Software-update: Adguard Home 0.105.0

Adguard Home versie 0.105 is uitgekomen. Met deze software kan er thuis een dns-server worden opgezet om zo onder meer advertenties en malware te blokkeren op het gehele netwerk. Het is daarmee dus vergelijkbaar met Pi-hole. Adguard Home werkt op een machine met Windows, macOS, Linux of FreeBSD en is ook in staat om tegen phishing te beschermen en heeft het parental control. Op ons eigen forum kan over het programma worden gediscussieerd. De releasenotes voor deze uitgave zien er als volgt uit:

AdGuard Home v0.105.0

We took our sweet time with this update, but you'll most certainly find it to be worth the wait. The changelog contains three absolute bangers and a laundry list of lesser changes.

Client ID support for DNS-over-HTTPS, DNS-over-QUIC, and DNS-over-TLS (#1387)

This feature would be really useful to those of you who run an encrypted DNS resolver on a public server. In short, you can now identify your devices not just by their IP address (which is, frankly, not too useful in a public server scenario), but by using a special "Client ID".

Here's how it works:

1. First, you add a client and specify an arbitrary string as its "Identifier", for instance, my-iphone.
2. On the client device you can now configure:
   • DNS-over-HTTPS: https://example.org/dns-query/my-iphone
   • DNS-over-TLS: tls://my-iphone.example.org (requires a Wildcard certificate)
   • DNS-over-QUIC: quic://my-iphone.example.org (requires a Wildcard certificate)
3. Queries and stats are now properly attributed to your device.

AdGuard as a DNSCrypt-resolver (#1361)

DNSCrypt was the very first DNS encryption protocol that got some traction. It may not be as popular as DoH/DoT/DoQ now, but it is still viable. Moreover, performance-wise DNSCrypt is better than any of them. And now that v0.105.0 is out, AdGuard Home can be configured to work as a DNSCrypt resolver!

However, here goes the tricky part. We haven't yet exposed these settings to the Web admin panel so if you want to have DNSCrypt, you'll need to follow this instruction and do it via editing the configuration file (AdGuardHome.yaml). Not that it would scare you off, would it?

Regarding DNSCrypt clients - AdGuard for Android, Windows and iOS support it, Mac will get its support pretty soon. Besides that, here is a long list of client software that supports it as well.

$dnsrewrite and $dnstype modifiers (#2102 #2337)

AdGuard Home now supports two more powerful rule modifiers that will help blocklists' maintainers.

• $dnstype lets you narrow down the rule scope and apply it only to queries of a specific type(s). For instance, Apple devices now support HTTPS DNS query type. While being generally a good thing, this new type may sometimes be harmful. By using $dnstype you can block it completely using a simple rule like this: $dnstype=HTTPS
• $dnsrewrite is another powerful modifier that allows you to modify DNS responses. Note that this modifier is much more powerful compared to something like a hosts file.

  Here are some examples:

  • ||example.org^$dnsrewrite=SERVFAIL;; - return SERVFAIL for example.org and all it's subdomains
  • |test.example.org^$dnsrewrite=NOERROR;TXT;hello_world - add a TXT record for test.example.org
  • |example.org^$dnsrewrite=example.com - redirect example.org to example.com
  • |example.org^$dnsrewrite=1.1.1.1 - redirect example.org to example.com
  • You can find more examples in the documentation.

Added

• Added more services to the "Blocked services" list (#2224, #2401).
• ipset subdomain matching, just like dnsmasq does (#2179).
• The host checking API and the query logs API can now return multiple matched rules (#2102).
• Detecting of network interface configured to have static IP address via /etc/network/interfaces (#2302).
• A 5 second wait period until a DHCP server's network interface gets an IP address (#2304).
• HTTP API request body size limit (#2305).

Changed

• Access-Control-Allow-Origin is now only set to the same origin as the domain, but with an HTTP scheme as opposed to * (#2484).
• workDir now supports symlinks.
• Stopped mounting together the directories /opt/adguardhome/conf and /opt/adguardhome/work in our Docker images (#2589).
• When dns.bogus_nxdomain option is used, the server will now transform responses if there is at least one bogus address instead of all of them (#2394). The new behavior is the same as in dnsmasq.
• Post-updating relaunch possibility is now determined OS-dependently (#2231, #2391).
• Made the mobileconfig HTTP API more robust and predictable, add parameters and improve error response (#2358).
• Improved HTTP requests handling and timeouts (#2343).
• Our snap package now uses the core20 image as its base (#2306).
• New build system and various internal improvements (#2271, #2276, #2297, #2509, #2552, #2639, #2646).

Deprecated

• Go 1.14 support. v0.106.0 will require at least Go 1.15 to build.
• The darwin/386 port. It will be removed in v0.106.0.
• The "rule" and "filter_id" fields in GET /filtering/check_host and
  GET /querylog responses. They will be removed in v0.106.0 (#2102).

Fixed

• Autoupdate bug in the Darwin (macOS) version (#2630).
• Unnecessary conversions from string to net.IP, and vice versa (#2508).
• Inability to set DNS cache TTL limits (#2459).
• Possible freezes on slower machines (#2225).
• A mitigation against records being shown in the wrong order on the query log page (#2293).
• A JSON parsing error in query log (#2345).
• Incorrect detection of the IPv6 address of an interface as well as another infinite loop in the /dhcp/find_active_dhcp HTTP API (#2355).

Removed

• The undocumented ability to use hostnames as any of bind_host values in the configuration. Documentation requires them to be valid IP addresses, and now the implementation makes sure that that is the case (#2508).
• Dockerfile (#2276). Replaced with the script scripts/make/build-docker.sh which uses scripts/make/Dockerfile.
• Support for pre-v0.99.3 format of query logs (#2102).

Versienummer	0.105.0
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, Windows 8, Windows 10
Website	Adguard Team
Download	https://github.com/AdguardTeam/AdGuardHome/wiki/Getting-Started#installation
Bestandsgrootte	10,15MB
Licentietype	GPL

Reacties (27)

[iAR]

Fijne software. Ik heb het geïnstalleerd ter vervanging van pi-hole.
Voordeel is ook dat je kant en klare diensten kunt aanvinken en blokkeren. Daar zouden er wel meer van bij mogen.
Nadeel? Het werkt een beetje verslavend: doordat je niet helemaal weet of alle trackers (algemeen, maar bijvoorbeeld ook van mijn Android tv) worden geblokkeerd, voel ik de behoefte om meer en meer lijsten te installeren. AdGuard zou wat mij betreft meer van die kant en klare services mogen toevoegen. Denk aan smart tv’s of domotica.
Ads zijn voor mij ondergeschikt, hoewel de heavy shit wil ik liever ook niet.

[JorisM]

NextDNS biedt deze functie.
https://tweakers.net/foto...tlqh09xjiIHgp6yUj7Jnz.png

NextDNS is sowieso een aanrader. Biedt o.a.:

- Threat Intelligence Feeds
- Google Safe Browsing
- Bescherming tegen cryptojacking
- Bescherming tegen DNS-rebinding
- Bescherming tegen IDN-homografische aanvallen
- Bescherming tegen typosquatting
- Bescherming tegen domein generatie algoritmen (DGA's)
- Blokkering nieuw geregistreerde domeinen (NRD's)
- Blokkering geparkeerde domeinen

[jcbvm]

Nextdns is zeker een goed alternatief voor als je zelf geen zin hebt om een server te draaien. Het kost alleen wel geld, niet veel maar toch.

[JorisM]

De gratis versie biedt naar mijn idee al behoorlijk wat

- 300,000 queries/month
- Unlimited devices
- Unlimited configurations
- Access to all features

Ik denk dat de gemiddelde gevorderde internetgebruiker of gezin niet snel aan de 300.000 queries per maand komt. Of je moet een specifieke use case hebben waarin veel of dubbele queries gedaan worden. Anders kun je ook lokaal cachen, scheelt weer upstream DNS lookups

Dat je voor dit soort diensten incl. bijbehorende gebruiksvriendelijkheid + gebruikersinterface moet betalen zie je steed vaker. Adguard bijvoorbeeld (dus niet AdGuard Home, maar de client) vraagt inmiddels ook geld voor de uitgebreidere filtermogelijkheden.

[jcbvm]

Als ik naar mijn eigen gebruik kijk, zie ik al iets van 50.000 requests per dag in mijn huis voorbij komen, dan zit ik binnen een week al op de 300.000. Dit komt met name door veel dubbele dns requests van verschillende types (A, AAAA, HTTPS etc.)

[DeTjuk]

Nextdns werkt prima en is met de de duidelijk uitleg relatief simpel in te stellen.

De 300.000 queries per maand zit je echter zomaar aan is mijn ervaring. Dit met slechts twee volwassenen, 1 pc, 1 laptop, 2 mobieltjes, NAS/server, 1 shield, 1 chromecast audio, 2 wireless ap, x aantal IoT devices (voornl. stopcontacten en lampen). Naar mijn idee niets bijzonders en waarschijnlijk heeft de gemiddelde tweaker meer netwerk apparatuur staan.

Niks mis mee, want als je voor gemak gaat en wilt betalen is dit prima oplossing. Voor mij ben ik weer terug bij AdGuard Home.

[DeeD2k2]

Ik overweeg ook om AGH (of pi-hole) aan mijn netwerk toe te voegen. Precies om dit soort ellende te blokkeren. In hoeverre bestaan hier (standaard) blocklists voor? Ik wil namelijk wel betrouwbare banners geserveerd krijgen; liever reclame dan betalen voor sites met euro's of mijn gegevens...

[lenwar]

Er zijn er een aantal.
Je hebt
EasyPrivacy - die probeert tracking tegen te gaan
ublock-abuse - heeft een lijst met domeinen die je CPU-cycles proberen te stelen
ublock-badware - heeft een lijst met domeinen met malware en dergelijke
URLhaus - heeft een lijst met 'schadelijke' sites - https://gitlab.com/curben/urlhaus-filter

Dus niet concreet wat NextDNS aanbiedt, maar ik denk dat als je deze drie lijsten zou gebruiken dat je een heel end moet komen.

[Deem]

https://abp.oisd.nl/ toevoegen aan je blocklist en je bent eigenlijk wel klaar.

[JorisM]

Edit: Dubbelpost.

[Reactie gewijzigd door JorisM op 24 juli 2024 23:28]

[iAR]

Die draait al! Maar omdat het allemaal toch redelijk onzichtbaar gebeurt voelt het niet volledig veilig. Zeker met de opties die nextdns biedt, in de post van @JorisM voelt het dedicated secure, zeg maar. Maar goed, ik hoef geen online service. AdGuard voldoet prima.

[JorisM]

De OISD lijst wordt grof gezegd ook weer opgebouwd uit een verzameling blocklists. NextDNS gebruikt volgens mij dezelfde blocklists, en anders kun je de OISD blocklist als lijst toevoegen bij NextDNS.

Ik zou ze in combinatie met elkaar gebruiken:
- OISD voor een compleet pakket aan geblokkeerde domeinen (en whitelisted domeinen om te voorkomen dat legitieme / niet storende stoppen met werken).
- NextDNS voor het gemakkelijk beheren en zelf bepalen van wat er precies geblocked en gewhitelist wordt. Plus dat een en ander makkelijk aan te vinken is.

Veel van dit soort DNS diensten (Quad 9, Cloudflare etc.) bieden grotendeels dezelfde inhoud van blocklists aan volgens mij. Het is maar net waar je precies naar op zoek bent, of voor wie/wat je het in wilt gaan zetten. Daarnaast: Wil je een 'set-it-and-forget-it' oplossing, of kies je voor iets wat je actief in de gaten wil houden en er continu wijzigingen op door wilt voeren.


Afgaande op een kant-en-klare oplossing & om makkelijk inzicht, zekerheid en de mogelijkheid om het makkelijk op je eigen wensen aan te kunnen passen te hebben is in mijn ogen NextDNS de beste oplossing

[DeTjuk]

Deze dus. Werkt prima en is erg compleet. Wordt bijgehouden door iemand die hier op tweakers ook actief is, als ik me niet vergis. Weet alleen niet meer wie.

[Ramon]

Ik heb pihole geprobeerd maar soms werkt een website niet en het enige wat je dan kon doen was of gaan uitzoeken wat je dan moest gaan allowen wat soms een heel gedoe was, of heel pihole tijdelijk uitschakelen (waarbij het dan makkelijk is om vergeten in te schakelen weer) dus ik zie eigenlijk weinig voordeel boven de combinatie ublock origin en privacy badger, waarbij je heel makkelijk per site en per tracker kan aangeven of je ze wilt toestaan. Of doet adguard home hier iets waardoor het in zulke situaties wel een handige optie is?

[TheCeet]

Grootste voordeel vind ik persoonlijk dat je IP van AdGuard Home server kan instellen op jouw router en dan heeft helemaal jouw thuis netwerk het voordeel van 'filtering' dat al het 'slechte' niet doorkomt.
Indien een website het niet doet was er wel een manier om dit via cmd te weten te komen in welke adlist deze zit. Maar weet het commando niet meer.
Moet wel zeggen dat ik weinig/geen sites tegen kom die niet werken door mijn adlists. Ik heb wel 1 domein moeten whitelisten want anders startten de video's van VTM Go niet.
Meer info voor de geïnteresseerden: https://customerservice.v...t-af-Wat-kan-er-mis-zijn-
Bij AdGuard Home heb je ook een query log en kan je filteren op geblokkeerde queries, en dan moet je nog altijd beetje trail-and-error spelen.

Zoals je zelf zegt Ublock Origin blijft fantastisch op desktop > zeker voor YouTube ads, wat niet kan geblockt worden via DNS niveau.

Ikzelf kom van Pi-hole en voor mij ziet AdGuard Home er toch wat beter uit en simplistischer.

[MDXTweaker]

• Grootste voordeel vind ik persoonlijk dat je IP van AdGuard Home server kan instellen op jouw router
• Bij AdGuard Home heb je ook een query log en kan je filteren op geblokkeerde queries

Beide zaken kunnen toch ook in PiHole? Ik zie nog geen reden om over te stappen

[Reactie gewijzigd door MDXTweaker op 24 juli 2024 23:28]

[lenwar]

AGH biedt een paar zaken die Pi-Hole vooralsnog niet biedt. Of je die zaken belangrijk vindt is persoonlijk natuurlijk

- Interne DoH-server (dus tussen je browser/software/client en je interne DNS-server)
- Externe DoH-server zonder extra software (dus dat je DoH praat naar bijvoorbeeld cloudflare)
- Standaard SSL-configuratie voor de webinterface zonder dat je in config-bestandjes hoeft te hacken
- Onder Linux kan je hem zonder root-rechten draaien (met setcap) Dat zou je in principe met alle software kunnen doen. Al kan sommige software dan wat vreemd reageren. AGH kan het in elk geval wel

Ik vind persoonlijk de interne DoH een fijn idee. Ik ben van mening dat alle telecommunicatie tussen computers versleuteld moet zijn. Ook binnen m'n eigen LAN. Het maakt het voor potentiele malware die ergens op m'n netwerk draait net allemaal wat moelijker. Daarnaast heb ik ook allerlei domotica-spul in huis waar ik geen controle over heb. Die draaien weliswaar in aparte vlans, maar dit geeft net een wat fijner gevoel.

[MDXTweaker]

De DoH server klinkt wel interessant! Ik heb nginx draaien als reverse proxy zodat verschillende servers met certificaat via https beschikbaar zijn, ook intern. Als ik het goed begrijp zou ik dat dan kunnen laten vervallen? Of heb ik dat mis? Verder heb ik gezien dat het op mijn router (Edgerouter Lite) kan worden geïnstalleerd zodat ik mijn pi weer ergens anders voor kan inzetten

[lenwar]

Niet helemaal.
DoH versleuteld het DNS-verkeer. Dat staat dus los van het https-verkeer.
Je gebruikt dus een SSL-certificaat voor DoH en een certificaat voor je reverse proxy. Door DoH te gebruiken maak je het dus onmogelijk (of op z'n minst moeilijker) dat malafide apparaten in je LAN meeluisteren met het DNS-verkeer.

Er is inderdaad een voorgecompileerde versie voor MIPS64. Dit is overigens nog een voordeel van AGH. Het is één losse binary met een configuratiebestand. Je hebt dus geen afhankelijkheden van het besturingssysteem. (geen libraries e.d.). Het is volledig platform-onafhankelijk.

[JorisM]

En niet te vergeten DNSCrypt voor interne hosts

Doen ze al een tijdje voor de upstream DNS, nu nog (met een volgende release?) voor intern met een makkelijk instelbare GUI.

[TheCeet]

Ik zeg niet dat men moet overstappen.
De situatie ken ik ook niet, ik weet gewoon dat sommigen handmatig DNS server instellen bij Windows settings. Vandaar mijn uitleg.

[satya]

Met nextdns heb je de functionaliteit overal waar je gaat. Op je foon of laptop stel je DOH in, en je hebt er nergens opkijken meer naar. Je kunt per device zelfs een profiel aanmaken, zo houd ik werk en privé bv gescheiden.

[crazyboy01]

Bij mij was VTM Go inderdaad ook de enige site waar ik last had van AdGuard, maar daarbij moet ik wel opmerken dat ik exact hetzelfde probleem had met non-DNS blockers als Ublock Origin. Volgens mij is daar sinds de vernieuwde site gewoon geen mogelijkheid om videos af te spelen zonder dat je eerst een reclame hebt afgespeeld. Ik spoel de reclames nu maar gewoon door met een andere Chrome extensie, maar tips van anderen zijn welkom want de reclames zijn aardig lang...

[TheCeet]

Je moet

*.anvato.net

whitelisten.
Maar de reclame blokken lukt bij mijn weten niet.

[afterburn]

Je kunt elke willekeurige DNS server instellen op je router. Dat is niet een probleem. Wat veel hinderlijker is als je AdguardHome of Pi-Hole wilt gebruiken, is dat Google het nodig vind om in Android hun eigen DNS op 8.8.8.8 hardcoded in de netwerk settings te zetten. Dus ik wordt gedwongen om truken uit te halen om alle queries op port 53 naar 8.8.8.8 te re-directen naar mijn locale DNS. NIet eens om advertenties te blokken, maar alleen al om DNS van lokale adressen te laten werken omdat Google het nodig vind om de DNS die via DHCP wordt meegegeven niet te respecteren.

[Raymond Deen]

Dat vind ik ook zwaar irritant inderdaad, maar Google is niet de enige die hier de fout in gaat.
Dat wordt de volgende strijd, het herrouteren van dns-verkeer dat onwenselijk is naar jouw ingestelde dns-server.

[thijsjek]

Ik nu inderdaad ook alles op port 53 redirect naar adguardhome om dezelfde reden.
Nu heb ik ook port 853 DNS over TLS open gezet voor de android toestellen waar adguardhome.mijndomein.nl als private DNS ingesteld staat. Dus gaat nu ook 4G DNS requests over thuis.