FreeNAS : Pi-Hole & PiVPN dans une VM Ubuntu

Ceux qui utilisent FreeNAS 11 comme logiciel NAS ou serveur domestique peuvent utiliser pi-hole ainsi que pi-vpn et accéder à leur propre réseau tout en bloquant de manière fiable la publicité.

PiVPN (http://www.pivpn.io/) est un script d'installation et d'administration pour OpenVPN. Conçue à l'origine pour être utilisée sur un Raspberry Pi, l'installation fonctionne également sans problème sur une Ubuntu 17.04 tournant dans une VM bhyve. La procédure est la même que pour l'"ordinateur bricoleur" :

curl -L https://install.pivpn.io | bash

Le script d'installation se plaint que la version de Linux utilisée n'est peut-être pas compatible et refuse de configurer certaines choses automatiquement, mais au final tout se passe bien. Important : pour que la connexion VPN fonctionne, le pare-feu "ufw" (uncomplicated firewall - un outil en ligne de commande pour la configuration simple des règles iptables) doit être installé sous Ubuntu et le port correspondant doit être activé.

OpenVPN : UDP ou TCP ?

Pendant l'installation, PiVPN demande si UDP ou TCP doit être utilisé comme protocole. TCP est un peu plus lent en raison de la correction des erreurs, mais offre un avantage décisif : configuré sur le port 443 (normalement destiné à HTTPS), il fonctionne dans la plupart des environnements, alors que UDP est bloqué dans de nombreux réseaux. Je me suis donc prononcé en faveur du TCP.

Une fois que PiVPN est complètement configuré pour que le Raspberry Pi fonctionne comme un serveur VPN (connexion au réseau domestique ainsi qu'à l'Internet), vous pouvez commencer à installer et configurer Pi-Hole.

Pi-Hole : le trou noir de la publicité

Pi-Hole (https://pi-hole.net/) bloque l'accès aux hôtes liés à la publicité ou au suivi sur une base DNS. Les demandes correspondantes ne quittent même pas le réseau, mais sont bloquées par le serveur DNS.

La configuration est également simple ici, en utilisant

curl -sSL https://install.pi-hole.net | bash

l'installation est lancée, après quoi http://IP-Adresse-des-Servers/admin l'interface d'administration de Pi-Hole est disponible, le mot de passe de l'installation est également requis.

Pour utiliser Pi-Hole, le serveur Pi-Hole doit être entré comme DNS pour les clients sur lesquels la publicité doit être bloquée. Dès que cela est fait, toutes les demandes aux serveurs de suivi ou de publicité sont empêchées, même dans les applications extérieures au navigateur. Par exemple, les publicités ne sont plus affichées dans Skype.

Pi-Hole fonctionne différemment des bloqueurs de publicité classiques comme uBlock, mais il peut utiliser les mêmes listes de filtres. Malheureusement, le format des listes est différent, il faut donc procéder à une conversion : sous la rubrique https://wally3k.github.io/ vous pouvez trouver diverses listes de filtres AdBlocker qui ont déjà été converties dans un format compatible avec Pi-Hole.

Expérience à long terme : 7 à 10 % de toutes les demandes sont bloquées.

Si vous utilisez la configuration avec Pi-Hole pendant un certain temps pour surfer normalement avec plusieurs appareils (dans mon cas, un PC, un Macbook et un iPhone fonctionnant via le serveur Pi-Hole), vous avez une idée dans les statistiques du nombre de requêtes utilisées uniquement pour la publicité et le suivi : après une bonne semaine, le taux s'est établi à un bon 7 - 10 pour cent.

Jusqu'à présent, il n'y a pas eu d'effets secondaires : si une demande qui avait du sens est bloquée, le domaine correspondant peut être mis sur liste blanche via l'interface Pi-Hole. La sous-structure avec un serveur FreeNAS (dans mon cas un HP Microserver Gen8 avec 16 GiB RAM et un processeur Core i5) fournit également assez de performance pour permettre à la fois une connexion OpenVPN et le filtrage avec 117.000 domaines dans la liste de blocage.

Si vous combinez Pi-Hole avec un adblocker classique (dans mon cas uBlock), les espaces blancs des sites web disparaissent également : Pi-Hole empêche la demande, uBlock supprime les placeholders.

A retenir : les sites web sont financés par la publicité

Il faut toutefois garder à l'esprit que de nombreuses offres sont financées par la publicité et ne peuvent se passer d'un paywall. La publicité est souvent gênante, mais un blocage systématique n'entraîne pas immédiatement une diminution de la publicité.

Mise à jour du 16.03.2019 : aucune amélioration

Rien ne s'est vraiment amélioré depuis la configuration initiale, surtout lorsque l'adblocker est désactivé dans le navigateur, le nombre de requêtes DNS bloquées est scandaleusement élevé : plus de 20% des requêtes DNS concernent des hôtes couverts par les listes de blocage des publicités.

L'avantage de Pihole reste que vous n'avez pas besoin d'un plug-in dans le navigateur et que vous pouvez également l'utiliser sur l'iPad et le smartphone (et dans les applications, car au moins pour Safari il y a iOS adblocker depuis iOS 9). Bien sûr, ce serait encore mieux si ces mesures n'étaient pas nécessaires. Personnellement, je veux bien recevoir des publicités aussi appropriées que possible, mais les publicités elles-mêmes doivent se charger rapidement et ne pas occuper une partie apparemment importante de la page concernée.