Abgesichert und werbefrei – das geht auch unterwegs vom Handy oder Rechner. Insbesondere wenn man sich in öffentlichen Wlans schützen möchte, kann man dies mit einem eigenen VPN realisieren. Damit dies auch noch mit einem Werbeblocker kombiniert wird, kann man sich auch vor Werbung, Tracking und Daten-Sammelwut von Providern schützen. Und das geht schneller und günstiger als man denkt.

In diesem Beispiel setzen wir einen Cloud-Server bei Hetzner auf. Mit meinem Gutschein-Code erhältst Du bei Registrierung ein Guthaben von 20 EUR. Da der Server, den wir dafür benötigen, nur € 2,96 im Monat kostet, bleibt genug Zeit, dies kostenlos auszuprobieren. Nutze diesen Gutschein-Code

Erstelle wie im Video beschrieben einen Server mit Ubuntu 20.04 & melde dich per SSH und root an. Zunächst aktualisiere den Server mit folgendem Befehl:

apt update && apt upgrade -y

Als erstes Paket installiere Unbound. Für die Installation gib folgenden Befehl ein:

apt install unbound

Danach lade die aktuellen root Hints (die Liste der offiziellen Root-DNS Server) herunter. Gib dazu folgendes ein:

curl -# https://www.internic.net/domain/named.root > /var/lib/unbound/root.hints

Jetzt muss eine Konfiguration für Unbound erstellt werden. Wechsele in das config Verzeichnis mit folgendem Kommando:

cd /etc/unbound/unbound.conf.d

Jetzt erstelle eine Konfigurations-Datei mit dem Namen 01-pihole.conf und öffne die in dem Nano Editor:

nano 01-pihole.conf

Diese Konfiguration wird dann beim Start von Unbound geladen. Da bei PiHole unter anderem der Port 53 schon in Gebrauch ist, muss die Basis-Konfiguration angepasst werden. Ich stelle Dir hierfür eine Konfiguration zur Verfügung. Kopiere den Inhalt und füge ihn in die 01-pihole.conf per copy & paste ein:

# https://nlnetlabs.nl/documentation/unbound/unbound.conf/
server:
	# Do not daemonize, to allow proper systemd service control and status estimation.
	do-daemonize: no

	# A single thread is pretty sufficient for home or small office instances.
	num-threads: 1

	# Logging: For the sake of privacy and performance, keep logging at a minimum!
	# - Verbosity 2 and up practically contains query and reply logs.
	verbosity: 0
	log-queries: no
	log-replies: no
	# - If required, uncomment to log to a file, else logs are available via "journalctl -u unbound".
	#logfile: "/var/log/unbound.log"

	# Set interface to "0.0.0.0" to make Unbound listen on all network interfaces.
	# Set it to "127.0.0.1" to listen on requests from the same machine only, useful in combination with Pi-hole.
	interface: 127.0.0.1
	# Default DNS port is "53". When used with Pi-hole, set this to e.g. "5335", since "5353" is used by mDNS already.
	port: 5335

	# Control IP ranges which should be able to use this Unbound instance.
	# The Server defaults permit access from official local network IP ranges only, hence requests from www are denied.
	access-control: 0.0.0.0/0 refuse
	access-control: 10.0.0.0/8 allow
	access-control: 127.0.0.1/8 allow
	access-control: 172.16.0.0/12 allow
	access-control: 192.168.0.0/16 allow
	access-control: ::/0 refuse
	access-control: ::1/128 allow
	access-control: fd00::/8 allow
	access-control: fe80::/10 allow

	# Private IP ranges, which shall never be returned or forwarded as public DNS response.
	# NB: 127.0.0.1/8 is sometimes used by adblock lists, hence DietPi by default allows those as response.
	private-address: 10.0.0.0/8
	private-address: 172.16.0.0/12
	private-address: 192.168.0.0/16
	private-address: 169.254.0.0/16
	private-address: fd00::/8
	private-address: fe80::/10

	# Define protocols for connections to and from Unbound.
	# NB: Disabling IPv6 does not disable IPv6 IP resolving, which depends on the clients request.
	do-udp: yes
	do-tcp: yes
	do-ip4: yes
	do-ip6: yes
	prefer-ip6: no

	# DNS root server information file. Update regularly via: "curl -# https://www.internic.net/domain/named.root > /var/lib/unbound/root.hints"
	root-hints: "/var/lib/unbound/root.hints"

	# Maximum number of queries per second
	ratelimit: 1000

	# Defend against and print warning when reaching unwanted reply limit.
	unwanted-reply-threshold: 10000

	# Set EDNS reassembly buffer size to match new upstream default, as of DNS Flag Day 2020 recommendation.
	edns-buffer-size: 1232

	# Increase incoming and outgoing query buffer size to cover traffic peaks.
	so-rcvbuf: 4m
	so-sndbuf: 4m

	# Hardening
	harden-glue: yes
	harden-dnssec-stripped: yes
	harden-algo-downgrade: yes
	harden-large-queries: yes
	harden-short-bufsize: yes

	# Privacy
	use-caps-for-id: yes # Spoof protection by randomising capitalisation
	rrset-roundrobin: yes
	qname-minimisation: yes
	minimal-responses: yes
	hide-identity: yes
	identity: "Server" # Purposefully a dummy identity name
	hide-version: yes

	# Caching
	cache-min-ttl: 300
	cache-max-ttl: 86400
	serve-expired: yes
	neg-cache-size: 4M
	prefetch: yes
	prefetch-key: yes
	msg-cache-size: 50m
	rrset-cache-size: 100m

Die Datei anschliessend mit CTR-X-Y abspeichern. Dach den Unbound Dienst neu starten:

service unbound restart

Jetzt installieren wir PiHole. Folge den Anweisungen und bestätige alles mit OK (enter)

curl -sSL https://install.pi-hole.net | bash

Nach der erfolgreichen Installation ändere das Passwort für das PiHole Webinterface:

pihole -a -p

Jetzt passen wir die DNS Einstellungen vom PiHole an. Im Standard benutzt ja PiHole einen Upstream DNS Server (z.B. Google DNS, Cloudflare etc.). Wir möchten aber Unbound als DNS Server benutzen. Melde Dich dazu am PiHole Webinterface an und gehe zu Settings / DNS und trage als Custom DNS Upstream Server 127.0.0.1#5335. Wähle auf der linken Seite alle Server ab und setze den Haken bei Listen on all Interfaces, permit all origins. Danach drücke unten auf Save:

Jetzt installieren wir PiVPN. Die installation erfolgt über einen einzigen Befehl:

curl -L https://install.pivpn.io | bash

Während der Installation wirst Du nach einem “non root” User gefragt. Im Standard ist noch keiner installiert. In dem Verzeichnis dieses Users werden dann die VPN-Konfigurationen der VPN-Benutzer angelegt. in diesem Beispiel habe ich den User vpn genannt und ein Passwort vergeben.

Als VPN-Service wähle Wireguard aus und benutze den Standard-Port 51820. Die Frage ob du PiHole im VPN nutzen möchtest beantworte mit YES. Alles weitere mit Enter bestätigen und den Server nach Installation neu starten.

Nach dem Neustart können jetzt VPN-Benutzer angelegt werden. Dies geht mittels:

pivpn -a

Nach Eingabe des Namens wird der VPN Benutzer angelegt. Die Konfigurations-Datei liegt dann im Verzeichnis /home/vpn/configs

Möchte man die Config auf ein Handy einrichten, kann man bequem sich einen QR Code anzeigen lassen und diesen in der Wireguard APP einscannen. Mit folgenden Kommando kann man sich den QR-Code anzeigen lassen:

pivpn -qr

Wenn man die Konfigurations-Dateien auf einen Rechner übertragen möchte, nutzt man einfach ein SFTP Tool und verbindet sich auf seinen Server.

Da nun unser PiHole als öffentlicher DNS-Resovler im Internet verfügbar ist, findet dies unser Provider (hier Hetzner) mit Sicherheit nicht gut. Offene DNS Resolver können potentiell für DNS Amplification Attacks missbraucht werden. Da wir bei unserem Cloud Server eine Firewall aktivieren können, haben somit die Möglichkeit, den Port 53 für den öffentlichen Zugriff zu sperren. Aktiviere die Firewall wie im Video beschrieben und erlaube Port 51820 UDP für die VPN Verbindung. Bitte auf keinen Fall Port 22 (SSH) entfernen, da Du sonst per SSH nicht mehr auf Deinen Server kommst. Wenn Du Deinen PiHole auch ohne VPN-Verbindung administrieren willst, öffne zusätzlich noch Port 80 TCP. Achte aber dann auf ein starkes Passwort!

Viel Spass beim Nachbauen.