:strip_exif()/i/2003594310.png?f=thumbmini)
:strip_icc():strip_exif()/u/45000/zardoz3-edit.jpg?f=community)
Dat heb ik inderdaad ook zo draaien (2x AGH via Docker). Het werkt behoorlijk goed, maar met 1 beperking: het is afhankelijk van het host ip adres. Dus als je host wel draait, maar de Master AGH container functioneert niet goed, dan komt de Slave niet in actie. En dus loopt de DNS resolving dan alsnog spaak. Ik heb van alles geprobeerd, maar krijg een extra controle hierop niet aan de praat.Glassertje schreef op maandag 9 februari 2026 @ 14:45:
[...]
Ik gebruik keepalived met 2 raspberry pi's en AGH. Met 1 virtueel ip zijn beide Pi's. Verbonden. Als de ene niet reageert, dan reageert de andere. @stormfly heeft de config hier in het topic gepost.
:strip_icc():strip_exif()/u/198189/crop67ecf5f08705a_cropped.jpg?f=community)
:strip_exif()/u/476997/ceetava60x60.gif?f=community)
:strip_icc():strip_exif()/u/506130/keitjes.jpg?f=community)
:strip_exif()/u/217171/avatar60.gif?f=community){kind=avatar}
Blog - Glasnet status (privé log) - Nette LAN - RIPE Atlas Probe - Globalping Probe
@RobbyTown
Ondersteund je DHCP niet het opgeven van 2 DNS servers? Dan vul je daar simpelweg je beide NanoPi instances in.
AdguardHome Sync is geen HA software, het is een replicatietool van de configuratie. Als een Adguard Home instance uitvalt gaat AGH Sync niets voor je doen
Als je DHCP server geen 2 DNS servers ondersteund is keepalived een goede oplossing in mijn ogen
Ondersteund je DHCP niet het opgeven van 2 DNS servers? Dan vul je daar simpelweg je beide NanoPi instances in.
AdguardHome Sync is geen HA software, het is een replicatietool van de configuratie. Als een Adguard Home instance uitvalt gaat AGH Sync niets voor je doen
Als je DHCP server geen 2 DNS servers ondersteund is keepalived een goede oplossing in mijn ogen
Blog - Glasnet status (privé log) - Nette LAN - RIPE Atlas Probe - Globalping Probe
/u/1401/haroid_icon_60x60.png?f=community){kind=icon}
:strip_icc():strip_exif()/u/146731/crop562615a0aa64c.jpeg?f=community)
Het Canadese 'ControlD' bied zelfs een resolver aan die intern de OISD (.nl) blocklist gebruikt. In principe heb je dan geen AGH nodig, ik heb namelijk diezelfde lijst (erg fijn, nooit false positives gehad in alle jaren dat ik hem gebruik 
) in m'n AGH draaien. Maar je geeft idd wel de controle uit handen...
https://controld.com/free-dns (stukje omlaag bij 'Community blocklists').
) in m'n AGH draaien. Maar je geeft idd wel de controle uit handen...https://controld.com/free-dns (stukje omlaag bij 'Community blocklists').
[ Voor 11% gewijzigd door ThinkPad op 15-03-2026 09:09 ]
:strip_icc():strip_exif()/u/3152/crop562aa23d20f59_cropped.jpeg?f=community)
* ThinkPad aait z'n OPNsense router waar AGH op draait 
Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF 
Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF
[ Voor 71% gewijzigd door ThinkPad op 17-03-2026 13:46 ]
Op welk device draai je OPNSense?:
* ThinkPad aait z'n OPNsense router waar AGH op draait
Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF
☀️ 7920 Wp | 🔋 Zendure Solarflow 800+ |🌡️ Stiebel Eltron WPL 15 ACS, HM Trend | Home Assistant
:strip_icc():strip_exif()/u/10338/crop57713508e4db5_cropped.jpeg?f=community)
Herkenbaar, bij een reboot van de NAS ligt het huis er hier ook 5m uit:
* ThinkPad aait z'n OPNsense router waar AGH op draait
Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF
paar jaar geleden had de NAS een cpu probleem en wilde niet booten, 2 dagen in het donker moeten leven met kaarsjes in het toilet
Misschien dat ik iets niet goed begrijp, maar ik heb in mijn PfSense router mijn AdGuard (draait op docker op aparte server) als primaire DNS ingesteld, en de router zelf als secundaire DNS. Dan heb je het probleem van wegvallend internet bij reboot van je server toch getackeld?:
[...]
Herkenbaar, bij een reboot van de NAS ligt het huis er hier ook 5m uit
@jvdburgt1980 Waarom zou je AGH in een aparte Docker draaien (is weer iets wat kan omvallen == geen internet!) als het ook in pfSense zelf kan draaien?
Heb AGH al jaren draaien binnen OPNsense en draait als een trein.
P.S. Niet liever OPNsense? Is een NL bedrijf en vriendelijker voor de opensource community
Heb AGH al jaren draaien binnen OPNsense en draait als een trein.
P.S. Niet liever OPNsense? Is een NL bedrijf en vriendelijker voor de opensource community
:strip_exif()/u/107613/1078132927.gif?f=community)
:strip_icc():strip_exif()/u/289675/crop6401bf2c85501_cropped.jpg?f=community)
:strip_icc():strip_exif()/u/291199/crop5e819fd8996da_cropped.jpeg?f=community)
Hier net een verse installatie gedaan. DietPi + Adguardhome
:strip_exif()/f/image/Uj96UzEVge0CyBcCK7DHLUC3.png?f=user_large)
DNSSEC staat standaard uit. Zou het dan anders zijn als je het via docker of wat installeert?
Blog - Glasnet status (privé log) - Nette LAN - RIPE Atlas Probe - Globalping Probe
:strip_exif()/f/image/t4qSvNSAW3YsmOl56dAfLEuu.png?f=user_large)
Blog - Glasnet status (privé log) - Nette LAN - RIPE Atlas Probe - Globalping Probe
Is er hier toevallig iemand die iets heeft (gemaakt) voor het categoriseren van de DNS lookups? Ik ben inmiddels zelf iets aan het schrijven op basis van de HaGeZi lijsten en de querylog via de API van AGH maar iets standaards zou mooi zijn
Kwam DNSMon tegen wat er wel heel mooi uitziet maar helaas precies niet categoriseert
Dit is mijn test setup momenteel, met een lokale sqlite3 die ik momenteel handmatig kopieer naar mijn Metabase omgeving. Als dit goed werkt zet ik het wel om naar een echte database
Kwam DNSMon tegen wat er wel heel mooi uitziet maar helaas precies niet categoriseert
Dit is mijn test setup momenteel, met een lokale sqlite3 die ik momenteel handmatig kopieer naar mijn Metabase omgeving. Als dit goed werkt zet ik het wel om naar een echte database
Python:
Downloaden van de lijsten1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
| import requests import json import sqlite3 import os from pathlib import Path BASE_DIR = Path(__file__).resolve().parent DB_FILE = BASE_DIR / "dns_categories.db" STATE_FILE = BASE_DIR / "state.json" CATEGORY_DIR = BASE_DIR / "categories" #### #### Create DB if needed #### #### conn = sqlite3.connect(DB_FILE) cursor = conn.cursor() cursor.execute(""" CREATE TABLE IF NOT EXISTS categorized_queries ( timestamp TEXT NOT NULL, client TEXT NOT NULL, domain TEXT NOT NULL, category TEXT NOT NULL, status TEXT NOT NULL, reason TEXT NOT NULL, UNIQUE(timestamp, client, domain, category, status, reason) ) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_client ON categorized_queries(client) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_category ON categorized_queries(category) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_domain ON categorized_queries(domain) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_status ON categorized_queries(status) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_reason ON categorized_queries(reason) """) conn.commit() #### End #### #### #### - Hash sets - #### #### CATEGORY_FILES = { "tif": "tif.txt", "nsfw": "nsfw.txt", "social": "social.txt" } try: with open(STATE_FILE) as f: state = json.load(f) except FileNotFoundError: state = {"last_processed_time": ""} category_sets = {} #### #### Read HaGeZi files #### #### for category, filename in CATEGORY_FILES.items(): domains = set() with open(CATEGORY_DIR / filename) as f: for line in f: line = line.strip() if not line or line.startswith("#"): continue domains.add(line.lower()) category_sets[category] = domains #### END #### #### #### - Find matches - #### #### def domain_match(domain, lookup_set): domain = domain.lower() while True: if domain in lookup_set: return True if "." not in domain: return False domain = domain.split(".", 1)[1] #### END #### def normalize_domain(domain: str, depth: int = 3) -> str: domain = domain.lower().rstrip(".") parts = domain.split(".") if len(parts) <= depth: return domain return ".".join(parts[-depth:]) #### #### - Adguard Home API - #### #### response = requests.get( "http://192.168.4.24/control/querylog?limit=5000", params={"limit": 5000}, auth=("admin", "!"), timeout=30 ) queries = response.json() #### END #### domain_cache = {} newest_seen = state['last_processed_time'] for line in queries["data"]: timestamp = line['time'] if timestamp <= state['last_processed_time']: break raw_domain = line['question']['name'] domain = normalize_domain(raw_domain, depth=3) client = line['client'] status = line['status'] reason = line['reason'] if domain not in domain_cache: categories = [] for category, lookup_set in category_sets.items(): if domain_match(domain, lookup_set): categories.append(category) domain_cache[domain] = categories if domain_cache[domain]: for category in domain_cache[domain]: cursor.execute(""" INSERT OR IGNORE INTO categorized_queries (timestamp, client, domain, category, status, reason) VALUES (?, ?, ?, ?, ?, ?) """, ( timestamp, client, domain, category, status, reason )) if timestamp > newest_seen: newest_seen = timestamp conn.commit() conn.close() state["last_processed_time"] = newest_seen with open(STATE_FILE, "w") as file: json.dump(state, file) |
Python:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
| import os import requests os.chdir("/home/stefan/Documents/python") os.makedirs("categories", exist_ok=True) urls = { "tif": "https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/wildcard/tif-onlydomains.txt", "nsfw": "https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/wildcard/nsfw-onlydomains.txt", "social": "https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/wildcard/social-onlydomains.txt" } for category, url in urls.items(): print(f"Downloading {category}...") response = requests.get(url, timeout=30) response.raise_for_status() tmp_file = f"categories/{category}.txt.tmp" with open(tmp_file, "w") as file: file.write(response.text) os.replace( tmp_file, f"categories/{category}.txt" ) lines = response.text.count("\n") print( f"Saved categories/{category}.txt " f"({lines:,} entries)" ) |
[ Voor 87% gewijzigd door lolgast op 13-06-2026 08:59 ]
Stiekem begint het wat vorm te krijgen. Ik heb de lijsten van Adguard Home gevonden op Github die het gebruikt om services te kunnen blokkeren. Op basis daarvan en wat zelfgevulde categorien ziet het er nu zo uit na een dagje
Database queries met Metabase
Gaat echt nog wel wat werk zitten in het verbeteren en aanvullen van de domeinen die ik wil monitoren. Voor mij ziet het er nu zo uit, mocht iemand het na willen bouwen.
DISCLAIMER! Het is een gigantische WIP, maar functioneel
Database queries met Metabase
Gaat echt nog wel wat werk zitten in het verbeteren en aanvullen van de domeinen die ik wil monitoren. Voor mij ziet het er nu zo uit, mocht iemand het na willen bouwen.
DISCLAIMER! Het is een gigantische WIP, maar functioneel
Bash:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
| root@metabase:/opt/dns_cat# ls -lR .: total 14860 drwxr-xr-x 2 root root 4096 Jun 18 20:16 categories -rw-r--r-- 1 root root 14995456 Jun 18 20:30 dns_categories.db -rw-r--r-- 1 root root 4866 Jun 18 14:06 main.py -rw-r--r-- 1 root root 62 Jun 18 20:30 state.json -rw-r--r-- 1 root root 194520 Jun 18 20:30 unknown_domains.json -rw-r--r-- 1 root root 4153 Jun 18 20:16 update_categories.py ./categories: total 45108 -rw-r--r-- 1 root root 4143288 Jun 18 20:16 advertising.txt -rw-r--r-- 1 root root 86 Jun 17 22:32 developer.txt -rw-r--r-- 1 root root 99 Jun 17 22:32 google.txt -rw-r--r-- 1 root root 0 Jun 18 14:03 ignored.txt -rw-r--r-- 1 root root 755394 Jun 18 20:16 malware.txt -rw-r--r-- 1 root root 99 Jun 17 22:32 microsoft.txt -rw-r--r-- 1 root root 6594045 Jun 18 20:16 nsfw.txt -rw-r--r-- 1 root root 3169 Jun 18 20:16 shopping.txt -rw-r--r-- 1 root root 98784 Jun 18 20:16 social.txt -rw-r--r-- 1 root root 2499 Jun 18 20:16 streaming.txt -rw-r--r-- 1 root root 56 Jun 18 20:16 teams.txt -rw-r--r-- 1 root root 13 Jun 18 09:44 techology.txt -rw-r--r-- 1 root root 34559041 Jun 18 20:16 tif.txt |
Bash:
1
2
3
4
| root@metabase:/opt/dns_cat# crontab -l 0 3 * * * /usr/bin/python3 /opt/dns_cat/update_categories.py */30 * * * * /usr/bin/python3 /opt/dns_cat/main.py |
Met bijna 1200 issues op GitHub hebben ze nog een flinke backlog 
Wat ik zelf mis, is de mogelijkheid om wat beter te kunnen filteren/zoeken in de queries die zijn gedaan. Je kan nu bijv. wel een IP-adres invullen om te filteren op alle requests van een bepaalde cliënt, maar ik zou dan bijv. óók nog binnen die dataset willen filteren (eigenlijk een AND in de zoekopdracht).
Wat ik zelf mis, is de mogelijkheid om wat beter te kunnen filteren/zoeken in de queries die zijn gedaan. Je kan nu bijv. wel een IP-adres invullen om te filteren op alle requests van een bepaalde cliënt, maar ik zou dan bijv. óók nog binnen die dataset willen filteren (eigenlijk een AND in de zoekopdracht).
[ Voor 56% gewijzigd door ThinkPad op 19-06-2026 15:16 ]
:strip_icc():strip_exif()/u/34345/crop604df19f86683.jpg?f=community)
Die zijn niet per se relevant voor nieuwe features. Ze hebben maar 72 Pull Requests open staan.
Sometimes you need to plan for coincidence
Hier op de Proxmox machine een testcontainer aangemaakt met AdGuard Home Edge channel installed.
De UI ziet er frisser uit, meer in de lijn van hun adblock browser plugin.
Benieuwd wanneer ze deze willen releasen in productie.
Indien gewenst kan ik wel wat screenshots nemen en hier sharen.
Edit:
Paar screenshots genomen
In footer: Version v1.0.0-a.7+7729d8c5, staat nergens op genomen screenshots.
:strip_exif()/f/image/0yUQtyV1fDazsDglxDwsI1tN.jpg?f=fotoalbum_large)
:strip_exif()/f/image/2zRKm9CRoJCSfZrL9EPun3uL.jpg?f=fotoalbum_large)
:strip_exif()/f/image/GeKJQ0JSJmhinIb6yoISPbu0.jpg?f=fotoalbum_large)
:strip_exif()/f/image/uQIPPCLq2Mjw4R8QcimR51yE.jpg?f=fotoalbum_large)
De UI ziet er frisser uit, meer in de lijn van hun adblock browser plugin.
Benieuwd wanneer ze deze willen releasen in productie.
Indien gewenst kan ik wel wat screenshots nemen en hier sharen.
Edit:
Paar screenshots genomen
In footer: Version v1.0.0-a.7+7729d8c5, staat nergens op genomen screenshots.
:no_upscale():strip_icc():strip_exif()/f/image/0yUQtyV1fDazsDglxDwsI1tN.jpg?f=user_large)
:no_upscale():strip_icc():strip_exif()/f/image/2zRKm9CRoJCSfZrL9EPun3uL.jpg?f=user_large)
:no_upscale():strip_icc():strip_exif()/f/image/GeKJQ0JSJmhinIb6yoISPbu0.jpg?f=user_large)
:no_upscale():strip_icc():strip_exif()/f/image/uQIPPCLq2Mjw4R8QcimR51yE.jpg?f=user_large)
[ Voor 73% gewijzigd door TheCeet op 16-07-2026 12:30 ]
Heb de quic van quad9 ook eens toegevoegd, al was ik met de TLS variant ook al blij - toch bijna de helft van Cloudflare:
Oh, de eerste averages van de quicquad9 zitten op 5ms
code:
edit;1
2
| tls://dns.quad9.net:853 7ms tls://1.1.1.1:853 12 ms |
Oh, de eerste averages van de quicquad9 zitten op 5ms
[ Voor 15% gewijzigd door Hmmbob op 28-08-2026 19:04 ]
Sometimes you need to plan for coincidence
Ik draai al tijden Quad9 en Cloudflare via DNS over HTTPS als upstream. Kan ik hier nog een verbeterslag in maken door quic of tls te gebruiken? en waarom het ene en niet het andere?:
Heb de quic van quad9 ook eens toegevoegd, al was ik met de TLS variant ook al blij - toch bijna de helft van Cloudflare:code:edit;
Oh, de eerste averages van de quicquad9 zitten op 5ms
:strip_exif()/u/340453/crop67a669ce4f1f4_cropped.webp?f=community)
Hier ook werkt erg goed. Heb tegenwoordig unicast ipv multicast keepalived, had issues met failover en virtuele switches, weet het niet meer. Scheelt ook weer onnodig multicast verkeer op wifi
(Multicast wordt op de laagste wifi datarate uitgezonden)
[ Voor 11% gewijzigd door stormfly op 29-08-2026 15:09 ]
Maar ze zijn zo zielig.. hoe gaan ze anders programma's als Wolven blijven maken, als niemand meer betaald?
Serieus - niet alles werkt helaas met AGH. Veel Android ads gaan over een API, alleen dacht ik dat veel videos ads over de stream (manifest) zelf gaan, en die kun je bijna niet blokkeren. Werkt het wel met iets als uBlock Origin erbij? Zo ja, dan zou je kunnen proberen de NLD lijst te importen in AGH - wil daar ook een request voor sturen.
:strip_exif()/f/image/efIX2dgaB4iji04lbJ51jens.png?f=user_large)
:strip_exif()/f/image/rpStaiXzRtSUnWZTHVtNHf4D.png?f=user_large)
Dat is vrij logisch, aangezien TLS de minste overhead heeft. Ik dacht dat de volgorde: quic, tls (DoT) en dan https (DoH) was.
Met DoT heb je als voordeel dat het snelste is, maar wel eenvoudiger te blokkeren. DoH i.c.m. http3 (quic) is het beste, maar niet elke DNS-aanbieder heeft het nog.
Edit: het heeft mij wel aan denken gezet. Ik heb de instellingen ook eens aangepast naar quic:// en tls://, de https:// naar backup-servers. Eens kijken hoe dat gaat.
[ Voor 10% gewijzigd door HollowGamer op 09-09-2026 10:15 ]
Tja deze ip-adressen zou je ook gebruiken voor de reguliere dns settings zonder encryptie en je kan er ook een comment zoals "# Quad9" boven zetten om het te onthouden. 149.112.112.112 is overigens het secondaire ip-adres van Quad9:
[...]
Dan moet je wel zelf onthouden wie-wie is.
149.x - weet ik dat Adguard is, maar er zijn IP-addressen, waar je dat niet weet.
Het voordeel ook van een DNS-record, is dat het kan werken als zij een loadbalancer gebruiken, al snap ik dat het ook werkt zonder die omzetting.
[ Voor 7% gewijzigd door FLA NL op 09-09-2026 10:56 ]
/u/141707/crop692d613b3adaa_cropped.png?f=community)
/u/433/crop6746d51e1326a_cropped.png?f=community)