Ich habe noch eine Frage.
Gibt es eine Möglichkeit die "Du geblockt von Pi-Hole, Massafagga!" Seite im "IP" Blockingmodus für HTTPS Aufrufe gangbar zu bekommen? Mich ärgert, daß ich das nur bei HTTP so sehen kann. Wäre ECHT nützlich, weil 99% vom Netz sind nun Mal HTTPS heutzutage, auch jene, die unerwünschte Inhalte servieren.
In der [Pi-Hole Doku] finde ich dazu leider nichts.
Muß ich hierzu nur den lighthttpd mit HTTPS gangbar machen? Oder wie?
Danke!
Hm. Du würdest ja aus Verschlüsselungssicht damit praktisch einen Man-in-the-Middle-"Angriff" ausführen. Also zumindest würde ich erwarten, dass Dein Browser meckert, weil das Zertifikat nicht valide ist.
Ob/wie man den Pi-hole so konfigurieren kann, dass es überhaupt funktionert, weiß ich nicht. Ich selbst bin wieder weg vom IP-Modus zum NULL-Modus, weil der einfach wesentlich schneller ist.
Der Speed ist mir nicht so wichtig. Mein Netz sucked sowieso. 
Ich will nur die Unterscheidung machen können.
Bei HTTPS stellt sich die Frage.. ich will ja im Fall des Blocks mit dem Zielserver gar nicht erst sprechen. Der DNS Request ist sowieso unverschlüsseltes UDP oder TCP zu einem völlig anderen Server. Wenn sich Pi-Hole auf dieser Ebene zu einem Block entscheidet, spielt HTTPS praktisch betrachtet doch keine Rolle mehr, weil sowieso keine entsprechende, sichere Verbindung mehr aufzubauen ist. Korrigiere mich wenn ich falsch liege, aber ich verstehe das so:
Mein Pi wird dann natürlich im Fall eines Blocks ein Zertifikat anbieten, das nicht zum ursprünglichen Host paßt. Jeder vernünftige Browser wird jetzt rot aufleuchten. Das ist aber keine Injection, kein MITM. Ich biege nur die Verbindung auf einen falschen Host um, ohne das TLS an sich aufzubrechen. Klar ist, der Pi würde hier mein selbsterzeugtes Zertifikat anbieten, mit zwei Problemen: Hostname Mismatch und self-signed. Aber, wenn ich mir das "problematische" Zert im Browser ansehe und erkenne daß es mein selbst erzeugtes ist, dann kann ich dem Zert hier für alle Hosts vertrauen. Ist ja mein Zert auf meinem Pi in meinem LAN, und die Funktion ist mir bekannt, und ich vertraue meinem eigenen System in dem Kontext.
Sprich: Ich sehe hier keine Injection, weil ich als Nutzer das (technisch falsche) Zertifikat präsentiert bekomme, und auf dessen Basis entscheide, es zuzulassen. Also kein "Avast Problem", weil mir ja keine trusted CA unwissentlich untergejubelt wird.
Ist da irgendwo ein Denkfehler bei mir?
Genau so habe ich es gemeint. Ja, MITM passt nicht richtig, weil er sich gar nicht mehr mit dem eigentlichen Zielhost verbindet, also nicht "in der Mitte" steht. Aber das weiß dein Client ja nicht. Er merkt nur, da gibt sich jemand als example.com aus, hat aber kein Zertifikat, was auf diese Domain ausgestellt ist.
In der Praxis frage ich mich gerade noch: kann man denn ein Zertifikat pauschal für alle Domains als vertrauenswürdig akzeptieren? Ansonsten würdest Du bei jedem Aufruf einer (neuen) geblockten Domain wieder die Zertifikatswarnung bekommen und erst aufwändig prüfen/freigeben müssen.
In der Praxis frage ich mich gerade noch: kann man denn ein Zertifikat pauschal für alle Domains als vertrauenswürdig akzeptieren? Ansonsten würdest Du bei jedem Aufruf einer (neuen) geblockten Domain wieder die Zertifikatswarnung bekommen und erst aufwändig prüfen/freigeben müssen.
Das wird eben mMn nicht gehen. Dafür müsste das Zertifikat inkl privatem Schlüssel in den Store der trusted CAs importiert werden.
Das habe ich implizit so angenommen, daß das nicht geht. Wäre aber auch ok so, also für mich zumindest. Für den Nutzer kann das wohl lästig werden, aber ich hätts halt gern ausprobiert. Scheinbar lösen die Leute im Netz das aber nicht mit einer Rekonfiguration des Webservers, sondern mit irgendwelchen Firewallregeln... muß ich mir noch anschauen.
OK, so sollte es gehen - aber dann sehe ich keinen Mehrwert.
Wenn ich erst bei jedem Block Zertifikate akzeptieren/speichern muss, um dann die blockseite zu sehen - dann kann ich auch einfach ein NULL-Blocking machen und im Zweifel hab ich eh im Bauchgefühl, dass es am Pihole liegt und kann da nachschauen.
Nicht direkt zu PiHole, sondern generell zu RPi und verwandten Systemen, aber ich wußte noch nicht daß sowas wie TRIM mittlerweile auch mit SD Karten geht:
# fstrim -v /
/: 20.6 GiB (22070943744 bytes) trimmedGrade nach'm x265 Benchmark mein 16GiB Swapfile deaktiviert und gelöscht und dann so versucht ein TRIM (oder ERASE) abzusetzen. Laut Spezifikationen gibt's das nämlich auch bei SD, und es scheint in der Tat zu funktionieren!
Macht Linux das jetzt auch auf SD Karten schon laufend von selber, so wie bei SSDs? Oder muß man hier wirklich noch per Hand hinlangen, so wie ich es gerade Mal gemacht habe? Mein Dateisystem ist ext4, Kernel ist 5.10.17-v8+.
Ich kann deine Frage leider nicht beantworten, aber um TRIM hab ich mir bei meinem PiHole noch nie Gedanken gemacht und der läuft seit gut 4 Jahren ziemlich ununterbrochen, ebenfalls auf einer SD Card. (siehe Anleitung: Pi-hole DNS Junk-Filter fürs Web auf Beaglebone (powered via USB))
Auf Dauer isses eh (fast) egal, also von der Leistung her, weil da wohl ned viel I/O passieren wird. Nur grade wenn du drauf swappst (so wie beim Benchmark), dann hilft es halt wohl, wenn der Speicher halbwegs schnell schreiben kann. So der Gedanke. Und es müßte ja auf lange Sicht auch die SD Karte weniger abnutzen, wenn man TRIM'ed.
Wobei 4 Jahre eh schon gut klingen, wenn in der Zeit keine Schäden aufgetreten sind bei der SD. Btw.: Beaglebone in Weiß, nette Optik.
Hab zwischenzeitlich eine neue SD Karte eingesetzt (die alte war 8Jahre+) und ein Downgrade auf einen PI 1 mit 256MB Ram gemacht.
Alles läuft ohne Probleme...
Ich muß endlich irgendwelche Sekundäreinsatzgebiete für meinen Pi4 finden, echt. Der langweilt sich mit PiHole alleine...
Ich bin mir sicher daß sind alles sinnvolle Vorschläge. Leider ist meine IT Existenz etwas.. speziell. 
WebDAV habe ich schon, aber ich verwalte diese Sachen eigentlich über meinen Mailserver. Firefox Sync Server wäre echt gut, aber ich hab' halt auch Palemoon (Linux) & MyPal (XP x64) laufen, die können damit sicher nicht. Und ich verwende keine Bookmarks, sondern multiple tabbed SpeedDials (Ein Opera 12 Nutzer läßt grüßen). Sync per FTP. Urscheiße, aber najo, es funzt.
Was ist Node-RED? Noch nie im Leben gehört. Muß ich Mal nachlesen was das ist.
Ich dachte an einen nginx HTTPS Reverse Proxy für meinen Webserver, aber leider ist das Backend wohl zu alt dafür...
So, Fun Fact am Rande. Mit zig Blocklisten (inkl. Windows Telemetrie) bin ich ja auf ~3.6 Millionen geblockter Hosts.
XP x64 ist nach wie vor mein primärer Web Client, also Chat, Mail, HTTP/HTTPS und so weiter. Wenn ich rumsurfe, dann darauf, via voll gepatchtem Palemoon Backport (aktuell MyPal). Man mag darüber denken was man will.
Auf Windows 10 laufen eigentlich nur Spiele (Steam, Epic) und hin und wieder surfe ich auch drauf, um relevante Informationen zu einem von mir aktiv gespieltem Spiel zu finden, einfach weil es simpler ist als per KVM rüberzuwechseln. Aktuell steht da Subnautica: Below Zero hoch im Kurs (da sind bisher keine Blocks dabei, Wiki und so). Generell möchte ich aber sagen, daß geschätzt wohl ca. 95% meiner interaktiven Aufrufe (HTTPS, IMAPS, SSH, FTP+S, was auch immer) nach wie vor auf XP x64 stattfinden. Also die, wo ich selbst aktiv was abrufe. Dahingehend finde ich die Blockstatistiken von Pi-Hole recht amüsant:
Man sollte anmerken, daß ein klarer Großteil der Hosts im Win10 Fall auf *.microsoft.com und *.live.com entfallen. Ich habe recht weit zurückgeblättert und konnte eigentlich nichts finden, was nicht MS Datensammlerei (so nenne ich es Mal) gewesen wäre.
Notiz: Ein Kumpel hat einen Win 2003 Server laufen, mit PiHole als DNS. Der ist in den Stats noch nicht Mal aufgetaucht bei ihm (er hat sonst auch nur Win10 als Client dran). "lol"?
Ein echt guter Effekt von Pi-hole, dass man einen Eindruck darüber bekommt...
Was mich interessieren würde: ist das bei Dir eine "normale" Win10-Installation, oder hast Du in Sachen Datenschutz schon Dinge abgestellt / eins dieser einschlägigen "Windows10-Shutup-Tools" verwendet?
Gut daß du mich dran erinnerst. Ich habe auf dem Host den Windows 10 Decrapifier und auch O&O ShutUp10 drüberlaufen lassen. Allerdings ist das schon etliche Feature Releases her, daher kann es gut sein, daß diese größeren Updates einiges an Telemetrie wieder reaktiviert oder neu ins System gebracht haben. Sollte ich vielleicht Mal wieder machen.
Was mir noch auffällt: Es gibt immer noch zig Blocks durch Adblock Plus im Browser, auch durch Disconnect. Je nach Webseite halt, aber jo. Ich weiß nur schön langsam nicht mehr welche Blocklisten ich noch dazustopfen sollte.
Welche Listen nutzt du? Hab meine schon ewig nicht mehr erweitert und wäre für Anregungen dankbar.
Liste unten anbei. Zu beachten sei aber, daß ich mich nicht weiß Gott wie genau bei jeder informiert habe. Nur bei der oisd.nl habe ich etwas mehr nachgelesen. Ich habe also größtenteils einfach blind nach Blocklisten gesucht und so gut wie alles reingesetzt was ich finden konnte. Sind trotzdem "nur" 3.6 Millionen Hosts.
Ich denke ich bin eher der, der Anregungen braucht.
https://dbl.oisd.nl/
https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts
https://www.technoy.de/lists/blocklist.txt
https://www.technoy.de/lists/Session-Replay.txt
https://www.technoy.de/lists/Suspicious.txt
https://www.technoy.de/lists/fake-streaming.txt
https://www.technoy.de/lists/malware2.txt
https://adaway.org/hosts.txt
https://v.firebog.net/hosts/AdguardDNS.txt
https://v.firebog.net/hosts/Admiral.txt
https://raw.githubusercontent.com/anudeepND/blacklist/master/adservers.txt
https://s3.amazonaws.com/lists.disconnect.me/simple_ad.txt
https://v.firebog.net/hosts/Easylist.txt
https://pgl.yoyo.org/adservers/serverlist.php?hostformat=hosts&showintro=0&mimetype=plaintext
https://raw.githubusercontent.com/FadeMind/hosts.extras/master/UncheckyAds/hosts
https://raw.githubusercontent.com/bigdargon/hostsVN/master/hosts
https://raw.githubusercontent.com/jdlingyu/ad-wars/master/hosts
https://raw.githubusercontent.com/w13d/adblockListABP-PiHole/master/Spotify.txt
https://raw.githubusercontent.com/r-a-y/mobile-hosts/master/AdguardMobileAds.txt
https://raw.githubusercontent.com/anudeepND/youtubeadsblacklist/master/domainlist.txt
https://v.firebog.net/hosts/Easyprivacy.txt
https://v.firebog.net/hosts/Prigent-Ads.txt
https://gitlab.com/quidsup/notrack-blocklists/raw/master/notrack-blocklist.txt
https://raw.githubusercontent.com/FadeMind/hosts.extras/master/add.2o7Net/hosts
https://raw.githubusercontent.com/crazy-max/WindowsSpyBlocker/master/data/hosts/spy.txt
https://hostfiles.frogeye.fr/firstparty-trackers-hosts.txt
https://hostfiles.frogeye.fr/multiparty-trackers-hosts.txt
https://www.github.developerdan.com/hosts/lists/ads-and-tracking-extended.txt
https://raw.githubusercontent.com/Perflyst/PiHoleBlocklist/master/android-tracking.txt
https://raw.githubusercontent.com/Perflyst/PiHoleBlocklist/master/SmartTV.txt
https://raw.githubusercontent.com/Perflyst/PiHoleBlocklist/master/AmazonFireTV.txt
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/Win10Telemetry
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/MS-Office-Telemetry
https://raw.githubusercontent.com/PolishFiltersTeam/KADhosts/master/KADhosts_without_controversies.txt
https://raw.githubusercontent.com/FadeMind/hosts.extras/master/add.Spam/hosts
https://v.firebog.net/hosts/static/w3kbl.txt
https://raw.githubusercontent.com/matomo-org/referrer-spam-blacklist/master/spammers.txt
https://someonewhocares.org/hosts/zero/hosts
https://raw.githubusercontent.com/vokins/yhosts/master/hosts
https://winhelp2002.mvps.org/hosts.txt
https://raw.githubusercontent.com/RooneyMcNibNug/pihole-stuff/master/SNAFU.txt
https://v.firebog.net/hosts/BillStearns.txt
https://hostsfile.org/Downloads/hosts.txt
https://www.joewein.net/dl/bl/dom-bl-base.txt
https://v.firebog.net/hosts/Kowabit.txt
https://adblock.mahakala.is
https://www.stopforumspam.com/downloads/toxic_domains_whole.txt
https://raw.githubusercontent.com/CamelCase11/UnifiedHosts/master/hosts.all
https://raw.githubusercontent.com/mitchellkrogza/Badd-Boyz-Hosts/master/hosts
https://raw.githubusercontent.com/mitchellkrogza/The-Big-List-of-Hacked-Malware-Web-Sites/master/hacked-domains.list
https://raw.githubusercontent.com/blocklistproject/Lists/master/scam.txt
https://gitlab.com/quidsup/notrack-blocklists/raw/master/notrack-malware.txt
https://raw.githubusercontent.com/blocklistproject/Lists/master/malware.txt
https://raw.githubusercontent.com/blocklistproject/Lists/master/ransomware.txt
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/Phishing-Angriffe
https://raw.githubusercontent.com/hectorm/hmirror/master/data/eth-phishing-detect/list.txt
https://phishing.army/download/phishing_army_blocklist_extended.txt
http://phishing.mailscanner.info/phishing.bad.sites.conf
https://raw.githubusercontent.com/blocklistproject/Lists/master/phishing.txt
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/spam.mails
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/crypto
https://zerodot1.gitlab.io/CoinBlockerLists/list.txt
https://zerodot1.gitlab.io/CoinBlockerLists/list_browser.txt
https://zerodot1.gitlab.io/CoinBlockerLists/list_optional.txt
https://raw.githubusercontent.com/RPiList/specials/master/Blocklisten/easylist
https://raw.githubusercontent.com/deathbybandaid/piholeparser/master/Subscribable-Lists/CountryCodesLists/Germany.txtAlter Schwede. 66 Listen? Das muss ja ne Stunde dauern, die zu updaten. Ich hab 31 Listen und das dauert schon. Aber ich komme damit auf 4.4 Mio Domains.
Meine Listen:
https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts
http://sysctl.org/cameleon/hosts
https://s3.amazonaws.com/lists.disconnect.me/simple_tracking.txt
https://reddestdream.github.io/Projects/MinimalHosts/etc/MinimalHostsBlocker/minimalhosts
https://v.firebog.net/hosts/static/w3kbl.txt
https://adaway.org/hosts.txt
https://v.firebog.net/hosts/AdguardDNS.txt
https://raw.githubusercontent.com/anudeepND/blacklist/master/adservers.txt
https://v.firebog.net/hosts/Easylist.txt
https://pgl.yoyo.org/adservers/serverlist.php?hostformat=hosts;showintro=0
https://v.firebog.net/hosts/Easyprivacy.txt
https://v.firebog.net/hosts/Prigent-Ads.txt
https://gitlab.com/quidsup/notrack-blocklists/raw/master/notrack-blocklist.txt
https://raw.githubusercontent.com/crazy-max/WindowsSpyBlocker/master/data/hosts/spy.txt
https://s3.amazonaws.com/lists.disconnect.me/simple_malvertising.txt
https://bitbucket.org/ethanr/dns-blacklists/raw/8575c9f96e5b4a1308f2f12394abd86d0927a4a0/bad_lists/Mandiant_APT1_Report_Appendix_D.txt
https://v.firebog.net/hosts/Prigent-Malware.txt
https://v.firebog.net/hosts/Prigent-Phishing.txt
https://gitlab.com/quidsup/notrack-blocklists/raw/master/notrack-malware.txt
https://v.firebog.net/hosts/Shalla-mal.txt
https://zerodot1.gitlab.io/CoinBlockerLists/hosts
https://gist.githubusercontent.com/BBcan177/2a9fc2548c3c5a5e2dc86e580b5795d2/raw/2f5c90ffb3bd02199ace1b16a0bd9f53b29f0879/EasyList_DE
https://hosts.netlify.app/Pro/hosts.txt
https://mkb2091.github.io/blockconvert/output/domains.txt
https://raw.githubusercontent.com/DataMaster-2501/DataMaster-Android-AdBlock-Hosts/master/hosts
https://block.energized.pro/ultimate/formats/domains.txt
https://hosts.oisd.nl/
https://raw.githubusercontent.com/tankmohit/UnifiedHosts/master/hosts.all
http://malwaredomains.lehigh.edu/files/immortal_domains.txt
https://block.energized.pro/spark/formats/hosts
https://adblock.mahakala.is/
