Un blocco pubblicità installato nel browser protegge solo quel browser. La smart TV, le app dello smartphone, la console e gli elettrodomestici connessi continuano a contattare server di pubblicità e telemetria. Un filtro DNS locale lavora un livello più in basso e copre tutta la casa con un solo apparecchio.
L'idea di base
Prima di collegarsi a un server, ogni dispositivo chiede al DNS di tradurre un nome, per esempio quello di un server di annunci, in un indirizzo IP. Un filtro DNS si mette in mezzo a questa richiesta: se il nome compare in una lista di blocco, risponde con un indirizzo nullo e il dispositivo non riesce a connettersi. Se il nome è lecito, inoltra la domanda a un DNS esterno e restituisce la risposta.
Il dispositivo non sa di essere filtrato: riceve semplicemente una risposta. Per questo il sistema funziona anche su apparecchi in cui non si può installare nulla.
Pi-hole e AdGuard Home
I due progetti più diffusi sono software liberi e girano bene anche su hardware modesto, come un mini PC, un Raspberry Pi o un container su un server domestico.
| Caratteristica | Pi-hole | AdGuard Home |
|---|---|---|
| Installazione | Script su Linux, anche container | Binario unico, anche container |
| Interfaccia | Web, con statistiche dettagliate | Web, con statistiche e regole per client |
| DNS cifrato verso l'esterno | Tramite componenti aggiuntivi | Integrato |
| Regole per singolo dispositivo | Gruppi di client | Impostazioni per client |
| Server DHCP | Disponibile | Disponibile |
Entrambi fanno bene il lavoro principale. AdGuard Home è più immediato se vuoi DNS cifrato verso l'esterno senza configurazioni aggiuntive; Pi-hole ha una comunità ampia e molte guide.
Installazione in rete, passo per passo
- Indirizzo fisso: assegna al filtro un IP statico o una prenotazione DHCP sul router. Se l'indirizzo cambia, nessuno risolve più i nomi.
- Installa il software e scegli i DNS esterni a cui inoltrare le richieste.
- Prova su un solo dispositivo: imposta a mano il DNS di un PC verso il filtro e naviga per qualche giorno.
- Distribuisci a tutta la casa: nelle impostazioni DHCP del router indica il filtro come server DNS. I dispositivi lo riceveranno al rinnovo dell'indirizzo.
Evita di indicare nel DHCP un DNS secondario pubblico "di riserva": molti dispositivi usano entrambi in modo casuale e la pubblicità ricomparirebbe a tratti. Se vuoi ridondanza, usa due istanze del filtro.
Liste di blocco: meno è meglio
È facile esagerare aggiungendo decine di liste trovate in rete. Più liste significano più blocchi indesiderati: siti di acquisti che non caricano, link nelle email che non si aprono, app che smettono di funzionare. Un approccio sensato:
- parti con una o due liste generaliste e affidabili;
- aggiungi liste specifiche solo per esigenze precise, come la telemetria di un certo apparecchio;
- tieni una lista di eccezioni per i domini che servono davvero.
Quando qualcosa non va, il registro delle richieste mostra in tempo reale cosa è stato bloccato e per quale dispositivo. È lo strumento più utile del filtro e anche una finestra interessante su quanto parlano gli apparecchi di casa.
I limiti da conoscere
Un filtro DNS non è una soluzione magica:
- Pubblicità servita dallo stesso dominio del contenuto: se annunci e video arrivano dallo stesso nome, bloccare uno significa bloccare l'altro. Alcune piattaforme di video non si filtrano bene a livello DNS.
- DNS cifrato nei dispositivi: browser e sistemi operativi possono usare DNS over HTTPS verso server esterni, scavalcando il filtro. Va disattivato nelle impostazioni del dispositivo o gestito con regole sul router.
- DNS fissi nel firmware: alcuni apparecchi ignorano il DNS ricevuto dal DHCP. Una regola sul router che reindirizza tutte le richieste sulla porta 53 verso il filtro risolve molti di questi casi.
Ridondanza e affidabilità
Se il filtro si spegne, in casa "non va più internet", anche se la connessione funziona. Nel mio lavoro consiglio sempre almeno una di queste precauzioni:
- due istanze su apparecchi diversi, sincronizzate, indicate entrambe nel DHCP;
- un gruppo di continuità per l'apparecchio che ospita il filtro;
- una procedura scritta per tornare in pochi secondi al DNS del router in caso di guasto.
In sintesi
- Un filtro DNS locale blocca pubblicità e tracciamento su tutti i dispositivi di casa.
- Pi-hole e AdGuard Home sono liberi, leggeri e ben documentati.
- Assegna al filtro un IP fisso e distribuiscilo tramite il DHCP del router.
- Usa poche liste affidabili e una lista di eccezioni.
- Prevedi una seconda istanza o un piano di ritorno rapido in caso di guasto.
