Pi-hole und Unbound: Vorteile und technische Funktionsweise

Pi-hole und Unbound: Vorteile und technische Funktionsweise

Pi-hole und Unbound können zusammen eingesetzt werden, um DNS-Anfragen im eigenen Netzwerk lokal zu filtern und anschließend unabhängig aufzulösen. Diese Kombination verbessert die Kontrolle über DNS-Verkehr, reduziert unerwünschte Verbindungen und verringert die Abhängigkeit von externen DNS-Anbietern.

Was ist DNS?

DNS steht für Domain Name System. Es übersetzt Domainnamen wie "example.com" in IP-Adressen, die Computer für die Verbindung zu Servern benötigen. Ohne DNS müsste für jede Webseite oder jeden Dienst direkt die passende IP-Adresse bekannt sein.

Ein typischer Ablauf sieht vereinfacht so aus:

1. Ein Gerät im Netzwerk möchte eine Domain aufrufen.
2. Das Gerät fragt den eingetragenen DNS-Server nach der passenden IP-Adresse.
3. Der DNS-Server liefert die IP-Adresse zurück.
4. Das Gerät verbindet sich anschließend mit dieser IP-Adresse.

Rolle von Pi-hole

Pi-hole arbeitet im lokalen Netzwerk als DNS-Filter. Geräte im Netzwerk verwenden Pi-hole als DNS-Server. Jede DNS-Anfrage wird zuerst an Pi-hole gesendet.

Pi-hole prüft dann, ob die angefragte Domain erlaubt oder blockiert werden soll. Grundlage dafür sind Blocklisten, erlaubte Domains, manuelle Sperren und lokale DNS-Einträge.

Typische Einsatzbereiche sind:

• Blockieren von Werbe- und Tracking-Domains
• Reduzierung unnötiger DNS-Anfragen
• Zentrale DNS-Verwaltung für alle Geräte im Netzwerk
• Lokale Namensauflösung für interne Dienste
• Übersicht über DNS-Anfragen im Netzwerk

Pi-hole blockiert nicht den Inhalt einer Webseite direkt. Es verhindert, dass bestimmte Domains überhaupt aufgelöst werden. Wenn eine blockierte Domain angefragt wird, liefert Pi-hole keine gültige Zieladresse zurück oder antwortet mit einer blockierenden Adresse. Dadurch kann das Gerät keine Verbindung zu dieser Domain aufbauen.

Rolle von Unbound

Unbound ist ein rekursiver DNS-Resolver. Er kann DNS-Anfragen selbstständig über die DNS-Hierarchie auflösen, ohne dafür dauerhaft einen öffentlichen DNS-Anbieter wie Google, Cloudflare oder Quad9 verwenden zu müssen.

Unbound fragt dabei die zuständigen DNS-Server direkt ab:

1. Root-DNS-Server
2. TLD-DNS-Server, zum Beispiel für ".de", ".com" oder ".org"
3. Autoritative DNS-Server der jeweiligen Domain

Unbound speichert Antworten im Cache. Wird dieselbe Domain später erneut angefragt, kann Unbound die Antwort aus dem Cache liefern, solange sie noch gültig ist. Dadurch werden wiederholte Anfragen schneller beantwortet und externe DNS-Abfragen reduziert.

Ablauf einer DNS-Anfrage mit Pi-hole und Unbound

Bei einer Kombination aus Pi-hole und Unbound läuft eine DNS-Anfrage typischerweise so ab:

1. Ein Gerät im Heimnetz fragt "example.com" an.
2. Die Anfrage geht an Pi-hole.
3. Pi-hole prüft, ob die Domain blockiert oder erlaubt ist.
4. Ist die Domain blockiert, beendet Pi-hole die Anfrage mit einer blockierenden Antwort.
5. Ist die Domain erlaubt, leitet Pi-hole die Anfrage an Unbound weiter.
6. Unbound prüft zuerst seinen lokalen Cache.
7. Liegt keine gültige Antwort im Cache vor, löst Unbound die Domain rekursiv über die DNS-Hierarchie auf.
8. Unbound gibt die IP-Adresse an Pi-hole zurück.
9. Pi-hole gibt die Antwort an das anfragende Gerät weiter.
10. Das Gerät verbindet sich mit der erhaltenen IP-Adresse.

Damit übernimmt Pi-hole die Filterung und Protokollierung, während Unbound die eigentliche DNS-Auflösung durchführt.

Technische Vorteile

Zentrale Filterung im Netzwerk

Pi-hole wirkt für alle Geräte, die es als DNS-Server verwenden. Dadurch müssen Werbe- oder Tracking-Blocker nicht auf jedem Gerät einzeln eingerichtet werden. Das betrifft auch Geräte, auf denen keine klassischen Browser-Erweiterungen installiert werden können, zum Beispiel Smart-TVs, IoT-Geräte oder Apps auf Mobilgeräten.

Weniger Abhängigkeit von externen DNS-Anbietern

Ohne Unbound leitet Pi-hole erlaubte Anfragen meist an externe DNS-Server weiter. Mit Unbound erfolgt die Auflösung direkt über die DNS-Infrastruktur. Dadurch erhält kein einzelner externer DNS-Anbieter eine vollständige Übersicht über die DNS-Anfragen des eigenen Netzwerks.

Lokaler Cache

Unbound speichert DNS-Antworten lokal zwischen. Häufig angefragte Domains können dadurch schneller beantwortet werden. Außerdem sinkt die Anzahl externer DNS-Abfragen.

Mehr Transparenz

Pi-hole bietet eine Übersicht darüber, welche Geräte welche Domains anfragen. Das kann hilfreich sein, um ungewöhnliches Verhalten zu erkennen, fehlerhafte Geräte zu identifizieren oder häufig kontaktierte Tracking-Domains sichtbar zu machen.

Lokale DNS-Einträge

Mit Pi-hole können interne Namen für Geräte und Dienste vergeben werden. Statt eine lokale IP-Adresse direkt aufzurufen, kann beispielsweise ein Name wie "server.lan" oder "pihole.lan" verwendet werden. Das vereinfacht die Verwaltung im Heimnetz.

Netzwerkweite Wirkung

Da DNS eine grundlegende Funktion im Netzwerk ist, greift die Filterung unabhängig vom verwendeten Browser oder Betriebssystem, solange das Gerät Pi-hole als DNS-Server nutzt und keine eigenen DNS-Server umgeht.

Grenzen der Lösung

Pi-hole und Unbound ersetzen keine Firewall, keinen Virenschutz und keine vollständige Sicherheitslösung. Sie filtern DNS-Anfragen, untersuchen aber nicht den eigentlichen Datenverkehr.

Außerdem können manche Anwendungen eigene DNS-Mechanismen verwenden, zum Beispiel DNS-over-HTTPS. In solchen Fällen werden DNS-Anfragen unter Umständen nicht über Pi-hole geleitet. Das kann die Filterwirkung einschränken.

Auch verschlüsselte Verbindungen selbst werden durch Pi-hole nicht entschlüsselt oder geprüft. Wenn eine Domain erlaubt ist, findet die eigentliche Verbindung wie gewohnt direkt zwischen Gerät und Zielserver statt.

Zusammenfassung

Pi-hole und Unbound erfüllen unterschiedliche Aufgaben. Pi-hole filtert und verwaltet DNS-Anfragen im lokalen Netzwerk. Unbound löst erlaubte DNS-Anfragen rekursiv und unabhängig von einem zentralen externen DNS-Anbieter auf.

Die Kombination bietet mehr Kontrolle über DNS-Verkehr, reduziert unerwünschte Verbindungen, ermöglicht lokale Namensauflösung und verringert die Abhängigkeit von öffentlichen DNS-Resolvern. Technisch bleibt der Aufbau überschaubar: Geräte fragen Pi-hole, Pi-hole filtert, Unbound löst erlaubte Anfragen auf.