„DNS für Familien“: Cloudflare-App integriert Malware- und Pornofilter

In Bezug auf unbound ist Kuketz aber aktuell? Hab ich vor 2 Wochen in Verbindung mit pi-hole umgesetzt. Einfach genial!

@IchSchreiGleich: Anscheinend stehst du etwas auf dem Schlauch, wenngleich es etwas verwirrend ist, wenn man nur etwas Wissen hat, aber kein fundamentales Wissen zu Netzwerken.. Unbound muss seinerseits natürlich die Namensauflösung von anderen DNS-Servern am Anfang erfahren. Dieser kann sie aber zwischenspeichern, so dass bei weiteren lokalen Anfragen kein externer DNS-Server mehr angefragt werden muss, solange der DNS record noch lebt (kann jeder selbst beim DNS Record für die Domain eintragen, die man besitzt und deren Hauptnamensserver man konfigurieren darf).

Allerdings: Die Daten müssen irgendwie durch das Internet zum Server oder anderen Client. Das heißt, irgendwelche Dritte können auf jeden Fall sehen, wen man kontaktiert. Allerdings ändert sich das BGP immer wieder, weshalb eine Kontrolle für kleine Hosts oder Nodes oft schwer ist. Mächtige können aber das BGP beeinflussen wie z.B. Russland dies schon einmal tat (egal ob Konfigurationsfehler, aber es war so) liefen z.B. viele europäische Internetkommunikationen zu US-Server über russische Server. Das ist das Schlechte am Internet v1, dass dort viel auf Vertrauen basiert.

Steht in der Dokumentation auf der pihole Webseite

Klingt schon mal gut, läuft aber immer über VPN am Handy oder?

Danke, dass meine Beiträge hilfreich sind. Da ich mich in diesem Bereich nicht spezialisiert habe oder ein Studium habe, beschränkt sich mein Wissen auf Fundamentalwissen und aus eigenem Interesse (auch selbst kommerziell betriebenen Server) auf noch etwas weiteres Wissen (im Studium lernt man kaum Praktisches, noch nicht einmal Programmieren … erst „Softwarepraktikum“ einiges, wo man in das kalte Wasser geschleudert wird, wenn man während dem Studium kaum Zeit hatte privat sich mit Programmierung zu beschäftigens …). Aber die Kombination vermittelt etwas mehr Einblick, was ich gerne versuche auch anderen zu vermitteln.

Was ich vergaß zu erwähnen, der eigene Privat-DNS-Server mit Pi Hole und Rebound fährt bei manchen Domains nicht unbedingt zu höherer Privatsphäre. Im domain record einer Domain trägt man eine TTL (time to live) ein. Einige wie ich bei vielen Domains haben z.B. 10 min eingetragen. Nach 10 min muss (wenn es sauber konfiguriert ist) Rebound zur gleichen Domain wieder die IP-Adresse zum Namen erfragen. Wenn DANE überall genutzt wird, verhilft dies zu etwas mehr Privatsphäre (dann sieht der Provider nur verschlüsselte Anfragen und Daten (wenn Server auch verschlüsselt) und die Endpunkte, wenn diese nicht durch ein gutes VPN verschleiert wird – zumindest Verbindung zum VPN sieht der Provider weiterhin, kann aber nicht mehr zwischen Daten an unterschiedliche Hosts unterscheiden, falls der VPN-Service nicht wie viele billige VPN-Services schwere Sicherheitslücken oder zu schwache Verschlüsselungen hat). Vor allem die Domainsicherheit erhöht sich mit DANE dann drastisch (dann ist es schwieriger über ARP Domains in großen Bereichen zu kapern (wozu es auch jetzt zwar nicht unbedingt langfristig in großen Bereichen kommt, aber es kann … außer evtl. durch 3com und ähnlichen … später mehr dazu …).

Zur Frage von @“Hans Hauser“: Die Wenigsten sind mit dem Internet direkt verbunden. Damit meine ich nicht die häuslichen lokalen Netzwerke, sondern die firmeninternen Netzwerke der Provider (die parallel für ihre Mitarbeiter natürlich weitere weitestgehend abgekapselte interne Netzwerke betreiben), die ihrerseits ein Gateway in das Internet sind (eigentlich keine Server sind direkt mit dem Internet verbunden – der kleine Nachteil ist, dies kostet zwar Zeit, aber die paar Millisekunden sind vernachlässigbar und dafür sind effektive Netzwerkfirewalls möglich – daher sprechen Wissendere durch vom Netz der Netze statt Internet). Dann erst gehen die Daten an ein Backbone (dort gibt es unterschiedliche „tier levels“). Es könnte evtl. sein, dass wenn z.B. der Surfende sich über Telekom einwählt (ja, DSL ist kein Telefon und rein digital ein betriebsinternes Netzwerk, aber man muss sich mit diversen Daten anmelden, weshalb ich dies analog als Einwählen bezeichne) und Server steht im Telekom-Netzwerk, dann könnten theoretisch die Daten nur intern verlaufen. Ob es praktisch so ist, weiß ich nicht, da ich mich dort nicht spezialisiert habe und nicht weiteres spezielleres Spezialwissen aus diesem Bereich habe, was zum Teil ein Firmengeheimnis sein kann (jemand, der nicht Informatik studiert hat, sondern z.B. bei Cisco sich als Netzwerkadministrator ausbilden ließ, der weiß sicherlich in vielem vieles besser als ich – eine Immobilienfirma bat um private Hilfe bei ihrem Netzwerkproblem, das andere „PC-Supportler“ nicht lösen konnten – ich fand den Fehler nicht, aber ein Netzwerkadministrator einer Bank erkannte das Problem und es war nur ein „einfaches“ IP-Konflikt …). Bei einem der CCC Meetings erläuterte Linus Neumann, dass es sein kann, dass zum Erreichen eines Hosts in DE von einem Host, der ebenfalls in DE steht, die Daten den Umweg über die USA nehmen (als Beispiel brachte er einen Telekom-Anschluss, dessen Daten den Umweg über die US-Internetbackbone-Forma 3com nahmen – klingt unnatürlich und man könnte denken, dies sei Absicht zum Ausspionieren (NSA! ;) Verschwörungstheorien, auch wenn laut Slides von Snowden manche Theorien tatsächlich teilweise praktisch so umgesetzt wurden … aber – nein, sie wurden vermutlich unterschätzt, aber sind dennoch keine Übermacht, wie manche dies wegen Snowden nun denken, was erstaunlich viele Informatikstudenten glauben, die aber oft nur in den unteren Semestern sind – er selbst sagte in Twitter, dass er von der NSA enttäuscht ist, dass sie angeblich nicht sehen, dass er letztendlich der NSA versucht zu helfen – ich vermute, NSA hat dies zwar erkannt, aber ist natürlich egoistisch (er wird kaum noch dort helfen können) und empören sich öffentlich absichtlich weiterhin (was zum Teil auch verständlich ist), damit sie sich weiterhin als (zurecht, da sie sich zu viele Freiheiten nahmen (und leider weiterhin sogar noch mehr tun – nur durch Let’s Encrypt und weitere Techniken wird wegen dem fantastischen (indirekten) Förderer Snowden das Netz doch sicherer, denn gegen Mathematik kommt auch die NSA nicht an (siehe Folien, wo NSA behauptet „tor stinks“)) Geschädigte darstellen können), aber dies muss nicht der Fall sein, wenn man darin etwas fundamentales Wissen hat – das uns bekannte Internet läuft nur über TCP/IP und das verlangt viel vertrauen – durch eine geschickt ausgedachte Technik verteilen sich Routingtabellen – dort steht, welche IP man zu einer gewissen Zeit erreichen kann – ist 3com also sehr schnell und wird über Routingtabellen in DE bekannt, bevorzugen die Daten den riesigen Umweg über die US-Firma 3com, da sie (falls keine Hosts falsche Routingtabellen verteilen) darüber durchaus praktisch schneller sind (da auf dem direkten Weg z.B. nur langsame Internetleitungen sind))).

*verzeiht, falls Klammerung nicht ganz korrekt*

Wow! Nochmal vielen Dank für Deine ausführlichen Infos. Jetzt verstehe ich auch die Diskussionen um diese Themen besser und kann etwas konkreter einschätzen, welche Sicherheitsvorkehrungen für mich als Privatperson sinnvoll sein könnten.