Wer Werbung und Tracker im Heimnetz blockieren möchte, landet meist bei Pi-hole oder AdGuard Home. Mit Technitium DNS Server steht jedoch eine Alternative bereit, die deutlich mehr ist als ein reiner Netzwerk-Werbeblocker. Das quelloffene Projekt kombiniert rekursiven DNS-Resolver, Werbe- und Trackingfilter sowie einen vollwertigen autoritativen DNS-Server in einer einzigen Anwendung.
DNS-Infrastruktur selbst verwalten
Während Pi-hole und AdGuard Home vor allem als Filterlösung für Heimnetze bekannt sind, richtet sich Technitium an Anwender, die ihre lokale DNS-Infrastruktur weitgehend selbst verwalten möchten. So lassen sich mit Technitium eigene DNS-Zonen anlegen und Hostnamen für Geräte im Netzwerk vergeben. Statt IP-Adressen zu verwenden, werden Server, NAS-Systeme oder andere Rechner damit bequem unter frei wählbaren Namen erreichbar.
Die Installation gestaltet sich unkompliziert. Technitium steht für Linux, macOS und Windows bereit und lässt sich alternativ auch als Docker-Container ausrollen. Die Verwaltung erfolgt über eine moderne Weboberfläche, die alle wichtigen Funktionen zentral zugänglich macht.
Übersichtliche Weboberfläche
Zu den wichtigsten Merkmalen neben den bereits genannten gehören die Unterstützung von DNS-over-HTTPS (DoH), DNS-over-TLS (DoT) und DNS-over-QUIC (DoQ), umfangreiche Blocklisten sowie flexible Weiterleitungs- und Caching-Funktionen. Dadurch eignet sich Technitium sowohl als lokaler Resolver für das Heimnetz als auch für kleinere professionelle Umgebungen.
Ein Raspberry Pi reicht aus
Im praktischen Einsatz überzeugt die Software mit einem geringen Ressourcenbedarf. Selbst auf einem Raspberry Pi läuft der Dienst problemlos. Lediglich die Weboberfläche zeigte sich im Test nicht ganz perfekt: Statistiken und Query-Logs aktualisieren sich nicht immer automatisch und erfordern gelegentlich ein manuelles Neuladen der Seite.
Wer mehr benötigt als einen klassischen Netzwerk-Werbeblocker und zugleich die DNS-Verwaltung im eigenen Netz zentralisieren möchte, sollte Technitium DNS Server daher einen genaueren Blick widmen. Ein ausführlicher Artikel über Technitium erscheint in einer der nächsten Ausgaben der Zeitschrift LinuxUser.
Sieht interessant aus.
Allerdings nutze ich den Pi-Hole zuhause auch als lokalen DNS und so werden meine Geräte zuhause per Name angesprochen (nutze kein Windows, deshalb auch kein Netbios oder sowas).
Per unbound habe ich auch die rekursive Namensauflösung konfiguriert, anstelle eines Upstream-DNS. Erscheint mir sicherer, direkter, nicht manipulierbar (im Sinne wir geben unsere eigenen Server zurück beim Thema xyz oder schlicht Zensur) und dank des vorhandenen Cache auch flotter.
Und weil ich damit nicht genug hab, nutze ich auch noch WireGuard VPN von überall außerhalb meines (W)LAN (z. B. im Urlaub oder einfach außer Haus mit dem iPhone). Und damit auch den Pi-Hole als DNS. Also werden lokale Namen auch richtig aufgelöst, Werbung usw… gefiltert…
Filtern von unerwünschter Werbung ist das Eine. Es gibt auch Sperrlisten für viröse Seiten.
Hmm bei deinem Pi fragt Root → TLD → Authoritative der Reihe nach ab, komplett Klartext
über Port 53. Jeder also dein Provider und jeder auf dem Weg sieht jede Domain, die du aufrufst. Du nutzt kein DoH. Du bist auch direkt zuordenbar, da du mit deiner Wohn-IP mit hunderten Auth-Servern kommunuzierst. Alle sehen „diese IP will Domain X”. Also eher mehr Sichtbarkeit, nicht weniger. Du nutzt kein Upstream-Malware-Filter, du hängst zu 100% an deinen Blocklisten. Langsamer bei kaltem Cache (Rekursionskaskade statt ein Hop). Ich würde dein Setup nochmal überdenken.
Wo du recht hast das es keinen zentraler Beobachter gibt, der alle deine Queries sieht, und Zensur-/Manipulationsresistenz, aber dafür zahlst aber mit unverschlüsselten Queries.
Naja, ich nutze das auch so, einfach aus dem Grund, das ich ansonstzen bei DoH irgendeinen DNS-Anbieter vertrauen muss der dann stellvertretend alle Daten von mir hat.
– Kalter Cache – nun, passiert hier auch eher weniger, denn Technetium kann ja Prefetzch vom Zeugs, was ich auch viel nutze.
– Die DNS-Queries gehen so bei Rekursion aber halt nur zum Ziel und nicht zu Google/CF (es sei denn die Domains/Hosts sind darüber irgendwie abgedeckt
– Rekursive Anfragen sind sehr oft eh schnell genug, vor allem wenn man den ersten Schritt (Root) nicht machen muss (RFC 8806)
Richtig geil würde das ja erst, wenn DNS generell versclüsselt wäre, also auch bei Rekursion.