:strip_exif()/i/2003594310.png?f=thumbmini)
In DNScrypt heb ik geen DNS servers ingesteld. Dat doet hij zelf op basis van de instellingen die je zet.tomdh76 schreef op zaterdag 31 januari 2026 @ 14:03:
[...]
maar in dnscrypt moet je dan ook weer een upstream server zetten. kan je deze stap niet overslaan en de upstream rechtstreeks in adguard zetten. ik heb ook wel met dnscrypt gewerkt maar zie niet 1-2-3 voordelen tov dns over https vanuit adguard
:strip_icc():strip_exif()/u/198189/crop67ecf5f08705a_cropped.jpg?f=community)
Jep
Enige wat DNSCrypt in mijn ogen doet is het nóg simpeler maken, maar je geeft ook controle uit handen. De DoH/TLS servers van Cloudflare of Adguard instellen in AGH levert hetzelfde op met een schakel minder
Dat is zeker zo, Maar je maakt het daarmee ook redelijk 'statisch'. DNScrypt kiest zelf de juiste DNS servers en dat kan dus steeds een andere 'set' van DNS servers zijn. Geeft in mijn ogen wat betere privacy. En volgens mij krijg je ook steeds de, op dat moment, snelste servers. De extra stap geeft nauwelijks vertraging. Ik heb in Adguard een gemiddelde responstijd van rond de 10ms.:
[...]
Jep
Enige wat DNSCrypt in mijn ogen doet is het nóg simpeler maken, maar je geeft ook controle uit handen. De DoH/TLS servers van Cloudflare of Adguard instellen in AGH levert hetzelfde op met een schakel minder
Ik probeer niks te pushen ofzo. Het is gewoon een optie om het in te richten en dit is hoe ik het heb gedaan
[ Voor 9% gewijzigd door Villager op 01-02-2026 07:22 ]
en gebruik je geen enkele blok list in dnscrypt? Waar ik een beetje tegen aan liep is dat ik van mijn kids wel eens hoorde dat iets geblokt was, dan moest ik gaan kijken in adguard, dnscrypt en ook nog zenarmor waar het geblokt werd.:
[...]
Dat is zeker zo, Maar je maakt het daarmee ook redelijk 'statisch'. DNScrypt kiest zelf de juiste DNS servers en dat kan dus steeds een andere 'set' van DNS servers zijn. Geeft in mijn ogen wat betere privacy. En volgens mij krijg je ook steeds de, op dat moment, snelste servers. De extra stap geeft nauwelijks vertraging. Ik heb in Adguard een gemiddelde responstijd van rond de 10ms.
Ik probeer niks te pushen ofzo. Het is gewoon een optie om het in te richten en dit is hoe ik het heb gedaan
Als je in AGH meerdere upstream servers invult heb je diezelfde set aan potentiële DNS servers toch? Het is aan jou om te kiezen of je op basis van loadbalancing gebruik van ze wilt maken of de beste/snelste.:
[...]
Dat is zeker zo, Maar je maakt het daarmee ook redelijk 'statisch'. DNScrypt kiest zelf de juiste DNS servers en dat kan dus steeds een andere 'set' van DNS servers zijn. Geeft in mijn ogen wat betere privacy. En volgens mij krijg je ook steeds de, op dat moment, snelste servers. De extra stap geeft nauwelijks vertraging. Ik heb in Adguard een gemiddelde responstijd van rond de 10ms.
Ik probeer niks te pushen ofzo. Het is gewoon een optie om het in te richten en dit is hoe ik het heb gedaan
Hoe dan ook, zoveel mensen, zoveel wensen. Ik gebruik mijn eigen Technitium als upstream server waardoor ik überhaupt niet afhankelijk ben van Cloudflare/Cisco/Google. En die is net als AGH behoorlijk inzichtelijk
/u/35508/crop61e6aa7b579e2_cropped.png?f=community)
ik heb nu een dagje dnscrypt staan (op opnsense) en dan in adguard 127.0.0.1:5350 als enig upstream server maar bij mij is responstijd 75 ms. Terwijl ik de dnscrypt logs als snelste provider 'he' zie staan (rtt: 3ms). Ik heb in dnscrypt ipv4, ipv6, use dnscrypt servers en dns-over https servers aangevinkt. Verder niets gespecificeerd. In adguard staat het op volume balanceren. Is er nog iets wat ik zou moeten aanpassen?:
[...]
Dat is zeker zo, Maar je maakt het daarmee ook redelijk 'statisch'. DNScrypt kiest zelf de juiste DNS servers en dat kan dus steeds een andere 'set' van DNS servers zijn. Geeft in mijn ogen wat betere privacy. En volgens mij krijg je ook steeds de, op dat moment, snelste servers. De extra stap geeft nauwelijks vertraging. Ik heb in Adguard een gemiddelde responstijd van rond de 10ms.
Ik probeer niks te pushen ofzo. Het is gewoon een optie om het in te richten en dit is hoe ik het heb gedaan
:no_upscale():strip_icc():strip_exif()/f/image/pl5KEe2kkD7Ms0yS5FIsZuiC.jpg?f=user_large)
:strip_icc():strip_exif()/u/506130/keitjes.jpg?f=community)
:no_upscale():strip_icc():strip_exif()/f/image/1LVNzwOnD5spocjtCu3xxJ1v.jpg?f=user_large)
:strip_exif()/u/476997/ceetava60x60.gif?f=community)
:strip_icc():strip_exif()/u/289675/crop6401bf2c85501_cropped.jpg?f=community)
:strip_icc():strip_exif()/u/45000/zardoz3-edit.jpg?f=community)
:strip_exif()/u/217171/avatar60.gif?f=community){kind=avatar}
Blog - Glasnet status (privé log) - Nette LAN - RIPE Atlas Probe - Globalping Probe
@RobbyTown
Ondersteund je DHCP niet het opgeven van 2 DNS servers? Dan vul je daar simpelweg je beide NanoPi instances in.
AdguardHome Sync is geen HA software, het is een replicatietool van de configuratie. Als een Adguard Home instance uitvalt gaat AGH Sync niets voor je doen
Als je DHCP server geen 2 DNS servers ondersteund is keepalived een goede oplossing in mijn ogen
Ondersteund je DHCP niet het opgeven van 2 DNS servers? Dan vul je daar simpelweg je beide NanoPi instances in.
AdguardHome Sync is geen HA software, het is een replicatietool van de configuratie. Als een Adguard Home instance uitvalt gaat AGH Sync niets voor je doen
Als je DHCP server geen 2 DNS servers ondersteund is keepalived een goede oplossing in mijn ogen
Blog - Glasnet status (privé log) - Nette LAN - RIPE Atlas Probe - Globalping Probe
/u/1401/haroid_icon_60x60.png?f=community){kind=icon}
:strip_icc():strip_exif()/u/146731/crop562615a0aa64c.jpeg?f=community)
Het Canadese 'ControlD' bied zelfs een resolver aan die intern de OISD (.nl) blocklist gebruikt. In principe heb je dan geen AGH nodig, ik heb namelijk diezelfde lijst (erg fijn, nooit false positives gehad in alle jaren dat ik hem gebruik 
) in m'n AGH draaien. Maar je geeft idd wel de controle uit handen...
https://controld.com/free-dns (stukje omlaag bij 'Community blocklists').
) in m'n AGH draaien. Maar je geeft idd wel de controle uit handen...https://controld.com/free-dns (stukje omlaag bij 'Community blocklists').
[ Voor 11% gewijzigd door ThinkPad op 15-03-2026 09:09 ]
:strip_icc():strip_exif()/u/3152/crop562aa23d20f59_cropped.jpeg?f=community)
* ThinkPad aait z'n OPNsense router waar AGH op draait 
Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF 
Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF
[ Voor 71% gewijzigd door ThinkPad op 17-03-2026 13:46 ]
Op welk device draai je OPNSense?:
* ThinkPad aait z'n OPNsense router waar AGH op draait
Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF
☀️ 7920 Wp | 🔋 Zendure Solarflow 800+ |🌡️ Stiebel Eltron WPL 15 ACS, HM Trend | Home Assistant
:strip_icc():strip_exif()/u/10338/crop57713508e4db5_cropped.jpeg?f=community)
Herkenbaar, bij een reboot van de NAS ligt het huis er hier ook 5m uit:
* ThinkPad aait z'n OPNsense router waar AGH op draait
Router = router bij mij, die moet in z'n eentje de internetvoorziening kunnen regelen. Ik wil daarin niet afhankelijk zijn van een DNS resolver op een container in een VM op m'n thuisserver. In het verleden wel router gevirtualiseerd, maar bij reboot van thuisserver gelijk geen internet. Slecht voor de WAF
paar jaar geleden had de NAS een cpu probleem en wilde niet booten, 2 dagen in het donker moeten leven met kaarsjes in het toilet
Misschien dat ik iets niet goed begrijp, maar ik heb in mijn PfSense router mijn AdGuard (draait op docker op aparte server) als primaire DNS ingesteld, en de router zelf als secundaire DNS. Dan heb je het probleem van wegvallend internet bij reboot van je server toch getackeld?:
[...]
Herkenbaar, bij een reboot van de NAS ligt het huis er hier ook 5m uit
@jvdburgt1980 Waarom zou je AGH in een aparte Docker draaien (is weer iets wat kan omvallen == geen internet!) als het ook in pfSense zelf kan draaien?
Heb AGH al jaren draaien binnen OPNsense en draait als een trein.
P.S. Niet liever OPNsense? Is een NL bedrijf en vriendelijker voor de opensource community
Heb AGH al jaren draaien binnen OPNsense en draait als een trein.
P.S. Niet liever OPNsense? Is een NL bedrijf en vriendelijker voor de opensource community
:strip_exif()/u/107613/1078132927.gif?f=community)
:strip_icc():strip_exif()/u/291199/crop5e819fd8996da_cropped.jpeg?f=community)
Hier net een verse installatie gedaan. DietPi + Adguardhome
:strip_exif()/f/image/Uj96UzEVge0CyBcCK7DHLUC3.png?f=user_large)
DNSSEC staat standaard uit. Zou het dan anders zijn als je het via docker of wat installeert?
Blog - Glasnet status (privé log) - Nette LAN - RIPE Atlas Probe - Globalping Probe
:strip_exif()/f/image/t4qSvNSAW3YsmOl56dAfLEuu.png?f=user_large)
Blog - Glasnet status (privé log) - Nette LAN - RIPE Atlas Probe - Globalping Probe
Is er hier toevallig iemand die iets heeft (gemaakt) voor het categoriseren van de DNS lookups? Ik ben inmiddels zelf iets aan het schrijven op basis van de HaGeZi lijsten en de querylog via de API van AGH maar iets standaards zou mooi zijn
Kwam DNSMon tegen wat er wel heel mooi uitziet maar helaas precies niet categoriseert
Dit is mijn test setup momenteel, met een lokale sqlite3 die ik momenteel handmatig kopieer naar mijn Metabase omgeving. Als dit goed werkt zet ik het wel om naar een echte database
Kwam DNSMon tegen wat er wel heel mooi uitziet maar helaas precies niet categoriseert
Dit is mijn test setup momenteel, met een lokale sqlite3 die ik momenteel handmatig kopieer naar mijn Metabase omgeving. Als dit goed werkt zet ik het wel om naar een echte database
Python:
Downloaden van de lijsten1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
| import requests import json import sqlite3 import os from pathlib import Path BASE_DIR = Path(__file__).resolve().parent DB_FILE = BASE_DIR / "dns_categories.db" STATE_FILE = BASE_DIR / "state.json" CATEGORY_DIR = BASE_DIR / "categories" #### #### Create DB if needed #### #### conn = sqlite3.connect(DB_FILE) cursor = conn.cursor() cursor.execute(""" CREATE TABLE IF NOT EXISTS categorized_queries ( timestamp TEXT NOT NULL, client TEXT NOT NULL, domain TEXT NOT NULL, category TEXT NOT NULL, status TEXT NOT NULL, reason TEXT NOT NULL, UNIQUE(timestamp, client, domain, category, status, reason) ) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_client ON categorized_queries(client) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_category ON categorized_queries(category) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_domain ON categorized_queries(domain) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_status ON categorized_queries(status) """) cursor.execute(""" CREATE INDEX IF NOT EXISTS idx_reason ON categorized_queries(reason) """) conn.commit() #### End #### #### #### - Hash sets - #### #### CATEGORY_FILES = { "tif": "tif.txt", "nsfw": "nsfw.txt", "social": "social.txt" } try: with open(STATE_FILE) as f: state = json.load(f) except FileNotFoundError: state = {"last_processed_time": ""} category_sets = {} #### #### Read HaGeZi files #### #### for category, filename in CATEGORY_FILES.items(): domains = set() with open(CATEGORY_DIR / filename) as f: for line in f: line = line.strip() if not line or line.startswith("#"): continue domains.add(line.lower()) category_sets[category] = domains #### END #### #### #### - Find matches - #### #### def domain_match(domain, lookup_set): domain = domain.lower() while True: if domain in lookup_set: return True if "." not in domain: return False domain = domain.split(".", 1)[1] #### END #### def normalize_domain(domain: str, depth: int = 3) -> str: domain = domain.lower().rstrip(".") parts = domain.split(".") if len(parts) <= depth: return domain return ".".join(parts[-depth:]) #### #### - Adguard Home API - #### #### response = requests.get( "http://192.168.4.24/control/querylog?limit=5000", params={"limit": 5000}, auth=("admin", "!"), timeout=30 ) queries = response.json() #### END #### domain_cache = {} newest_seen = state['last_processed_time'] for line in queries["data"]: timestamp = line['time'] if timestamp <= state['last_processed_time']: break raw_domain = line['question']['name'] domain = normalize_domain(raw_domain, depth=3) client = line['client'] status = line['status'] reason = line['reason'] if domain not in domain_cache: categories = [] for category, lookup_set in category_sets.items(): if domain_match(domain, lookup_set): categories.append(category) domain_cache[domain] = categories if domain_cache[domain]: for category in domain_cache[domain]: cursor.execute(""" INSERT OR IGNORE INTO categorized_queries (timestamp, client, domain, category, status, reason) VALUES (?, ?, ?, ?, ?, ?) """, ( timestamp, client, domain, category, status, reason )) if timestamp > newest_seen: newest_seen = timestamp conn.commit() conn.close() state["last_processed_time"] = newest_seen with open(STATE_FILE, "w") as file: json.dump(state, file) |
Python:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
| import os import requests os.chdir("/home/stefan/Documents/python") os.makedirs("categories", exist_ok=True) urls = { "tif": "https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/wildcard/tif-onlydomains.txt", "nsfw": "https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/wildcard/nsfw-onlydomains.txt", "social": "https://cdn.jsdelivr.net/gh/hagezi/dns-blocklists@latest/wildcard/social-onlydomains.txt" } for category, url in urls.items(): print(f"Downloading {category}...") response = requests.get(url, timeout=30) response.raise_for_status() tmp_file = f"categories/{category}.txt.tmp" with open(tmp_file, "w") as file: file.write(response.text) os.replace( tmp_file, f"categories/{category}.txt" ) lines = response.text.count("\n") print( f"Saved categories/{category}.txt " f"({lines:,} entries)" ) |
[ Voor 87% gewijzigd door lolgast op 13-06-2026 08:59 ]
Stiekem begint het wat vorm te krijgen. Ik heb de lijsten van Adguard Home gevonden op Github die het gebruikt om services te kunnen blokkeren. Op basis daarvan en wat zelfgevulde categorien ziet het er nu zo uit na een dagje
Database queries met Metabase
Gaat echt nog wel wat werk zitten in het verbeteren en aanvullen van de domeinen die ik wil monitoren. Voor mij ziet het er nu zo uit, mocht iemand het na willen bouwen.
DISCLAIMER! Het is een gigantische WIP, maar functioneel
Database queries met Metabase
Gaat echt nog wel wat werk zitten in het verbeteren en aanvullen van de domeinen die ik wil monitoren. Voor mij ziet het er nu zo uit, mocht iemand het na willen bouwen.
DISCLAIMER! Het is een gigantische WIP, maar functioneel
Bash:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
| root@metabase:/opt/dns_cat# ls -lR .: total 14860 drwxr-xr-x 2 root root 4096 Jun 18 20:16 categories -rw-r--r-- 1 root root 14995456 Jun 18 20:30 dns_categories.db -rw-r--r-- 1 root root 4866 Jun 18 14:06 main.py -rw-r--r-- 1 root root 62 Jun 18 20:30 state.json -rw-r--r-- 1 root root 194520 Jun 18 20:30 unknown_domains.json -rw-r--r-- 1 root root 4153 Jun 18 20:16 update_categories.py ./categories: total 45108 -rw-r--r-- 1 root root 4143288 Jun 18 20:16 advertising.txt -rw-r--r-- 1 root root 86 Jun 17 22:32 developer.txt -rw-r--r-- 1 root root 99 Jun 17 22:32 google.txt -rw-r--r-- 1 root root 0 Jun 18 14:03 ignored.txt -rw-r--r-- 1 root root 755394 Jun 18 20:16 malware.txt -rw-r--r-- 1 root root 99 Jun 17 22:32 microsoft.txt -rw-r--r-- 1 root root 6594045 Jun 18 20:16 nsfw.txt -rw-r--r-- 1 root root 3169 Jun 18 20:16 shopping.txt -rw-r--r-- 1 root root 98784 Jun 18 20:16 social.txt -rw-r--r-- 1 root root 2499 Jun 18 20:16 streaming.txt -rw-r--r-- 1 root root 56 Jun 18 20:16 teams.txt -rw-r--r-- 1 root root 13 Jun 18 09:44 techology.txt -rw-r--r-- 1 root root 34559041 Jun 18 20:16 tif.txt |
Bash:
1
2
3
4
| root@metabase:/opt/dns_cat# crontab -l 0 3 * * * /usr/bin/python3 /opt/dns_cat/update_categories.py */30 * * * * /usr/bin/python3 /opt/dns_cat/main.py |
Met bijna 1200 issues op GitHub hebben ze nog een flinke backlog
Wat ik zelf mis, is de mogelijkheid om wat beter te kunnen filteren/zoeken in de queries die zijn gedaan. Je kan nu bijv. wel een IP-adres invullen om te filteren op alle requests van een bepaalde cliënt, maar ik zou dan bijv. óók nog binnen die dataset willen filteren (eigenlijk een AND in de zoekopdracht).
Wat ik zelf mis, is de mogelijkheid om wat beter te kunnen filteren/zoeken in de queries die zijn gedaan. Je kan nu bijv. wel een IP-adres invullen om te filteren op alle requests van een bepaalde cliënt, maar ik zou dan bijv. óók nog binnen die dataset willen filteren (eigenlijk een AND in de zoekopdracht).
[ Voor 56% gewijzigd door ThinkPad op 19-06-2026 15:16 ]
:strip_icc():strip_exif()/u/34345/crop604df19f86683.jpg?f=community)
Die zijn niet per se relevant voor nieuwe features. Ze hebben maar 72 Pull Requests open staan.
Sometimes you need to plan for coincidence
Hier op de Proxmox machine een testcontainer aangemaakt met AdGuard Home Edge channel installed.
De UI ziet er frisser uit, meer in de lijn van hun adblock browser plugin.
Benieuwd wanneer ze deze willen releasen in productie.
Indien gewenst kan ik wel wat screenshots nemen en hier sharen.
Edit:
Paar screenshots genomen
In footer: Version v1.0.0-a.7+7729d8c5, staat nergens op genomen screenshots.
:strip_exif()/f/image/0yUQtyV1fDazsDglxDwsI1tN.jpg?f=fotoalbum_large)
:strip_exif()/f/image/2zRKm9CRoJCSfZrL9EPun3uL.jpg?f=fotoalbum_large)
:strip_exif()/f/image/GeKJQ0JSJmhinIb6yoISPbu0.jpg?f=fotoalbum_large)
:strip_exif()/f/image/uQIPPCLq2Mjw4R8QcimR51yE.jpg?f=fotoalbum_large)
De UI ziet er frisser uit, meer in de lijn van hun adblock browser plugin.
Benieuwd wanneer ze deze willen releasen in productie.
Indien gewenst kan ik wel wat screenshots nemen en hier sharen.
Edit:
Paar screenshots genomen
In footer: Version v1.0.0-a.7+7729d8c5, staat nergens op genomen screenshots.
:no_upscale():strip_icc():strip_exif()/f/image/0yUQtyV1fDazsDglxDwsI1tN.jpg?f=user_large)
:no_upscale():strip_icc():strip_exif()/f/image/2zRKm9CRoJCSfZrL9EPun3uL.jpg?f=user_large)
:no_upscale():strip_icc():strip_exif()/f/image/GeKJQ0JSJmhinIb6yoISPbu0.jpg?f=user_large)
:no_upscale():strip_icc():strip_exif()/f/image/uQIPPCLq2Mjw4R8QcimR51yE.jpg?f=user_large)
[ Voor 73% gewijzigd door TheCeet op 16-07-2026 12:30 ]
Heb de quic van quad9 ook eens toegevoegd, al was ik met de TLS variant ook al blij - toch bijna de helft van Cloudflare:
Oh, de eerste averages van de quicquad9 zitten op 5ms
code:
edit;1
2
| tls://dns.quad9.net:853 7ms tls://1.1.1.1:853 12 ms |
Oh, de eerste averages van de quicquad9 zitten op 5ms
[ Voor 15% gewijzigd door Hmmbob op 28-08-2026 19:04 ]
Sometimes you need to plan for coincidence
Ik draai al tijden Quad9 en Cloudflare via DNS over HTTPS als upstream. Kan ik hier nog een verbeterslag in maken door quic of tls te gebruiken? en waarom het ene en niet het andere?:
Heb de quic van quad9 ook eens toegevoegd, al was ik met de TLS variant ook al blij - toch bijna de helft van Cloudflare:code:edit;
Oh, de eerste averages van de quicquad9 zitten op 5ms
:strip_exif()/u/340453/crop67a669ce4f1f4_cropped.webp?f=community)
Hier ook werkt erg goed. Heb tegenwoordig unicast ipv multicast keepalived, had issues met failover en virtuele switches, weet het niet meer. Scheelt ook weer onnodig multicast verkeer op wifi
(Multicast wordt op de laagste wifi datarate uitgezonden)
[ Voor 11% gewijzigd door stormfly op 29-08-2026 15:09 ]