מישהו עבר מ Upstream DNS ל Recursive DNS?

[ChaoscripT]

אשמח לדעת אם מישהו עבר מ- Upstream DNS ל- Recursive DNS,
לאחרונה התחדשתי עם Mini PC שעליו מותקן דוקר ואני משתעשע קצת איתו.

בהתחלה השתמשתי עם AdguardHome שעושה upstream dns עם TLS ל cloudflare, google, quad9.
ראיתי כתבה על Recurisive DNS שלא מצריך צד ג׳ לדוגמא Unbound וקפצתי על זה חחח,
התקנתי Technitium DNS על הדוקר, הורדתי את AGH Container, העברתי את כל ה block lists מה AGH, על פניו עובד סבבה לגמרי, צריך לצבור יותר קאש אבל עובד נחמד.

מישהו גם עשה את המעבר הזה?

[OMRIJ]

עובד כבר הרבה זמן עם unbound
זה גם ברירת המחדל בopnsense
סה"כ מרוצה

[ziv67]

גם אני עם opnsense ו unbound והעברתי אליו את ה blocklist (משתמש ב ++Hagezi Pro ) עובד מצויין .

[elmo]

עובד מצוין ויציב

OpenWrt + AdGuard Home + Unbound עם רשימות HaGezi Pro

[oferlaor]

מה היתרון של לעשות את זה ככה?

[OMRIJ]

בעיקר פרטיות
גוגל/cloudflare ושות' לא שותפים במידע לאן אתה גולש כי אתה לא מפענח דרכם, כמובן שהisp יודע הכל...
הביצועים יחסית טובים (ומשתפרים לאורך הזמן שנבנה הcache)
אתה יכול להגדיר מקומית כל מיני block list
וגם להגדיר DNS מקומי אם צריך למכשירים בבית.

כשעברתי מopnswnae לציוד של ubiquiti זה כבר היה פחות סביר (בשביל הרובסטיות החזקתי שני אינסטנסים של unbound, כדי שלא יקרה מצב שאני עושה רסטרט לשרת בבית ואין אינטרנט). זה רלוונטי לדעתי רק אם זה הresolver בפיירוול שלך.

[ChaoscripT]

עובד כבר הרבה זמן עם unbound
זה גם ברירת המחדל בopnsense
סה"כ מרוצה

...

נכון, Unbound זה הברירת מחדל של Opnsense שמשום מה לא יכלתי לעבוד עם Opnsense ללא Unbound, אבל אולי זה אצלי.
בכל מקרה עברתי ל Unifi והבנתי ש Unbound הוא ללא GUI והעדפתי כלי שיש בו GUI. למרות שב- OPnsense יש GUI לUnbound אז לא יודע למה היה רשום ככה.
ב- Opnsense הייתי משתמש ב- Unbound רק לצורך forward ל adguardhome.

גם אני עם opnsense ו unbound והעברתי אליו את ה blocklist (משתמש ב ++Hagezi Pro ) עובד מצויין .

...

יפה כל הכבוד.
אתה עושה forward לשירותים חיצוניים או משתמש ב- Unbound כ resolver?

עובד מצוין ויציב
OpenWrt + AdGuard Home + Unbound עם רשימות HaGezi Pro

...

למה אתה צריך גם unbound וגם adguard home?
ב- unbound אתה יכול להכניס את הרשימות ולוותר על AGH, אלא אם אתה רוצה את הסטטיסטיקות, שליטה פר מכשיר ועוד אופציות

[ziv67]

אני משתמש ב unbound כ resolver

[Jabberwock]

אני משתמש ב-AdGuard Home עם CloudFlare DoH.
השאילתות אורכות בממוצע כ- 7ms. הטריק הוא לבטל DNSSEC בהגדרות.
כמה אתם מקבלים עם Unbound?

[OMRIJ]

ה7ms זה מה שאתה רואה בadguard?
כי אם כן, זה כולל שילוב של שאילתות שלוקחות פחות מ1ms בגלל שהם בcache. בפועל שאילתה חדשה כנראה לוקחת לך קצת יותר

[Jabberwock]

ה7ms זה מה שאתה רואה בadguard?

...

כן, זה הממוצע שאני מקבל.
שאילתות ללא מטמון.

[OMRIJ]

יפה

[ChaoscripT]

כן, זה הממוצע שאני מקבל.
שאילתות ללא מטמון.

...

השאלה אם תבקר באתר שהרבה זמן לא היית (או בכלל לא) כמה ms תקבל

[Jabberwock]

השאלה אם תבקר באתר שהרבה זמן לא היית (או בכלל לא) כמה ms תקבל

...

ניסיתי עכשיו. נכנסתי לוואלה וקיבלתי 4ms.

[Huber]

בעיקר פרטיות

...

אין דבר כזה פרטיות כשאתה מחובר לאינטרנט, כל מי שחושב אחרת משלה את עצמו:

המעבר ל Recursive DNS (שרת עצמאי בבית) אולי סוגר לחברות הענק את "חלון הראווה" של בקשות ה DNS, אבל הוא ממש לא מונע ממך להיות שקוף בפניהן.

חברות כמו גוגל, פייסבוק, מיקרוסופט ואחרות בנויות על איסוף מידע במגוון רחב של שכבות אחרות, של DNS אין שום קשר אליהן.

הנה הדרכים המרכזיות שבהן הן שואבות את המידע עליך בכל מקרה:

1. מערכות הפעלה ודפדפנים (השכבה המקומית)
אם אתה משתמש במוצרים של החברות הללו כדי לגשת לאינטרנט, הן יודעות עליך הכל מהרמה המקומית ביותר:

דפדפן כרום (Chrome): כרום שייך לגוגל. גם אם שרת ה DNS הביתי שלך מצא את הכתובת של האתר, הדפדפן עצמו הוא זה שמבצע את הגלישה בפועל. גוגל יודעת בדיוק באיזה אתר אתה, כמה זמן שהית בו, על מה לחצת, ואפילו מה הקלדת בשורת הכתובות (דרך מנגנוני השלמה אוטומטית שנשלחים לשרתים שלהם).
מערכות הפעלה (Android / Windows): אנדרואיד שייכת לגוגל, ווינדוס למיקרוסופט. מערכות ההפעלה הללו שולחות דרך קבע נתוני טלמטריה (Telemetry), מיקומי GPS, רשימת אפליקציות פתוחות ונתוני שימוש ישירות לחברות האם.
2. קוד מעקב שמוטמע בתוך האתרים (Trackers & Analytics)
זוהי השיטה החזקה ביותר של חברות הפרסום לעקוב אחריך, גם אם אתה משתמש בדפדפן פרטי וב DNS עצמאי.

Google Analytics: למעלה מ 70% מהאתרים באינטרנט מטמיעים קוד של גוגל כדי לנתח את תנועת הגולשים שלהם. ברגע שאתה נכנס לאתר כזה, הדפדפן שלך מריץ את הקוד של גוגל ודיווח מפורט נשלח אליהם: מי אתה, מאיזה אתר הגעת, ומה אתה עושה כרגע.
הפיקסל של פייסבוק (Meta Pixel): קוד מעקב דומה שמוטמע באלפי אתרי קניות ובלוגים כדי להתאים לך פרסומות ברשתות החברתיות על בסיס המוצרים שחיפשת.
3. עוגיות צד ג' וטביעת אצבע דיגיטלית (Browser Fingerprinting)
Cookies: קבצים קטנים שנשמרים בדפדפן ומזהים אותך כשאתה עובר מאתר לאתר.
Fingerprinting: טכנולוגיה מתוחכמת שבה אתרים אוספים נתונים טכניים על המכשיר שלך (גרסת הדפדפן, רשימת הפונטים המותקנים, רזולוציית המסך, כרטיס המסך ועוד). השילוב של הנתונים האלה יוצר "טביעת אצבע" ייחודית לך, המאפשרת לחברות לזהות אותך ברחבי הרשת בדיוק מטורף, גם ללא שימוש בחשבון רשום או ב DNS שלהן.
4. החשבונות האישיים שלך (Logged-in Status)
אם אתה גולש באינטרנט בזמן שאתה מחובר לחשבון הג'ימייל, היוטיוב, המיקרוסופט או הפייסבוק שלך – החברות הללו מקשרות אוטומטית את כל פעולות הגלישה והחיפוש שלך ישירות לפרופיל האישי שלך, ללא קשר לדרך שבה ה IP של האתר פוענח.

שורה תחתונה
החלפת ה DNS היא צעד מעולה לחובבי פרטיות כדי לחסום חברה ספציפית (כמו קלאודפלייר) מלראות את רשימת האתרים הגולמית שלך, אבל היא מטפלת רק בשלב הניווט. ברגע שהגעת אל האתר עצמו, מנגנוני המעקב המודרניים של ענקיות הטכנולוגיה פועלים בשכבות עמוקות בהרבה.

[OMRIJ]

אתה קצת מעייף כשכל ההודעות שלך הם 90% AI

ברור שזה לא פתרון מלא לפרטיות, ואפשר לעשות עוד דברים בשביל להסתיר. אני באופן כללי לא פרנואיד, לא אכפת לי שגוגל, cloudflare ושות' יראו איפה אני גולש, זה גם אף פעם לא היה הסיבה שהשתמשתי בunbound

[Huber]

OMRIJ - אתה ציינת "בעיקר פרטיות", עכשיו אתה אומר שזה לא פתרון לפרטיות, מבין למה קצת מבלבל? אז מה המטרה?

לגבי ה AI, הוא עוזר לי לנסח טוב יותר את התגובה ולהוסיף פרטים שאולי אני שכחתי או לא חשבתי עליהם על מנת לקבל מענה מלא ומקיף (אני לוקח את המענה שלי וזורק אליו לשפר). מעייף? יתכן , בעיניי זה שימושי להפליא.

[OMRIJ]

זה לא פתרון מלא, זה כן עוד נדבך לפרנואידים.
זה פתרון מקומי, שמאפשר גם תוספת פרטיות, גם ניהול DNS מקומי, גם ניהול של רשימות block/allow.

[OMRIJ]

במיוחד בשבילך, מצרף גם את התשובה של ג'מיני

הנה סיכום קצר וקולע של היתרונות המרכזיים של Unbound, מנוסח כך שיתאים בדיוק כתשובה בפורום:
## למה כדאי להשתמש ב-Unbound כ-DNS Resolver?
* **פרטיות מקסימלית:** תומך בתכונת *QNAME Minimisation* (שחושפת רק את המינימום ההכרחי מהשאילתה שלך בפני שרתי DNS אחרים) ובהצפנת תעבורה מלאה כמו DNS-over-TLS (DoT).
* **אבטחה מובנית:** מבצע אימות **DNSSEC** כברירת מחדל, מה שמגן על הרשת מפני התקפות זיוף (DNS Spoofing) והרעלת מטמון (Cache Poisoning).
* **מהירות וקלילות:** מדובר בתוכנה קלה מאוד שמתוכננת להיות שרת Caching מהיר ויעיל. היא שומרת כתובות שכבר חיפשת במטמון ומאיצה משמעותית את הגלישה ברשת המקומית.
* **עצמאות מוחלטת:** מנתק את התלות בשרתי ה-DNS של ספקית האינטרנט (ISP) או של חברות ענק (כמו גוגל או Cloudflare), כך שהם לא יכולים לאסוף מידע על הרגלי הגלישה שלך. במקום לשאול אותם, Unbound ניגש ישירות לשרתי ה-Root של האינטרנט.
* **שליטה וגמישות:** מאפשר להגדיר רשומות מקומיות בקלות, ומשתלב בצורה מושלמת עם כלים כמו Pi-hole, pfSense או OPNsense לסינון תכנים וחסימת פרסומות ברמת הרשת.

[MrYair]

אני אישית משתמש בשרתי dns של hagezi
עובד פצצה וחינמי.

https://github.com/hagezi/dns-servers