如何配搭adgurd home 实现全局拦截广告

[Copox]

不久前 @onlyfirer提供homeproxy+adguardhome+mosdns 去广告思路
adguadhome监听53端口
Dnsmasq随便改个非53端口
mosdns监听5335 并 将 Dnsmasq 域名解析请求转发到 MosDNS 服务器
adguadhome 上游dns指向mosdns 的 5335
homeproxy 这边是自定义路由模式 并内置一堆封锁广告规则,默认dns服务器为国内dns

问题来的,照搬以上思路,结果adguadhome这边完全没法监控所有连接,于是乎adguadhome的广告规则均不命中,毕竟都没监控到
举个例子,假如访问某个网站A,A命中了adguadhome封锁规则,结果应该是没法访问才对,查询adguadhome日志发现请求记录压根就没有A网站.结果顺利访问到A网站.adguadhome沦为摆设

那么到底该如何配搭adguadhome实现全局拦截广告呢?

本人做了以下改动
把adguadhome作为Dnsmasq的上游服务器,Dnsmasq改回53端口,homeproxy这边的广告规则停用,完全依赖adguadhome
这样adguadhome就能顺利处理所有dns请求(才怪),查询日志有命中规则的记录,于是乎nslookup A网站,结果是封锁的,也就是说adguadhome有干活的.奇怪的事情来了,不知道什么原因该封锁跟没封一样,A网站还是能够访问.

homeproxy 自定义路由模式的DNS机制不是很懂,
该如何在homeproxy前处理dns广告拦截请求呢?

[muink]

1. dnsmasq 保持默认配置
2. 在 /var/dnsmasq.d/ 目录下建立 adguadhome.conf (其他名字也行, 但要保证名字在目录里的首位)
   内容填入

no-poll
no-resolv
server=127.0.0.1#<adguadhome的dns端口>

3. 然后重启 dnsmasq
   这样 dnsmasq 自身无法解答的所有 dns 请求都会转发给 adguadhome
4. adguadhome 上游指定 127.0.0.1:<mosdns_port>
5. mosdns 的可信上游指定为 127.0.0.1:<hp_trusted_port:-5333> 和 其他(hp 停止时使用)

另外 SB-1.10.0 支持直接使用 adguad 规则生成 rule-set

[muink]

需要补充一点的是 如果应用程式不是向上级网关发起 dns 请求, 而是向公网 dns 服务器发起请求
这种类似 dns 投毒的方式就不起作用, 需要在网关上劫持所有 dns 流量, 这点 hp 已经做到了 (标准 53 端口)

刚刚看你又发了新内容 待我看看再回复你

[muink]

因为我不使用 adguadhome 和 modns 没法推断你那是什么情况

但我还是能给你些自测的方法:

• 检查 dns block 是否生效: nslookup www.baidu.com 或 dig www.baidu.com, www.baidu.com 换成需要屏蔽的网站的域名
• 检查网站是否还能访问: curl -Li "123" 123 换成需要屏蔽资源的完整 url

[Copox]

经过一段时间观察与自查

1.是目标设备DNS缓存导致拦截失效,清除缓存解决问题.
2.目前发现Microsoft Edge这款基于Chromium内核的浏览器会无视AD规则,属于浏览器功能,可能一些基于Chromium都出现这种现象,估计是某种浏览器内置的DNS劫持造成的.对比firefox没有这种功能.至于如何关闭仍在调查中.

[muink]

也有可能是浏览器用 DoH 解析 这种流量就没法劫持
只能在浏览器端安装屏蔽规则

[Copox]

对,或许能解释到为啥nslookup等一系列操作与实际情况相反的现象:明明nslookup A网址 成功返回拦截结果,但浏览器这边却依旧能正常访问A网址
清除系统dns缓存只能解决一部分,某些网站👉(HP里头负责直连那些),就会被Microsoft Edge浏览器本身的机制给劫持,导致不管有没有AD的作用,这些网站通通都无视AD拦截规则

至于Hp 这边的端口的作用不是很了解

1. 5333端口的作用是什么,该端口是不是指向Hp的默认DNS服务器?

2. 5331的作用是什么?
3. 5334是china_dns的端口,自定义路由模式应该不会用到这个吧?

[muink]

5333是hp缺省的可信dns监听端口
5331是hp的TCP流量监听端口，所有劫持的TCP流量都会来到这(Redirect TCP 模式)
是否冲突参考 /etc/config/homeproxy 'infra' 段的定义

[arfaWong]

我直接在防火墙规则配置端口转发进行 dns 拦截，53 端口的 dns 请求转到 adguardhome 的 端口，直接绕过 dnsmasq 了。

[muink]

不建议这么做
局域网段内设备的解析都是dnsmasq在做的
比如把 host my-PC 转换为 192.168.1.111

[arfaWong]

用上面你们讨论的方法，有内网域名解析不出来的问题。
假设域名是 abc.com，这个域名用公网 dns 解析 ip 是 4.4.4.4，adguardhome 使用重写解析为 5.5.5.5。

dig abc.com，没有返回结果，但是 adguardhome 有查询日志。
dig abc.com @127.0.0.1 -p adguardhome端口，返回结果 5.5.5.5。

而且 /var/dnsmasq.d/adguadhome.conf 配置的优先级好像没有 homeproxy 动态创建的那个配置高。

[arfaWong]

把这个不勾选就好了😂😂

[muink]

...
adguadhome 还返回私有ip啊
直接返回不存在的域名不就成了

[LoogCP]

我最近也想弄广告屏蔽，我的思路是这样的，
AdGuardhome监听52端口，重定向设置为none，所有广告屏蔽规则都交给AdGuardhome处理
homeproxy使用自定义路由，dns设置为127.0.0.1:52

我还没测试这个能行不，我自定义路由一直有问题，会导致homeproxy一直重启，我还得先把这个解决了才行

[LoogCP]

那你直接帮我排除了一个错误途径，哈哈
支持ad大多数规则是啥意思，直接在homeproxy里面的规则集里添加AdGuard的规则吗？

[LoogCP]

adblock-fast这个直接基于Dnsmasq屏蔽广告，但是我每次用一段时间就会有一些国内网站无法访问，比如逼乎，➕白名单都没用

[Copox]

那你直接帮我排除了一个错误途径，哈哈 支持ad大多数规则是啥意思，直接在homeproxy里面的规则集里添加AdGuard的规则吗？

这是sing-box未来的功能,直接识别AD的拦截广告规则(大部分) 可以看看sing-box官网说明→这里,以后拦截广告这功能完全由sing-box接管, AD可以洗洗睡了

[Copox]

在sing-box这边已经早早有人这样混搭AD用,结果失败,从结果来看,sing-box貌似没法处理本地DNS服务,这不是HP的问题

[muink]

首先 sing-box 它就不是个 DNS 服务器而是转发器。它自身不能提供解析结果。
其次，上例的配置文件完全就是写错的。sing-box docker 里指定 127.0.0.1:5335，127.0.0.1 是啥，是本机环回地址
也就是 docker容器 内部，那怎么可能访问到 AD。至少也得写个宿主机的 IP

[muink]

@Copox
之前有个忘了说，要把这个开起来

http://192.168.1.1/cgi-bin/luci/admin/network/dhcp -> Resolv & Hosts Files -> Strict order

dnsmasq才会严格按照顺序去请求上游服务器
否则无法预期dnsmasq接收到dns请求会转发给哪个上游

[Copox]

这是要配合你之前在/var/dnsmasq.d/目录 那个方案吗?

[Copox]

话说能不能直接在HP生成的redirect-dns.conf里头直接加上AD DNS 5300? 这样

no-poll
no-resolv
server=127.0.0.1#5300
server=127.0.0.1#5333

这样就保证AD 的dns在前头了

[muink]

可以但是 redirect-dns.conf 会在 hp 重启时被覆盖

[7461151]

我是adgurd home用53好端口替代 本机的dns服务器。 然后adgurd home 的上游填写127.0.0.1：5333. 这样adgurd home在正常工作的， 但是我不知道这样设置有没有什么弊端