[AdGuard Home] Ervaringen & discussie

[PaulHelper]

Ik heb geen idee of dit hier hoort maar ik probeer het maar.
Ik heb nu een VPS met Ubuntu en Ben mijn 'self' host avontuur echt begonnen. Nu heb ik er adguard home opgezet wat werkt. Ook met een domeinnaam en encrypted gaat goed met een domein foo.bar.com.

Nu wil ik alleen heel graag cliënt Ids als subdomein kunnen doen maar ik had tot nu toe alleen een ssl voor foo.bar.com niet sub.foo.bar.com of een wildcard. Hoofdzakelijk heb ik certbot gebruikt met een dns challenge. Wanneer ik een ssl cert voor zowel foo.bar.com als *.foo.bar.com aanvraag lijkt alles goed te gaan maar adguard home zegt dat de fullchain.cer of .pem invalid zijn.

Ik heb al veel verschillende dingen geprobeerd maar ik doe verder hetzelfde als hoe ik het oorspronkelijke foo.bar.com heb aangevraagd en ingesteld.

Iemand die wildcard/subdomeinen met encryption goed werkend hebben en me hierbij kunnen helpen?

[HollowGamer]

@PaulHelper Je gaat hier drie lagen diep, ik denk niet dat dit kan/mag. Mocht het wel kunnen via workarounds, dan zou ik er persoonlijk niet voor kiezen.

Je kan ook meerdere subdomains maken. Dus zoiets als foo.example.com, bar.example.com, etc. waar dus iedere subdomains staat voor een applicatie.

Dit houdt mij ook tegen Adguard te installeren op een VPS. Intern heb ik allemaal subdomains of zelfs .test domeinen voor applicaties.

[PaulHelper]

HollowGamer schreef op woensdag 26 november 2025 @ 08:47:
@PaulHelper Je gaat hier drie lagen diep, ik denk niet dat dit kan/mag. Mocht het wel kunnen via workarounds, dan zou ik er persoonlijk niet voor kiezen.

Je kan ook meerdere subdomains maken. Dus zoiets als foo.example.com, bar.example.com, etc. waar dus iedere subdomains staat voor een applicatie.

Dit houdt mij ook tegen Adguard te installeren op een VPS. Intern heb ik allemaal subdomains of zelfs .test domeinen voor applicaties.

Excuses voor mijn berichten ik had een hele domme fout, ik had de certificaten wel aangepast maar niet de server url/domein... Ofwel hij probeerde foo.bar.com te valideren met bar.foo.com, daardoor kwam er invalid. Probleem opgelost, gelukkig heb ik hier niet bijna een hele dag aan getroubleshoot gisteren.

Dan een ander probleem,ik heb nu een valide wildcard cert met *.foo.bar.com, ik probeer nu met wildcard clientids te gebruiken. Specifiek heb ik een android client op DNS over tls, en ik doe telefoon.foo.bar.com. De DNS werkt en gebruikt adguard home maar krijgt niet de client id telefoon mee. Hoe kan dit komen?

Nog meer noob gedrag, alles aan adguard kant stond goed. Maar DNS van de subdomains *. ... reageerde niet met het de server. Dus alle requests naar die subdomains kwamen nergens uit. Na DNS omzetten werkte het meteen allemaal.

// OUD OPGELOST
Bedankt voor je reactie, maar wat maakt drie lagen diep dan ongeldig? Alles vanuit de certificaat kant lijkt gewoon goed te gaan, en in principe is er geen limiet op subdomein diepte voor zover ik weet. Zou dit dan van adguard home een bottleneck zijn en zo ja heb je daar een bron voor?
Een losse subdomein zou ik voor de toekomst misschien wel willen iets als dns.bar.com maar dan moet ik toch nog steeds diezelfde diepte houden? of ben ik dat nou, iets als client.bar.com dan zou namelijk het hoofddomein al de dns moeten zijn (en ik vind juist dat het een los subdomein is handig denk ik).

Verder is het in bijvoorbeeld een andere dns als nextdns gewoon zo in de manual en gebruik ik het ook 'Piet--Router-ddf99c.dns.nextdns.io' Hoe krijgen zij dit dan wel met encryption goed werkend? Ja natuurlijk niet adguard home maar hun eigen implementatie maar dan zou het een domme limiet van Adguard home zijn.

[ Voor 22% gewijzigd door PaulHelper op 26-11-2025 12:53 ]

[sjongenelen]

Wildcard cert is echt wel nodig als je client ids wil gebruiken met DoH

[alex3305]

@HollowGamer Er is voor zover ik weet geen beperking op diepte van multi-level subdomains . Dat zou ook raar zijn, aangezien het voor certbot geen fluit uitmaakt hoe diep je een certificaat aanvraagt. Tegelijkertijd is een wildcard van een wildcard niet toegestaan. Dus *.*.example.com mag niet. Maar ook *.foo.*.example.com mag niet.

@PaulHelper Ik heb een hele tijd een wildcard certificaat gebruikt in combinatie met DNS-over-TLS op Android. Dat gaf tevens de door jouw gewenste Client ID's. Dat werkte prima, behalve dan dat ik redelijk veel bot verkeer kreeg. Het toevoegen van clients onder Client Settings was in mijn geval ook niet voldoende om dit verkeer tegen te houden. Dit moest echt onder DNS Settings. Bijvoorbeeld:



Alleen was dit eigenlijk ook onvoldoende omdat (zucht...) bots willekeurige termen en woorden gaan proberen.

In Android had ik tegelijkertijd het probleem dat mijn DNS soms onbereikbaar was door mijn split horizon DNS setup. Dus bij een verandering van wifi naar mobiele data of vice versa had ik dan even geen internet . Dat vond ik zo irritant dat ik deze setup voor nu achter me heb gelaten. Alhoewel ik toch moet toegeven dat ik recent wel weer aan het testen ben geweest met DNS-over-TLS , maar dan de reverse proxy de TLS termination laat doen.

Momenteel gebruik ik buitenshuis een Wireguard tunnel met (twee) AdGuard Home als DNS server. Dat werkt vooralsnog wat betrouwbaarder.

[Glassertje]

sjongenelen schreef op woensdag 26 november 2025 @ 09:33:
Wildcard cert is echt wel nodig als je client ids wil gebruiken met DoH

Als je de client achter de server zet, zou het moeten werken zonder wildcard certificaat. Dus: https://example.org/dns-query/my-client

Voor DoT en DoQ heb je wel een wildcard nodig.

Zie voor uitleg: ClientID Github

[ Voor 5% gewijzigd door Glassertje op 26-11-2025 12:05 ]

[sjongenelen]

Glassertje schreef op woensdag 26 november 2025 @ 12:04:
[...]

Als je de client achter de server zet, zou het moeten werken zonder wildcard certificaat. Dus: https://example.org/dns-query/my-client

Voor DoT en DoQ heb je wel een wildcard nodig.

Zie voor uitleg: ClientID Github

Ook een goed idee ja. Nadeel van mijn setup is dat de eerste dns query nog niet over doh gaat (en de clientid leaked). Dat is daar beter.

[sjongenelen]

Overigens heb ik in agh een custom rule, die mijn domain rewrite naar agh IP en niet de modem. Heb zelf geen drops

[HollowGamer]

@alex3305 Je hebt gelijk! Is het wel niet zo dat sommige apps/websites het niet zo leuk vinden?

Ik dacht namelijk altijd dat het een soort regel was, dat je dat niet wilt (enkel een subdomains). Als dat niet klopt dan hoor ik het graag, ik doe gelukkig niets daarmee voor mijn werk.

[alex3305]

@HollowGamer De diepte van het domein maakt het certificaat of de certificaat-chain in principe geen biet uit. Sterker nog, het certificaat wordt uitgegeven voor 1 of meerdere (sub)domeinen. Of dat dan een Let's Encrypt certificaat is of iets anders, is irrelevant. Hetzelfde geldt overigens voor DNS, waar de enige beperking is dat het record niet over de 255 bytes heen mag. Een entry eindigt vervolgens (volgens RFC1035 in een null label en een zero byte:

quote: RFC1035

3.1. Name space definitions

Domain names in messages are expressed in terms of a sequence of labels. Each label is represented as a one octet length field followed by that number of octets. Since every domain name ends with the null label of
the root, a domain name is terminated by a length byte of zero. The high order two bits of every length octet must be zero, and the remaining six bits of the length field limit the label to 63 octets or less.

To simplify implementations, the total length of a domain name (i.e., label octets and label length octets) is restricted to 255 octets or less.

Multi-level domeinen (en certificaten) zijn overigens bijzonder gewenst . In mijn thuissituatie heb ik onder andere *.clients.example.com en *.nodes.example.com. De clients zijn daarbij de apparaten die eindgebruikers gebruiken, waaronder tablets, telefoons en computers. En de nodes zijn de servers. Daar zit dan mijn (zelfbouw) NAS, een paar Pi's en een Nuc bij. Maar ook een backup machine in Canada.

Je zou je dus ook kunnen voorstellen, en dit is niet ongewoon in grotere enterprises, dat je ook verdelingen op regio gaat maken. Denk dan aan *.ams.eu.nodes.example.com. Dat heeft direct als consequentie dat je kunt zien (als beheerder) waar een node zich bevindt en aan welke wet- en regelgeving je jezelf moet houden. Maar ook in welke regio er een storing is, als deze voorkomt.

Ook certificaten zijn in dit geval belangrijk. Het is wederom niet ongewoon om mTLS voor dergelijke machines te gebruiken zodat er geverifieerd kan worden dat de machine echt is die de machine zegt dat die is. En dan heb ik het nog niet over tunnels, jump hosts en weet ik wat. Certificaten kunnen dan echt enorm veel waarde toevoegen, hoe diep dan ook.

Om toch nog even terug te pakken op AdGuard Home. Ik heb hier dus wel een wildcard certificaat voor gebruikt. Het is natuurlijk mogelijk om bijvoorbeeld *.dns.example.com aan te vragen, maar ik heb destijds gekozen voor *.p.example.com waar de p voor private staat. Dit subdomein ging dan langs de gebruikelijke Cloudflare reverse proxy zodat er ook niet-HTTP(S) verkeer overheen kon. Het is dan wel een beetje security through obsecurity, maar dat heb ik voor lief genomen.

[Vorkie]

Heb je vandaag problemen met o.a. microsoft.com en google.com, check even of je niet https://dbl.oisd.nl/ gebruikt...

Je Android toestellen willen dan bijvoorbeeld niet op de WiFi.

/edit
Het is een lijst die je niet meer moet gebruiken - wat ze zelf aangeven. Je Adguard zal nu alle data van die URL's ophalen.... en dat zijn er nogal wat

# This list is deprecated since 1st of jan 2024
# Please update your oisd blocklist URL
# Visit https://oisd.nl
#
dbl.oisd.nl
dbl.oisd.nl
dblmobile.oisd.nl
shnfpdbl.oisd.nl
dblzero.oisd.nl
dbl2.oisd.nl
hosts.oisd.nl
hostsmobile.oisd.nl
pac.oisd.nl

[ Voor 54% gewijzigd door Vorkie op 30-11-2025 10:10 ]

[ronaldtb]

Ik had de laatste paar dagen regelmatig problemen met het downloaden sommige podcasts. Die bleken geblokkeerd te zijn



edit: Volgens OISD.nl staat npo.nl op geen enkele block list…

[ Voor 9% gewijzigd door ronaldtb op 30-11-2025 10:50 ]

[jurroen]

ronaldtb schreef op zondag 30 november 2025 @ 10:24:
edit: Volgens OISD.nl staat npo.nl op geen enkele block list…

Er is een verschil tussen het al dan niet op een blocklist staan en adult content filteren. En dat laatste doe jij zo te zien.

Voeg een uitzondering toe voor de specifieke client (beste optie), je gehele netwerk of schakel de blocklost uit (slechtste optie).

[ronaldtb]

jurroen schreef op maandag 1 december 2025 @ 02:28:
[...]

Er is een verschil tussen het al dan niet op een blocklist staan en adult content filteren. En dat laatste doe jij zo te zien.

Voeg een uitzondering toe voor de specifieke client (beste optie), je gehele netwerk of schakel de blocklost uit (slechtste optie).

Dat klopt en dat weet ik, maar dan staat dat er bij. Dit werd echt geblokkeerd door de OISD NSFW list.

Update: De laatste paar dagen geen problemen meer gehad met podcasts en ook de kinderen hebben geen problemen meer met de NPO Zapp app.

[ Voor 12% gewijzigd door ronaldtb op 03-12-2025 07:48 ]

[Sinna]

Ik loop - nu mijn netwerk IPv6 ondersteunt - tegen het volgende aan op een AGH-installatie binnen HA (al vermoed ik dat het bij een een 'gewone' AGH niet anders zal zijn): ik zie DNS-requests gelogd worden vanaf het IPv6-adres van mijn clients, maar als ik hiervoor cliëntinstellingen maak, dan worden die keihard genegeerd.
Mijn bedoeling is vnl. om andere upstream DNS-servers af te dwingen afhankelijk van of papa en mama surfen of de (opgroeiende) kids waarbij voor die laatste safesearch e.d. verplicht is.
Om te vermijden dat ze de boel belazeren (wat ze uiteraard wél kunnen via hun mobiele verbinding, oeps!) staan de standaard-instellingen van AGH op kids-proof.

Doe ik hetzelfde request maar dan vanaf het IPv4-adres van de client, dan werkt het zoals verwacht.

Ik zie dat er wel een aantal issues zijn met IPv6, zowel in deze draad als op de AGH-Github, maar louter daarvoor op de desbetreffende client(s) IPv6 terug uitzetten is toch een stap te ver.

Iemand hier die wél IPv6-cliëntinstellingen aan de praat gekregen heeft?

[gerritjan]

Software-update: AdGuard Home 0.107.70

[Harmen]

gerritjan schreef op donderdag 4 december 2025 @ 18:51:
Software-update: AdGuard Home 0.107.70

Heb gisteren geupdate, merk dat de Average processing speed omhoog is gegaan. Van 0.5ms naar 15ms.



Bekend issue blijkbaar: https://github.com/AdguardTeam/AdGuardHome/issues/8148
Volgende keer wacht ik wel eventjes met updaten.
Edit, backup terug gezet vanuit Tuxis PBS server. Heb ik gelijk de backup getest, volgende keer maar even een snapshot maken voordat ik upgrade.

[ Voor 8% gewijzigd door Harmen op 05-12-2025 15:07 ]

[FLA NL]

Ook maar terug gegaan naar de vorige versie. Voor maandag staat de fix gepland kan je nu in het issue zien.

[FLA NL]

AdGuard Home v0.107.71
https://github.com/Adguar...me/releases/tag/v0.107.71

[ Voor 7% gewijzigd door FLA NL op 08-12-2025 16:31 ]

[HollowGamer]

FLA NL schreef op maandag 8 december 2025 @ 16:28:
AdGuard Home v0.107.71
https://github.com/Adguar...me/releases/tag/v0.107.71

Deze fix cache issues. Had ze zelf niet, maar kennelijk kwam het bij sommige setups voor.

[Tweakx]

Vraagje! Ik heb een Zyxel modem/router van Odido. Bij DNS Waarden zet ik als IP 1 het IP-adres wat Adguard in HA aangeeft. Helaas wordt deze automatisch weer op 1.1.1.1 gezet. Wat is hiervoor een fix? Als ik 1.1.1.1 als IP 2 neerzet gooit die deze ook weer naar 1 helaas.

[ Voor 14% gewijzigd door Tweakx op 09-12-2025 11:41 ]

[HollowGamer]

Tweakx schreef op dinsdag 9 december 2025 @ 11:40:
Vraagje! Ik heb een Zyxel modem/router van Odido. Bij DNS Waarden zet ik als IP 1 het IP-adres wat Adguard in HA aangeeft. Helaas wordt deze automatisch weer op 1.1.1.1 gezet. Wat is hiervoor een fix? Als ik 1.1.1.1 als IP 2 neerzet gooit die deze ook weer naar 1 helaas.

Ik heb dit anders gedaan.

Als DHCP geef ik de lokale Adguard instance op, en de WAN laat ik zijn hoe het is. Daardoor weet je ook welke cliënt een request doet, anders komt het allemaal bij het WAN samen.

[Tweakx]

HollowGamer schreef op dinsdag 9 december 2025 @ 11:42:
[...]

Ik heb dit anders gedaan.

Als DHCP geef ik de lokale Adguard instance op, en de WAN laat ik zijn hoe het is. Daardoor weet je ook welke cliënt een request doet, anders komt het allemaal bij het WAN samen.

Dank! Ga ik proberen.

[HollowGamer]

Tweakx schreef op dinsdag 9 december 2025 @ 12:00:
[...]

Dank! Ga ik proberen.

Als je wilt, kan ik altijd meer delen over mijn setup.

[Tweakx]

HollowGamer schreef op dinsdag 9 december 2025 @ 12:08:
[...]

Als je wilt, kan ik altijd meer delen over mijn setup.

Heel graag! Ik kom er nog niet helemaal uit. Hij geeft bij DHCP aan dat het IP adres van HA nog niet is vrijgegeven/vernieuwd.

[HollowGamer]

Tweakx schreef op dinsdag 9 december 2025 @ 14:12:
[...]

Heel graag! Ik kom er nog niet helemaal uit. Hij geeft bij DHCP aan dat het IP adres van HA nog niet is vrijgegeven/vernieuwd.

Kom morgen bij je terug. Als het een static is, alles even uitrekken en dan na 10 minuten weer inschakelen.

[Tweakx]

HollowGamer schreef op dinsdag 9 december 2025 @ 23:24:
[...]

Kom morgen bij je terug. Als het een static is, alles even uitrekken en dan na 10 minuten weer inschakelen.

Werkt helaas niet! Maar met DCHP wijs je alleen een static IP toe, toch? Het verkeer gaat niet ineens via dat IP? Of begrijp ik het verkeerd?

[HollowGamer]

Tweakx schreef op woensdag 10 december 2025 @ 09:10:
[...]

Werkt helaas niet! Maar met DCHP wijs je alleen een static IP toe, toch? Het verkeer gaat niet ineens via dat IP? Of begrijp ik het verkeerd?

Dit heb ik ingesteld op het modem van Odido (statische DHCP):



Deze gaan naar mijn NAS (beide poorten):



Het belangrijkste is dat je op de AGH-server niet terugloopt naar de router. Ik heb daar beide DNS-servers ingesteld op 127.0.0.1. Daar stel je ook de upstream DNS-servers op naar 1.1.1.1 bijvoorbeeld.

Mocht je meer willen weten, laat mij gerust weten.

[Tweakx]

HollowGamer schreef op woensdag 10 december 2025 @ 10:01:
[...]


Dit heb ik ingesteld op het modem van Odido (statische DHCP):

[Afbeelding]

Deze gaan naar mijn NAS (beide poorten):

[Afbeelding]

Het belangrijkste is dat je op de AGH-server niet terugloopt naar de router. Ik heb daar beide DNS-servers ingesteld op 127.0.0.1. Daar stel je ook de upstream DNS-servers op naar 1.1.1.1 bijvoorbeeld.

Mocht je meer willen weten, laat mij gerust weten.

Bedankt! Ik ga vanmiddag even ernaar kijken

[Tweakx]

HollowGamer schreef op woensdag 10 december 2025 @ 10:01:
[...]


Dit heb ik ingesteld op het modem van Odido (statische DHCP):

[Afbeelding]

Deze gaan naar mijn NAS (beide poorten):

[Afbeelding]

Het belangrijkste is dat je op de AGH-server niet terugloopt naar de router. Ik heb daar beide DNS-servers ingesteld op 127.0.0.1. Daar stel je ook de upstream DNS-servers op naar 1.1.1.1 bijvoorbeeld.

Mocht je meer willen weten, laat mij gerust weten.

Het werkt! Bij toegestane gebruikers had ik een IP staan en die klopte niet meer, daardoor werkte het geheel niet. Dank!

[zunrob]

Ik merk de laatste tijd wat vertraging bij het browsen. Nu kijk ik net in het systeem zie ik bij upstream een responsetijd van bijna 1 seconde staan bij 'ip-adres-router:53'. Ik gebruik een Fritzbox 4060, maar weet niet zo goed hoe ik dit kan verminderen?

De totale gemiddelde procestijd zit op 42 ms.

[ Voor 8% gewijzigd door zunrob op 17-12-2025 22:13 ]

[HollowGamer]

zunrob schreef op woensdag 17 december 2025 @ 22:10:
Ik merk de laatste tijd wat vertraging bij het browsen. Nu kijk ik net in het systeem zie ik bij upstream een responsetijd van bijna 1 seconde staan bij 'ip-adres-router:53'. Ik gebruik een Fritzbox 4060, maar weet niet zo goed hoe ik dit kan verminderen?

De totale gemiddelde procestijd zit op 42 ms.

De meeste responses zijn moeilijk te bepalen. Ik zit op 10ms, maar bij lokaal development kunnen die weer veel hoger liggen.

Wat zijn precies je device specs, gebruik je caching (ook voor blokkeren), en welke heb je upstream ingesteld? Die van Quad9 is bijvoorbeeld vrij langzaam.

[zunrob]

HollowGamer schreef op woensdag 17 december 2025 @ 22:27:
[...]

De meeste responses zijn moeilijk te bepalen. Ik zit op 10ms, maar bij lokaal development kunnen die weer veel hoger liggen.

Wat zijn precies je device specs, gebruik je caching (ook voor blokkeren), en welke heb je upstream ingesteld? Die van Quad9 is bijvoorbeeld vrij langzaam.

Mijn reguliere upstream servers zijn snel (9 ms), alleen in die lijst staat dus ook het ip-adres van mijn router met poort 53 ertussen. Dat snap ik eigenlijk niet, ik heb dus nooit toegevoegd. Dat is diegene die zo langzaam is.

[TheCeet]

Is dat niet PTR-requests?
om de IP's te vertalen naar hostnames?

[Verwijderd]

Ik zou graag Adguard willen proberen in plaats van Pi-hole. Nu bestaat mijn denied list uit slechts 1 regex, namelijk .*. Hiermee blokkeer ik al het verkeer, maar laat alleen verkeer toe naar domeinen op mijn toegestane lijst. Is dit ook op Adguard gemakkelijk in te regelen? Begin 2020 gekozen voor Pi-Hole omdat het daar wat gemakkelijker ging, maar ik ben mijn keuze aan het heroverwegen.

[HollowGamer]

Verwijderd schreef op dinsdag 23 december 2025 @ 14:05:
Ik zou graag Adguard willen proberen in plaats van Pi-hole. Nu bestaat mijn denied list uit slechts 1 regex, namelijk .*. Hiermee blokkeer ik al het verkeer, maar laat alleen verkeer toe naar domeinen op mijn toegestane lijst. Is dit ook op Adguard gemakkelijk in te regelen? Begin 2020 gekozen voor Pi-Hole omdat het daar wat gemakkelijker ging, maar ik ben mijn keuze aan het heroverwegen.

Daar is Adguard Home dacht ik niet voor bedoeld.

Geen idee wat je wilt met een allowlist, maar dat was niet je vraag.

[Verwijderd]

HollowGamer schreef op dinsdag 23 december 2025 @ 15:09:
[...]

Daar is Adguard Home dacht ik niet voor bedoeld.

Geen idee wat je wilt met een allowlist, maar dat was niet je vraag.

Op de allowlist wil ik de domeinen kwijt die ik wil kunnen benaderen, eventueel met regex. Bij Pi-hole blokkeer ik initieel alles door .* op mijn blokkeerlijst te plaatsen. Domeinen die ik toegankelijk wil hebben, staan op de allowlist.

Maar jammer dat dat niet kan.

[Baf]

Verwijderd schreef op dinsdag 23 december 2025 @ 17:12:
[...]
Domeinen die ik toegankelijk wil hebben, staan op de allowlist.

Maar als je een beetje gaat internetteren weet je toch van te voren niet op welke sites je terecht wilt komen?

[Mawlana]

https://adguard-dns.io/kb/general/dns-filtering-syntax/

Ik kan zo 1,2,3 niet zien waarom je niet alles zou kunnen blokkeren.

[Verwijderd]

Baf schreef op dinsdag 23 december 2025 @ 17:36:
[...]

Maar als je een beetje gaat internetteren weet je toch van te voren niet op welke sites je terecht wilt komen?

Wij bezoeken vrijwel altijd dezelfde websites en de gebruikte services zijn ook vrijwel altijd hetzelfde. In eerste instantie veel instelwerk, maar werkt prima.

Je bent dan ook gewoon gedekt wanneer Meta of Alphabet weer een ander (sub)domein gaat gebruiken. Bij enkel een blocklist loop je altijd achter de feiten aan. Bovendien biedt het ook iets aan extra veiligheid. Urls bij phishingmails werken niet. Mijn partnet klikte eens op rab0bank.nl, maar door alleen whitelists toe te staan, werkte dat niet.

Mawlana schreef op dinsdag 23 december 2025 @ 17:56:
https://adguard-dns.io/kb/general/dns-filtering-syntax/

Ik kan zo 1,2,3 niet zien waarom je niet alles zou kunnen blokkeren.

Bedankt. Destijds kreeg ik het niet lekker aan de praat. Ik zal er eens naar kijken!

[HollowGamer]

Verwijderd schreef op dinsdag 23 december 2025 @ 18:54:
[...]

Wij bezoeken vrijwel altijd dezelfde websites en de gebruikte services zijn ook vrijwel altijd hetzelfde. In eerste instantie veel instelwerk, maar werkt prima.

Je bent dan ook gewoon gedekt wanneer Meta of Alphabet weer een ander (sub)domein gaat gebruiken. Bij enkel een blocklist loop je altijd achter de feiten aan. Bovendien biedt het ook iets aan extra veiligheid. Urls bij phishingmails werken niet. Mijn partnet klikte eens op rab0bank.nl, maar door alleen whitelists toe te staan, werkte dat niet.


[...]

Bedankt. Destijds kreeg ik het niet lekker aan de praat. Ik zal er eens naar kijken!

Het klinkt paranoïde en te controleert (ook voor de andere). Maar okay, ik geloof niet dat dit werkt aangezien steeds meer over dynamische DNS adressen gaat.

[Verwijderd]

HollowGamer schreef op dinsdag 23 december 2025 @ 19:21:
[...]

Het klinkt paranoïde en te controleert (ook voor de andere).

Eerste kan ik inkomen, tweede niet. Wij voegen beiden domeinen toe aan de whitelist. Dus dat controleren valt best mee. Ik weet ook niet waar zij tegen aanloopt. Ik gebruik GrapheneOS en zij iOS. Dus dat mogen we beiden lekker zelf doen.

[ Voor 16% gewijzigd door Verwijderd op 23-12-2025 19:57 ]

[TheCeet]

Correcte wiki link voor AdGuard Home:
https://github.com/Adguar...ome/wiki/Hosts-Blocklists

De link van Mawlana is van AdGuard DNS cloud oplossing.

[HollowGamer]

Verwijderd schreef op dinsdag 23 december 2025 @ 19:54:
[...]

Eerste kan ik inkomen, tweede niet. Wij voegen beiden domeinen toe aan de whitelist. Dus dat controleren valt best mee. Ik weet ook niet waar zij tegen aanloopt. Ik gebruik GrapheneOS en zij iOS. Dus dat mogen we beiden lekker zelf doen.

Je gaat tegen issues als iCloud aanlopen, maar ook security updates. Dus of je nu echt zoveel meer beschermd bent, twijfel ik heel erg aan.

Ik zou persoonlijk de anti phishing filters aanzetten van Adguard Home, en die laten updaten elke 4 uur (als het echt zo belangrijk is, die van mij is om de 24 uur).

Het is helaas niet meer de jaren 90, tegenwoordig heeft een allow list meer nadelen dan voordelen. Verder geeft het wel een soort controle, want je weet immers wie wat mag bezoeken. Vind dat nogal vreemd, hopelijk is het voor andere geen problemen wat ze willen doen.

[ Voor 9% gewijzigd door HollowGamer op 23-12-2025 23:13 ]

[Verwijderd]

HollowGamer schreef op dinsdag 23 december 2025 @ 23:11:
[...]

Je gaat tegen issues als iCloud aanlopen, maar ook security updates. Dus of je nu echt zoveel meer beschermd bent, twijfel ik heel erg aan.

Ik zou persoonlijk de anti phishing filters aanzetten van Adguard Home, en die laten updaten elke 4 uur (als het echt zo belangrijk is, die van mij is om de 24 uur).

Het is helaas niet meer de jaren 90, tegenwoordig heeft een allow list meer nadelen dan voordelen. Verder geeft het wel een soort controle, want je weet immers wie wat mag bezoeken. Vind dat nogal vreemd, hopelijk is het voor andere geen problemen wat ze willen doen.

Problemen vallen heel erg mee. Updates komen gewoon binnen en iCloud gebruiken we niet. Voor backups hebben we een thuisserver staan, kunnen we onafhankelijk van de aanbieder op backuppen.

Verder beiden een desktop met Linux erop. Zij Debian, ik Arch. Dus daarvan staan de packagerepo's ook gewoon op de whitelist. Dus updates komen daar ook binnen.

En die anderen? Mensen die bij ons op de wifi komen, kunnen inderdaad niets met Whatsapp of Google. Dat weten ze ook. Maar goed, dat is niet ons probleem. Wanneer ik bij vrienden plain op de wifi zit, kom ik ook vaak niet bij alles wat ik zelf gebruik/bezoek door hun allowlist. Meeste gasten hebben 4g/5g of een eigen Pi-hole draaien met remote verbinding via vpn.

[qwasd]

Wat gebruiken jullie als upstream servers?
Ik heb nu onderstaande erin staan maar wie weet is dit wel helemaal fout.

tls://one.one.one.one
https://dns.cloudflare.com/dns-query
tls://dns.quad9.net
https://dns.quad9.net/dns-query

[HollowGamer]

qwasd schreef op vrijdag 30 januari 2026 @ 18:42:
Wat gebruiken jullie als upstream servers?
Ik heb nu onderstaande erin staan maar wie weet is dit wel helemaal fout.


[...]

Ik gebruik altijd de https of quick. Voor nu heb ik er drie: ad, 1.1.1.1, Quad9.

[Villager]

qwasd schreef op vrijdag 30 januari 2026 @ 18:42:
Wat gebruiken jullie als upstream servers?
Ik heb nu onderstaande erin staan maar wie weet is dit wel helemaal fout.


[...]

Ik gebruik de DNScrypt Proxy in OPNsense en heb er dus 127.0.0.1:5335 staan.

[HollowGamer]

Villager schreef op vrijdag 30 januari 2026 @ 19:08:
[...]

Ik gebruik de DNScrypt Proxy in OPNsense en heb er dus 127.0.0.1:5335 staan.

Dat moet je toch ergens anders invullen? Krijg nu geen loop?

[Villager]

HollowGamer schreef op vrijdag 30 januari 2026 @ 20:44:
[...]

Dat moet je toch ergens anders invullen? Krijg nu geen loop?

Adguard krijgt DNS requests op poort 53 en stuurt requests door naar DNScrypt welke luistert op 0.0.0.0:5335. Gaat prima hoor.

[tomdh76]

Villager schreef op vrijdag 30 januari 2026 @ 21:16:
[...]

Adguard krijgt DNS requests op poort 53 en stuurt requests door naar DNScrypt welke luistert op 0.0.0.0:5335. Gaat prima hoor.

maar in dnscrypt moet je dan ook weer een upstream server zetten. kan je deze stap niet overslaan en de upstream rechtstreeks in adguard zetten. ik heb ook wel met dnscrypt gewerkt maar zie niet 1-2-3 voordelen tov dns over https vanuit adguard

[Villager]

tomdh76 schreef op zaterdag 31 januari 2026 @ 14:03:
[...]


maar in dnscrypt moet je dan ook weer een upstream server zetten. kan je deze stap niet overslaan en de upstream rechtstreeks in adguard zetten. ik heb ook wel met dnscrypt gewerkt maar zie niet 1-2-3 voordelen tov dns over https vanuit adguard

In DNScrypt heb ik geen DNS servers ingesteld. Dat doet hij zelf op basis van de instellingen die je zet.

[tomdh76]

Villager schreef op zaterdag 31 januari 2026 @ 14:51:
[...]

In DNScrypt heb ik geen DNS servers ingesteld. Dat doet hij zelf op basis van de instellingen die je zet.

ok, maar dan zou je die servers net zo goed toch in adguard kunnen zetten.

[lolgast]

tomdh76 schreef op zaterdag 31 januari 2026 @ 15:35:
[...]


ok, maar dan zou je die servers net zo goed toch in adguard kunnen zetten.

Jep

Enige wat DNSCrypt in mijn ogen doet is het nóg simpeler maken, maar je geeft ook controle uit handen. De DoH/TLS servers van Cloudflare of Adguard instellen in AGH levert hetzelfde op met een schakel minder

[Villager]

lolgast schreef op zaterdag 31 januari 2026 @ 16:02:
[...]

Jep

Enige wat DNSCrypt in mijn ogen doet is het nóg simpeler maken, maar je geeft ook controle uit handen. De DoH/TLS servers van Cloudflare of Adguard instellen in AGH levert hetzelfde op met een schakel minder

Dat is zeker zo, Maar je maakt het daarmee ook redelijk 'statisch'. DNScrypt kiest zelf de juiste DNS servers en dat kan dus steeds een andere 'set' van DNS servers zijn. Geeft in mijn ogen wat betere privacy. En volgens mij krijg je ook steeds de, op dat moment, snelste servers. De extra stap geeft nauwelijks vertraging. Ik heb in Adguard een gemiddelde responstijd van rond de 10ms.
Ik probeer niks te pushen ofzo. Het is gewoon een optie om het in te richten en dit is hoe ik het heb gedaan

[ Voor 9% gewijzigd door Villager op 01-02-2026 07:22 ]

[tomdh76]

Villager schreef op zondag 1 februari 2026 @ 07:18:
[...]

Dat is zeker zo, Maar je maakt het daarmee ook redelijk 'statisch'. DNScrypt kiest zelf de juiste DNS servers en dat kan dus steeds een andere 'set' van DNS servers zijn. Geeft in mijn ogen wat betere privacy. En volgens mij krijg je ook steeds de, op dat moment, snelste servers. De extra stap geeft nauwelijks vertraging. Ik heb in Adguard een gemiddelde responstijd van rond de 10ms.
Ik probeer niks te pushen ofzo. Het is gewoon een optie om het in te richten en dit is hoe ik het heb gedaan

en gebruik je geen enkele blok list in dnscrypt? Waar ik een beetje tegen aan liep is dat ik van mijn kids wel eens hoorde dat iets geblokt was, dan moest ik gaan kijken in adguard, dnscrypt en ook nog zenarmor waar het geblokt werd.

[lolgast]

Villager schreef op zondag 1 februari 2026 @ 07:18:
[...]

Dat is zeker zo, Maar je maakt het daarmee ook redelijk 'statisch'. DNScrypt kiest zelf de juiste DNS servers en dat kan dus steeds een andere 'set' van DNS servers zijn. Geeft in mijn ogen wat betere privacy. En volgens mij krijg je ook steeds de, op dat moment, snelste servers. De extra stap geeft nauwelijks vertraging. Ik heb in Adguard een gemiddelde responstijd van rond de 10ms.
Ik probeer niks te pushen ofzo. Het is gewoon een optie om het in te richten en dit is hoe ik het heb gedaan

Als je in AGH meerdere upstream servers invult heb je diezelfde set aan potentiële DNS servers toch? Het is aan jou om te kiezen of je op basis van loadbalancing gebruik van ze wilt maken of de beste/snelste.

Hoe dan ook, zoveel mensen, zoveel wensen. Ik gebruik mijn eigen Technitium als upstream server waardoor ik überhaupt niet afhankelijk ben van Cloudflare/Cisco/Google. En die is net als AGH behoorlijk inzichtelijk

[Villager]

tomdh76 schreef op zondag 1 februari 2026 @ 11:28:
[...]


en gebruik je geen enkele blok list in dnscrypt? Waar ik een beetje tegen aan liep is dat ik van mijn kids wel eens hoorde dat iets geblokt was, dan moest ik gaan kijken in adguard, dnscrypt en ook nog zenarmor waar het geblokt werd.

Nee, ik gebruik de blocklists van AGH. En gebruik dus ook Unbound niet meer. Maakt het een stuk simpeler zo. Zenarmor heb ik ook verwijderd. Heb nog nooit enig verschil gemerkt als het aan stond. Ook de logfiles lieten niets bijzonders zien. Kennelijk voegt het voor mij dus niks toe.

[ Voor 15% gewijzigd door Villager op 01-02-2026 11:46 ]

[Vorkie]

lolgast schreef op zondag 1 februari 2026 @ 11:39:
[...]

Als je in AGH meerdere upstream servers invult heb je diezelfde set aan potentiële DNS servers toch? Het is aan jou om te kiezen of je op basis van loadbalancing gebruik van ze wilt maken of de beste/snelste.

Hoe dan ook, zoveel mensen, zoveel wensen. Ik gebruik mijn eigen Technitium als upstream server waardoor ik überhaupt niet afhankelijk ben van Cloudflare/Cisco/Google. En die is net als AGH behoorlijk inzichtelijk

In AGH kan je ook gewoon de DNS rootservers plaatsen als upstream natuurlijk. Ben je ook niet afhankelijk van nog een extra docker?

https://www.iana.org/domains/root/servers voor de lijst.

[tomdh76]

Villager schreef op zondag 1 februari 2026 @ 07:18:
[...]

Dat is zeker zo, Maar je maakt het daarmee ook redelijk 'statisch'. DNScrypt kiest zelf de juiste DNS servers en dat kan dus steeds een andere 'set' van DNS servers zijn. Geeft in mijn ogen wat betere privacy. En volgens mij krijg je ook steeds de, op dat moment, snelste servers. De extra stap geeft nauwelijks vertraging. Ik heb in Adguard een gemiddelde responstijd van rond de 10ms.
Ik probeer niks te pushen ofzo. Het is gewoon een optie om het in te richten en dit is hoe ik het heb gedaan

ik heb nu een dagje dnscrypt staan (op opnsense) en dan in adguard 127.0.0.1:5350 als enig upstream server maar bij mij is responstijd 75 ms. Terwijl ik de dnscrypt logs als snelste provider 'he' zie staan (rtt: 3ms). Ik heb in dnscrypt ipv4, ipv6, use dnscrypt servers en dns-over https servers aangevinkt. Verder niets gespecificeerd. In adguard staat het op volume balanceren. Is er nog iets wat ik zou moeten aanpassen?

[Villager]

tomdh76 schreef op dinsdag 3 februari 2026 @ 20:25:
[...]


ik heb nu een dagje dnscrypt staan (op opnsense) en dan in adguard 127.0.0.1:5350 als enig upstream server maar bij mij is responstijd 75 ms. Terwijl ik de dnscrypt logs als snelste provider 'he' zie staan (rtt: 3ms). Ik heb in dnscrypt ipv4, ipv6, use dnscrypt servers en dns-over https servers aangevinkt. Verder niets gespecificeerd. In adguard staat het op volume balanceren. Is er nog iets wat ik zou moeten aanpassen?

En je cache settings in DNScrypt?

[tomdh76]

Villager schreef op dinsdag 3 februari 2026 @ 20:30:
[...]

En je cache settings in DNScrypt?
[Afbeelding]

die stond op 512, heb hem nu op 1024 gezet. Heb je cache ook nog aan in Adguard?

[EverLast2002]

Villager schreef op dinsdag 3 februari 2026 @ 20:30:
[...]

En je cache settings in DNScrypt?
[Afbeelding]

vraag: wat is het effect/nut om die op te hogen van 512 naar 1024MB ?
(draai zelf ook dnscrypt in opnsense i.c.m. AGH)

[Villager]

tomdh76 schreef op dinsdag 3 februari 2026 @ 21:18:
[...]


die stond op 512, heb hem nu op 1024 gezet. Heb je cache ook nog aan in Adguard?

Ja..

[Villager]

Villager schreef op woensdag 4 februari 2026 @ 06:07:
[...]

Ja..
[Afbeelding]

Ik heb m hoger gezet omdat ik toch voldoende geheugen heb. Draai bare metal OPNsense met 16GB. Of het een positief effect heeft, weet ik niet.

[TheCeet]

Vorkie schreef op zondag 1 februari 2026 @ 11:44:
[...]

In AGH kan je ook gewoon de DNS rootservers plaatsen als upstream natuurlijk. Ben je ook niet afhankelijk van nog een extra docker?

https://www.iana.org/domains/root/servers voor de lijst.

bij mijn weten werkt dit niet.
AGH is forwarder en als je de IP's van rootserver gebruikt moet dit verwerkt worden door resolver (zoals Unbound, of andere)

[Villager]

tomdh76 schreef op dinsdag 3 februari 2026 @ 20:25:
[...]


ik heb nu een dagje dnscrypt staan (op opnsense) en dan in adguard 127.0.0.1:5350 als enig upstream server maar bij mij is responstijd 75 ms. Terwijl ik de dnscrypt logs als snelste provider 'he' zie staan (rtt: 3ms). Ik heb in dnscrypt ipv4, ipv6, use dnscrypt servers en dns-over https servers aangevinkt. Verder niets gespecificeerd. In adguard staat het op volume balanceren. Is er nog iets wat ik zou moeten aanpassen?

Ik heb op Adguard Dashboard pagina 2 waarden die de responsetijden weergeven.

Onder Algemene Statistieken > Gemiddelde procestijd: 6 ms

en onder Gemiddelde upstream responstijd> Gemiddelde upstream responstijd voor de afgelopen 24 uren
127.0.0.1:5335 32 ms

[HollowGamer]

Ik merkte trouwens wel echt het verschil. Dacht dat het niet veel deed, totdat ik op 5G SofaScore ging openen, en meteen een ad kreeg.

Zelf gebruik ik wel de filter die kijkt op Android SDK niveau, en staat de DNS prive-modes uit. Zou moeten kijken of ik geen VPN of de Synlogy kan installeren, Tailscale lijkt me wel leuk als ik ook extern zit.

[Villager]

HollowGamer schreef op vrijdag 6 februari 2026 @ 22:17:
Ik merkte trouwens wel echt het verschil. Dacht dat het niet veel deed, totdat ik op 5G SofaScore ging openen, en meteen een ad kreeg.

Zelf gebruik ik wel de filter die kijkt op Android SDK niveau, en staat de DNS prive-modes uit. Zou moeten kijken of ik geen VPN of de Synlogy kan installeren, Tailscale lijkt me wel leuk als ik ook extern zit.

Ik heb gewoon een Ubuntu container met Wireguard + PiVPN en laat m'n mobiel altijd automatisch een verbinding naar huis opzetten met de 'WG tunnel' App, zodra ik de deur uitstap. Kan dus altijd veilig en advertentievrij internet op en hoef daarvoor verder niks op m'n mobiel in te stellen . Maar Tailscale zal ook prima werken, al ben je dan wel weer afhankelijk van een clouddienst.

[ Voor 3% gewijzigd door Villager op 07-02-2026 14:06 ]

[Roog1317]

Ik draai al een tijdje AdGuard Home naar tevredenheid op mijn Synology NAS. Dit weekend heb ik een 2de installatie op een Raspberry Pi toegevoegd aan mijn netwerk. Mijn voornaamste argument voor een 2de DNS server is redundantie. Verder heb ik een Fritzbox 7690 router. Hier kun je DNS op niveau van DHCP en WAN instellen.

DHCP DNS:
- 1 DNS ip adres mogelijk
- alle devices individueel traceerbaar in AdGuard

WAN DNS:
- 2 DNS ip adressen mogelijk
- fallback naar openbare DNS
- Adguard ziet alleen Fritzbox, dus geen instellingen of logging per device mogelijk

Ik heb nu ingesteld dat de DHCP DNS het ip adres van de Fritzbox router is. De WAN DNS heb ik ingesteld op AdGuard (zowel de NAS als de Raspberry Pi). In deze opstelling heb ik maximale betrouwbaarheid, maar dus geen logging op device niveau.

Kan iemand mij vertellen wat best practice is, hoe hebben anderen dit geregeld?

[HollowGamer]

Roog1317 schreef op zondag 8 februari 2026 @ 11:42:
Ik draai al een tijdje AdGuard Home naar tevredenheid op mijn Synology NAS. Dit weekend heb ik een 2de installatie op een Raspberry Pi toegevoegd aan mijn netwerk. Mijn voornaamste argument voor een 2de DNS server is redundantie. Verder heb ik een Fritzbox 7690 router. Hier kun je DNS op niveau van DHCP en WAN instellen.

DHCP DNS:
- 1 DNS ip adres mogelijk
- alle devices individueel traceerbaar in AdGuard

WAN DNS:
- 2 DNS ip adressen mogelijk
- fallback naar openbare DNS
- Adguard ziet alleen Fritzbox, dus geen instellingen of logging per device mogelijk

Ik heb nu ingesteld dat de DHCP DNS het ip adres van de Fritzbox router is. De WAN DNS heb ik ingesteld op AdGuard (zowel de NAS als de Raspberry Pi). In deze opstelling heb ik maximale betrouwbaarheid, maar dus geen logging op device niveau.

Kan iemand mij vertellen wat best practice is, hoe hebben anderen dit geregeld?

Ik heb het per device via mijn modem als DHCP optie.

Er is niet echt een best practice denk ik, het is afhankelijk van je netwerk en wensen.

[qwasd]

Roog1317 schreef op zondag 8 februari 2026 @ 11:42:
Ik draai al een tijdje AdGuard Home naar tevredenheid op mijn Synology NAS. Dit weekend heb ik een 2de installatie op een Raspberry Pi toegevoegd aan mijn netwerk. Mijn voornaamste argument voor een 2de DNS server is redundantie. Verder heb ik een Fritzbox 7690 router. Hier kun je DNS op niveau van DHCP en WAN instellen.

DHCP DNS:
- 1 DNS ip adres mogelijk
- alle devices individueel traceerbaar in AdGuard

WAN DNS:
- 2 DNS ip adressen mogelijk
- fallback naar openbare DNS
- Adguard ziet alleen Fritzbox, dus geen instellingen of logging per device mogelijk

Ik heb nu ingesteld dat de DHCP DNS het ip adres van de Fritzbox router is. De WAN DNS heb ik ingesteld op AdGuard (zowel de NAS als de Raspberry Pi). In deze opstelling heb ik maximale betrouwbaarheid, maar dus geen logging op device niveau.

Kan iemand mij vertellen wat best practice is, hoe hebben anderen dit geregeld?

WAN (en dus automatisch alle vlans) Doh via Quad9 en Cloudflare (dus encrypted dns op mijn Unifi Cloud Gateway Fiber).

Voor de vlans waar ik Adguard Home wil gebruiken dns server gedefinieerd. Ik heb niet op alle vlans Adguard Home nodig en als er toch iets aan de hand is met de Adguard Home servers houden de Gateway en bepaalde vlans / onderliggende services wel een internetverbinding.

[ Voor 8% gewijzigd door qwasd op 08-02-2026 16:40 ]

[Glassertje]

Roog1317 schreef op zondag 8 februari 2026 @ 11:42:
Ik draai al een tijdje AdGuard Home naar tevredenheid op mijn Synology NAS. Dit weekend heb ik een 2de installatie op een Raspberry Pi toegevoegd aan mijn netwerk. Mijn voornaamste argument voor een 2de DNS server is redundantie. Verder heb ik een Fritzbox 7690 router. Hier kun je DNS op niveau van DHCP en WAN instellen.

DHCP DNS:
- 1 DNS ip adres mogelijk
- alle devices individueel traceerbaar in AdGuard

WAN DNS:
- 2 DNS ip adressen mogelijk
- fallback naar openbare DNS
- Adguard ziet alleen Fritzbox, dus geen instellingen of logging per device mogelijk

Ik heb nu ingesteld dat de DHCP DNS het ip adres van de Fritzbox router is. De WAN DNS heb ik ingesteld op AdGuard (zowel de NAS als de Raspberry Pi). In deze opstelling heb ik maximale betrouwbaarheid, maar dus geen logging op device niveau.

Kan iemand mij vertellen wat best practice is, hoe hebben anderen dit geregeld?

Ik gebruik keepalived met 2 raspberry pi's en AGH. Met 1 virtueel ip zijn beide Pi's. Verbonden. Als de ene niet reageert, dan reageert de andere. @stormfly heeft de config hier in het topic gepost.

[zordaz]

Glassertje schreef op maandag 9 februari 2026 @ 14:45:
[...]

Ik gebruik keepalived met 2 raspberry pi's en AGH. Met 1 virtueel ip zijn beide Pi's. Verbonden. Als de ene niet reageert, dan reageert de andere. @stormfly heeft de config hier in het topic gepost.

Dat heb ik inderdaad ook zo draaien (2x AGH via Docker). Het werkt behoorlijk goed, maar met 1 beperking: het is afhankelijk van het host ip adres. Dus als je host wel draait, maar de Master AGH container functioneert niet goed, dan komt de Slave niet in actie. En dus loopt de DNS resolving dan alsnog spaak. Ik heb van alles geprobeerd, maar krijg een extra controle hierop niet aan de praat.

[Glassertje]

zordaz schreef op maandag 9 februari 2026 @ 16:09:
[...]


Dat heb ik inderdaad ook zo draaien (2x AGH via Docker). Het werkt behoorlijk goed, maar met 1 beperking: het is afhankelijk van het host ip adres. Dus als je host wel draait, maar de Master AGH container functioneert niet goed, dan komt de Slave niet in actie. En dus loopt de DNS resolving dan alsnog spaak. Ik heb van alles geprobeerd, maar krijg een extra controle hierop niet aan de praat.

Ik gebruik geen docker op de pi

Beide pi's zijn in keepalived BACKUP zodat ik nopreempt optie kan gebruiken. Zo heb je dan geen onnodige VIP-wissels. Vind het niet nodig als de 1e AGH install terug reageert, dat die dan weer overspringt. Dit gebeurd pas als de andere AGH niet reageert. En tot nu toe werkt het vlekkeloos.

[lolgast]

zordaz schreef op maandag 9 februari 2026 @ 16:09:
[...]


Dat heb ik inderdaad ook zo draaien (2x AGH via Docker). Het werkt behoorlijk goed, maar met 1 beperking: het is afhankelijk van het host ip adres. Dus als je host wel draait, maar de Master AGH container functioneert niet goed, dan komt de Slave niet in actie. En dus loopt de DNS resolving dan alsnog spaak. Ik heb van alles geprobeerd, maar krijg een extra controle hierop niet aan de praat.

Dat is wel mogelijk hoor, maar dan moet je zelf een healthcheck scriptje maken voor AGH. In bijvoorbeeld /etc/keepalived/check_service.sh. Die moet executable zijn.

Bash:

#!/bin/bash

HOST=127.0.0.1
PORT=3000

nc -z "$HOST" "$PORT" >/dev/null 2>&1
if [ $? -eq 0 ]; then
    exit 0   # OK
else
    exit 1   # FAIL
fi

/etc/keepalived/keepalived.conf:

Bash:

vrrp_script chk_service {
    script "/etc/keepalived/check_service.sh"
    interval 2
    timeout 2
    fall 2
    rise 2
}

vrrp_instance VI_1 {
    state MASTER
    interface eth0
    virtual_router_id 51
    priority 200
    advert_int 1

    virtual_ipaddress {
        10.0.0.100
    }

    track_script {
        chk_service
    }
}

Er zijn vast slimmere manieren om AGH te monitoren, maar dit kwam nu bij mij even uit de hoge hoed

[tomdh76]

Villager schreef op donderdag 5 februari 2026 @ 17:49:
[...]


Ik heb op Adguard Dashboard pagina 2 waarden die de responsetijden weergeven.

Onder Algemene Statistieken > Gemiddelde procestijd: 6 ms

en onder Gemiddelde upstream responstijd> Gemiddelde upstream responstijd voor de afgelopen 24 uren
127.0.0.1:5335 32 ms

gemiddelde procestijd is bij mij 19 ms en 127.0.0.1:5335 445 ms. Vooral deze laatste vind ik vrij traag. Misschien dat het aan Ipv6 ligt. Die heb jij uit staan en gebruik ik wel.

[zordaz]

lolgast schreef op maandag 9 februari 2026 @ 16:38:
[...]

Dat is wel mogelijk hoor, maar dan moet je zelf een healthcheck scriptje maken voor AGH. In bijvoorbeeld /etc/keepalived/check_service.sh. Die moet executable zijn.

Bash:

#!/bin/bash

HOST=127.0.0.1
PORT=3000

nc -z "$HOST" "$PORT" >/dev/null 2>&1
if [ $? -eq 0 ]; then
    exit 0   # OK
else
    exit 1   # FAIL
fi

/etc/keepalived/keepalived.conf:

Bash:

vrrp_script chk_service {
    script "/etc/keepalived/check_service.sh"
    interval 2
    timeout 2
    fall 2
    rise 2
}

vrrp_instance VI_1 {
    state MASTER
    interface eth0
    virtual_router_id 51
    priority 200
    advert_int 1

    virtual_ipaddress {
        10.0.0.100
    }

    track_script {
        chk_service
    }
}

Er zijn vast slimmere manieren om AGH te monitoren, maar dit kwam nu bij mij even uit de hoge hoed

Dank, ik ga weer eens een poging wagen. Zo'n scriptje kreeg ik indertijd dus niet werkend (het deed gewoon niets), wat ik ook probeerde.

[lolgast]

zordaz schreef op dinsdag 10 februari 2026 @ 10:29:
[...]


Dank, ik ga weer eens een poging wagen. Zo'n scriptje kreeg ik indertijd dus niet werkend (het deed gewoon niets), wat ik ook probeerde.

Had je het script wel executable gemaakt?
chmod +x ...

[Villager]

Ik heb de setup met een failover van de Adguard home server al vaker voorbij zien komen. Maar als je Adguard Home op je OPNsense systeem draait dan is daar toch geen noodzaak voor? Immers, geen OPNsense = geen Internet.

[TheCeet]

tomdh76 schreef op maandag 9 februari 2026 @ 19:38:
[...]


gemiddelde procestijd is bij mij 19 ms en 127.0.0.1:5335 445 ms. Vooral deze laatste vind ik vrij traag. Misschien dat het aan Ipv6 ligt. Die heb jij uit staan en gebruik ik wel.

Hier staat die ingesteld op 7 dagen weergave.
Unbound reactie is 154ms.
Maar in AGH 9ms (ivm caching)

Heb ook al wat zitten spelen met settings maar het wil maar niet zakken wat ik probeer.
Indien in Unbound ervantussen haal, en upstream dan Cloudlfare, en na paar dagen heb ik 1ms.

[ Voor 6% gewijzigd door TheCeet op 10-02-2026 13:26 ]

[EverLast2002]

Villager schreef op dinsdag 10 februari 2026 @ 10:32:
Ik heb de setup met een failover van de Adguard home server al vaker voorbij zien komen. Maar als je Adguard Home op je OPNsense systeem draait dan is daar toch geen noodzaak voor? Immers, geen OPNsense = geen Internet.

Mee eens.
Alhoewel de AGH plugin voor OPNsense in het verleden weleens "brak" na een OPNsense versie update.
Dus ja er is voor allebei wel iets te zeggen.

[Glassertje]

Update: AdGuard Home v0.107.72

[RobbyTown]

Nu met ControlD aan de slag maar self hosted heeft toch wel wat. Zeker de interface van Adguard Home spreekt erg aan. Nog net wat cleaner/simpeler dan ControlD.

Hopelijk heb ik hier alle Adguard Home experts bijelkaar om een juiste setup op te zetten.

Hardware:
NanoPi Neo 512M met 16GB opslag. Deze heb ik 2x.

Software: DietPi (vooraf via dietpi.txt een en ander instellen: static ip, hostname).

De bedoeling. Aangezien ik 2x NanoPi Neo hebt 2x Adguard Home 2x draaien 1x primair en 1x secundair.

Het meest simpele is 1x Adguard Home en van DietPi software Adguard Home gekozen. Dat werkt. Maar dan heb redundantie. Dat is nou net wel de bedoeling als er 1 aan het updaten is of plots offline gaat.

Nu heb ik door het topic zitten te neuzen. Mij is niet helemaal duidelijk wat nu beste / simpelste is met redundantie.

Adguard via docker-ce of via de Adguard Home software van keuze van DietPi (nummer 126)?
Adguard-sync of keepalive?

[lolgast]

@RobbyTown
Ondersteund je DHCP niet het opgeven van 2 DNS servers? Dan vul je daar simpelweg je beide NanoPi instances in.

AdguardHome Sync is geen HA software, het is een replicatietool van de configuratie. Als een Adguard Home instance uitvalt gaat AGH Sync niets voor je doen
Als je DHCP server geen 2 DNS servers ondersteund is keepalived een goede oplossing in mijn ogen

[RobbyTown]

@lolgast Aha ok.

DHCP goeie aanvulling. Zag dat in Adguard Home zit maar DHCP blijft lekker via de router (Draytek) en in de Draytek kan ik 2x DNS kwijt (nu dus die van ControlD ipv Quad9). Maar dat gaat dus 2x de NamoPi worden (als AGH erop heb geïnstalleerd).

Kortom 2x apart optuigen. 2x nog wat handmatig extra blocklists toevoegen ( Hagezi ) en klaar dus?

[lolgast]

@RobbyTown
Als je Adguard Home Sync draait hoef je dus in principe maar 1 node aan te passen, gaat de andere vanzelf na x-tijd. Ik heb het zelf ook draaien, maar dat is met name om te zorgen dat apparaat-specifieke blocks gelijk blijven. Blocklists komt zo weinig voor dat ik dat inderdaad even met de hand op beide nodes doe

[TheCeet]

Security update!
AdGuard Home v0.107.73
https://github.com/Adguar...me/releases/tag/v0.107.73

[GarBaGe]

Steeds meer publieke DNS providers gaan ook adblocking ondersteunen.
Neem bijvoorbeeld DNS4EU.
Hun reguliere DNS is 86.54.11.1
Maar de variant met adblocking is 86.54.11.13
Volgens mij had Quad9 dit ook.
Wat zijn jullie ervaringen hiermee?
Als je zoiets hebt, heb je lokaal toch geen AdGuard meer nodig?

[lolgast]

GarBaGe schreef op zondag 15 maart 2026 @ 08:47:
Steeds meer publieke DNS providers gaan ook adblocking ondersteunen.
Neem bijvoorbeeld DNS4EU.
Hun reguliere DNS is 86.54.11.1
Maar de variant met adblocking is 86.54.11.13
Volgens mij had Quad9 dit ook.
Wat zijn jullie ervaringen hiermee?
Als je zoiets hebt, heb je lokaal toch geen AdGuard meer nodig?

Als je alle controle uit handen wilt geven kan dat. Maar ik wil graag zelf kunnen kiezen wat er geblokkeerd wordt en belangrijker, wat voor een selecte groep devices wel is toegestaan

[ThinkPad]

Het Canadese 'ControlD' bied zelfs een resolver aan die intern de OISD (.nl) blocklist gebruikt. In principe heb je dan geen AGH nodig, ik heb namelijk diezelfde lijst (erg fijn, nooit false positives gehad in alle jaren dat ik hem gebruik ) in m'n AGH draaien. Maar je geeft idd wel de controle uit handen...

https://controld.com/free-dns (stukje omlaag bij 'Community blocklists').

[ Voor 11% gewijzigd door ThinkPad op 15-03-2026 09:09 ]

[GarBaGe]

lolgast schreef op zondag 15 maart 2026 @ 09:00:
[...]

Als je alle controle uit handen wilt geven kan dat. Maar ik wil graag zelf kunnen kiezen wat er geblokkeerd wordt en belangrijker, wat voor een selecte groep devices wel is toegestaan

Okee, maar een beetje blocklist, zoals deze van AdGuard: https://adguardteam.githu...Filter/Filters/filter.txt

Bevat duizenden, zo niet tienduizenden enties.
Dat heb je dan persoonlijk toch ook niet echt grip op? Simpelweg vanwege de grootte?
Wat voor strategie gebruik je dan om dit "behapbaar" te houden?

[kdrkdr]

GarBaGe schreef op zondag 15 maart 2026 @ 09:33:
[...]

Okee, maar een beetje blocklist, zoals deze van AdGuard: https://adguardteam.githu...Filter/Filters/filter.txt

Bevat duizenden, zo niet tienduizenden enties.
Dat heb je dan persoonlijk toch ook niet echt grip op? Simpelweg vanwege de grootte?
Wat voor strategie gebruik je dan om dit "behapbaar" te houden?

Thuis gebruik ik AGH. Inderdaad enorme aantallen geblokte adressen. Het enige wat ik doe is dat als ik merk dat een site niet werkt dat ik dan kijk wat er geblokkeerd wordt. Een enkele site whitelisten en ik kan weer door. Is overigens alleen de eerste maanden gebeurt. Inmiddels draait het als een zonnetje zonder bemoeienis. In ons chaletje gebruik ik wel een DNS die zelf blokkeert (DNS4U). Gaat goed maar houdt wel wat minder tegen.

[Samplex]

Door lokale caching (DNS Settings > DNS cache configuration) te gebruiken van Adguard zijn de responses lekker snel met browsen met AGH.

[GarBaGe]

Wegens betrouwbaarheid en stabiliteit draait ik het liefst zo'n AdGuard service op mijn router (MikroTik).
Deze ondersteunt een eenvoudige DNS ad blacklist (adlist).
Dus als ik jullie zo begrijp, kan ik wellicht het beste enkele maanden AdGuard draaien ernaast.
Deze kan ik makkelijker bijstellen en bijwerken.
En als ik dan blij bent met de lijst, kan deze direct op mijn router draaien (zonder AdGuard)...
Of hoe zouden jullie dit aanraden?

[lolgast]

Dat ligt eraan wat je allemaal wilt. Als dat voor jou een optie is kun je inderdaad 1 blocklist toevoegen op je MT en daarmee klaar zijn

Ik gebruik echterr o.a. DNS rewrites per VLAN, DoH via Caddy met load balancing ervoor, verschillende upstream servers voor een paar clients en 18+ filtering op alle devices van de kids. Dat doet AGH gewoon goed en overzichtelijk, dat ga ik in mijn MT nooit voor elkaar krijgen met het gemak en overzicht zoals AGH dat aanbiedt

[ThinkPad]

* ThinkPad aait z'n OPNsense router waar AGH op draait

Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF

[ Voor 71% gewijzigd door ThinkPad op 17-03-2026 13:46 ]

[manusjevanalles]

ThinkPad schreef op dinsdag 17 maart 2026 @ 13:45:
* ThinkPad aait z'n OPNsense router waar AGH op draait

Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF

Op welk device draai je OPNSense?

[ThinkPad]

manusjevanalles schreef op dinsdag 17 maart 2026 @ 14:38:
[...]


Op welk device draai je OPNSense?

Een industriëel PCtje, passief gekoeld van 'Nexcom'.
ThinkPad in "Zelfbouw project: Firewall / Router / AP"

Is al een oud bakkie, maar kan tot 1Gbit aan dus voor mij nog snel genoeg.

[Helox-in-a-box]

ThinkPad schreef op dinsdag 17 maart 2026 @ 13:45:
* ThinkPad aait z'n OPNsense router waar AGH op draait

Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF

Herkenbaar, bij een reboot van de NAS ligt het huis er hier ook 5m uit paar jaar geleden had de NAS een cpu probleem en wilde niet booten, 2 dagen in het donker moeten leven met kaarsjes in het toilet