Ontwikkelaars zoeken bètatesters voor Pi-Hole v6 met allowlistabo's en Https

De ontwikkelaars van advertentiebloksoftware Pi-Hole beginnen een bètatest voor versie 6 van de tool. Die laat al lang op zich wachten, maar lijkt er nu definitief te komen. Pi-Hole v6 krijgt onder andere allowlistabonnementen en een Https-verbinding voor de webinterface.

De ontwikkelaars van de software zijn op zoek naar bètatesters. De makers zeggen alleen gebruikers te zoeken die weten waar ze mee bezig zijn, omdat het niet zomaar mogelijk is terug te gaan naar v5. De makers willen zich nog niet wagen aan een definitieve releasedatum. Ze zeggen dat er nog veel werk verzet moet worden om een stabiele release uit te brengen.

Gebruikers van de populaire software om advertenties te blokkeren, wachten al lang op de aankondiging van v6 van Pi-Hole. Versie 5.0 kwam in 2020 uit, maar sindsdien gingen er voornamelijk geruchten rond over een toekomstige versie zonder dat daar veel over bekend werd.

In Pi-Hole v6 zijn onder andere de php- en lighttpd-dependencies verwijderd. In plaats daarvan maakt v6 gebruik van civetweb als webserver. Volgens makers maakt dat de installatie een stuk kleiner. Een door gebruikers veelgevraagde functie die wordt toegevoegd aan de tool, is de mogelijkheid om te abonneren op allowlists van andere gebruikers. Verder worden ook de verschillende instellingsbestanden samengevoegd tot een individuele file.

Een andere belangrijke toevoeging is dat de FTL-component, bedoeld om de realtimestatistieken weer te geven, voortaan zelf de Https-verbinding gaat regelen. Dat is ook nodig, omdat lighttpd dat in eerdere versies deed, maar nu komt er native ondersteuning voor. Andere kleine aanpassingen in v6 zijn het feit dat de Docker-image voortaan op Alpine is gebaseerd en daarmee kleiner wordt en wordt de paginaopstelling in de querylog voortaan serverside gedaan waardoor de logs sneller moeten laden op oude hardware.

De makers schrijven weinig over visuele aanpassingen in de webinterface. Het enige dat daarover bekend is voor v6 is het feit dat bepaalde instellingen voortaan worden ingedeeld in drie verschillende interfaces. Die heten Basic, Advanced en Expert.

Reacties (40)

[smerko]

Voor degene die het willen proberen in docker, de tag is:

development-v6

[Luchtbakker]

Wat zijn jullie ervaringen met Pi-Hole ten opzichte van AdGuard (Home)? Want als ik lees wat Pi-Hole nu pas toevoegt, terwijl Adguard dat al lang al had....

[Reactie gewijzigd door Luchtbakker op 22 juli 2024 18:07]

[lenwar]

In de basis zijn het beiden DNS Sinkholes met dezelfde basisfunctionaliteiten.

Pi-hole is een suite aan applicaties (een webserver, een php-installatie, een gepatchte dnsmasq server en een zwik briljante scripting om de boel aan elkaar te breien).
Adguard Home is een losse binary met één configuratiebestand zonder verdere afhankelijkheden. Je kan AGH in principe op alle hardware draaien waar het is voor gecompileerd. (Inclusief routers, die veelal MIPS64-cpu’s hebben) AGH is een van de grond af gemaakte applicatie die alle functionaliteit van Pi-Hole heeft en nog wat meer. AGH ondersteund DoH (en DoT/DoQ/enz, enz, enz) en heeft onder andere zaken als ‘enkele-klik’ blokkades voor bepaalde diensten als Facebook/X/enz. Deze kun je inroosteren of voor specifieke agents blokkeren of niet.

[Church of Noise]

Lijkt me een zeer correcte beschrijving. Ik zou ook niet zeggen dat de een of ander beter is, er zijn gewoon een aantal verschillen en elk heeft voorstanders.

Het begint wel een beetje afgezaagd te worden dat bij elke update/nieuwsitem dit terug boven komt ...

[lenwar]

Dat ben ik helemaal met je eens. Iedere update van Pi-Hole komt deze vergelijking weer.

Persoonlijk vind ik AGH het betere product vanwege de native DoH functionaliteit en het feit dat het veel en veel kleiner/simpeler is (in de vorm van dat het niet een halve Linux-distro vereist (gechargeerd natuurlijk ). Ik ben een groot voorstander van alles te versleutelen. Ook binnen je eigen LAN.

DNS is typisch genoeg zo’n beetje de laatste stap om al je internetverkeer te versleutelen. Het voelt raar dat we de absolute basis van het verkeer als laatste doen.

[Hans1990]

[Reactie gewijzigd door Hans1990 op 22 juli 2024 18:07]

[RobertMe]

Leuk verhaal. Maar de vraag was PiHole vs Adguard (Home). En ook ADG is een DNS level ad-blocker met dus in de basis dezelfde voor en nadelen als PiHole.

Echter ondersteund als ik het goed gezien heb ADG wel DoT & DoH (DNS over TCP / HTTPS). En daardoor kan ADG ook DNS requests die via die route verlopen blokkeren. Iets dat PiHole dus niet kan zoals je zelf al aangeeft. Of in ieder geval niet out of the box. Er zijn tutorials te vinden hoe je Lighttpd, dat PiHole als webserver gebruikt, zodanig kunt aanpassen dat DoH werkt. Maar dat is uiteraard absoluut niet supported.

Daarnaast is ADG bij mijn weten een op maat gemaakt product specifiek voor deze usecase. PiHole is een samenraapsel van (open source) software dat je kunt inzetten hiervoor. Voor het DNS verhaal wordt DNSMasq gebruikt (waar ook de gratis en voor niks ingebakken DHCP server vandaan komt). De webinterface is volgens mij in PHP gemaakt (/het backend dan), en als webserver wordt da Lighttpd gebruikt.

En installeren is PiHole ook nogal uhm, apart, in. Onder Linux moet je hun installatie script draaien en updaten middels het "up" subcommando. Alleen doet die doodleuk onder Debian een "apt update" draaien en daarmee op zijn minst de repository status van het systeem aanpassen. Waarbij vast ook weer überhaupt system packages worden geïnstalleerd of geüpdate. Bij PiHole moet je dus een script draaien dat aanpassingen aan het systeem doet waar je geen weet van hebt en geen invloed op hebt. De enige optie waarop ik PiHole dan ook durf(de) te draaien is middels Docker, zodat het mijn systeem niet aanpast / aantast. Vergelijk dat met ADG. Geprogrammeerd in Go, en het volledige product zit vervolgens verpakt in één executable die je zo van de website kunt downloaden en uitvoeren, geen installer script of niks voor nodig. En updaten kan door simpelweg een nieuwe versie te downloaden.

Zelf draai ik overigens het kleine / onbekende Blocky. Geen webinterface of niks want daar kijk ik toch nooit naar. En erachter zit Unbound als recursive DNS resolver (geen vereiste voor Blocky, en ook PiHole wordt vaak gedraaid samen met Unbound). Maar eigenlijk moet ik nog steeds kijken hoe Unbound direct als DNS level ad-blocker in te zetten. Want ook dat kan,n scheelt weer het draaien (en onderhouden) van additionele software. En AFAIK ondersteund Unbound ook DoT & DoH, zowel aan de "server" als aan de "client" kant (dus respectievelijk voor binnenkomende queries vanaf systemen in het netwerk als voor de uitgaande queries die dus geforward worden).

[init]

Blocky kende ik nog niet. Vanwaar de keuze hiervoor t.o.v. AGH/Pihole?

[RobertMe]

Waarom ik geen PiHole gebruik is denk ik wel duidelijk Wel aantal jaren via de Docker container gedraaid overigens.
En daarnaast voor zowel PiHole als ADG is dat ze zoals aangegeven beide relatief zware producten zijn. Web interface, statistieken / ... die verzameld worden voor fancy grafieken. En ik kijk er echt nooit naar. Vandaar gekeken naar iets lichters, dat dus echt puur als DNS server dienst doet. Blocky ondersteund wel een Prometheus metrics API endpoint als ik mij niet vergis, dus als ik zou willen kan ik dat laten uitlezen, in de categorie "right tool for the job".

En Blocky ondersteund dezelfde blocklists als PiHole (& neem aan ADG). Dus tsja, waarom dan niet voor een alternatief gaan dat effectief v.w.b. daadwerkelijk blokkeren exact hetzelfde doet? Maar als het goed is wel een lager CPU / memory / ... gebruik heeft als voordeel.

[init]

Bedankt voor je reactie. Ziet er uit als een interessant product. Zal het binnenkort eens uitproberen.

[bonyuri]

AdGuard gebruikt bij mij ongeveer 150Mb in een Docker container. Wat gebruikt Blocky dan?

[deHakkelaar]

Er kloppen een boel zaken niet in je relaas:
1) Pi-hole v6 is maar 1 binary net zoals ADG home;
2) Een "apt update" installeert geen packages en verandert ook niet de "status van het systeem";
3) Het update script maakt geheel geen "aanpassingen" aan je systeem;
4) Pi-hole is/was modulair zodat je zelf kon beslissen ofdat je deze met een web daemon wilt draaien (eigen keuze web daemon en PHP);
5) Met alleen Unbound om te blokkeren heb je geen fancy webGUI, een "long term database" met DNS verzoekjes, een API speciaal toegespits voor de taak of DHCP server;
6) De pihole-FTL binary kun je ook downen en uitvoeren zonder installatie script;
7) Pi-hole is helemaal niet "zwaar" of zoals ze zelf zeggen "you can run Pi-hole on a potato".

Een NUC VM:

$ grep 'model name' /proc/cpuinfo
model name : Intel(R) Core(TM) i3-7100U CPU @ 2.40GHz
model name : Intel(R) Core(TM) i3-7100U CPU @ 2.40GHz

$ ps -C pihole-FTL -o %cpu
%CPU
0.8

Of op m'n Raspi 1B:

$ grep 'model name' /proc/cpuinfo
model name : ARMv6-compatible processor rev 7 (v6l)

$ ps -C pihole-FTL -o %cpu
%CPU
0.8

[Reactie gewijzigd door deHakkelaar op 22 juli 2024 18:07]

[mikkelnl]

Ik denk dat je adguard als plug-in/extensie ziet maar @Luchtbakker doelt denk ik op de adguard Home versie die precies hetzelfde doet als pihole vwb netwerk breed adblocking.

Ik gebruik beide in een docker op mijn nas, en adguard voelt lichter en blokkeert dezelfde dingen. Pihole is iets mooier misschien maar kom zelden op de webinterface.

[Hans1990]

[Reactie gewijzigd door Hans1990 op 22 juli 2024 18:07]

[lilmonkey]

Ah, daar was ik niet bekend mee. Ik ben iemand die de OSS alternatieven om armt, en derhalve niet zo bekend met de commerciele alternatieven.

Wederom sla je de plank mis: https://github.com/AdguardTeam/AdGuardHome

[Pompiedom]

Mooie uitleg Hans, maar ik vermoed dat @Luchtbakker de Adguard applicatie bedoeld die net als pihole ook in docker gedraaid kan worden. Ik maak daar ook al langere tijd gebruik van en voelde me met name door de gelikte interface van Adguard aangetrokken.

[MallePietje]

Het is een beetje appels met peren vergelijken.

Adguard is een browser add on om voor een specifieke browser advertenties te blokkeren.

Pihole vervangt de ingestelde dns server van je netwerk. Daarmee blokkeer je voor alle apparaten (ook smart tv's e.d.) en applicaties op je netwerk bepaalde advertentie domeinen. (Voor zover ze worden gebruikt met een dns naam. En buiten je netwerk doet het dus niets)

[Luchtbakker]

Adguard is een browser add on om voor een specifieke browser advertenties te blokkeren.

Ik heb Adguard draaien op een pi, en heb de DNS daarop ingesteld. Het krijgt dus al het verkeer en filtert.

[lilmonkey]

AdGuard Home is een alternatief voor Pi-hole.

AdGuard (het primaire product) is een systeembrede (Windows, MacOs, Android, iOS) blocker op basis van een lokale VPN of proxy-server.

AdGuard Content Blocker is een browser-extensie.

[MallePietje]

O ja, ik zie het. Dan is er weinig verschil denk ik. Adguard is een commercieel product en pihole open source. En ongetwijfeld wat feature details.

[lilmonkey]

AdGuard Home is ook open source: https://github.com/AdguardTeam/AdGuardHome

[Yggdrasil]

Jij denkt aan de browser extensie. Er is echter ook de Adguard Home DNS resolver die je bijv als Docker container kunt draaien op je NAS om net als Pi-hole te filteren.

[lenwar]

AdGuard is een applicatie je op Windows of MacOS (of iOS/Android) kan draaien. Er is ook een browser-extensie die vergelijkbaar is met uBlock Origin. Ook is er AdGuard Home, wat net als pi-hole een DNS Sinkhole is.

https://adguard.com/nl/welcome.html Adguard for Windows/Mac/iOS/Android
https://adguard.com/nl/ad...r-extension/overview.html Adguard browser extensie
https://adguard.com/nl/adguard-home/overview.html Adguard Home

[MrMonkE]

mijn ervaring was dat pi-hole niet voldeed. Weet niet meer waarom.. maar ik heb dus adguard draaien. Nooit omkijken naar gehad.

[Asterion]

Ik ben van Pi-Hole overgestapt naar Adguard om weer over te stappen naar Pi-Hole.

Waarom? Bij Pi-Hole kan je groepen aanmaken waarin je clients kan toevoegen.
Per adblock-list kan je dan weer kiezen welke groep actief moet zijn op deze lijst.

Bvb mijn mediaspeler staat in een aparte groep omdat een bepaalde stream-app van een tv zender reclame bevat. Wordt deze geblokkeerd worden de video's ofwel niet afgespeeld ofwel terug vanaf het begin als er geen reclame kan afgespeeld worden.
Deze groep is dus minder streng op reclame dan de groep waar mijn laptop zit.

Deze functie heb ik in Adguard niet gevonden, vandaar de overstap.

[Cowamundo]

Maar… kan pihole nu al eens youtube adds blokkeren?

[RobertMe]

Neen, en dat zal het ook niet kunnen. Een DNS level adblocker kan geen advertenties blokkeren die van hetzelfde domein worden geserveerd als de hoofd content. En bij Google zijn ze natuurlijk slim genoeg om de videos en de advertenties "op dezelfde server" (/onder hetzelfde domein) te plaatsen. Echter zijn daar ook gewoon oplossingen voor, zoals alternatieve YouTube clients/apps die de advertenties niet afspelen / blokkeren (op Android TV bv SmartTube / SmartTube Next). Waarbij er ook nog een community gedreven "SponsorBlock" project is waarbij gebruikers kunnen aangeven welke stukken in de echte video reclame zijn (dus de "deze video wordt mogelijk gemaakt door ..."), waarna bv dus SmartTube automatisch deze stukken over slaat in de video. En hetzelfde voor intros, fillers, outros, "like and subscribe", ...

[Reactie gewijzigd door RobertMe op 22 juli 2024 18:07]

[crazyboy01]

En natuurlijk niet te vergeten: de ouderwetse extensies voor browsers werken ook gewoon nog steeds - zowel op de desktop als Android! Op apparaatniveau zijn er echt genoeg mogelijkheden, op netwerkniveau kan het om de reden die jij beschrijft inderdaad niet. Sowieso is adblocking op apparaatniveau beter, natuurlijk moet je daar iets lokaal voor draaien maar je kunt veel beter filteren en elementen worden ook beter weggewerkt. Met een Pi Hole blokkeer je enkel hosts. Als je dan bijvoorbeeld browsed blijf je ter voorbeeld de ruimtes van de reclames zien, ze kunnen alleen niet fatsoenlijk worden opgehaald.

Op iOS is het redelijk lastig zonder jailbreak, maar voor YouTube ads zou ik naast SmartTube Next voor je televisie lekker op Android gebruik maken van Revanced en op de desktop dus van een goede algemene adblocker. Enkel op devices als tv's of in apps waar je écht niet anders kan zou ik gebruik maken van een DNS blocker in eigen beheer of van een provider, ik heb er ook een draaien maar voor mij is het echt pas een optie als ik alle andere opties heb gehad. Zoals je misschien al merkt, ik ben niet persé fan.

[Reactie gewijzigd door crazyboy01 op 22 juli 2024 18:07]

[MichaelNL]

Ja wordt Pihole nog gebruikt? Bedoel in OPNsense zit Blocklist blocking ingebakken onder Unbound en bij pFSense heb je pFBlockerNG als addon.

Daarnaast bied Zenarmor ook de mogelijkheid om een Blocklist toe te voegen, maar ook Zenarmor blockt Ads en nog veel meer dan dat.

Zenarmor kan ook aan pFSense en OPNsense worden toegevoegd, daar het bij OPNsense wel vanuit de GUI kan dan via de prompt.

Voor de gene die een mooi overzicht willen alla Pihole, Zenarmor doet dat. Vergelijk het met Unifi waar je kan zien waar al je traffic naar toe gaat en wat er zoal wordt geblokkeerd.

Zijn er nog tweakers die trouw aan de Ziggo of ander provider modem blijven hangen? Wel een poll waard lol

[Reactie gewijzigd door MichaelNL op 22 juli 2024 18:07]

[AOC]

Ik heb nog steeds mn Ziggo modem. Nog niet verder verdiept sindsdien het vrij is om je eigen modem te kiezen. Maar het klinkt wel interessant.. wat is de nummer 1 reden om van de Ziggo modem af te stappen als alles prima werkt?

[MrMonkE]

Dat zij niet in jou netwerk kunnen.

[Azenomei]

Kunnen ze dat ook met een eigen router? Modem staat in bridge mode.

[MrMonkE]

Zij beheren je modem/router. zelfs de firmware. Als die router je netwerk regelt kunnen ze theoretisch op je netwerk. Of het in de praktijk gebruikt of misbruikt weet ik niet maar dat hoef je niet te weten wanneer je NIET hun modem/router gebruikt.

Met een eigen router/modem stopt hun avontuur wanneer ze je router niet op kunnen volgens mij.
Misschien dat iemand anders wat meer inzicht kan geven dan ik.

[guysp]

Ja, dit wordt nog gebruikt. Het draait al jaren en werkt prima voor mijn situatie dus ik zie niet de noodzaak om het te vervangen.

[Eric Oud Ammerveld]

Vergeet Suricata niet; misschien geen formele "Firewall" maar IDS/IPS mag denk ik best in hetzelfde rijtje genoemd worden waar het om PFSense gaat. (Geen ervaring met OPNsense; wellicht is het daar ook voor beschikbaar)

[MichaelNL]

Klopt Suricata is ook ingebakken in OPNsense en is in simpele stappen zo geactiveerd. Zenarmor is ook een IDS/IPS vandaar Suri niet benoemd.

[Eric Oud Ammerveld]

Ah; Zenarmor ben ik niet bekend mee, maar inderdaad; same stuff.

[Mizitras]

Allowlistabonnementen ? Zijn dat whitelisted subscripties? Niet bedoeld om een stok in het hoenderhok te gooien, een oprechte vraag.

[DaWizza]

Van de site:

"This extends our recent work in allowing for ABP-style blocklists to be used. Subscribed allow lists will only ever override entries in a subscribed blocklist. If you have a individual domain marked as denied/denied regex, then that will continue to be blocked."

Sommige block lists blokkeren 100 duizenden domeinen, met een allow list hoef je daar dan niet doorheen te spitten. (Dit is zoals ik het lees)

[deHakkelaar]

Beetje laat maar wat ik mis in het artikel is dat de API helemaal is vernieuwd.
Dit is nu een RESTful API geworden met een enorme uitbreiding aan mogelijkheden.
Als je PHv6 hebt geinstalleerd kun je de docs daarvoor raadplegen onder:
http://pi.hole/api/docs/

$ curl -s pi.hole/api/endpoints | jq .endpoints[][].uri
"/api/auth/sessions"
"/api/auth/totp"
"/api/auth"
"/api/dns/blocking"
"/api/clients/_suggestions"
"/api/clients"
"/api/domains"
"/api/search"
"/api/groups"
"/api/lists"
"/api/info/client"
"/api/info/login"
"/api/info/system"
"/api/info/database"
"/api/info/sensors"
"/api/info/host"
"/api/info/ftl"
"/api/info/version"
"/api/info/messages/count"
"/api/info/messages"
"/api/info/metrics"
"/api/logs/dnsmasq"
"/api/logs/ftl"
"/api/logs/webserver"
"/api/history/clients"
"/api/history/database/clients"
"/api/history/database"
"/api/history"
"/api/queries/suggestions"
"/api/queries"
"/api/stats/summary"
"/api/stats/query_types"
"/api/stats/upstreams"
"/api/stats/top_domains"
"/api/stats/top_clients"
"/api/stats/recent_blocked"
"/api/stats/database/top_domains"
"/api/stats/database/top_clients"
"/api/stats/database/summary"
"/api/stats/database/query_types"
"/api/stats/database/upstreams"
"/api/config"
"/api/config"
"/api/network/gateway"
"/api/network/interfaces"
"/api/network/devices"
"/api/endpoints"
"/api/teleporter"
"/api/dhcp/leases"
"/api/docs"
"/api/auth"
"/api/dns/blocking"
"/api/clients"
"/api/domains"
"/api/groups"
"/api/lists"
"/api/teleporter"
"/api/action/gravity"
"/api/action/restartdns"
"/api/action/flush/logs"
"/api/action/flush/arp"
"/api/clients"
"/api/domains"
"/api/groups"
"/api/lists"
"/api/config"
"/api/config"
"/api/config"
"/api/auth/session"
"/api/auth"
"/api/clients"
"/api/domains"
"/api/groups"
"/api/lists"
"/api/info/messages"
"/api/config"
"/api/network/devices"
"/api/dhcp/leases"

[Reactie gewijzigd door deHakkelaar op 22 juli 2024 18:07]