XDA потратила неделю на документирование того, как предоставление Claude полного контроля над DNS-сервером преподало автору больше, чем годы документации. Материал смешнее, чем заголовок, но суть реальна. Собственный DNS-сервер — одно из наиболее эффективных улучшений для домашней сети, а приложения, делающие это возможным, достаточно зрелы, чтобы работать не только Pi-hole. Выбор — это не вопрос, какой инструмент блокирует объявления, а какой инструмент дает вам правильное сочетание фильтрации, кэширования, шифрования и видимости для сети, которую вы фактически используете.
Мы протестировали 8 лучших приложений для собственного DNS на Raspberry Pi, Intel mini PC под управлением Linux и Windows-сервере в небольшом офисе. Набор тестов был скучным: время установки, управление черными списками, DNS-over-TLS или DNS-over-HTTPS из внешнего источника, логирование запросов и то, что каждый инструмент делает, когда что-то ломается в 2 часа ночи.
На что обратить внимание при выборе собственного DNS-сервера
Шесть критериев отделяют ежедневные инструменты от экспериментов:
- Управление черными списками. Главное назначение. Инструменты, которые автоматически обновляют списки и позволяют поддерживать белые списки для каждого клиента, выигрывают.
- Рекурсивное или пересылающее. Рекурсивный сервер (Unbound, BIND) разговаривает с корневыми серверами напрямую. Пересылающий отправляет к общедоступному серверу. Первый более приватный, второй быстрее на холодных запросах.
- Шифрование из внешнего источника. DNS-over-TLS и DNS-over-HTTPS скрывают ваши запросы от провайдера. Не каждый инструмент это поддерживает.
- Политика для каждого клиента. Разные правила для планшета детей и домашнего офиса имеют большее значение, чем люди ожидают.
- Логирование и панели управления. Панель управления, которая показывает, что заблокировано, — это то, что убеждает остальных членов семьи.
- Отказоустойчивость. Домашний DNS, который падает, берет интернет с собой. Поведение отказоустойчивости и простота запуска вторичного экземпляра имеют значение.
Быстрое сравнение
| Приложение | Лучше всего для | Тип | Бесплатная версия | Выдающаяся функция |
|---|---|---|---|---|
| Pi-hole | Стандартный домашний DNS с отличной панелью | Пересылающий сервер | Да (открытый исходный код) | Самое большое сообщество и больше всего сторонних черных списков |
| AdGuard Home | Отличная альтернатива Pi-hole | Пересылающий сервер | Да (открытый исходный код) | Политика для каждого клиента в интерфейсе по умолчанию |
| Technitium DNS | Авторитетный и рекурсивный в одном приложении | Рекурсивный + авторитетный | Да (открытый исходный код) | Чисто размещает собственные внутренние зоны |
| Blocky | Легкий, односерийный DNS-фильтр | Пересылающий сервер | Да (открытый исходный код) | Легко развернуть в контейнерах и редактировать через YAML |
| Unbound | Чистый рекурсивный сервер | Рекурсивный сервер | Да (открытый исходный код) | Лучший в своем классе рекурсивный сервер с уважением к приватности |
| dnsmasq | Легкий DNS, DHCP и TFTP для небольшой локальной сети | Кэширующий пересылающий сервер | Да (открытый исходный код) | Классический “достаточно хорошо” сервер маршрутизатора |
| BIND9 | Производственный авторитетный DNS | Авторитетный + рекурсивный | Да (открытый исходный код) | Эталонная реализация для серьезных нагрузок |
| dnscrypt-proxy | Слой шифрования перед любым сервером | Прокси шифрования DNS | Да (открытый исходный код) | Добавляет DoH и DoT ко всему, что их не поддерживает |
8 лучших приложений для собственного DNS на рабочем столе
1. Pi-hole — лучший по умолчанию для домашнего DNS
Pi-hole — приложение, на которое останавливаются большинство домашних сетей. Скрипт установки работает на Raspberry Pi, Linux VM или в контейнере, и через десять минут сеть имеет панель управления, показывающую каждый заблокированный трекер. Экосистема черных списков — самая большая в категории, с отобранными сообществом списками для почти каждого класса устройств. Управление группами позволяет создать политику для планшета детей, отличающуюся от офиса.
Недостатки: Политика для каждого клиента функциональна, но не такая плавная, как у AdGuard Home. Дизайн веб-интерфейса устарел по сравнению с отполированной конкуренцией. Шифрование DNS из внешнего источника требует побочного инструмента, как dnscrypt-proxy или Cloudflared.
Цена:
- Бесплатно: открытый исходный код
- Платно: нет
Платформы: Linux (предпочтительно), Raspberry Pi, работает в Docker на Windows и macOS
Скачать: pi-hole.net
Вывод: Выберите Pi-hole для собственного DNS, если вы хотите стандартное решение с самым большим сообществом и наиболее задокументированной установкой.
2. AdGuard Home — лучшая отличная альтернатива Pi-hole
AdGuard Home делает то же самое, что Pi-hole, но с более гладким интерфейсом и политикой для каждого клиента в установке по умолчанию. DNS-over-TLS, DNS-over-HTTPS и DNSCrypt из внешнего источника встроены. Панель управления легче читать с первого взгляда, а интерфейс управления черными списками более дружелюбен к новым пользователям.
Недостатки: Сообщество меньше, чем у Pi-hole, что иногда означает, что туториал, который вы найдете, написан для Pi-hole и вам нужно адаптировать. Маркетплейс черных списков хороший, но меньше.
Цена:
- Бесплатно: открытый исходный код
- Платно: нет (отдельные услуги AdGuard VPN и DNS продаются той же компанией)
Платформы: Linux, Windows, macOS, работает в Docker везде
Скачать: adguard.com/en/adguard-home
Вывод: Выберите AdGuard Home для собственного DNS, если вы хотите отличный интерфейс и встроенное шифрование без подключения второго инструмента.
3. Technitium DNS — лучший для авторитетного плюс рекурсивного в одном приложении
Technitium DNS — вариант для пользователей, которые хотят домашнюю сеть, размещающую собственные внутренние зоны и разрешающую запросы наружу в одном приложении. Локальные имена хостов, внутренние SSL-сертификаты и split-horizon DNS — все работает без трех частей программного обеспечения. Веб-интерфейс чистый. Приложение работает на Windows или Linux и поставляется как одно приложение .NET.
Недостатки: Меньшее сообщество, чем Pi-hole. Некоторые продвинутые фильтрации требуют пользовательских правил вместо отобранного маркетплейса.
Цена:
- Бесплатно: открытый исходный код
- Платно: нет
Платформы: Windows, Linux, macOS (через .NET runtime), Docker
Скачать: technitium.com/dns
Вывод: Выберите Technitium DNS для собственного DNS, если вам также нужен авторитетный DNS для внутренней зоны и вы не хотите второй инструмент.
4. Blocky — лучший легкий DNS, дружественный контейнерам
Blocky — это единственный бинарный файл Go, работающий как DNS-сервер фильтрации, сконфигурированный небольшим файлом YAML. Это простейший инструмент в этом списке для развертывания в стеке контейнеров рядом с другими сервисами. Источники черных списков, пользовательские перенаправления и политика для каждого клиента — все находится в одном файле, который вы можете поместить в систему управления версиями. Экспорт метрик нативен для Prometheus, что подходит для домашних лабораторий, которые уже запускают Grafana.
Недостатки: Нет собственного веб-интерфейса. Вы получаете панель управления Prometheus, а не представление запросов в стиле Pi-hole.
Цена:
- Бесплатно: открытый исходный код
- Платно: нет
Платформы: Linux, Windows, macOS, Docker
Скачать: github.com/0xERR0R/blocky
Вывод: Выберите Blocky для собственного DNS, если вы живете в контейнерах, управляете версиями конфигурации и хотите маленький размер.
5. Unbound — лучший рекурсивный сервер
Unbound — чистый рекурсивный сервер. Он разговаривает с корневыми серверами напрямую, по умолчанию валидирует DNSSEC и ничего не пересылает к общедоступному серверу из внешнего источника. Пользователи Pi-hole часто устанавливают Unbound за Pi-hole именно по этой причине: фильтрация на Pi-hole, рекурсия на Unbound. Комбинация полностью устраняет зависимость от Cloudflare, Google или Quad9.
Недостатки: Нет собственной поддержки черных списков. Это делает одну работу и делает ее хорошо; фильтрация остается на том, что стоит перед ним.
Цена:
- Бесплатно: открытый исходный код
- Платно: нет
Платформы: Linux, Windows, macOS
Скачать: nlnetlabs.nl/projects/unbound
Вывод: Выберите Unbound для собственного DNS, если вы хотите полную рекурсию без доверия к общедоступному серверу и готовы спарить его с фильтрующим фронтэндом.
6. dnsmasq — лучший легкий сервер для небольшой локальной сети
dnsmasq — сервер, который поставляется в прошивке большинства домашних маршрутизаторов, и это работает так же хорошо как небольшой DNS плюс DHCP-сервер на Raspberry Pi. Синтаксис конфигурации лаконичен, но стабилен, использование ресурсов крошечное, и это был скучный стержень домашних сетей на протяжении двух десятилетий. Для небольшой локальной сети, которая нуждается в DNS и DHCP из одного ящика без панели управления, это правильный ответ.
Недостатки: Нет маркетплейса черных списков. Нет интерфейса. Логирование через syslog.
Цена:
- Бесплатно: открытый исходный код
- Платно: нет
Платформы: Linux, BSD
Скачать: thekelleys.org.uk/dnsmasq
Вывод: Выберите dnsmasq для собственного DNS, если вы хотите самый легкий возможный сервер плюс DHCP, без интерфейса, без сюрпризов.
7. BIND9 — лучший для производственного DNS
BIND9 — эталонный DNS-сервер и вариант, выбираемый, когда безотказность не подлежит компромиссу. Синтаксис конфигурации устрашающий, история проекта длинная, и документация предполагает, что вы серьезно относитесь к DNS. Для домашней лаборатории, которая одновременно служит средой обучения для производственных навыков, BIND — правильный инструмент.
Недостатки: Крутая кривая обучения. Нет интерфейса черных списков. Избыточность для большинства домашних сетей.
Цена:
- Бесплатно: открытый исходный код
- Платно: дополнительные контракты поддержки от ISC
Платформы: Linux, BSD, Windows
Скачать: isc.org/bind
Вывод: Выберите BIND9 для собственного DNS, если вы хотите производственное оборудование дома и используете домашнюю лабораторию для изучения навыков, которые вы будете использовать на работе.
8. dnscrypt-proxy — лучший слой шифрования для любого сервера
dnscrypt-proxy — это не фильтр и не рекурсивный сервер. Это стоит перед тем, что вы запускаете, и добавляет поддержку DNS-over-HTTPS, DNS-over-TLS и DNSCrypt. Для Pi-hole, dnsmasq или любого другого инструмента, который не поддерживает шифрованный DNS из внешнего источника, это самый простой способ добавить его.
Недостатки: Добавляет еще одну движущуюся часть в стек. Конфигурация через TOML.
Цена:
- Бесплатно: открытый исходный код
- Платно: нет
Платформы: Linux, Windows, macOS, BSD
Скачать: github.com/DNSCrypt/dnscrypt-proxy
Вывод: Выберите dnscrypt-proxy для собственного DNS, если у вас есть инструмент фильтрации, который вам нравится, и вы хотите добавить DoH или DoT из внешнего источника без его изменения.
Как выбрать правильный
Если вы хотите стандартное решение и самое большое сообщество, запустите Pi-hole.
Если вы хотите политику для каждого клиента в интерфейсе по умолчанию и встроенное шифрование из внешнего источника, запустите AdGuard Home.
Если вам также нужен авторитетный DNS для внутренней зоны, запустите Technitium DNS.
Если вы живете в контейнерах и управляете версиями конфигурации, запустите Blocky.
Если вы хотите истинное рекурсивное разрешение вместо пересылки, запустите Unbound за любым инструментом фильтрации, который вы выберете.
Если вы хотите самый легкий возможный сервер плюс DHCP на небольшой локальной сети, запустите dnsmasq.
Если вы хотите производственный DNS как проект домашней лаборатории, запустите BIND9.
Если вы хотите добавить шифрованный DNS из внешнего источника к любому из вышеперечисленного, добавьте dnscrypt-proxy.
Самая сильная домашняя установка, которую мы протестировали, была Pi-hole или AdGuard Home для панели управления и фильтрации, Unbound за ним для рекурсии и dnscrypt-proxy перед любой ссылкой, которая нуждалась в шифровании.
Часто задаваемые вопросы
Является ли Pi-hole все еще лучшим собственным DNS?
Это самый популярный и наиболее задокументированный. AdGuard Home совпадает или превосходит его по политике для каждого клиента и встроенному шифрованию. Оба — хорошие стандартные решения.
Сломает ли собственный DNS мой интернет, если он упадет?
Только если у вас нет резервного варианта. Большинство маршрутизаторов позволяют установить вторичный DNS-сервер. Укажите его на общедоступный сервер (1.1.1.1 или 9.9.9.9) и клиенты вернутся, когда ваш домашний DNS упадет.
В чем разница между Pi-hole и Unbound?
Pi-hole фильтрует и пересылает запросы к серверу из внешнего источника. Unbound разрешает запросы, разговаривая с корневыми серверами напрямую. Запуск обоих означает фильтрацию на Pi-hole, рекурсию на Unbound, без зависимости от общедоступного сервера.
Могу ли я запустить собственный DNS на Raspberry Pi?
Да. Pi-hole, AdGuard Home, Blocky и dnsmasq — все работают комфортно на Raspberry Pi 4 или новее. Pi 5 имеет резерв для нескольких сервисов на одном ящике.
Нужно ли мне изучать DNS для запуска собственного сервера?
Для Pi-hole и AdGuard Home нет. Скрипты установки обрабатывают скучные части. Для BIND9 и более продвинутых функций Technitium ожидайте потратить выходные на чтение.