docs: Dokumentation umfassend überarbeitet
This commit is contained in:
Patrick Asmus
@@ -16,7 +16,7 @@ RATE_LIMIT_MAX_REQUESTS=30
|
||||
WHITELIST="127.0.0.1,::1,192.168.1.1"
|
||||
```
|
||||
|
||||
Nach Änderungen solltest du den Service neu starten:
|
||||
Nach Änderungen muss der Service neu gestartet werden:
|
||||
|
||||
```bash
|
||||
sudo systemctl restart adguard-shield
|
||||
@@ -41,21 +41,24 @@ Das ist besonders wichtig beim Umstieg von der Shell-Version auf die Go-Version.
|
||||
Nach dem Bearbeiten der Konfiguration:
|
||||
|
||||
```bash
|
||||
# API-Verbindung testen
|
||||
sudo /opt/adguard-shield/adguard-shield test
|
||||
|
||||
# Dry-Run: zeigt, was gesperrt würde, ohne die Firewall zu verändern
|
||||
sudo /opt/adguard-shield/adguard-shield dry-run
|
||||
```
|
||||
|
||||
`test` prüft die AdGuard-Home-API. `dry-run` zeigt, was AdGuard Shield sperren würde, ohne die Firewall zu verändern.
|
||||
---
|
||||
|
||||
## AdGuard Home API
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `ADGUARD_URL` | `https://dns1.domain.com` | URL der AdGuard-Home-Weboberfläche/API |
|
||||
| `ADGUARD_USER` | `admin` | Benutzername für die API |
|
||||
| `ADGUARD_PASS` | `changeme` | Passwort für die API |
|
||||
| `ADGUARD_USER` | `admin` | Benutzername für die API-Authentifizierung |
|
||||
| `ADGUARD_PASS` | `changeme` | Passwort für die API-Authentifizierung |
|
||||
|
||||
Beispiel lokal:
|
||||
### Beispiel: Lokale Instanz
|
||||
|
||||
```bash
|
||||
ADGUARD_URL="http://127.0.0.1:3000"
|
||||
@@ -63,10 +66,12 @@ ADGUARD_USER="admin"
|
||||
ADGUARD_PASS="sehr-geheim"
|
||||
```
|
||||
|
||||
Beispiel mit HTTPS:
|
||||
### Beispiel: Entfernte Instanz mit HTTPS
|
||||
|
||||
```bash
|
||||
ADGUARD_URL="https://dns.example.com"
|
||||
ADGUARD_USER="admin"
|
||||
ADGUARD_PASS="geheim"
|
||||
```
|
||||
|
||||
AdGuard Shield ruft intern diesen Endpunkt ab:
|
||||
@@ -75,54 +80,55 @@ AdGuard Shield ruft intern diesen Endpunkt ab:
|
||||
/control/querylog?limit=<API_QUERY_LIMIT>&response_status=all
|
||||
```
|
||||
|
||||
Hinweis: Der HTTP-Client akzeptiert auch selbstsignierte TLS-Zertifikate. Das erleichtert lokale Setups, ersetzt aber keine saubere Absicherung der AdGuard-Home-Oberfläche.
|
||||
**Hinweis:** Der HTTP-Client akzeptiert auch selbstsignierte TLS-Zertifikate. Das erleichtert lokale Setups, ersetzt aber keine saubere Absicherung der AdGuard-Home-Oberfläche.
|
||||
|
||||
---
|
||||
|
||||
## Querylog und Polling
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---:|---|
|
||||
| `CHECK_INTERVAL` | `10` | Abstand zwischen Querylog-Abfragen in Sekunden |
|
||||
| `API_QUERY_LIMIT` | `500` | Anzahl der Querylog-Einträge pro API-Abfrage |
|
||||
| `API_QUERY_LIMIT` | `500` | Anzahl der Querylog-Einträge pro API-Abfrage (max. 5000) |
|
||||
|
||||
Empfehlung:
|
||||
### Empfehlungen
|
||||
|
||||
- `CHECK_INTERVAL=10` ist ein guter Standard.
|
||||
- Bei sehr hohem DNS-Aufkommen kann `API_QUERY_LIMIT` erhöht werden.
|
||||
- Wenn `API_QUERY_LIMIT` zu niedrig ist, können Spitzen im Querylog zwischen zwei Polls teilweise verpasst werden.
|
||||
- Sehr kurze Intervalle erzeugen mehr API-Last auf AdGuard Home.
|
||||
| Situation | Empfehlung |
|
||||
|---|---|
|
||||
| Normaler Betrieb | `CHECK_INTERVAL=10` ist ein guter Standard |
|
||||
| Hohes DNS-Aufkommen | `API_QUERY_LIMIT` auf 1000–2000 erhöhen |
|
||||
| `API_QUERY_LIMIT` zu niedrig | Spitzen im Querylog können zwischen zwei Polls verpasst werden |
|
||||
| Sehr kurze Intervalle | Erzeugen mehr API-Last auf AdGuard Home |
|
||||
|
||||
---
|
||||
|
||||
## Rate-Limit
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---:|---|
|
||||
| `RATE_LIMIT_MAX_REQUESTS` | `30` | maximale Anfragen pro Client und Domain im Zeitfenster |
|
||||
| `RATE_LIMIT_MAX_REQUESTS` | `30` | Maximale Anfragen pro Client und Domain im Zeitfenster |
|
||||
| `RATE_LIMIT_WINDOW` | `60` | Zeitfenster in Sekunden |
|
||||
|
||||
Beispiel:
|
||||
Das bedeutet: Wenn ein Client dieselbe Domain mehr als 30-mal innerhalb von 60 Sekunden abfragt, wird er als auffällig erkannt und gesperrt.
|
||||
|
||||
```bash
|
||||
RATE_LIMIT_MAX_REQUESTS=30
|
||||
RATE_LIMIT_WINDOW=60
|
||||
```
|
||||
### Empfohlene Startwerte
|
||||
|
||||
Das bedeutet: Wenn ein Client dieselbe Domain mehr als 30-mal innerhalb von 60 Sekunden abfragt, wird er auffällig.
|
||||
| Umgebung | `MAX_REQUESTS` | `WINDOW` | Hinweis |
|
||||
|---|---:|---:|---|
|
||||
| Kleines Heimnetz | `30` | `60` | Standardwerte |
|
||||
| Viele Clients | `60`–`120` | `60` | Höherer Grenzwert für mehr Grundlast |
|
||||
| Aktive Resolver/Forwarder | nach Bedarf | `60` | Zuerst Forwarder whitelisten |
|
||||
|
||||
Gute Startwerte:
|
||||
**Wichtig:** Wenn ein Router, Reverse Proxy oder lokaler DNS-Forwarder stellvertretend für viele Clients fragt, sollte dieser Client in die Whitelist. Sonst sieht AdGuard Shield nur eine sehr aktive IP und sperrt den Forwarder statt der eigentlichen Verursacher.
|
||||
|
||||
| Umgebung | Vorschlag |
|
||||
|---|---|
|
||||
| kleines Heimnetz | `30` in `60s` |
|
||||
| viele Clients | `60` bis `120` in `60s` |
|
||||
| sehr aktive Resolver/Forwarder | zuerst Whitelist prüfen, dann höher setzen |
|
||||
|
||||
Wichtig: Wenn ein Router, Reverse Proxy oder lokaler DNS-Forwarder stellvertretend für viele Clients fragt, sollte dieser Client in die Whitelist. Sonst sieht AdGuard Shield nur eine sehr aktive IP.
|
||||
---
|
||||
|
||||
## Subdomain-Flood-Erkennung
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---:|---|
|
||||
| `SUBDOMAIN_FLOOD_ENABLED` | `true` | aktiviert die Erkennung zufälliger Subdomains |
|
||||
| `SUBDOMAIN_FLOOD_MAX_UNIQUE` | `50` | maximale Anzahl eindeutiger Subdomains pro Client und Basisdomain |
|
||||
| `SUBDOMAIN_FLOOD_ENABLED` | `true` | Erkennung zufälliger Subdomains aktivieren |
|
||||
| `SUBDOMAIN_FLOOD_MAX_UNIQUE` | `50` | Maximale eindeutige Subdomains pro Client und Basisdomain |
|
||||
| `SUBDOMAIN_FLOOD_WINDOW` | `60` | Zeitfenster in Sekunden |
|
||||
|
||||
Diese Erkennung zielt auf Muster wie:
|
||||
@@ -133,148 +139,154 @@ f8x9.example.com
|
||||
zz12.example.com
|
||||
```
|
||||
|
||||
Dabei zählt AdGuard Shield nicht die Gesamtzahl der Anfragen, sondern die Anzahl unterschiedlicher Subdomains unter derselben Basisdomain.
|
||||
Dabei zählt AdGuard Shield nicht die Gesamtzahl der Anfragen, sondern die Anzahl **unterschiedlicher** Subdomains unter derselben Basisdomain. Direkte Anfragen an `example.com` selbst zählen nicht.
|
||||
|
||||
Beispiel:
|
||||
### Hinweise
|
||||
|
||||
```bash
|
||||
SUBDOMAIN_FLOOD_ENABLED=true
|
||||
SUBDOMAIN_FLOOD_MAX_UNIQUE=50
|
||||
SUBDOMAIN_FLOOD_WINDOW=60
|
||||
```
|
||||
- Multi-Part-TLDs wie `.co.uk` werden korrekt als Basisdomain erkannt.
|
||||
- CDNs und manche Apps nutzen legitim viele Subdomains. Betroffene Clients whitelisten oder Grenzwert erhöhen.
|
||||
|
||||
Wenn ein Client innerhalb von 60 Sekunden mehr als 50 unterschiedliche Subdomains von `example.com` abfragt, wird er gesperrt.
|
||||
|
||||
Hinweise:
|
||||
|
||||
- Direkte Anfragen an `example.com` zählen hier nicht.
|
||||
- Multi-Part-TLDs wie `.co.uk` werden berücksichtigt.
|
||||
- CDNs und manche Apps nutzen viele Subdomains. Wenn legitime Clients betroffen sind, den Grenzwert erhöhen oder passende Clients whitelisten.
|
||||
---
|
||||
|
||||
## DNS-Flood-Watchlist
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `DNS_FLOOD_WATCHLIST_ENABLED` | `false` | aktiviert die Watchlist |
|
||||
| `DNS_FLOOD_WATCHLIST` | leer | kommagetrennte Domainliste |
|
||||
| `DNS_FLOOD_WATCHLIST_ENABLED` | `false` | Watchlist aktivieren |
|
||||
| `DNS_FLOOD_WATCHLIST` | leer | Kommagetrennte Domainliste |
|
||||
|
||||
Die Watchlist ist für Domains gedacht, bei denen eine Überschreitung sofort hart behandelt werden soll.
|
||||
Die Watchlist ist für Domains gedacht, bei denen eine Überschreitung sofort hart behandelt werden soll, ohne progressive Stufen.
|
||||
|
||||
Beispiel:
|
||||
### Beispiel
|
||||
|
||||
```bash
|
||||
DNS_FLOOD_WATCHLIST_ENABLED=true
|
||||
DNS_FLOOD_WATCHLIST="microsoft.com,google.com,apple.com"
|
||||
```
|
||||
|
||||
Wenn ein Client dann `login.microsoft.com` über das Rate-Limit bringt, wird sofort permanent gesperrt, weil `login.microsoft.com` zur Watchlist-Domain `microsoft.com` gehört.
|
||||
### Matching-Logik
|
||||
|
||||
Folgen:
|
||||
Wenn ein Client `login.microsoft.com` über das Rate-Limit bringt, wird sofort permanent gesperrt, weil `login.microsoft.com` zur Watchlist-Domain `microsoft.com` gehört. `evil-microsoft.com` würde dagegen **nicht** matchen.
|
||||
|
||||
- Grund: `dns-flood-watchlist`
|
||||
- Sperrdauer: permanent
|
||||
- Progressive-Ban-Dauer wird übersprungen
|
||||
- AbuseIPDB-Reporting kann ausgelöst werden, wenn aktiviert
|
||||
### Folgen eines Watchlist-Treffers
|
||||
|
||||
| Aspekt | Verhalten |
|
||||
|---|---|
|
||||
| Grund | `dns-flood-watchlist` |
|
||||
| Sperrdauer | Permanent |
|
||||
| Progressive Sperren | Werden übersprungen |
|
||||
| AbuseIPDB | Wird gemeldet, falls aktiviert |
|
||||
|
||||
---
|
||||
|
||||
## Sperrdauer und Firewall
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `BAN_DURATION` | `3600` | Basisdauer temporärer Monitor-Sperren in Sekunden |
|
||||
| `BAN_DURATION` | `3600` | Basisdauer temporärer Monitor-Sperren in Sekunden (1 Stunde) |
|
||||
| `IPTABLES_CHAIN` | `ADGUARD_SHIELD` | Name der eigenen Firewall-Chain |
|
||||
| `BLOCKED_PORTS` | `53 443 853` | Ports, die für gesperrte Clients blockiert werden |
|
||||
| `FIREWALL_BACKEND` | `ipset` | Firewall-Backend der Go-Version |
|
||||
| `BLOCKED_PORTS` | `53 443 853` | Ports, die für gesperrte Clients blockiert werden (Leerzeichen-getrennt) |
|
||||
| `FIREWALL_BACKEND` | `ipset` | Firewall-Backend (ipset + iptables) |
|
||||
| `FIREWALL_MODE` | `host` | Verkehrsweg der AdGuard-Home-Installation |
|
||||
| `DRY_RUN` | `false` | Konfigurationsweiter Testmodus ohne echte Sperren |
|
||||
|
||||
Standardports:
|
||||
### Blockierte Ports
|
||||
|
||||
| Port | Zweck |
|
||||
|---:|---|
|
||||
| `53` | klassisches DNS über UDP/TCP |
|
||||
| `443` | DNS-over-HTTPS, sofern AdGuard Home darüber erreichbar ist |
|
||||
| `853` | DNS-over-TLS und DNS-over-QUIC |
|
||||
| `53` | Klassisches DNS über UDP/TCP |
|
||||
| `443` | DNS-over-HTTPS (DoH), sofern AdGuard Home darüber erreichbar ist |
|
||||
| `853` | DNS-over-TLS (DoT) und DNS-over-QUIC (DoQ) |
|
||||
|
||||
Die Firewall wird über `ipset` und `iptables`/`ip6tables` gesteuert. Für IPv4 und IPv6 gibt es getrennte Sets:
|
||||
### Firewall-Modi
|
||||
|
||||
```text
|
||||
adguard_shield_v4
|
||||
adguard_shield_v6
|
||||
```
|
||||
| Modus | Einsatz | Parent-Chain |
|
||||
|---|---|---|
|
||||
| `host` | Klassische AdGuard-Home-Installation direkt auf dem Host | `INPUT` |
|
||||
| `docker-host` | Docker mit `network_mode: host` (Alias von `host`) | `INPUT` |
|
||||
| `docker-bridge` | Docker mit veröffentlichten Ports, z.B. `-p 53:53` | `DOCKER-USER` |
|
||||
| `hybrid` | Schützt Host-Ports und Docker-Forwarding gleichzeitig | `INPUT` + `DOCKER-USER` |
|
||||
|
||||
`FIREWALL_MODE` legt fest, in welche Host-Chain AdGuard Shield die Schutzregeln einhängt:
|
||||
Details zu den Docker-Modi stehen in [Docker-Installationen](docker.md).
|
||||
|
||||
| Modus | Einsatz |
|
||||
|---|---|
|
||||
| `host` | klassische AdGuard-Home-Installation direkt auf dem Host |
|
||||
| `docker-host` | AdGuard Home läuft in Docker mit `network_mode: host`; Alias von `host` |
|
||||
| `docker-bridge` | AdGuard Home läuft in Docker mit veröffentlichten Ports, z.B. `53:53` |
|
||||
| `hybrid` | schützt Host-Ports und Docker-Forwarding gleichzeitig |
|
||||
|
||||
Bei `host`/`docker-host` wird die eigene Chain aus `INPUT` angesprungen. Bei `docker-bridge` wird sie aus `DOCKER-USER` angesprungen, weil Docker veröffentlichte Ports über NAT und `FORWARD` verarbeitet. Details stehen in [Docker-Installationen](docker.md).
|
||||
---
|
||||
|
||||
## Whitelist
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `WHITELIST` | `127.0.0.1,::1` | IPs, die nie gesperrt werden |
|
||||
| `WHITELIST` | `127.0.0.1,::1` | IPs, die nie gesperrt werden (kommagetrennt) |
|
||||
|
||||
Beispiel:
|
||||
### Beispiel
|
||||
|
||||
```bash
|
||||
WHITELIST="127.0.0.1,::1,192.168.1.1,192.168.1.10,fd00::1"
|
||||
```
|
||||
|
||||
Empfohlen sind:
|
||||
### Empfohlene Whitelist-Einträge
|
||||
|
||||
- Localhost: `127.0.0.1`, `::1`
|
||||
- Router/Gateway
|
||||
- Admin- oder Management-IPs
|
||||
- Monitoring-Systeme
|
||||
- interne Resolver oder Forwarder
|
||||
- eigene VPN-Endpunkte, falls sie viele Anfragen bündeln
|
||||
| Typ | Beispiel | Grund |
|
||||
|---|---|---|
|
||||
| Localhost | `127.0.0.1`, `::1` | Lokale Anfragen |
|
||||
| Router/Gateway | `192.168.1.1` | Bündelt oft DNS für alle Clients |
|
||||
| Admin-IPs | `192.168.1.10` | Eigene Management-Geräte |
|
||||
| Monitoring | Monitoring-IP | Regelmäßige DNS-Checks |
|
||||
| Interne Resolver | Resolver-IP | Fragt stellvertretend für viele Clients |
|
||||
| VPN-Endpunkte | VPN-IP | Bündeln DNS-Anfragen vieler Nutzer |
|
||||
|
||||
Wichtig: Die Whitelist wird vor jeder Sperre geprüft. Das gilt für automatische, manuelle, GeoIP- und externe Blocklist-Sperren.
|
||||
**Wichtig:** Die Whitelist wird vor jeder Sperre geprüft. Das gilt für automatische, manuelle, GeoIP- und externe Blocklist-Sperren.
|
||||
|
||||
---
|
||||
|
||||
## Progressive Sperren
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---:|---|
|
||||
| `PROGRESSIVE_BAN_ENABLED` | `true` | Wiederholungstäter stufenweise länger sperren |
|
||||
| `PROGRESSIVE_BAN_MULTIPLIER` | `2` | Multiplikator pro Stufe |
|
||||
| `PROGRESSIVE_BAN_MAX_LEVEL` | `5` | ab dieser Stufe permanent sperren, `0` bedeutet nie permanent durch Stufe |
|
||||
| `PROGRESSIVE_BAN_MULTIPLIER` | `2` | Multiplikator pro Stufe (2 = Verdopplung) |
|
||||
| `PROGRESSIVE_BAN_MAX_LEVEL` | `5` | Ab dieser Stufe permanent sperren (`0` = nie permanent durch Stufe) |
|
||||
| `PROGRESSIVE_BAN_RESET_AFTER` | `86400` | Offense-Zähler nach so vielen Sekunden ohne neues Vergehen zurücksetzen |
|
||||
|
||||
Beispiel mit Standardwerten:
|
||||
### Stufenverlauf mit Standardwerten
|
||||
|
||||
| Vergehen | Stufe | Dauer |
|
||||
|---:|---:|---|
|
||||
| 1 | 1 | 1 Stunde |
|
||||
| 2 | 2 | 2 Stunden |
|
||||
| 3 | 3 | 4 Stunden |
|
||||
| 4 | 4 | 8 Stunden |
|
||||
| 5 | 5 | permanent |
|
||||
| Vergehen | Stufe | Berechnung | Sperrdauer |
|
||||
|---:|---:|---|---|
|
||||
| 1 | 1 | 3600 × 2⁰ | 1 Stunde |
|
||||
| 2 | 2 | 3600 × 2¹ | 2 Stunden |
|
||||
| 3 | 3 | 3600 × 2² | 4 Stunden |
|
||||
| 4 | 4 | 3600 × 2³ | 8 Stunden |
|
||||
| 5 | 5 | Max-Level erreicht | Permanent |
|
||||
|
||||
Progressive Sperren gelten für Monitor-Sperren wie `rate-limit` und `subdomain-flood`. Watchlist-Treffer sind sofort permanent. GeoIP und externe Blocklisten haben eigene Regeln.
|
||||
|
||||
Wartung:
|
||||
### Verwaltungsbefehle
|
||||
|
||||
```bash
|
||||
sudo /opt/adguard-shield/adguard-shield offense-status
|
||||
sudo /opt/adguard-shield/adguard-shield offense-cleanup
|
||||
sudo /opt/adguard-shield/adguard-shield reset-offenses 192.168.1.100
|
||||
sudo /opt/adguard-shield/adguard-shield offense-status # Zähler anzeigen
|
||||
sudo /opt/adguard-shield/adguard-shield offense-cleanup # Abgelaufene entfernen
|
||||
sudo /opt/adguard-shield/adguard-shield reset-offenses # Alle zurücksetzen
|
||||
sudo /opt/adguard-shield/adguard-shield reset-offenses <IP> # Eine IP zurücksetzen
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## Logging
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `LOG_FILE` | `/var/log/adguard-shield.log` | Datei für Daemon-Ereignisse |
|
||||
| `LOG_LEVEL` | `INFO` | `DEBUG`, `INFO`, `WARN` oder `ERROR` |
|
||||
| `LOG_LEVEL` | `INFO` | Minimales Log-Level |
|
||||
|
||||
`LOG_FILE` enthält Start/Stop, Worker-Läufe, Sperren, Freigaben, Warnungen und Fehler. Query-Inhalte werden nicht dauerhaft ins Log geschrieben.
|
||||
### Verfügbare Log-Level
|
||||
|
||||
CLI:
|
||||
| Level | Beschreibung | Empfehlung |
|
||||
|---|---|---|
|
||||
| `DEBUG` | Detaillierte Informationen, z.B. einzelne API-Ergebnisse | Nur kurzzeitig für Fehlersuche |
|
||||
| `INFO` | Normale Betriebsmeldungen (Start, Sperren, Freigaben) | Empfohlen für den produktiven Betrieb |
|
||||
| `WARN` | Warnungen (API-Fehler, fehlende Dateien, Konfigurationsprobleme) | |
|
||||
| `ERROR` | Fehler, die den Betrieb beeinträchtigen | |
|
||||
|
||||
### CLI-Befehle
|
||||
|
||||
```bash
|
||||
sudo /opt/adguard-shield/adguard-shield logs --level warn --limit 100
|
||||
@@ -282,7 +294,9 @@ sudo /opt/adguard-shield/adguard-shield logs-follow debug
|
||||
sudo /opt/adguard-shield/adguard-shield live
|
||||
```
|
||||
|
||||
Für produktiven Betrieb ist `INFO` sinnvoll. Für Fehlersuche kurzzeitig `DEBUG` verwenden.
|
||||
**Hinweis:** Query-Inhalte werden nicht dauerhaft ins Log geschrieben. Für Query-nahe Diagnose ist die Live-Ansicht gedacht.
|
||||
|
||||
---
|
||||
|
||||
## State und Runtime
|
||||
|
||||
@@ -291,31 +305,49 @@ Für produktiven Betrieb ist `INFO` sinnvoll. Für Fehlersuche kurzzeitig `DEBUG
|
||||
| `STATE_DIR` | `/var/lib/adguard-shield` | Verzeichnis für SQLite-Datenbank und Caches |
|
||||
| `PID_FILE` | `/var/run/adguard-shield.pid` | PID-Datei für direkten Vordergrundlauf |
|
||||
|
||||
SQLite-Datei:
|
||||
### SQLite-Datei
|
||||
|
||||
```text
|
||||
${STATE_DIR}/adguard-shield.db
|
||||
```
|
||||
|
||||
Weitere Dateien in `STATE_DIR`:
|
||||
### Weitere Dateien in STATE_DIR
|
||||
|
||||
- Caches für externe Listen
|
||||
- gespeicherte Firewall-Regeln bei `firewall-save`
|
||||
- SQLite-WAL-Dateien
|
||||
| Datei/Verzeichnis | Inhalt |
|
||||
|---|---|
|
||||
| `adguard-shield.db` | Hauptdatenbank (Sperren, History, Offenses, Caches) |
|
||||
| `adguard-shield.db-wal` | WAL-Datei (im laufenden Betrieb) |
|
||||
| `adguard-shield.db-shm` | Shared-Memory-Datei (im laufenden Betrieb) |
|
||||
| `external-blocklist/` | Cache für heruntergeladene Blocklisten |
|
||||
| `external-whitelist/` | Cache für heruntergeladene Whitelists |
|
||||
| `iptables-rules.v4` | Gesicherte IPv4-Firewall-Regeln |
|
||||
| `iptables-rules.v6` | Gesicherte IPv6-Firewall-Regeln |
|
||||
|
||||
---
|
||||
|
||||
## Benachrichtigungen
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `NOTIFY_ENABLED` | `false` | Benachrichtigungen aktivieren |
|
||||
| `NOTIFY_TYPE` | `ntfy` | `ntfy`, `discord`, `slack`, `gotify` oder `generic` |
|
||||
| `NOTIFY_WEBHOOK_URL` | leer | Webhook-URL für Discord, Slack, Gotify oder Generic |
|
||||
| `NOTIFY_TYPE` | `ntfy` | Benachrichtigungskanal |
|
||||
| `NOTIFY_WEBHOOK_URL` | leer | Webhook-URL (nicht für ntfy) |
|
||||
| `NTFY_SERVER_URL` | `https://ntfy.sh` | Ntfy-Server |
|
||||
| `NTFY_TOPIC` | leer | Ntfy-Topic |
|
||||
| `NTFY_TOKEN` | leer | optionaler Access-Token |
|
||||
| `NTFY_PRIORITY` | `4` | Ntfy-Priorität von 1 bis 5 |
|
||||
| `NTFY_TOKEN` | leer | Optionaler Ntfy-Access-Token |
|
||||
| `NTFY_PRIORITY` | `4` | Ntfy-Priorität (1–5) |
|
||||
|
||||
Ntfy-Beispiel:
|
||||
### Verfügbare Typen
|
||||
|
||||
| Typ | Beschreibung |
|
||||
|---|---|
|
||||
| `ntfy` | Ntfy Push-Benachrichtigungen (öffentlich oder selbst gehostet) |
|
||||
| `discord` | Discord-Webhook |
|
||||
| `slack` | Slack-Webhook |
|
||||
| `gotify` | Gotify-Server |
|
||||
| `generic` | Eigener Webhook-Endpunkt (JSON POST) |
|
||||
|
||||
### Beispiel: Ntfy
|
||||
|
||||
```bash
|
||||
NOTIFY_ENABLED=true
|
||||
@@ -325,7 +357,7 @@ NTFY_TOPIC="mein-adguard-shield"
|
||||
NTFY_PRIORITY="4"
|
||||
```
|
||||
|
||||
Discord-Beispiel:
|
||||
### Beispiel: Discord
|
||||
|
||||
```bash
|
||||
NOTIFY_ENABLED=true
|
||||
@@ -333,22 +365,40 @@ NOTIFY_TYPE="discord"
|
||||
NOTIFY_WEBHOOK_URL="https://discord.com/api/webhooks/..."
|
||||
```
|
||||
|
||||
Details stehen in [Benachrichtigungen](benachrichtigungen.md).
|
||||
Details zu allen Kanälen stehen in [Benachrichtigungen](benachrichtigungen.md).
|
||||
|
||||
---
|
||||
|
||||
## E-Mail-Reports
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `REPORT_ENABLED` | `false` | Report-Funktion logisch aktivieren |
|
||||
| `REPORT_INTERVAL` | `weekly` | `daily`, `weekly`, `biweekly` oder `monthly` |
|
||||
| `REPORT_INTERVAL` | `weekly` | Versandintervall |
|
||||
| `REPORT_TIME` | `08:00` | Versandzeit im Format `HH:MM` |
|
||||
| `REPORT_EMAIL_TO` | `admin@example.com` | Empfänger |
|
||||
| `REPORT_EMAIL_FROM` | `adguard-shield@example.com` | Absender |
|
||||
| `REPORT_FORMAT` | `html` | `html` oder `txt` |
|
||||
| `REPORT_MAIL_CMD` | `msmtp` | Mailprogramm |
|
||||
| `REPORT_BUSIEST_DAY_RANGE` | `30` | Zeitraum in Tagen für "Aktivster Tag"; aktuell als Kompatibilitätsparameter vorhanden |
|
||||
| `REPORT_EMAIL_TO` | `admin@example.com` | Empfängeradresse |
|
||||
| `REPORT_EMAIL_FROM` | `adguard-shield@example.com` | Absenderadresse |
|
||||
| `REPORT_FORMAT` | `html` | Report-Format |
|
||||
| `REPORT_MAIL_CMD` | `msmtp` | Mailprogramm für den Versand |
|
||||
| `REPORT_BUSIEST_DAY_RANGE` | `30` | Zeitraum für "Aktivster Tag" (Kompatibilitätsparameter) |
|
||||
|
||||
Beispiel:
|
||||
### Verfügbare Intervalle
|
||||
|
||||
| Intervall | Versand |
|
||||
|---|---|
|
||||
| `daily` | Täglich zur konfigurierten Uhrzeit |
|
||||
| `weekly` | Montags zur konfigurierten Uhrzeit |
|
||||
| `biweekly` | Am 1. und 15. des Monats |
|
||||
| `monthly` | Am 1. des Monats |
|
||||
|
||||
### Verfügbare Formate
|
||||
|
||||
| Format | Beschreibung |
|
||||
|---|---|
|
||||
| `html` | HTML-formatierte E-Mail (empfohlen für Standard-Mail-Clients) |
|
||||
| `txt` | Reiner Text (robuster für einfache Mail-Setups) |
|
||||
|
||||
### Beispiel
|
||||
|
||||
```bash
|
||||
REPORT_ENABLED=true
|
||||
@@ -360,7 +410,7 @@ REPORT_FORMAT="html"
|
||||
REPORT_MAIL_CMD="msmtp"
|
||||
```
|
||||
|
||||
Cron installieren:
|
||||
### Cron-Job installieren
|
||||
|
||||
```bash
|
||||
sudo /opt/adguard-shield/adguard-shield report-install
|
||||
@@ -368,16 +418,18 @@ sudo /opt/adguard-shield/adguard-shield report-install
|
||||
|
||||
Details stehen in [E-Mail Report](report.md).
|
||||
|
||||
---
|
||||
|
||||
## Externe Whitelist
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `EXTERNAL_WHITELIST_ENABLED` | `false` | externe Whitelist aktivieren |
|
||||
| `EXTERNAL_WHITELIST_URLS` | leer | kommagetrennte URLs |
|
||||
| `EXTERNAL_WHITELIST_ENABLED` | `false` | Externe Whitelist aktivieren |
|
||||
| `EXTERNAL_WHITELIST_URLS` | leer | Kommagetrennte URLs zu den Whitelist-Dateien |
|
||||
| `EXTERNAL_WHITELIST_INTERVAL` | `300` | Synchronisationsintervall in Sekunden |
|
||||
| `EXTERNAL_WHITELIST_CACHE_DIR` | `/var/lib/adguard-shield/external-whitelist` | Cache-Verzeichnis |
|
||||
|
||||
Beispiel:
|
||||
### Beispiel
|
||||
|
||||
```bash
|
||||
EXTERNAL_WHITELIST_ENABLED=true
|
||||
@@ -385,51 +437,47 @@ EXTERNAL_WHITELIST_URLS="https://example.com/trusted.txt"
|
||||
EXTERNAL_WHITELIST_INTERVAL=300
|
||||
```
|
||||
|
||||
Listenformat:
|
||||
### Listenformat
|
||||
|
||||
```text
|
||||
# Hostnamen werden regelmäßig aufgelöst
|
||||
# Hostnamen werden regelmäßig per DNS aufgelöst
|
||||
mein-router.dyndns.org
|
||||
vpn.example.com
|
||||
|
||||
# IPs und Netze
|
||||
# IPs und Netze direkt
|
||||
192.168.1.10
|
||||
10.0.0.0/24
|
||||
2001:db8::1
|
||||
```
|
||||
|
||||
Mehrere Listen:
|
||||
### Mehrere Listen
|
||||
|
||||
```bash
|
||||
EXTERNAL_WHITELIST_URLS="https://example.com/a.txt,https://example.net/b.txt"
|
||||
```
|
||||
|
||||
Verhalten:
|
||||
### Verhalten
|
||||
|
||||
- Hostnamen werden per DNS aufgelöst.
|
||||
- Aufgelöste IPs landen in SQLite.
|
||||
- Bereits aktive Sperren werden aufgehoben, wenn die IP später in der Whitelist auftaucht.
|
||||
- Kommentare und Inline-Kommentare werden unterstützt.
|
||||
- Hostnamen werden per DNS aufgelöst und als IPs in SQLite gespeichert.
|
||||
- Aufgelöste IPs werden bei jedem Sync aktualisiert.
|
||||
- Bereits aktive Sperren werden aufgehoben, wenn die IP in der Whitelist auftaucht.
|
||||
- Kommentare (`#`) und Inline-Kommentare werden unterstützt.
|
||||
|
||||
Manuell synchronisieren:
|
||||
|
||||
```bash
|
||||
sudo /opt/adguard-shield/adguard-shield whitelist-sync
|
||||
```
|
||||
---
|
||||
|
||||
## Externe Blocklist
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `EXTERNAL_BLOCKLIST_ENABLED` | `false` | externe Blocklist aktivieren |
|
||||
| `EXTERNAL_BLOCKLIST_URLS` | leer | kommagetrennte URLs |
|
||||
| `EXTERNAL_BLOCKLIST_ENABLED` | `false` | Externe Blocklist aktivieren |
|
||||
| `EXTERNAL_BLOCKLIST_URLS` | leer | Kommagetrennte URLs |
|
||||
| `EXTERNAL_BLOCKLIST_INTERVAL` | `300` | Synchronisationsintervall in Sekunden |
|
||||
| `EXTERNAL_BLOCKLIST_BAN_DURATION` | `0` | Sperrdauer in Sekunden, `0` = permanent |
|
||||
| `EXTERNAL_BLOCKLIST_BAN_DURATION` | `0` | Sperrdauer in Sekunden (`0` = permanent bis IP aus Liste entfernt) |
|
||||
| `EXTERNAL_BLOCKLIST_AUTO_UNBAN` | `true` | IPs freigeben, wenn sie nicht mehr in der Liste stehen |
|
||||
| `EXTERNAL_BLOCKLIST_NOTIFY` | `false` | Benachrichtigungen für Blocklist-Sperren senden |
|
||||
| `EXTERNAL_BLOCKLIST_CACHE_DIR` | `/var/lib/adguard-shield/external-blocklist` | Cache-Verzeichnis |
|
||||
|
||||
Beispiel:
|
||||
### Beispiel
|
||||
|
||||
```bash
|
||||
EXTERNAL_BLOCKLIST_ENABLED=true
|
||||
@@ -440,26 +488,7 @@ EXTERNAL_BLOCKLIST_AUTO_UNBAN=true
|
||||
EXTERNAL_BLOCKLIST_NOTIFY=false
|
||||
```
|
||||
|
||||
Listenformat:
|
||||
|
||||
```text
|
||||
# IPv4
|
||||
203.0.113.50
|
||||
198.51.100.0/24
|
||||
|
||||
# IPv6
|
||||
2001:db8::dead:beef
|
||||
2001:db8::/32
|
||||
|
||||
# Hostnamen
|
||||
bad-actor.example.com
|
||||
|
||||
# Hosts-Datei-Format wird erkannt
|
||||
0.0.0.0 malware.example.net
|
||||
127.0.0.1 tracker.example.org
|
||||
```
|
||||
|
||||
Unterstützt:
|
||||
### Unterstützte Listenformate
|
||||
|
||||
| Format | Beispiel |
|
||||
|---|---|
|
||||
@@ -472,42 +501,38 @@ Unterstützt:
|
||||
| Kommentar | `# Text` |
|
||||
| Inline-Kommentar | `203.0.113.50 # Grund` |
|
||||
|
||||
Nicht sinnvoll und wird übersprungen:
|
||||
### Ignorierte Einträge
|
||||
|
||||
- URLs wie `https://...`
|
||||
- IP:Port wie `203.0.113.50:8443`
|
||||
- Hostnamen ohne Punkt oder mit ungültigen Zeichen
|
||||
- nicht auflösbare Hostnamen
|
||||
- Nicht auflösbare Hostnamen
|
||||
- Blocking-Antworten wie `0.0.0.0` oder `::`
|
||||
|
||||
Hinweise:
|
||||
### Hinweise
|
||||
|
||||
- Große Listen können viele Sperren erzeugen. `EXTERNAL_BLOCKLIST_NOTIFY=false` ist deshalb der sichere Standard.
|
||||
- Wenn ein Hostname mehrere IPs liefert, werden alle aufgelösten IPs verarbeitet.
|
||||
- Hostnamen mit mehreren IPs: Alle aufgelösten IPs werden verarbeitet.
|
||||
- IPs aus der Whitelist werden nicht gesperrt.
|
||||
- Bei `EXTERNAL_BLOCKLIST_AUTO_UNBAN=true` werden entfernte Einträge wieder freigegeben.
|
||||
- Bei `EXTERNAL_BLOCKLIST_AUTO_UNBAN=true` werden entfernte Einträge automatisch wieder freigegeben.
|
||||
|
||||
Manuell synchronisieren:
|
||||
|
||||
```bash
|
||||
sudo /opt/adguard-shield/adguard-shield blocklist-sync
|
||||
```
|
||||
|
||||
Dateiformat-Empfehlungen:
|
||||
### Dateiformat-Empfehlungen
|
||||
|
||||
- UTF-8 ohne BOM
|
||||
- Unix-Zeilenenden `LF`
|
||||
- Unix-Zeilenenden (`LF`)
|
||||
- IP-Listen und Hostname-Listen möglichst getrennt pflegen
|
||||
|
||||
---
|
||||
|
||||
## AbuseIPDB
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `ABUSEIPDB_ENABLED` | `false` | AbuseIPDB-Reporting aktivieren |
|
||||
| `ABUSEIPDB_API_KEY` | leer | API-Key |
|
||||
| `ABUSEIPDB_CATEGORIES` | `4` | Kategorien, kommagetrennt möglich |
|
||||
| `ABUSEIPDB_API_KEY` | leer | API-Key von abuseipdb.com |
|
||||
| `ABUSEIPDB_CATEGORIES` | `4` | Kategorien, kommagetrennt (siehe [abuseipdb.com/categories](https://www.abuseipdb.com/categories)) |
|
||||
|
||||
Beispiel:
|
||||
### Beispiel
|
||||
|
||||
```bash
|
||||
ABUSEIPDB_ENABLED=true
|
||||
@@ -515,33 +540,55 @@ ABUSEIPDB_API_KEY="dein-api-key"
|
||||
ABUSEIPDB_CATEGORIES="4"
|
||||
```
|
||||
|
||||
Gemeldet werden nur permanente Monitor-Sperren:
|
||||
### Was gemeldet wird
|
||||
|
||||
- Watchlist-Treffer
|
||||
- Progressive-Ban-Sperren auf Maximalstufe
|
||||
| Wird gemeldet | Wird nicht gemeldet |
|
||||
|---|---|
|
||||
| Watchlist-Treffer (permanent) | Temporäre Sperren |
|
||||
| Progressive-Ban auf Maximalstufe (permanent) | GeoIP-Sperren |
|
||||
| | Externe Blocklist-Sperren |
|
||||
| | Manuelle Sperren |
|
||||
|
||||
Nicht gemeldet werden:
|
||||
|
||||
- temporäre Sperren
|
||||
- GeoIP-Sperren
|
||||
- externe Blocklist-Sperren
|
||||
- manuelle Sperren
|
||||
---
|
||||
|
||||
## GeoIP-Länderfilter
|
||||
|
||||
| Parameter | Standard | Beschreibung |
|
||||
|---|---|---|
|
||||
| `GEOIP_ENABLED` | `false` | GeoIP-Filter aktivieren |
|
||||
| `GEOIP_MODE` | `blocklist` | `blocklist` oder `allowlist` |
|
||||
| `GEOIP_COUNTRIES` | leer | ISO-3166-1-Alpha-2-Ländercodes |
|
||||
| `GEOIP_CHECK_INTERVAL` | `0` | Legacy-Parameter; die Go-Version nutzt den zentralen Query-Poller |
|
||||
| `GEOIP_NOTIFY` | `true` | Benachrichtigungen bei GeoIP-Sperren |
|
||||
| `GEOIP_SKIP_PRIVATE` | `true` | private/lokale IPs überspringen |
|
||||
| `GEOIP_LICENSE_KEY` | leer | MaxMind-License-Key für Auto-Download |
|
||||
| `GEOIP_MMDB_PATH` | leer | manueller Pfad zur MaxMind-MMDB |
|
||||
| `GEOIP_CACHE_TTL` | `86400` | Cache-Zeit in Sekunden |
|
||||
| `GEOIP_MODE` | `blocklist` | Filtermodus |
|
||||
| `GEOIP_COUNTRIES` | leer | Ländercodes nach ISO 3166-1 Alpha-2 |
|
||||
| `GEOIP_CHECK_INTERVAL` | `0` | Legacy-Parameter (Go-Version nutzt den zentralen Poller) |
|
||||
| `GEOIP_NOTIFY` | `true` | Benachrichtigungen bei GeoIP-Sperren senden |
|
||||
| `GEOIP_SKIP_PRIVATE` | `true` | Private/lokale IPs überspringen |
|
||||
| `GEOIP_LICENSE_KEY` | leer | MaxMind-License-Key für automatischen Download |
|
||||
| `GEOIP_MMDB_PATH` | leer | Manueller Pfad zur MaxMind-MMDB-Datei (hat Vorrang) |
|
||||
| `GEOIP_CACHE_TTL` | `86400` | GeoIP-Cache-Dauer in Sekunden (Standard: 24 Stunden) |
|
||||
|
||||
Blocklist-Modus:
|
||||
### Modi
|
||||
|
||||
| Modus | Beschreibung |
|
||||
|---|---|
|
||||
| `blocklist` | Nur die genannten Länder werden gesperrt. Alle anderen sind erlaubt. |
|
||||
| `allowlist` | Nur die genannten Länder sind erlaubt. Alle anderen öffentlichen IPs werden gesperrt. |
|
||||
|
||||
### Ländercodes
|
||||
|
||||
Die Ländercodes folgen dem Standard **ISO 3166-1 Alpha-2**. Eine vollständige Liste aller Ländercodes findest du in der [ISO-3166-1-Kodierliste auf Wikipedia](https://de.wikipedia.org/wiki/ISO-3166-1-Kodierliste).
|
||||
|
||||
Häufig verwendete Codes:
|
||||
|
||||
| Code | Land | | Code | Land |
|
||||
|---|---|---|---|---|
|
||||
| `DE` | Deutschland | | `CN` | China |
|
||||
| `AT` | Österreich | | `RU` | Russland |
|
||||
| `CH` | Schweiz | | `KP` | Nordkorea |
|
||||
| `US` | Vereinigte Staaten | | `IR` | Iran |
|
||||
| `GB` | Vereinigtes Königreich | | `BR` | Brasilien |
|
||||
| `FR` | Frankreich | | `IN` | Indien |
|
||||
| `NL` | Niederlande | | `VN` | Vietnam |
|
||||
|
||||
### Beispiel: Blocklist-Modus
|
||||
|
||||
```bash
|
||||
GEOIP_ENABLED=true
|
||||
@@ -549,9 +596,9 @@ GEOIP_MODE="blocklist"
|
||||
GEOIP_COUNTRIES="CN,RU,KP,IR"
|
||||
```
|
||||
|
||||
Damit werden öffentliche Clients aus diesen Ländern gesperrt.
|
||||
Damit werden öffentliche DNS-Clients aus China, Russland, Nordkorea und dem Iran gesperrt.
|
||||
|
||||
Allowlist-Modus:
|
||||
### Beispiel: Allowlist-Modus
|
||||
|
||||
```bash
|
||||
GEOIP_ENABLED=true
|
||||
@@ -559,62 +606,66 @@ GEOIP_MODE="allowlist"
|
||||
GEOIP_COUNTRIES="DE,AT,CH"
|
||||
```
|
||||
|
||||
Damit werden nur diese Länder erlaubt. Andere öffentliche Länder werden gesperrt.
|
||||
Damit werden nur Clients aus Deutschland, Österreich und der Schweiz erlaubt. Alle anderen öffentlichen Länder werden gesperrt.
|
||||
|
||||
Private IPs:
|
||||
### Private IPs
|
||||
|
||||
```bash
|
||||
GEOIP_SKIP_PRIVATE=true
|
||||
```
|
||||
|
||||
Damit werden unter anderem private Netze, Loopback, Link-Local und CGNAT übersprungen.
|
||||
Damit werden folgende Adressbereiche übersprungen:
|
||||
|
||||
- Private Netze (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16)
|
||||
- Loopback (127.0.0.0/8, ::1)
|
||||
- Link-Local (169.254.0.0/16, fe80::/10)
|
||||
- CGNAT (100.64.0.0/10)
|
||||
|
||||
### GeoIP-Datenquellen
|
||||
|
||||
Priorität:
|
||||
| Priorität | Quelle | Konfiguration |
|
||||
|---:|---|---|
|
||||
| 1 | Manueller MMDB-Pfad | `GEOIP_MMDB_PATH="/usr/share/GeoIP/GeoLite2-Country.mmdb"` |
|
||||
| 2 | Automatischer MaxMind-Download | `GEOIP_LICENSE_KEY="dein_maxmind_license_key"` |
|
||||
| 3 | Legacy-Fallback | `geoiplookup` / `geoiplookup6` Systembefehle |
|
||||
|
||||
1. `GEOIP_MMDB_PATH`, wenn gesetzt
|
||||
2. automatisch geladene MaxMind-Datenbank, wenn `GEOIP_LICENSE_KEY` gesetzt ist
|
||||
3. Legacy-Fallback über `geoiplookup` oder `geoiplookup6`
|
||||
|
||||
Automatischer MaxMind-Download:
|
||||
### Automatischer MaxMind-Download
|
||||
|
||||
```bash
|
||||
GEOIP_LICENSE_KEY="dein_maxmind_license_key"
|
||||
```
|
||||
|
||||
Die Datenbank wird unter `/opt/adguard-shield/geoip/` gespeichert und nach 24 Stunden erneuert.
|
||||
Die Datenbank wird unter `/opt/adguard-shield/geoip/` gespeichert und nach 24 Stunden automatisch erneuert.
|
||||
|
||||
Manueller Pfad:
|
||||
### GeoIP-Befehle
|
||||
|
||||
```bash
|
||||
GEOIP_MMDB_PATH="/usr/share/GeoIP/GeoLite2-Country.mmdb"
|
||||
sudo /opt/adguard-shield/adguard-shield geoip-status # Status anzeigen
|
||||
sudo /opt/adguard-shield/adguard-shield geoip-lookup 8.8.8.8 # IP nachschlagen
|
||||
sudo /opt/adguard-shield/adguard-shield geoip-sync # Clients prüfen
|
||||
sudo /opt/adguard-shield/adguard-shield geoip-flush-cache # Cache leeren
|
||||
sudo /opt/adguard-shield/adguard-shield geoip-flush # Alle GeoIP-Sperren aufheben
|
||||
```
|
||||
|
||||
Nützliche Befehle:
|
||||
|
||||
```bash
|
||||
sudo /opt/adguard-shield/adguard-shield geoip-status
|
||||
sudo /opt/adguard-shield/adguard-shield geoip-lookup 8.8.8.8
|
||||
sudo /opt/adguard-shield/adguard-shield geoip-sync
|
||||
sudo /opt/adguard-shield/adguard-shield geoip-flush-cache
|
||||
```
|
||||
---
|
||||
|
||||
## Protokollerkennung
|
||||
|
||||
AdGuard Shield liest das Feld `client_proto` aus der AdGuard-Home-API.
|
||||
AdGuard Shield liest das Feld `client_proto` aus der AdGuard-Home-API und zeigt das verwendete DNS-Protokoll an.
|
||||
|
||||
| API-Wert | Anzeige | Bedeutung |
|
||||
|---|---|---|
|
||||
| leer oder `dns` | `DNS` | klassisches DNS |
|
||||
| leer oder `dns` | `DNS` | Klassisches DNS |
|
||||
| `doh` | `DoH` | DNS-over-HTTPS |
|
||||
| `dot` | `DoT` | DNS-over-TLS |
|
||||
| `doq` | `DoQ` | DNS-over-QUIC |
|
||||
| `dnscrypt` | `DNSCrypt` | DNSCrypt |
|
||||
| `dnscrypt` | `DNSCrypt` | DNSCrypt-Protokoll |
|
||||
|
||||
Die Sperre blockiert die konfigurierten Ports unabhängig davon, welches Protokoll den Verstoß ausgelöst hat.
|
||||
Die Sperre blockiert immer alle konfigurierten Ports, unabhängig davon, welches Protokoll den Verstoß ausgelöst hat.
|
||||
|
||||
## Beispielkonfiguration für ein Heimnetz
|
||||
---
|
||||
|
||||
## Beispielkonfiguration: Heimnetz
|
||||
|
||||
```bash
|
||||
ADGUARD_URL="http://127.0.0.1:3000"
|
||||
@@ -646,7 +697,7 @@ EXTERNAL_BLOCKLIST_ENABLED=false
|
||||
EXTERNAL_WHITELIST_ENABLED=false
|
||||
```
|
||||
|
||||
## Beispielkonfiguration für einen öffentlichen Resolver
|
||||
## Beispielkonfiguration: Öffentlicher Resolver
|
||||
|
||||
```bash
|
||||
ADGUARD_URL="https://dns.example.com"
|
||||
@@ -670,6 +721,11 @@ PROGRESSIVE_BAN_ENABLED=true
|
||||
PROGRESSIVE_BAN_MULTIPLIER=2
|
||||
PROGRESSIVE_BAN_MAX_LEVEL=5
|
||||
|
||||
GEOIP_ENABLED=true
|
||||
GEOIP_MODE="blocklist"
|
||||
GEOIP_COUNTRIES="CN,RU,KP,IR"
|
||||
GEOIP_LICENSE_KEY="..."
|
||||
|
||||
ABUSEIPDB_ENABLED=true
|
||||
ABUSEIPDB_API_KEY="..."
|
||||
|
||||
@@ -678,7 +734,7 @@ NOTIFY_TYPE="ntfy"
|
||||
NTFY_TOPIC="adguard-shield-prod"
|
||||
```
|
||||
|
||||
Vor produktiver Aktivierung:
|
||||
### Vor produktiver Aktivierung
|
||||
|
||||
```bash
|
||||
sudo /opt/adguard-shield/adguard-shield test
|
||||
|
||||
Reference in New Issue
Block a user