跳转到内容
登录关注  
luoxi

Unbound+Pihole+Overture搭建去广告/无污染的DNS

已推荐帖子

如果你经常使用adguardhome会发现这货虽然使用起来很方便,但是过滤广告的效果非常不理想,规则里面明明有的域名但有时候它就是屏蔽不了,很玄学的一件事情。。

本文介绍一款船新的方式,广告过滤的效果比单adguardhome要好的多。目前这是我自用的一套方案,具体用到的各个软件用途说明如下:

1.在国外的VPS上用Unbound搭建一个DoT,用于防DNS污染。

2.在国外的VPS上用Pihole搭建一个去广告的普通DNS,用于Unbound的上游。

3.本地搭建Overture,用于Unbound的下游,同时处理国内/国外的域名/IP分DNS解析。

以下步骤在Debian10上操作,安装需要用到的工具:

apt -y update
apt -y dist-upgrade
apt -y install curl certbot ca-certificates unbound knot-dnsutils

使用certbot签一个ssl证书(签之前先把你的域名解析到这台VPS):

certbot certonly --standalone --agree-tos --no-eff-email --email xxxxx@qq.com -d dns.233.fi

将申请好的证书复制到unbound的目录:

cp /etc/letsencrypt/live/dns.233.fi/privkey.pem /etc/unbound/dns.233.fi-privkey.pem
cp /etc/letsencrypt/live/dns.233.fi/fullchain.pem /etc/unbound/dns.233.fi-fullchain.pem

新建一个unbound的配置文件:

nano /etc/unbound/unbound.conf.d/dns-over-tls.conf

写入:

server:
    username: unbound
    access-control: 0.0.0.0/0 allow
        interface: 0.0.0.0@853
        interface: ::0@853
        tls-port: 853
        tls-service-key: "/etc/unbound/dns.233.fi-privkey.pem"
        tls-service-pem: "/etc/unbound/dns.233.fi-fullchain.pem"
        incoming-num-tcp: 1000
forward-zone:
    name: "."
    forward-addr: 152.44.44.19

注:forward-addr后面的IP改为你VPS的公网IP,也就是把待会搭建好的Pihole当作unbound的上游DNS。

重启unbound/设置开机自启:

systemctl restart unbound
systemctl enable unbound

由于Pihole的手动安装过程略蛋疼,并且容易出错,这里直接上Docker:

curl -sSL https://get.docker.com/ | sh
systemctl start docker
systemctl enable docker

安装docker-compose:

curl -L "https://github.com/docker/compose/releases/download/1.25.0/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose
chmod +x /usr/local/bin/docker-compose

新建一个docker-compose配置文件:

mkdir -p /opt/pi-hole && cd /opt/pi-hole && nano docker-compose.yml

写入如下配置:

version: "3"

services:
  pihole:
    container_name: pihole
    image: pihole/pihole:latest
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "67:67/udp"
      - "80:80/tcp"
      - "443:443/tcp"
    environment:
      TZ: 'Asia/Shanghai'
    volumes:
      - './etc-pihole/:/etc/pihole/'
      - './etc-dnsmasq.d/:/etc/dnsmasq.d/'
    dns:
      - 127.0.0.1
      - 1.1.1.1
    cap_add:
      - NET_ADMIN
    restart: unless-stopped

然后直接up起来:

docker-compose up -d

没问题的话查看Pihole的WEB管理员密码:

docker logs pihole | grep random

修改管理员密码:

docker exec -it pihole pihole -a -p

现在测试一下看看Unbound和Pihole能不能正常工作:

kdig +tls @dns.233.fi lala.im

如下有正常解析记录说明是OK的:

lala.im_2019-12-10_18-47-55.png

接下来在你的本地配置Overture:

apt -y update
apt -y install unzip supervisor
mkdir -p /opt/overture && cd /opt/overture
wget https://github.com/shawn1m/overture/releases/download/v1.6-rc6/overture-linux-amd64.zip
unzip overture-linux-amd64.zip
cp overture-linux-amd64 overture

下载国内IP/GFWLIST:

wget https://cokebar.github.io/gfwlist2dnsmasq/gfwlist_domain.txt
wget https://raw.githubusercontent.com/17mon/china_ip_list/master/china_ip_list.txt

编辑Overture的配置文件:

nano config.json

修改为如下配置:

{
  "BindAddress": ":53",
  "DebugHTTPAddress": "127.0.0.1:5555",
  "PrimaryDNS": [
    {
      "Name": "DNSPod",
      "Address": "119.29.29.29:53",
      "Protocol": "udp",
      "SOCKS5Address": "",
      "Timeout": 6,
      "EDNSClientSubnet": {
        "Policy": "disable",
        "ExternalIP": "",
        "NoCookie": true
      }
    }
  ],
  "AlternativeDNS": [
    {
      "Name": "Pi-hole",
      "Address": "dns.233.fi:853",
      "Protocol": "tcp-tls",
      "SOCKS5Address": "",
      "Timeout": 6,
      "EDNSClientSubnet": {
        "Policy": "disable",
        "ExternalIP": "",
        "NoCookie": true
      }
    }
  ],
  "OnlyPrimaryDNS": false,
  "IPv6UseAlternativeDNS": false,
  "WhenPrimaryDNSAnswerNoneUse": "PrimaryDNS",
  "IPNetworkFile": {
    "Primary": "./china_ip_list.txt",
    "Alternative": ""
  },
  "DomainFile": {
    "Primary": "",
    "Alternative": "./gfwlist_domain.txt",
    "Matcher":  "regex-list"
  },
  "HostsFile": "./hosts_sample",
  "MinimumTTL": 0,
  "DomainTTLFile" : "./domain_ttl_sample",
  "CacheSize" : 0,
  "RejectQType": [255]
}

新建supervisor配置文件:

nano /etc/supervisor/conf.d/overture.conf

写入如下配置:

[program:overture]
priority=1
directory=/opt/overture
command=/opt/overture/overture -c /opt/overture/config.json
autostart=true
autorestart=true
redirect_stderr=true
stdout_logfile=/var/log/supervisor/overture.log

更新supervisor配置,查看运行状态,回显RUNNING说明正常:

supervisorctl update
supervisorctl status overture

现在修改路由器的DHCP将网关设置为这台部署Overture的机器IP即可使用这样一个去广告/防DNS污染的服务啦~

一些补充说明:

1.由于在本地有Overture分DNS解析,所以只有在GFWLIST内的域名才会由我们自建的DoT负责解析,理所当然的过滤广告也只会过滤掉这部分网站的广告,如果要想全部过滤就得把Overture的部分功能阉割掉,但阉割掉的代价是国内域名的解析速度会变慢,当然这个可以加钱解决,你有钱买台线路好的机器就可以不用分DNS解析了。

2.除了在本地可以用以外,你还可以把自己的梯子鸡,诸如V2Ray/SS这类代理工具使用的DNS也更改为Pihole的DNS,同样能达到过滤广告的效果。

3.Unbound/Pihole的DNS服务都暴露在公网,如果只想自己独享,切记不要分享出VPSIP,或者用防火墙做一下限制,避免滥用。

4.Pihole也可以部署在本地,然后在Pihole内设置上游DoH,也是一种可行的办法,但缺点是国内解析速度偏慢,方法可以参考:

https://docs.pi-hole.net/guides/dns-over-https/

查看完整帖子

分享这篇帖子


链接帖子

参与讨论

你现在可以发表并稍后注册。 如果你有帐户,现在就登录参与讨论。

游客
回复主题...

×   粘贴为富文本.   粘贴为纯文本来代替

  只允许使用75个表情符号.

×   你的链接已自动嵌入.   显示为链接来代替

×   你之前的内容已恢复.   清除编辑器

×   你无法直接粘贴图片。要从网址上传或插入图片。

登录关注  

×
×
  • 创建新的...