Faire du filtrage une infrastructure

Installer un module de blocage sur chaque machine est une guerre de attrition que personne ne gagne. Le telephone en recoit un, le portable un second, et le boitier de television na tout simplement pas de place pour le moindre module. Chaque machine a ses reglages, chaque mise a jour ses surprises, et des que un nouvel appareil entre dans la maison tout le travail reprend de zero. Pi-hole refuse de se battre sur ce terrain et deplace le probleme vers la entree du reseau.

Installe sur une petite machine et designe comme serveur DNS du reseau local, il voit passer chaque resolution de nom de la maison avant que quoi que ce soit dautre ne se produise. Une demande vers un domaine de suivi ou de publicite est rejetee avant meme que le contenu derriere elle soit charge. Les pages arrivent plus propres, et le trafic discret que les machines emettent en arriere plan baisse nettement. Un seul deploiement, et chaque appareil du reseau est couvert au meme instant, y compris ceux qui nauront jamais pu heberger un module.

Le choix du DNS comme point de passage est ce qui rend la idee solide. Presque chaque connexion dans un reseau commence par une interrogation de nom, donc un endroit unique qui repond a ces interrogations voit les intentions de chaque machine sans avoir a inspecter le trafic lui meme. Rien a dechiffrer, aucun client a modifier, et la facon de utiliser le reseau ne change pas du tout.

Un filtrage visible, une entree que on maitrise

Une interface web administration est fournie, et les chiffres quelle affiche sont la partie la plus sous estimee. Le total des interrogations par jour, le nombre de celles qui ont ete bloquees et une liste des domaines les plus demandes sont exposes clairement, si bien que une machine qui reclame des noms douteux a trois heures du matin devient une observation et non une hypothese. Les listes de blocage sajoutent et se retirent librement, un domaine touche par erreur passe en exception en un geste, et la combinaison avec une resolution chiffree en amont ajoute une couche de protection au chemin de interrogation lui meme.

La barriere est basse. Une machine de la classe de un Raspberry Pi suffit a la faire tourner toute annee, la documentation officielle couvre les chemins installation courants, et les tutoriels de la communaute sont assez nombreux pour que presque tout probleme ait deja sa reponse ecrite quelque part.

Cette difference se voit le plus nettement sur les machines que personne ne pense a configurer. Un telephone peut recevoir un module de blocage dans un navigateur, mais les applications quil porte ouvrent leurs propres connexions et ne tiennent aucun compte de ce que veut ce module. Un boitier de television noffre aucun module. Un thermostat, une sonnette, une imprimante sur une etagere parlent au monde exterieur selon leur propre horaire. Placez la decision au niveau du DNS et toutes suivent le meme jeu de regles, que leur logiciel ait ou non une notion de filtrage.

Le charme de Pi-hole tient a ceci: on le regle une fois et on loublie. Aucune habitude ne change, aucun client a installer, il monte simplement la garde sur une route que le trafic doit emprunter de toute facon. Une bonne infrastructure doit etre silencieuse et fiable de cette maniere.

Le conseil de deploiement est aussi direct. Faites pointer vers cette adresse le DNS que le routeur distribue par DHCP et toute la maison est couverte; gardez un second chemin de resolution disponible pour que une mauvaise regle ne mette pas a terre un service essentiel; commencez par une selection prudente de listes et resserrez les regles petit a petit, a mesure que vous decouvrez ce que votre reseau fait vraiment.

Pour qui heberge chez soi avec une maison pleine de machines et se soucie a la fois de qualite du reseau et des donnees qui sortent, il sagit de une des ameliorations les plus rentables: libre, gratuite, et une seule petite boite qui monte la garde toute annee.

Apres la premiere semaine, ensemble devient invisible de la meilleure facon. Le tableau est la quand la curiosite parle, les listes se mettent a jour sans bruit en arriere plan, et la vie quotidienne du reseau continue exactement comme avant. Ce qui change nest pas la facon de utiliser quoi que ce soit, mais la part du trafic qui paraissait normal et qui ne quitte plus du tout la maison.