[How To] 2x NanoPi Zero2 | Debian 12 | Pi-Hole | WireGuard

[JumpStart]

Als A61 meubel vond ik het wel eens tijd om wat te betekenen voor de grotere GoT community. Daarom heb ik de tijd genomen om onderstaand schrijfsel neer te zetten. (Met instemming van moderator @rens-br)

Dit hier is een How To voor het draaiend krijgen van Pi-hole en WireGuard op twee kleine ARM-gebaseerde mini servertjes. Eigenlijk dit is een How I Did It. Dit is niet dé manier, maar een manier.

(En als ik écht eerlijk ben is dit eigenlijk meer een How I Managed To Do It, want ik ben geen linux expert en dit was met vallen en opstaan, inclusief een paar keer geheel opnieuw proberen. Meerdere wegen naar Rome, enz.)

Het doel was dus om twee mini servertjes op te zetten: Een voor het filteren van advertenties op basis van DNS (Pi-hole) en een tweede om “buiten de deur” op mobiel, tablet en laptop, toch gebruik te kunnen blijven maken van de filterfunctie van de eigen Pi-hole server thuis. Dit is op basis van WireGuard VPN server om altijd via je thuisverbinding advertentie-gefilterd online te kunnen zijn. Dit is me gelukt, het werkt (nu) naar behoren, en de ervaring is er nu voor GoT publiek.



Waarom dan twee NanoPi Zero2's? Uiteraard kan het ook op één ARM servertje, maar ik kies ervoor om iedere service op een eigen apparaatje te laten draaien. Ik kan de services altijd later nog consolideren op een enkele Zero2 en ik zie het ook als fall-back als er eentje zou stoppen met werken. De Zero2 gebruikt idle nog geen 1 watt, dus voor stroomverbruik maakt het niet uit. Het is voor mij ook goed om te kunnen aanmodderen en wat meer ervaring op te doen.

Een paar aannames/condities/randvoorwaarden voor als je het zelf ook wilt uitvoeren:

• Je hebt voldoende netwerkaansluitingen en ethernet kabels
• Je hebt voor voeding 2 USB poortjes (minstens 2A/5V) en twee USB Type-C kabels
• Je hebt twee FriendlyElec NanoPi Zero2's met eMMC (Of één, als Pi-hole al actief is)
• Je hebt een Windows PC met daarop PuTTY
• Je hebt een USB-C kabel om de Zero2 aan de PC te verbinden voor installatie van OS
• Je hebt basiskennis over linux en gebruik van de Command Line Interface (CLI)
• Je bent in staat om in de modem Network Address Translation (NAT) in te stellen
• Je modem heeft naar buiten toe een vast IP adres of je hebt een domeinnaam hiervoor

De post hieronder gaat over het installeren van Debian 12 op de Zero2 met eMMC via USB kabel.
De derde post gaat over het installeren van Pi-hole op de Zero2.
De vierde post gaat over het installeren van WireGuard op een tweede Zero2.

Bij die laatste komt op later moment nog een toevoeging over hoe WireGuard Dashboard kan worden toegevoegd voor monitoring en beheer.

Nogmaals: ik ben me bewust van het feit dat ik geen linux expert ben. Hier zullen ongetwijfeld dingen genoemd worden die 1) ook op een andere manier kunnen of 2) op een betere / eenvoudigere / makkelijkere manier kunnen. Nieuwe inzichten zijn welkom, tips, suggesties, aanvullingen en correcties zijn dat ook!

Work in Progress.

[JumpStart]

De FriendlyElec NanoPi Zero2 voorzien van Debian 12:

Allereerst: Waar haal je een Zero2 vandaan? Ik had graag er twee direct bij FriendlyElec gekocht maar de gun-factor woog niet op tegen forse verzendkosten. Dus kom je uit bij Ome Ali. Er zijn meerdere aanbieders op AliExpress. De versie die ik gebruik met metalen behuizing, 2 GB ram, 32 GB eMMC en géén WiFi zit ergens rond de €40-45.

De productpagina: https://www.friendlyelec....ct&path=69&product_id=304



Het dingetje komt kant-en-klaar gemonteerd (PCB en eMMC module al in de metalen behuizing) en … dit klinkt gek voor apparatuur, maar je kan het kleinood bijna schattig noemen, zo klein:



Ik heb voor Debian 12, a.k.a. Debian Bookworm, gekozen omdat de Pi-hole voorganger (op een NanoPi Zero) Debian draaide. Er is niet strikt een reden om per sé voor Debian te kiezen en er staan ook images voor andere OpenWRT en Ubuntu.

Deze How-To volgt sectie 4.4.3.3 Option 3: Install OS via USB van FriendlyElec.
Zie https://wiki.friendlyelec...p/NanoPi_Zero2#Install_OS

Via https://download.friendlyelec.com/NanoPiZero2 kan je de FriendlyElec Google Drive benaderen, waar de benodigde bestanden staan.

Er zijn twee bestanden nodig:
De Windows drivers om de eMMC van de Zero2 direct te kunnen beschrijven.
Het Debian Bookworm image voor USB naar eMMC

Die eerste is te vinden in 05_Tools -> DriverAssitant_v5.12.zip
De tweede is 01_Official images -> 03_USB upgrade images -> rk3528-usb-debian-bookworm-core-6.1-arm64-(datum).zip

Download de drivers en installeer deze. Download het Debian Bookworm image dat gemaakt is voor direct via USB naar eMMC schrijven en pak deze uit.

In de uitgepakte folder van het image staat RKDevTool.exe. Start deze executable direct vanuit de uitgepakte folder.

Hou met een pen de "mask" pin ingedrukt en sluit de Zero2 aan met een USB kabel op de PC. Gebruik hiervoor de USB-C poort op de Zero2. Na een seconde of 4 kan je de MASK knop loslaten. De kabel voorziet zowel in data-overdracht als voeding.

Als dit goed is gedaan verschijnt in de Rockchip applicatie de melding “Found One MASKROM Device”. Omdat je de executable direct vanuit de folder start is het selecteren van een image niet nodig, dat staat al klaar. Schrijf het image naar device met “Run” op het tabblad “Download Image”.

Wanneer dit schrijfproces voltooid is: ontkoppel de Zero2 van de PC, prik de netwerkkabel erin en sluit de Zero2 aan op de USB voeding, op de USB-C poort. Booten duurt circa 10 seconden.

Ping NanoPi-Zero2 om het door DHCP toegewezen IP adres te achterhalen, of gebruik een LAN scanner voor het nieuw toegevoegde apparaat en bijbehorend IP adres. Heb je Pi-Hole al draaien? Daar kan je ook devices inzien. (DNS voor LAN werkt hier niet lekker, dus pingen had bij mij geen resultaat.) Als je modem DHCP diensten op zich neemt kan je ook daar in de beheerpagina het IP adres achterhalen.

Maak verbinding PuTTY middels SSH naar het DHCP-toegewezen IP adres.

Log in met user “pi” en wachtwoord “pi”

Wissel naar “root” met

code:

su root

Het standaard wachtwoord voor “root” is “fa”

Wijzig voor zowel "pi" als voor "root" de wachtwoorden (en bewaar deze goed)

code:

passwd pi

code:

passwd root

Optioneel: edit /etc/apt/sources.list zodat ze verwijzen naar Nederlandse repositories. Haal de bestaande tekst weg en vervang door:

code:

deb http://ftp.nl.debian.org/debian bookworm main non-free non-free-firmware contrib
deb-src http://ftp.nl.debian.org/debian bookworm main non-free non-free-firmware contrib
deb http://ftp.nl.debian.org/debian-security bookworm-security main
deb-src http://ftp.nl.debian.org/debian-security bookworm-security main
deb http://ftp.nl.debian.org/debian bookworm-backports main non-free non-free-firmware contrib
deb-src http://ftp.nl.debian.org/debian bookworm-backports main non-free non-free-firmware contrib

Update Apt:

code:

apt-get update

Update Debian zelf:

code:

apt-get upgrade

Stel de tijdzone in:

code:

timedatectl set-timezone Europe/Amsterdam

Op dit moment is de Zero2 gereed voor installatie van Pi-hole of Wireguard, ware het niet dat er nog wel een vast IP adres moet worden opgegeven. Beide services hebben een vast IP adres nodig.

De DHCP server (lees: in mijn geval de modem) deelt adressen uit tot en met 192.168.1.200 dus daarboven kunnen handmatig IP adressen worden uitgedeeld.

In de twee hieronder volgende posts komen installatie van Pi-hole en WireGuard aan bod, waar het vastzetten van IP adres bij beide wordt getoond. Let hierbij op dat je bij bepaalde specifieke dingen gaat afwijken van wat er in de FriendlyElec wiki aan instructies staat.

Hier wordt als voorbeeld uitgegaan van het volgende:
De WireGuard server krijgt 192.168.1.227
De PiHile server dient als DNS server en krijgt vast IP adres 192.168.1.233

Uiteraard kan je voor 227 en 233 andere getallen gebruiken, zolang ze maar niet in het toegewezen DHCP bereik vallen en geen conflict vormen met andere al gebruikte IP adressen.

[ Voor 100% gewijzigd door JumpStart op 30-10-2025 15:21 ]

[JumpStart]

Pi-hole installeren:

Zoals al is aangegeven: de eerste stap is het geven van een vast IP adres aan de Zero2. Hierbij gaan we uit dat eth0 de netwerk interface is van de bedrade netwerkaansluiting, met de naam “Wired connection 1”

Dit controleer je met

code:

nmcli connection

Vervolgens voer je de volgende aanpassingen door:

code:

sudo nmcli connection modify ‘Wired connection 1’ ipv4.gateway 192.168.1.1

code:

sudo nmcli connection modify ‘Wired connection 1’ ipv4.dns 192.168.1.233

code:

sudo nmcli connection modify ‘Wired connection 1’ ipv4.method manual

code:

sudo nmcli connection modify ‘Wired connection 1’ ipv4.address 192.168.1.233/24

En nu kijken of alles gewerkt heeft: Reboot het apparaat

code:

sudo reboot

Maak met PuTTY een SSH verbinding naar het nieuwe vaste IP adres dat je hebt ingesteld en log opnieuw in met “pi” (en dan su root) of log direct in als “root”.

Optioneel: verander de hostname naar Pi-hole.

In /etc/ edit je het bestand genaamd “hostname” en vervang daarin “NanoPi-Zero2” door “Pi-hole”.

Installatie van Pi-hole: Zie https://dchan.tech/books/...ll-pi-hole-6-on-debian-12

Je dient het installatiescript voor Pi-hole binnen te halen met

code:

wget -O basic-install.sh https://install.pi-hole.net

Het installatiescript uitvoeren doe je met

code:

sudo bash basic-install.sh

Twee keer “OK”, dan bevestigen dat je snapt dat je een statisch IP adres nodig hebt, dan een upstream DNS provider kiezen, een hostlist kiezen, drie keer de "recommended” optie kiezen en kiezen wat er gelogd mag worden. Vergeet ook niet het wachtwoord voor de webinterface over te nemen.

Pi-hole updaten met onderstaande, maar is bij verse installatie nog niet nodig.

code:

pihole -up

Het installatiescript voegt automatisch opstarten van Pi-hole toe. In de web-interface is er één aanpassing nodig om te zorgen dat WireGuard DNS verzoeken worden geaccepteerd door Pi-hole. Dit doe je via de web-interface, http://192.168.1.233/admin/ bij “Interface settings” settings -> DNS -> toggle Basic naar Expert settings. Er dient “permit all origins” aan te staan. Zo lang poort 53 van de Pi-hole server niet gedeeld is met de buitenwereld is dit geen veiligheidsrisico. Zorg dat de aanpassing wordt opgeslagen.

Het verder configureren van Pi-hole (toevoegen van blacklists, maken van whitelists, etc.) valt buiten deze How To. (Maar daar is bijvoorbeeld [Pi-Hole] Ervaringen & discussie voor)

Het allerbelangrijkste is wel dat Pi-hole werkt door als DNS te dienen. Je hebt dus alleen baat bij Pi-hole als je deze dus als Domain Name Server gebruikt. Als DHCP gewoon nog zelf DNS'je speelt, dan is Pi-hole dus zinloos. Je zal DHCP dus wel het IP adres van de Pi-hole server als DNS moeten laten uitdelen.

[ Voor 105% gewijzigd door JumpStart op 31-10-2025 11:12 ]

[JumpStart]

WireGuard installeren:

De Zero2 die WireGuard gaat draaien moet hetzelfde proces doorlopen voor de installatie van het OS zoals hierboven al was weergegeven.

De stappen die hierin staan voor installatie van WireGuard komen uit een tutorial van de Hetzner community voor WireGuard installatie op Ubuntu: https://community.hetzner...d-configure-wireguard-vpn

Als eerste zal je nu ook na OS installatie het door DHCP toegewezen IP adres moeten achterhalen en met PuTTY en SSH verbinding leggen. Inloggen als root, of als gebruiker en dan alsnog root worden.

Eerst dus ook hier een vast IP adres instellen:

code:

sudo nmcli connection modify ‘Wired connection 1’ ipv4.gateway 192.168.1.1

code:

sudo nmcli connection modify ‘Wired connection 1’ ipv4.dns 192.168.1.233

code:

sudo nmcli connection modify ‘Wired connection 1’ ipv4.method manual

code:

sudo nmcli connection modify ‘Wired connection 1’ ipv4.address 192.168.1.227/24

Optioneel: verander de hostname naar WireGuard. Navigeer naar /etc/, edit “hostname” en vervang “NanoPi-Zero2” door “WireGuard”.

Vervolg met een reboot (en daarna PuTTY naar het juiste IP adres leiden):

code:

sudo reboot

Als eerste IP Tables installeren:

code:

apt install iptables

Daarna Wireguard installeren:

code:

apt install Wireguard

De Wireguard interface, wg0, maak je aan met het volgende te plakken in de command line:

code:

sudo tee /etc/wireguard/wg0.conf <<END
[Interface]
PrivateKey = $(wg genkey)
Address = 10.0.0.1/24
ListenPort = 51820
PostUp = sysctl net.ipv4.ip_forward=1
PostUp = iptables -A FORWARD -i eth0 -o %i -j ACCEPT
PostUp = iptables -A FORWARD -i %i -j ACCEPT
PostUp = iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
PostDown = sysctl net.ipv4.ip_forward=0
PostDown = iptables -D FORWARD -i eth0 -o %i -j ACCEPT
PostDown = iptables -D FORWARD -i %i -j ACCEPT
PostDown = iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE
END

De volgende stap is Clients aanmaken.

Eerst de locatie aanmaken waar de client config files komen te staan:

code:

mkdir ~/wg-clients && chmod go= ~/wg-clients

Door het "script" in notepad te plakken, “client” te vervangen door "laptop", “chromebook”, “mobiel1” enzovoorts, en iedere keer weer met nieuwe client naam te plakken op de command line doe je dit gemakkelijk.

code:

peers_count="$(sudo grep '\[Peer\]' /etc/wireguard/wg0.conf | wc -l)"
tee ~/wg-clients/client.conf <<END
[Interface]
PrivateKey = $(wg genkey)
Address = 10.0.0.$(( peers_count + 2 ))/24
DNS = 192.168.1.233
END

De clients moeten worden toegevoegd aan de interface config, wg0.conf. Ook dit gaat met een knip-en-plak-script, waarbij je ook nu vanuit notepad kan plakken na iedere keer “client.conf” aan te passen naar de al gemaakt client namen.

code:

sudo tee -a /etc/wireguard/wg0.conf <<END
[Peer]
PublicKey = $(grep PrivateKey ~/wg-clients/client.conf | awk '{print $3}' | wg pubkey)
AllowedIPs = $(grep Address ~/wg-clients/client.conf | awk '{print $3}' | sed 's/\/.*//')/32
END

De client public keys moeten ook worden toegevoegd aan wg0.conf, op vergelijkbare wijze:

code:

wgservip="$(ip -4 -br address show dev eth0)" &&
tee -a ~/wg-clients/client.conf <<END
    
[Peer]
PublicKey = $(sudo grep PrivateKey /etc/wireguard/wg0.conf | awk '{print $3}' | wg pubkey)
Endpoint = [extern IP adres of domeinnnaam]:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25
END

Bij [extern IP adres of domeinnnaam] behoort de bestemming te staan zoals zichtbaar vanaf het internet, dus je modem IP adres (of, als je zelf iets host en dus een domeinnaam hebt, de domeinnaam)

Na het toevoegen van alle clients moet je WireGuard opnieuw starten:

code:

sudo systemctl stop wg-quick@wg0 && sudo systemctl start wg-quick@wg0

Om WireGuard automatisch te laten opstarten na reboot voer je dit uit:

code:

sudo systemctl start wg-quick@wg0 && sudo systemctl enable wg-quick@wg0

Hou er ook rekening mee dat de modem network address translation (NAT) zo heeft staan dat poort 51820 geforward wordt naar het interne IP adres van de WireGuard server.

Om WireGuard clients op mobiele telefoons te configureren kan je met Qr codes werken. Om deze te maken moet Qr Encode geinstalleerd worden.

code:

apt install qrencode

Genereer een Qr code voor iedere client.conf. Dus eentje voor laptop.conf, eentje voor chromebook.conf, mobiel1.conf, en zo voorts. Zorg dat je PuTTY venster vergroot is om de tekst-gegenereerde code in beeld te krijgen

code:

qrencode -t ansiutf8 < ~/wg-clients/client.conf

Ook hier moet dus voor “client" de juiste namen geplakt worden. Maak foto's of screenshots van de Qr codes. Installeer op iPhone de WireGuard app vanuit de store, en evenzo voor Android toestellen en tablets. Beide apps hebben een Qr scanner voor importeren van configuraties.

Belangrijk om te weten: Op moment van schrijven is het af te raden om de WireGuard app te gebruiken op Chromebooks. In de regel heeft het Chromebook OS nu ondersteuning voor het WireGuard protocol en kan je bij de ingebouwde VPN configuratie aangeven dat het WireGuard protocol geldt. Je moet dan wel met de hand de public key van de server uit wg0.conf kopiëren en de public key en private key uit de Chromebook client config file(s) over te nemen.

Nog te doen: WG Dashboard

[ Voor 104% gewijzigd door JumpStart op 30-10-2025 15:49 ]

[EverLast2002]

keepalived zou ook in jouw failover scenario kunnen passen.

[EverLast2002]

Thumbs up voor je post en je Future Sound Of London icoon.

[Ben(V)]

Heb je ook enig idee wat de wireguard performance is van deze configuratie?

[JumpStart]

Ben(V) schreef op donderdag 30 oktober 2025 @ 16:21:
Heb je ook enig idee wat de wireguard performance is van deze configuratie?

Goede vraag! Ik kon het niet echt cijfers geven, behalve dan "zeker goed genoeg". Afgelopen week op vakantie in Duitsland en daar op de park WiFi kregen we deze keer géén Duitse reclames. Dat het verkeer via thuis liep was niet merkbaar. Op momenten zat lokaal het park netwerk gewoon vol.

Toch maar even Ookla Speedtest aangeslingerd en de Google Pixel 8 over 5G laten testen, buitenshuis in het centrum van een grote stad. Zonder WireGuard circa 305 Mbps down, 95 Mpbs up, ping rond de 16 ms. Ik heb geen unlimited 5G en dat zie je omdat Speedtest piekt tot voorbij 400 Mbps en dan geknepen wordt. Met WireGuard ingeschakeld deed mijn Pixel 8 circa 160 Mbps down en 90 Mbps up, bij een ping van rond de 30-32 ms.

Thuis op de WiFi doet de Pixel 8 rond de 300/300/7 zonder WireGuard en 180/150/9 met WireGuard actief. De CPU belasting zit tijdens dat verkeer op 25-30%.

[edit] Vergeten te vermelden, maar de internetverbinding thuis is 1000/1000 Mbps glasvezel.

[ Voor 4% gewijzigd door JumpStart op 30-10-2025 18:32 ]

[Ben(V)]

Valt niet tegen

[Hero of Time]

Netjes. Voor het zetten van de hostnaam kan je 'hostnamectl hostname <nieuwe naam>' gebruiken. Je gebruikt al timedatectl voor de tijdzone, dan is hostnamectl een logische opvolging.

Voor je mobiel en tablet kan de performance ietwat tegenvallen omdat het standaard in userspace draait. Heb je je apparaten geroot, dan heb je, afhankelijk van de ROM, de mogelijkheid om kernel mode te gebruiken. Dit geeft betere performance, maar het kan ook wat apart gedrag geven bij bepaalde apps. Wanneer ik kernel mode gebruik, denkt Waze dat ik geen internet heb en kan geen actuele verkeersinformatie zien of routes plannen naar locaties waar ik niet eerder ben geweest. Gelukkig kan je apps ook uitsluiten van Wireguard.

Ik heb ook op m'n telefoon een issue met de Wireguard eigen app. Toen ik het nog gebruikte was het eerst prima, maar de laatste tijd had ik het probleem dat spontaan geen verkeer meer de tunnel door ging en alles leek offline. Even de tunnel uit en weer aan loste dat op. Het wisselen van wifi naar mobiel data had geen nut, want ik merkte de problemen op kantoor, thuis via wifi, onderweg via 5G en op kantoor weer op wifi. Dus de tunnel zou minstens 2x vernieuwd moeten zijn.
Nou gebruik ik wel kernel mode, met userspace lijkt het stabieler te draaien.

Ondertussen gebruik ik WG Tunnel, die schakelt automatisch de tunnel aan als ik niet thuis ben. M'n huidige versie doet het prima, een nieuwere versie deed het niet meer zo lekker, de laatste versie heb ik nog niet getest.

[JumpStart]

Hero of Time schreef op donderdag 30 oktober 2025 @ 20:32:
Netjes. Voor het zetten van de hostnaam kan je 'hostnamectl hostname <nieuwe naam>' gebruiken. Je gebruikt al timedatectl voor de tijdzone, dan is hostnamectl een logische opvolging.

[...]

Dit zijn nou precies het soort details dat ik verwacht hier. Ik besef dat ik vaak een van meerdere methodes vind om iets te bewerkstelligen, en dan dus niet per sé de meest makkelijke of voor de hand liggende te pakken heb.

[Hero of Time]

Ik zou vroeger ook gewoon /etc/hostname aanpassen of via het 'hostname' commando, maar met systemd heeft zo'n beetje alles wel een <ding>ctl variant.