Software-update: Technitium DNS server 14.2

Technitium DNS Server is een opensource DNS-server met uitgebreide mogelijkheden, die kan worden gebruikt om ad- en malware buiten de deur te houden en je privacy te beschermen. Het is daarmee vergelijkbaar met Pi-hole en AdGuard Home. De software is beschikbaar voor Windows, Linux, macOS en Docker en is eenvoudig op te zetten en in gebruik. Versie 14.2 uitgekomen en sinds versie 14.0.1 zijn de volgende veranderingen en verbeteringen aangebracht:

Version 14.2

• Fixed bug in Clustering implementation which prevented using IPv4 and IPv6 addresses together.
• There is also a breaking change in clustering and thus all cluster nodes must be upgraded to this release to avoid issues.
• Updated the "Allow / Block List URLs" option implementation to support comment entries.
• Advanced Blocking App: Updated app to implement blockingAnswerTtl option to allow specifying the TTL value used in blocked response.
• Log Exporter App: Updated the app to add EDNS logging support.
• MISP Connector App: Added new app that can block malicious domain names pulled from MISP feeds.
• Multiple other minor bug fixes and improvements.

Version 14.1

• Updated Clustering implementation to allow configuring multiple custom IP addresses. This introduces a breaking change in the API and thus all cluster nodes must be upgraded to this release for them to work together.
• Fixed issues related to user and group permission validation when Clustering is enabled which caused permission bypass when accessing another node.
• Fixed bug that caused the Advanced Blocking app to stop working.
• Added environment variables for TLS certificate path, certificate password, and HTTP to HTTPS redirect option.
• Updated Hagezi block list URLs.
• Other minor changes and improvements.

Versienummer	14.2
Releasestatus	Final
Besturingssystemen	Linux, macOS, Windows 8, Windows 10, Windows 11
Website	Technitium DNS Server
Download	https://technitium.com/dns/
Licentietype	GPL

Reacties (32)

[PsiTweaker]

Hé, deze ken(de) ik nog niet.

Zou het iets voor Tweakers zijn om deze 3 ( of zijn er nog meer ) ad- en malware software pakketten te testen en te vergelijken ???

[thamaster88]

Ik denk niet dat dit heel veel zin heeft.

Ad/malware wordt geblokkeerd op basis van lijsten die openbaar op internet staan. Ze doen alle 3 dus hetzelfde. Blokkeren van Ad/malware op basis van lijsten.

Het zal dus gaan om de functies eromheen. En ik weet niet of je daar een heel artikel mee vol krijgt.

[JPB02]

Een soort .geek artikel over lokale DNS sinkholes, servers etc zou wel kunnen denk ik. Waarin basisfuncties en doelen worden uitgelegd, met extra uitleg over, bijvoorbeeld, gezaghebbende (authorative klinkt toch beter) en recursieve functies van DNS, DoH en alle andere afkortingen die vaak rondgeslingerd worden.

Hier zou uiteindelijk een vergelijking en keuzeproces gemaakt kunnen worden tussen services als PiHole, AdGuardHome en Technitium (en andere minder bekende opties). Welke opties grotere platforms zoals bijvoorbeeld Unifi, Omada, OpenWRT en OPNSense hebben en een aanwijzing hoe je daar een lokale server instelt of zo'n service integreert.

Sinds de 3 services nogal verschillen qua functionaliteit (en gebruiksgemak n.m.m.), van simpel naar geavanceerd; PiHole, Adguard, Technitium zou er een vergelijking gemaakt kunnen worden wat je nodig hebt om ze aan elkaar gelijk te stellen. Technitium heeft recursief ingebouwd, adguard heeft daar Unbound voor nodig als 'externe' service en of er verschil zit in snelheid daartussen. Of hoe je bepaalde dingen instelt; Ik vond rewrites bij Adguard heel makkelijk maar kostte me best veel tijd om dit uit te vogelen bij Technitium

Je zou tests kunnen uitvoeren door in een geisoleerde omgeving de services met dezelfde bloklijsten een aantal queries te geven om throughput te meten (kan even niks beters verzinnen)

(Heb verder nog niet veel verstand van dit onderwerp maar zou hier best aan willen bijdragen met een opzet voor zoiets)

[Reactie gewijzigd door JPB02 op 24 november 2025 18:02]

[GeroldM]

Zou zeker in zo'n artikel geinteresseerd zijn. Beter dan door mezelf door AI slop te wurmen voor meer kennis op dit gebied.

[JPB02]

Zou je nog andere dingen willen weten?

Gebruik zelf AdGuardHome, had het al een paar jaar draaien met weinig aanpassingen maar laatst toch maar is een paar avonden de configuratie ingedoken en toen ook Technitium als backup DNS (soort van) ingesteld. Goeie motivatie om daar een paar avonden mee bezig te gaan en wat te documenteren ook als het geen artikel wordt. Kan dat op het forum plaatsen als het klaar is

[nullbyte]

Het is denk ik wat afhankelijk van je hardware maar ook van je kennis en het gemak van installatie. Als je een raspberry pi hebt, gebruik dan voor gemak een pihole. Heb je een ander servertje in de meterkast met b.v. proxmox gebruik dan Technitium maar ook AdGuard werkt prima. Al is het ook prima mogelijk om Technitium in een container op een pi te draaien, of direct op de harware als je geen docker kennis hebt.

Technitium is een volledige recursive dns resolver, deze doet dus zelf dns queries bij de root en tld servers. AdGuard Home en pihole zijn geloof ik dns forwarders en fiters. Voordeel van Technitium is dat je dus geen resolver meer nodig hebt zoals : Je ISP, 8.8.8..8 (Google) 1.1.1.1 (Cloudflare), Quad9 enz. Met name handig in de VS waar je ISP jouw dns requests doorverkoopt. Maar voor privacy redenen is het overal ter wereld bruibaar. DNS requests worden namelijk niet standaard versleuteld met TLS mee en zeggen enorm veel over de gebruiker: Welke sites bekijk je? waneer? Wanneer ben je thuis? Wanneer op vakantie? enz

Verder gebruiken ze de zelfde blocklists. UIteindelijk zal het niet heel veel verschil maken wat je gebruikt.

[Reactie gewijzigd door nullbyte op 25 november 2025 10:42]

[jvwou123]

ik ben bijvoorbeeld wel benieuwd welke het snelst reageert, en bij hoeveel requests per seconde hij door de hoeven gaat. PiHole heeft b.v. hun Faster Than Light (FTL) server, maar die ging met de helft van het aantal verzoeken/seconden al door de knieen dan een zelfs gemaakte (in golang, met de lib van MiekG) DNS Filter. (nee ik ga daar geen code van delen: 1: de code is gemaakt voor werk, 2: het is een chaos qua code).

Dus als er een vergelijking is tussen de 3 op snelheid, dan zou dat leuk zijn. En dan niet de idle snelheid, want ik geloof dat ze dan allemaal net zo snel zijn. Maar met name: wat gebeurt er als je, en veel lijsten er in hebt zit, en je hebt veel gebruikers?

[dss58]

Ik gebruik pihole al jaren en nog nooit performance problemen gehad.
Daarbij komt dat pihole extern draait op een raspberry pi en op je computer hoef je niks te installeren, hangt verder een beetje af hoe je de boel hebt geconfigureert of je de computer je DNS laat wijzen naar pihole of in je modem, met dat laatste zit je complete netwerk achter pihole en werkt fantastisch goed is mijn ervaring.

[iqcgubon]

De clustering feature van Technitium werkt wel heel erg goed! Bij Pihole moet je toveren met backups en restores om er 2 in sync te houden. Bij Adguard is het een platte yaml file om te kopiëren. Maar Technitium is een echte volwaardige cluster met 1 management UI voor alle servers.

Ik ben wel fan. Ook al ziet het er niet zo gelikt uit.

[lenwar]

Er is ook nog ‘blocky’. Die is het snelste van allemaal.

Er zijn wel heel veel YouTube filmpjes met vergelijkingen, dus ik denk dat het niet zoveel toevoegt als Tweakers ook weer eenzelfde artikel gaat doen met dezelfde resultaten. Ook een feature-vergelijking voegt niet zoveel toe. Daar zijn er ook al zat van.

(Blocky heeft geen web-interface. Er zijn wel wat derde partijen die een webinterface hebben gemaakt, maar dat stelt niet zoveel voor)

[MrRobot]

Getest in een docker container, alleen is het de 1e image die mijn gehele docker omgeving om zeep helpt.

Skillissue, dat zeker, maar wel vreemd.

[lenwar]

Ik heb zelf maar heel weinig ervaring met Docker, maar ik kreeg hem niet goed werkend icm IPv6. (zal aan mij liggen.) Ik heb hem dus maar direct op de hardware geïnstalleerd, en dan werkt alles prima.

[pennywiser]

Jij gebruikt deze dus ipv Pihole of Adguard, hoe bevalt deze dan?

[lenwar]

Ik was altijd fan van AGH. (Pihole ondersteund geen native DoH en zo). Technitium praat ook native DoH (en de rest)

Maar nu dus dit. Dit product is met een ‘echte DNS-server/recursor’ qua onderhoud. Je hebt wat meer low-level bezig. AGH heeft een redelijke abstractielaag, en met dit ben je meer met DNS-zones beschot en dat soort zaken.

Niet ‘beter’ als DNS-sinkhole, maar gewoon anders, meer nerdy 😁.

[pennywiser]

Wat zit er achter als DNS server dan, Bind? Moet je deze bv zelf updaten? https://www.internic.net/domain/named.root

[lenwar]

Nee, het is een ‘zelfgeschreven’ DNS-server. Het is geschreven in .NET. (Wat je dus ook kunt draaien op Linux. e.d. - de installer neemt dat mee.)

De root-hints worden in updates van het product bijgehouden. Als je zelf een secundaire root-zone nodig hebt, kun je die configureren via de web interface.

Je kunt uiteraard ook zelf een primaire root-zone maken en bijhouden als je dat fijner vindt.

[WeiserMaster]

ik kreeg hem niet goed werkend icm IPv6.

Hoe heb je het netwerk gedeelte ingericht?

Hier werkt het prima met dual stack IP, en IPV6 ULA. Een docker container op Truenas SCALE en twee keer een proxmox LXC, met een keepalived VIP.

Veel gefriemel, veel beperkingen van de TrueNAS software. En onverwachte dingen met het keepalived gedeelte. Maar als het eenmaal werkt dan werkt het echt goed.

[lenwar]

Ik heb het op een pi draaien. Die pi had toen alleen een GUA (ondertussen nu ook een ULA, speciaal voor de DNS-server). Ik weet niet meer precies hoe ik die container uiteindelijk configureerde, maar ik het was een hoop gedoe tot en met het niveau dat de routing table op de pi ook geraakt werd.

En toen was ik het zat. (Ik doe verder niets met containers.) Daarna installeerde ik het direct op de pi, en toen werkte het prima. Dus geen probleem meer. 😁

[GeroldM]

Heb deze draaien in een LXC container binnen mijn Proxmox omgeving. Daar werkt het als een tierelier.

Docker neemt toch zelf een heleboel netwerk configuratie/beheer over, zodat de gebruiker zijn/haar kop niet hoeft te breken daarover? Dat zou wel eens kunnen "bijten" met de functionaliteit van elke DNS server, niet specifiek de Technitium DNS software.

Docker, met hun netwerk-gesteggel, introduceren het fenomeen 'Double NAT' op een server in je netwerk. Meestal gaat dat wel goed, maar niet altijd en vaak ook nog eens sporadisch. En dan maakt 'Double NAT' het leven van de trouble-shooter flink wat vervelender.

LXC in Proxmox doen dit niet. Mijn (bare metal) OPNSense router+firewall functioneert ook als DHCP server. Daarin heb ik enkele computers aan een statisch adres gekoppeld. Nu krijgen deze computers altijd hetzelfde adres waar ik ze ook aansluit in mijn netwerk. Met Technitum DNS heeft iedere computer een naam. Combinatie werkt zeer stabiel.

Hier in Zuid-Amerika will de stroom nog wel eens uitvallen, maar dan is het nu dus simpelweg computers aanzetten nadat de DHCP service is gestart en alles werkt meteen weer. Binnen 2 tot 3 minuten draait alles in het netwerk weer.

Configuratie-bestanden van zowel router als DNS server zijn al eens gebruikt om de router en DNS server opnieuw op te bouwen (want backups dien je nu eenmaal echt te testen). En dat werkte ook meteen zonder alteveel poespas.

Of ik met hetzelfde gemak een gelijkwaardige en betrouwbare setup in Docker voor elkaar krijg, daar heb ik geeneens zin in. Docker is een leuke oplossing voor veel problemen. Maar dus niet alle problemen. En DNS is nooit een probleem, totdat het zo'n beetje altijd het probleem is.

[nullbyte]

Werkt prima in een ubuntu VM op proxmox via een nginx reverse proxy. Ik heb een docker compose van 16 regeltjes, dns poortjes, poortje webinterface, en 2 bind mounts. De proxy is alleen nogig omdat ik meer containers op de vm heb.

[TheToolGuy]

Nog Beter zou zijn:

Een rule in je firewall/router kunnen zetten die ALLE poort 53 aanvragen afvangt en langs 1 van deze 3 DNS-servers stuurd ...

Er zijn steeds meer applicaties die hardcoded DNS-servers gebruiken en dus 1 van deze 3 DNS-servers omzeilen...

(Mijn Ubiquiti hardware kan dit gewoon.)

[Reactie gewijzigd door TheToolGuy op 24 november 2025 18:11]

[BliXem]

Prima zo in te stellen op opnsense/pfsense: https://labzilla.io/blog/force-dns-pihole.

[Barreljan]

Das een complexe truc Ik heb op opnsense gewoon 1.1.1.1 en 8.8.8.8/8.8.4.4 en nog en paar (ook die van apple) gewoon als simpel Virtual-IP (ip-alias) op m'n LAN interface. Op de firewall draait Unbound op alle interfaces (WAN is dicht uiteraard) en tada?

Deze DNS oplossing kende ik in ieder geval nog niet, al is het ook geopperd; het hangt af van de blocklists. In Unbound via opnsense is dat eenvoudig, set and forget. Maar dat is voor een home env prima.

[lenwar]

Die ‘truc’ is gewoon een DNAT. Het is exact hetzelfde als ‘een port openen’ vanaf het internet naar een service in je lan. (Maar dan omgekeerd).

Consumentenrouters hebben dit abstract gemaakt door het ‘een poort openen’ te noemen 😊

Je ip-alias doet voor jou wat het moet doen, maar goede kans dat er steeds meer diensten komen die hun eigen name servers configureren om DNS-sinkholes te omzeilen, en die mis je dan met ip-aliassen.

[Barreljan]

Je ip-alias doet voor jou wat het moet doen, maar goede kans dat er steeds meer diensten komen die hun eigen name servers configureren om DNS-sinkholes te omzeilen, en die mis je dan met ip-aliassen.

Dat klopt. Daar heb je gelijk in maar die kom ik dan wel tegen, aangezien er een filter rule uitgaand staat (deny tpc/udp 53 + log).

[lenwar]

Dan is die DNAT denk ik een handigere methode. Dan vang je alles af, en je logt het in je DNS-server

[nullbyte]

Technitium is zijn eigen recursive DNS resolver en heeft geen 1.1.1.1, 8.8.8.8 of whatever nodig.

[Barreljan]

Ja dat is waar, maar ik refereerde naar de devices die hardcoded DNS ip-adressen erin gesteld hebben staan. Bijv. een Chromecast

[TheToolGuy]

Of je Chrome browser ...

[lenwar]

Iedere firewall/router kan dit. Het is gewoon een DNAT-regel.

De enige eventuele beperking is dat de webinterface van niet alle consumentenrouters die functie niet ontsluiten op die manier, die kant op. (Het is technisch hetzelfde als ‘een poort openen’ naar binnen toe, maar dan andersom.

[TheToolGuy]

Correctie:

Iedere professionele router kan DNAT (=door de gebruiker te configureren.)

Met zo'n KPN 12 modem/router kun je dit bijvoorbeeld niet.

[lenwar]

DNAT-regels kunnen ze wel allemaal, alleen maar beperkt. (Een ‘poort openzetten’ naar een van je computers is ook een DNAT-regel, alleen zie je dat niet in de interface 😊).

Maar oké, iets anders verwoord. Iedere iets chiquere router kan het. Zelfs die van ubiquity. Al heeft dat een tijd niet gewerkt, in de overgang van Vyayta/edgeos naar UnifiOS.