Как очистить трафик на уровне DNS без раздутых списков фильтрации

Если вы когда-нибудь настраивали домашний Pi-hole или AdGuard Home, то наверняка проходили этап гигантомании. Я сам через это прошел: находишь пару десятков разных списков блокировки, закидываешь их в резолвер и радуешься счетчику в три миллиона заблокированных доменов.

Радость обычно длится до первого вечера. Сначала у кого-то из домашних отваливается авторизация в приложении банка, затем перестают грузиться превью в мессенджере, а половина нужных сервисов требует отключить блокировщик. Приходится часами сидеть в логах запросов и вылавливать ложные срабатывания.

Репозиторий 1Hosts от разработчика badmojr решает эту проблему прямо противоположным подходом. Проект существует с декабря 2017 года и фокусируется на компактности списков без потери качества фильтрации.

В чем идея проекта

Многие популярные блок-листы страдают дублированием и устаревшими записями. В них годами висят домены, которые давно закрылись или сменили владельцев. При этом резолвер все равно тратит оперативную память на их хранение и поиск по дереву правил.

Автор 1Hosts курирует правила так, чтобы список занимал минимум места, но перехватывал рекламу, трекеры и фишинговые ресурсы. Вместо сотен разрозненных файлов здесь предлагают всего два базовых варианта, но в десятках готовых форматов под конкретный софт.

Две версии под разные сценарии

Проект разделен на две ветки, и перепутать их сложно:

1. Lite — сбалансированная версия по принципу «поставил и забыл». Она нацелена на повседневное использование дома или в офисе. Здесь минимальный риск сломать работу обычных сайтов, приложений или умных устройств. Ложные срабатывания сведены к минимуму.

2. Xtra (находится в стадии Beta) — жесткий вариант для параноиков и энтузиастов приватности. Список агрессивно режет телеметрию, новые подозрительные домены и спорные ресурсы. Приготовьтесь к тому, что некоторые легитимные сайты сломаются, и вам придется вручную вносить их в белый список или отправлять отчет в репозиторий.

Интересный трюк, который предлагает автор: использовать версию Lite прямо на локальном устройстве через системный hosts-файл, а более агрессивную фильтрацию вешать выше по цепочке на DNS-сервере. Тогда базовый мусор отсекается локально и не засоряет логи вашего DNS-резолвера, а ошибки в пограничных случаях сразу видно в сетевом журнале.

Форматы под любой софт и стек

Главная головная боль при настройке сетевых фильтров — несовместимость синтаксиса. AdGuard использует одни правила, Unbound требует свой конфиг, а для dnsmasq нужен отдельный формат.

В 1Hosts списки автоматически генерируются под большинство популярных решений:

• Обычный hosts-файл (подходит для Windows, Linux, Android через AdAway)
• Списки доменов для Pi-hole и OpenSnitch
• Формат правил для uBlock Origin и AdGuard Home
• Конфигурации для локальных DNS-демонов: dnsmasq, Unbound, Knot, Bind9, PowerDNS
• Правила для файрволов вроде Little Snitch

Вот так, к примеру, выглядит подключение Lite-версии в конфиге dnsmasq:

# Скачиваем готовый конфиг правил
curl -o /etc/dnsmasq.d/1hosts-lite.conf https://badmojr.github.io/1Hosts/Lite/dnsmasq.conf

# Перезапускаем службу
systemctl restart dnsmasq

Если вы держите дома Unbound, достаточно подтянуть сгенерированный файл конфигурации через директиву include:

# В секции server файла unbound.conf
include: "/etc/unbound/1hosts-lite.conf"

Готовые публичные DNS без развертывания своего сервера

Не каждый хочет поднимать собственный сервер ради блокировки трекеров на телефоне в поездках. Автор 1Hosts учел это и подготовил интеграции с публичными защищенными DNS-сервисами, которые поддерживают DNS-over-HTTPS (DoH) и DNS-over-TLS (DoT).

Например, в ControlD список обновляется каждые 30 минут с поддержкой wildcard-правил. Вы можете просто прописать адрес в настройках частного DNS на Android:

DoT: x-1hosts-lite.freedns.controld.com
DoH: https://freedns.controld.com/x-1hosts-lite

Аналогичные профили настроены для NextDNS, AdGuard DNS и RethinkDNS. Для мобильных устройств этого часто хватает за глаза без установки сторонних приложений.

Что с поддержкой и комьюнити

Репозиторий собрал больше 2.1k звезд и продолжает регулярно обновляться. Открытых issues в проекте немало, около девяти сотен, но почти все они представляют собой отчеты о ложных срабатываниях (false positives). Мейнтейнер оперативно вычищает из списков домены, если они мешают работе популярных служб.

Сам репозиторий распространяется под свободной лицензией MPL 2.0 (Mozilla Public License). Это позволяет без проблем брать эти списки как основу для своих сборок или корпоративных политик фильтрации.

Кому стоит попробовать

Если вы устали вручную поддерживать монструозный комбайн из десяти разных блок-листов, попробуйте сбросить настройки и поставить одну лишь версию 1Hosts Lite. Для 95% повседневных задач домашней сети ее хватает с головой: баннеры пропадают, аналитика режется, а страницы интернет-магазинов и банков продолжают открываться без сюрпризов.

Версию Xtra стоит брать только тем, кто осознанно готов разбираться с упавшими запросами и любит тонкий тюнинг сетевых правил под свои нужды.