पहले चरण में दर्ज पासवर्ड आपके लिए उपयोगी है) पर जाएं, सेटिंग्स - डीएनएस मेनू आइटम पर जाएं और इसे कुछ इस तरह से बनाएं:

पाई-होल कॉन्फ़िगरेशन का स्क्रीनशॉट

मुख्य बात यह है कि कस्टम फ़ील्ड को 127.0.0.1 # 5053 प्रविष्टि के साथ भरें और उस पर सभी को हटाकर, उस पर पंजा छोड़ दें। उसके बाद, पेज को नीचे स्क्रॉल करना और सेव पर क्लिक करना न भूलें।

यदि आप पासवर्ड लिखना भूल गए हैं - यह ठीक है, ssh के माध्यम से सर्वर पर जाएं और कमांड pihole -a -p चलाएं , यह आपको एक नया पासवर्ड सेट करने की अनुमति देगा। खैर, सामान्य तौर पर, पिहोल टीम की चाबियाँ देखें, बहुत सारी दिलचस्प चीजें हैं। उदाहरण के लिए, सिस्टम अपडेट एक फ़िहोल-अप कमांड के साथ किया जाता है।

3. अपना होम राउटर सेट करें

बेशक, मैं इस पाठ के साथ राउटर की पूरी विविधता को बंद नहीं कर सकता। लेकिन अधिकांश घरेलू राउटरों के लिए, निम्नलिखित बिंदु सत्य हैं:

1) आप WAN इंटरफ़ेस सेटिंग्स में राउटर के लिए एक कस्टम DNS सर्वर सेट कर सकते हैं, भले ही प्रदाता से आईपी पता गतिशील रूप से प्राप्त हो।

2) राउटर आंतरिक ग्राहकों के लिए अपना पता DNS के रूप में जारी करता है और WAN सेटिंग्स में निर्दिष्ट सर्वर के लिए उनके अनुरोधों को आगे बढ़ाता है

तदनुसार, इस मामले में, हमारे लिए यह आवश्यक और पर्याप्त है कि हम अपने पाई-होल के पते को होम राउटर के WAN इंटरफ़ेस की सेटिंग में DNS सर्वर के रूप में पंजीकृत कर सकें। यह महत्वपूर्ण है कि यह सेटिंग्स में एकमात्र डीएनएस सर्वर हो, अगर कोई और निर्दिष्ट किया गया हो - राउटर केवल ज्ञात सिद्धांत के अनुसार उनके बीच अनुरोधों को संतुलित करेगा, और यह स्थिति नेटवर्क पर डिबगिंग समस्याओं के लिए अत्यंत असुविधाजनक है।

यदि अचानक कुछ गलत हुआ और सेवा ने काम करना बंद कर दिया, तो यह आपके प्रदाता के DNS सर्वर के पते के लिए उपरोक्त सेटिंग को बदलने के लिए पर्याप्त है या, उदाहरण के लिए, 8.8.8.8, और उसके बाद ही समझना शुरू करें।

यदि आपका राउटर अधिक बुद्धिमान है और उदाहरण के लिए, डीएचसीपी में निर्दिष्ट करने की क्षमता है जो क्लाइंट को डीएनएस सर्वर के रूप में वितरित करने के लिए संबोधित करता है, तो आप एक वैकल्पिक पथ पर जा सकते हैं और ग्राहकों को सीधे पाई-होल पते के वितरण को कॉन्फ़िगर कर सकते हैं। यह राउटर को थोड़ा उतार देगा, लेकिन यह सेवा के उपयोग से उपरोक्त रोलबैक को जटिल करेगा।

यदि कुछ काम नहीं करता है - टिप्पणियों में पूछें, हम एक समाधान ढूंढेंगे।

4. हम समस्याओं का समाधान करते हैं

सामान्य तौर पर, उपरोक्त बिंदुओं को पूरा करने के बाद, आपके साथ सबकुछ ठीक होना चाहिए, लेकिन ऐसी बारीकियां हैं जो मेरे ग्राहकों और मैंने कभी-कभी सामना की हैं।

पाई-होल का उपयोग शुरू करने के बाद, आप अपने उपकरणों (विशेषकर मोबाइल) पर कम विज्ञापन की असामान्य भावनाओं का अनुभव कर सकते हैं। चौंकिए मत, आपका यही इरादा है। इसके अलावा, कुछ सेवाएँ आपके परिचित होने के तरीके को काम करना बंद कर सकती हैं और इसके लिए सेटिंग्स में आपकी भागीदारी की आवश्यकता होगी। उदाहरण के लिए, Aliexpress वेबसाइट समय-समय पर आपको best.aliexpress.com पते पर पुनर्निर्देशित करने की कोशिश करती है, जो विज्ञापन की सूची में है, और यह सभी अली तक पहुंच को अवरुद्ध करता है।

इस तरह की समस्या का पता लगाना काफी सरल है - यदि आप एक अवरुद्ध सर्वर का उपयोग करने की कोशिश कर रहे हैं, तो आपका ब्राउज़र आपको ERR_NAME_NOT_RESOLVED या इस तरह की त्रुटि दिखाएगा, और nslookup के माध्यम से एक कमांड लाइन की जाँच करें <सर्वर का नाम> 0.0.0.0 वापस आ जाएगा ।

एक विशिष्ट सर्वर के लिए समस्या का समाधान करना भी आसान है - बस इसे श्वेतसूची में जोड़ें। ऐसा करने के लिए, http: //pi.hole/admin पर जाएं , लॉग इन करें, बाएं मेनू में व्हाइटलिस्ट का चयन करें और सर्वर को इसकी आवश्यकता जोड़ें। उदाहरण के लिए, मुझे खोलना था, इसके अलावा best.aliexpress.com का उल्लेख किया, s.click.aliexpress.com, साथ ही साथ Xiaomi सेवाओं के लिए miui.com डोमेन में काम करने के लिए साइटों का एक समूह। आप शायद अपने खुद के कुछ की जरूरत है। लेकिन इस बात पर नज़र रखना कि वास्तव में खोलने की क्या ज़रूरत है, यह इतना मुश्किल नहीं है - सेवा के डैशबोर्ड मुख्य पृष्ठ पर और क्वेरी लॉग में आप हमेशा देख सकते हैं कि किस डोमेन अनुरोध को अवरुद्ध कर दिया गया है और उन्हें श्वेतसूची में जोड़ दिया गया है।

यह नियमित रूप से भी होता है कि Pi-Hole एक सर्वर पर स्थापित है, जिस पर किसी प्रकार की वेब सेवा पहले से चल रही है। इस स्थिति में, आपको वेब-आधारित प्रबंधन इंटरफ़ेस तक पहुँच प्राप्त नहीं होगी। इस तरह के संघर्ष को कैसे हल किया जाए यह विशिष्ट स्थिति पर निर्भर करता है, लेकिन मुख्य समाधान हैं:

यदि वेब सर्वर का उपयोग नहीं किया गया था, लेकिन बस डिफ़ॉल्ट रूप से खड़ा था - ढूंढें और अक्षम करें
यदि वेब सर्वर का उपयोग किया जाता है और आप इसके साथ काम करना जानते हैं, तो अपने वेब सर्वर के लिए एक अलग संसाधन के रूप में Pi-Hole वेब इंटरफेस जोड़ें।
आप /etc/lighttpd/lighttpd.conf फ़ाइल में server.port पैरामीटर को सही करके एक अलग पोर्ट पर Pi-Hole वेब इंटरफ़ेस को भी लैंड कर सकते हैं। लेकिन यह याद रखना होगा कि सर्वर किस पोर्ट पर चल रहा है, इसलिए मैं ऐसी योजनाओं का स्वागत नहीं करता हूं।

निष्कर्ष

जैसा कि वादा किया गया था, उन्होंने कुछ नया नहीं लिखा। कई पाठकों के लिए, यह योजना समझ और स्पष्ट है, और या तो पहले से ही लागू है, या अनावश्यक के रूप में लागू नहीं किया गया है। कई अन्य ने समान या अन्य घटकों का उपयोग करके एक अलग तरीके से कुछ समान बनाया। मेरा सुझाव है कि आप इस पोस्ट को अपने स्वयं के समाधान के लिए रिक्त की तरह अधिक मानें, यदि आपको कभी भी इसकी आवश्यकता हो। लेकिन, इसे चरण-दर-चरण निर्देश के रूप में निष्पादित किया गया है, आपको पहले से ही एक सेवा प्राप्त होगी जो विज्ञापनों को फ़िल्टर करने और DoH का उपयोग करने के लिए आपकी बुनियादी आवश्यकताओं को कवर करती है।

परंपरागत रूप से, मैं प्रश्नों का उत्तर दूंगा और सेटिंग्स के साथ मदद करूंगा।

GennPen से PS नोट - DoH का उपयोग करते समय, आप अपने इंटरनेट कनेक्शन पर निर्भर हो जाते हैं और यदि आप अपने खाते में पैसे से बाहर भागते हैं, तो आप उन्हें भुगतान करने के लिए अपने प्रदाता के व्यक्तिगत खाते में प्रवेश करने में भी सक्षम नहीं होंगे। इसलिए, इस समाधान में ऐसी साइटों के लिए, पाई-होल में स्थिर प्रविष्टियों को पंजीकृत करना वांछनीय है - यह कंसोल में पिहोल-ए-आर कमांड के साथ या बस मैन्युअल रूप से / etc / मेजबान फ़ाइल में किया जा सकता है। दुर्भाग्य से, टूल इसके लिए वेब इंटरफ़ेस में शामिल नहीं है।

हम होम नेटवर्क को DoH में ट्रांसलेट करते हैं, या फ़िल्टरिंग नाक पर एक और क्लिक करते हैं