למי שקצת טכני - המלצה על שירות חסימת פרסומות בענן

[גל נ]

התקנתי על שרת פנימי בבית PiHole(שירות לחסימת פרסומות ברמת ה DNS) וזה עובד מעולה אבל רציתי לשדרג את זה כך שלא אצטרך שרת פעיל כדי לבצע את החסימה על מכשירים שונים כאשר אני מחוץ לבית.
מצאתי לינק ל GitHub שמאפשר ע"י הרצת סקירפט לבנות את כל השירותים הדרושים בענן:
https://github.com/chadgeary/cloudblock
יש שם מדריכים מסודרים וסרטוני וידאו לכל שירותי הענן המרכזיים. אני אישית בחרתי ב Oracle כי המנוי החינמי שלהם לא מוגבל כמו בשאר שירותי הענן.
בסוף התהליך יש לי שירות חסימה ברמת ה DNS שרץ ישירות בענן גם על המכשירים ברשת הביתית וגם בכל המכשירים הניידים שאני מחוץ לרשת הביתית.

לפני התחלת התהליך מומלץ לקרוא על pihole ו wireguard

 

[annona]

נחמד, יש גם שירותים מנוהלים שעולים כסף.
יש פה חסרון אחד משמעותי לדעתי, אתה מוסיף latency בכל בקשת dns, ויש הרבה בקשות בגלישה ממוצעת.
אם אתה גר בישראל הrtt לאירופה הוא בערך 60ms שאין עומסים, לארה״ב קצת יותר.
בנוסף יש את הoverhead שהבקשה מוצפנת עם https(כלומר רץ על גבי tcp ולא udp).
כך שצפויה האטה מסויימת בגלישה(טוב כמו בכל דבר בחיים, אין מתנות חינם), שאתה עובד עם pihole ברשת הביתית אז לפחות יש קצת קאשינג שעוזר.
בשביל לעזור לזה אפשר אולי להרים מכונה בgcp בregion הישראלי החדש שאמור להפתח ממש בקרוב לכולם, לספקיות הגדולות(גוגל, קלאודפלייר וכו) יש cdnים בארץ(מפוזרים בכל מיני מקומות, אני חיברתי אחד מהם), כך שתשאול של dns מתבצע מולו ולא מול השרתים בעולם.
תודה על השיתוף!

 

[גל נ]

זה עוד סיבה מדוע בחרתי להשתמש בענן של Oracle, יש להם region בישראל.
בכל מקרה כל הבקשות שלא נחסמות עוברת אחר כך ל DNS של גוגל.
גם אם יש תוספת של עוד כמה ms זה לא מורגש בגלישה.

 

[המהרהר]

היי גל, יכול להסביר כאן / בפרטי איך אחרי זה אני מממשק את הטלפון או הלפטופ? אני יוצר חיבור vpn אל השירות שאני מרים?

 

[גל נ]

היי גל, יכול להסביר כאן / בפרטי איך אחרי זה אני מממשק את הטלפון או הלפטופ? אני יוצר חיבור vpn אל השירות שאני מרים?

בעקרון לאחר סיום ההתקנות בענן יהיה לך 2 כתובות - אחת חיצונית שנגישה מהעולם אבל היא זמינה רק ל IP החיצוני הספציפי שאותו אתה מגדיר במהלך ההתקנה.
במידה ויש לך IP קבוע אז אין לך בעיה, תוכל להזין את הכתובת החיצונית להגדרת DNS בראוטר כך כאשר אתה בבית החסימה תבוצע בכל המכשירים המחוברים לראוטר.
כאשר אתה מחוץ לבית אתה יכול להתקין את האפליקציה של wireguard ולבצע את הקישור בהתאם לקובץ config שיהיה לך בשירות בענן (שוב, הכל מוסבר בסרטונים/GIT)

במידה ויש לך IP שמשתנה כמו במצב אצלי צריך לבצע בראוטר הגדרה נוספת של יצירת TUNNEL ל VPN כך שתוכל להזין את הכתובת הפנימית של הענן אל הגדרת ה DNS בראוטר. זה כבר מעט מסובך יותר ומצריך ראוטר שיש בו את היכולות האלה. בראוטר הספציפי שלי התקנתי openwrt firmware שמאשר לי לבצע את ההגדרה הזאת וכך אני לא תלוי בכתובת החיצונית שלי.

 

[המהרהר]

אז לא הבנתי את החלק של

זה עובד מעולה אבל רציתי לשדרג את זה כך שלא אצטרך שרת פעיל כדי לבצע את החסימה על מכשירים שונים כאשר אני מחוץ לבית

המעבר להרצה של השירות מהענן עזרה או לא עזרה לחסום תכנים גם מחוץ לבית?

 

[גל נ]

המעבר להרצה של השירות מהענן עזרה או לא עזרה לחסום תכנים גם מחוץ לבית?

גם אם השרת בבית אפשר להגדיר VPN לרשת הביתית. אבל זה מצריך שרת ביתי שמחובר תמיד + רשת אינטרנט יציבה.
עם המעבר לענן כבר לא צריך לדאוג והזמינות היא תמידית.

 

[fongeme]

בנוסף יש את הoverhead שהבקשה מוצפנת עם https(כלומר רץ על גבי tcp ולא udp).

אני לא ממש יודע על איזה בקשה אתה מדבר אבל גם http משתמש בtcp (בלי tls) והיום רוב הבקשות שלך ברשת הן https גם ככה.

 

[annona]

אני לא ממש יודע על איזה בקשה אתה מדבר אבל גם http משתמש בtcp (בלי tls) והיום רוב הבקשות שלך ברשת הן https גם ככה.

בד״כ בקשת dns מועברת על גבי udp שזה מהיר.
בפתרון הזה הוא עובר על tcp, אז יש קצת overhead של יצירת הקונקשיין וכו

 

[גל נ]

בפתרון הזה הוא עובר על tcp

אני רחוק מלהבין עד הסוף את כל התקשורת בפתרון הזה, אבל מבחינת ה port forward ל IP של ה DNS מבוצע שימוש רק ב UDP

 

[annona]

אני רחוק מלהבין עד הסוף את כל התקשורת בפתרון הזה, אבל מבחינת ה port forward ל IP של ה DNS מבוצע שימוש רק ב UDP

אם תסתכל בציור, הcloudflared עושה שימוש בdns over https מול ספקית הdns.

 

[wavyfabric]

אני מריץ pi-hole בחינם מעל fly.io. יש להם region בבוקרשט, פינג של ~50ms.

GitHub - matan129/fly-hole

Contribute to matan129/fly-hole development by creating an account on GitHub.

github.com

יתרון - יש hostname חינמי (something.fly.dev) וגם TLS termination- כלומר, לא צריך Wireguard (או כל VPN אחר).

לא השקעתי בזה יותר מדי זמן. המוצר של Fly לא מדהים בכלל, הוא לא אפוי עד הסוף -- אבל זה מספיק טוב לפרוייקטון הזה.