Blockieren externer IP-Adressen

[bronger]

Ich nutze eine Fritz!Box 7530 AX.

Der Browser Chromium (und damit auch Chrome) hat die aus meiner Sicht unschöne Eigenschaft, unausschaltbar eigenständige DNS-Verbindungen aufzubauen. Selbst wenn man also mit einem eigenen DNS-Server unerwünschte (Tracking-)Domains filtert, kommen einige unerwünschte Verbindungen dennoch zustande. Dabei nutzt Chromium fest einkompilierte IP-Adressen zu DNS-Servern.

Im Quellcode von Chromium kann man diese IP-Adressen sehen. Sie ändern sich nur selten, und aktuell sind es 69 Stück. Ich wollte die in der Fritz!Box unter Internet → Filter → Listen → „IP-Sperrlisten“ hochladen, aber das ist auf 64 IP-Adressen limitiert.

Ich frage daher hier, ob die Fritz!Box noch einen alternativen Weg zum blockieren anbietet. Ich hätte beispielsweise nichts dagegen, wenn Port 53/UDP nach außen komplett bis auf zwei externe IP-Adressen blockiert wäre, oder wenn Port 53/UDP nach außen für alle meine Devices außer einem blockiert wäre.

Oder eventuell noch eine ganz andere Idee.

 

[Barungar]

Der Browser Chromium (und damit auch Chrome) hat die aus meiner Sicht unschöne Eigenschaft, unausschaltbar eigenständige DNS-Verbindungen aufzubauen.

Bist Du Dir da sicher?! Ich weiß, dass Chrome im Standard DoH nutzt, aber unter chrome://settings/security/ kann man das "Sichere DNS" wohinter sich DoH verbrigt abschalten.

 

[bronger]

Ja, ich bin mir sicher, daß die Option „Sicheres DNS“ auf diese Zugriffe keinen Einfluß hat.

 

[blurrrr]

Dann ist es allerdings recht merkwürdig, dass es bei Deinem verlinkten Quellcode ganz konkret um "DoH" (DNS over HTTPS) geht... Schau vielleicht einfach mal die Suchergebnisse nach DNS bei dem Einstellungen durch...

 

[bronger]

Die verklinkte Quellcode-Datei enthält beides: DoH und klasisches DNS auf Port 53. Ich habe heute meine Fritz!Box testweise vernagelt für Port 53 und sehe reproduzierbar den Unterschied im Chromium: Auf wetter.com sehe ich trotz Pi-Hole Werbung (mit etwas Verzögerung), wenn ich Port 53 zumache ist die weg (und nur die). Das kann ich mehrfach wechseln und es ist immer das zu erwartende Resultat.

Das komplette Sperren von Port 53 ist allerdings ziemlich invasiv und bedeutet insbesondere, daß ich Verrenkungen bei meinem OpenVPN-Server machen muß, weil der auf demselben Host wie der dnsmasq läuft. Aber es geht ganz okay. Man könnte sagen, ich habe nun einen häßlichen Workaround gefunden.

(Schon kraß, was für einen Aufwand mindestens dieser Browser betreibt, um irgendwie das Tracking und die Werbung zu ermöglichen.)

 

[blurrrr]

Dann heisst es wohl schlichtweg "Browser wechseln"

 

[the other]

Moinsen,

Dann heisst es wohl schlichtweg "Browser wechseln"

...oder aber ein anderes Gerät als nur die Fritzbox nutzen, dass den Zugriff per 53 reglementiert.
Ich habe hier zB sowohl unter dem mobilen Chrome als auch unter ubuntus Chromium die private DNS Funktion deaktiviert. Zusätzlich werden Anfragen auf Port 53 NUR auf den (von mir ausgewählten) DNS Server /resolver zugelassen.

Bei meinen Geräten macht Chrome ohne "privates DNS" allerdings auch so keine extra Anfragen, die bisher (vor der Regel) aufgefallen wären...

 

[bronger]

Ja, ein extra Raspi z.B. nur für dnsmasq würde bedeuten, daß OpenVPN automatisch die Blockade hätte, und dnsmasq unbehelligt laufen könnte.