Raspberry Pi Insomnia Community

[Bourdoulas]

Ανάμεσα σε Unbound και clouflared ποιο προτείνετε;

 

Edit: Τελικά έβαλα το unbound. 

Επεξ/σία 21 Ιουλίου 2019 από Bourdoulas

[costis ni]

Στις 20/7/2019 στις 12:24 ΜΜ, Bourdoulas είπε

Ανάμεσα σε Unbound και clouflared ποιο προτείνετε;

Edit: Τελικά έβαλα το unbound. 

Κι εγώ αυτό έχω αλλά προσφέρει μόνο 2 πράγματα: Δεν κόβει τα σάιτ που κόβουν οι έλληνες πάροχοι και κάνει cache. Γιατί ψηφιακή υπογραφή στο DNS δεν έχει σχεδόν κανένα σάιτ, ακόμα. Και δεν ξέρω και ΑΝ θα γίνει ποτέ.

[Bourdoulas]

2 λεπτά πριν, costis ni είπε

Κι εγώ αυτό έχω αλλά προσφέρει μόνο 2 πράγματα: Δεν κόβει τα σάιτ που κόβουν οι έλληνες πάροχοι και κάνει cache. Γιατί ψηφιακή υπογραφή στο DNS δεν έχει σχεδόν κανένα σάιτ, ακόμα. Και δεν ξέρω και ΑΝ θα γίνει ποτέ.

Πρέπει να έχει ψηφιακή υπογραφή και το site; Νόμιζα ότι αφορά μόνο τον DNS server. 

[costis ni]

Μόλις τώρα, Bourdoulas είπε

Πρέπει να έχει ψηφιακή υπογραφή και το site; Νόμιζα ότι αφορά μόνο τον DNS server. 

O yes. Οπως αυτο:

dig sigok.verteiltesysteme.net  SOA +dnssec

αλλιώς μπα...

[Bourdoulas]

Οπότε ουσιαστικά μηδενική προστασία. Τουλάχιστον μέχρι να το υιοθετήσουν όλοι. 

[Επισκέπτης]

Σχετικά με το DNSSEC, δεν είναι κάτι δύσκολο να γίνει, στο κάνει ο DNS (DNS provider eg) το DS (για προστασία spoofing/MiM DNS attacks):

https://www.papaki.com/el/dnssec-protocol.htm

https://www.cloudflare.com/learning/dns/dns-records/dnskey-ds-records/

https://www.digitalocean.com/community/tutorials/how-to-setup-dnssec-on-an-authoritative-bind-dns-server--2

https://blogs.akamai.com/2019/06/dnssec-how-it-works-key-considerations.html

https://www.icann.org/resources/pages/dnssec-what-is-it-why-important-2019-03-05-en

Πάντως το DNSSEC (που δεν είναι κάτι νέο...) δεν φαίνεται να "προχωράει" μιας και θεωρήται "μπελάς" η όλη διαχείριση (δεν υπάρχουν μόνο θετικά...) και αυξάνει κατά τις εκτιμήσεις  ένα outage απο λάθος παρά απο επίθεσεις.  Έτσι η εώς τώρα εικόνα του DNSSEC είναι ώς κάτι δυσκίνητο και αποτυχημένο μιας και δείχνει να μην "τσουλάει". Δυστηχώς δεν υπάρχουν όμως και προς το παρόν άλλες λύσεις (και σε άλλο επίπεδο που να έχουν επίσης υιοθετηθεί απο το industry) και σίγουρα χρειάζονται και άλλα "σημεία" ενίσχυση.

 https://blog.apnic.net/2019/06/12/network-protocols-and-their-use-bgp-and-dnssec/

http://www.circleid.com/posts/20180619_why_you_must_learn_to_love_dnssec/

Το unbound σε επίπεδο Privacy  κάνει encrypt τα DNS μυνήματα σε σχέση με το plain text format που είναι τώρα (άρα ο ISP σου πχ, δεν μπορεί να "δεί" πράγματα)  άρα κάνει κάτι ακόμα πρός το παρόν.

 

[Cygnus]

Με το RPi4 και το Libreelec παρατηρώ αυξημένες θερμοκρασίες, σε σχέση με τα προηγούμενα RPi που έχω.

Ενδεικτικά το RPi3 με raspbian-lite είναι στους 53oC και το RPi4 με Libreelec είναι στους 74oC. Επίσης αρκετές φορές βλέπω το θερμόμετρο UI πάνω δεξιά στην οθόνη.

Κάνοντας ένα top στο RPi4 βλέπω ότι μονίμως απασχολεί 22-30% CPU το kodi.bin.

Καμία ιδέα;

[Daredevil]

ναι είναι "θέμα" hardware θέλει τουλάχιστον παθητική ψύξη ή πολύ καλύτερα ενεργή

[_filippos_]

κι εγώ καλοέβλεπα το Rpi4 αλλά θα περιμένω μέχρι να διορθώσουν το hardware κομμάτι. Για την ώρα Rpi3B+ εγγύηση.
Το Libreelec το έχεις σε συνδυασμό με tvheadend/kodi? Εαν ναι, εχεις δοκιμάσει να streamάρεις τηλεόραση όσο είσαι εκτός local wifi?

Στο raspbian με tvheadend δυστυχώς δεν εχει πολλές επιλογές για profile κ έτσι το streaming tv εκτός local wifi είναι αδύνατο. Ίσως οταν θα έρθει το vdsl στο σπιτι να λειτουργήσει.

[costis ni]

 

6 ώρες πριν, koftis650 είπε

Το unbound σε επίπεδο Privacy  κάνει encrypt τα DNS μυνήματα σε σχέση με το plain text format που είναι τώρα (άρα ο ISP σου πχ, δεν μπορεί να "δεί" πράγματα)  άρα κάνει κάτι ακόμα πρός το παρόν.

Μόνο άν το DNS που σου δίνει το site το υποστηρίζει

 dig www.insomnia.gr  +dnssec

; <<>> DiG 9.10.3-P4-Raspbian <<>> www.insomnia.gr +dnssec
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 1031
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags: do; udp: 4096
;; QUESTION SECTION:
;www.insomnia.gr.		IN	A

;; ANSWER SECTION:
www.insomnia.gr.	300	IN	A	104.24.6.31
www.insomnia.gr.	300	IN	A	104.24.7.31

;; Query time: 18 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Wed Jul 24 15:37:01 EEST 2019
;; MSG SIZE  rcvd: 76

εδώ πχ βλέπουμε οτι στο www.insomnia.gr δεν υπάρχει το ad flag . Η ερώτηση και η απάντηση είναι plain text λοιπόν. Το καλό του unbound είναι προς το παρόν οτι ρωτάει τους root servers και παρακάμπτει τον ISP, Alphabet κλπ. + caching στα αποτελέσματα

Αν πιστεύεις οτι είναι διαφορετικά, παρακαλώ να το δούμε.

[Επισκέπτης]

@costis ni

Aν και χρησιμοποιώ ακόμα dnscrypt με pihole, θα περίμενα βάση και των standards (DNS over TLS) τα DNS queries/responses να είναι encrypted. 

Όριστε και με capture (dns query για το linux.com απο ένα μηχάνημα με ip 192.168.2.90 πρός τον dns server που τρέχει dnscrypt με ip 192.168.2.150 και χρησιμοποιεί τον 77.66.84.233 -- resolver2.dnscrypt.eu). H ερώτηση απο τον dns (192.168.2.150) προς τον dns (77.66.84.233) είναι encrypted, ενώ η επικοινωνία μεταξύ client (192.168.2.90) και dnscrypt server (192.168.2.150) είναι clear text (εντός του LAN).

Το DNSSEC κάνει άλλη δουλειά (που μπορείς να κάνεις confirm με κάποιο dns tool, eg dig πως είναι legitimate το record πχ) σε σχέση με το DNS over TLS που θα πρέπει να κάνει encrypt τα DNS μυνήματα του DNS (θές traffic capture).

 

Επεξ/σία 24 Ιουλίου 2019 από Επισκέπτης

[costis ni]

Δεν είπα κάτι διαφορετικό. Το dnscrypt είναι άλλη ιστορία, και επίσης δεν υποστηρίζεται απο τους περισσότερους. Μαζικά ξέρω μόνο το cloudflare

[Επισκέπτης]

@costis ni

  Δεν νομίζω ότι λέμε το ίδιο (μιας και έκανες highlight το κείμενο μου για το DNS over TLS και ουσιαστικά αναφέρηκες για το DNSSEC) ....αν θές ρίξε μια ματιά: 

DNS over TLS (RFC):

https://tools.ietf.org/html/rfc7858

https://en.wikipedia.org/wiki/DNS_over_TLS

DNSSEC (υπάρχουν και άλλα RFCs):

https://www.ietf.org/rfc/rfc4033.txt

https://en.wikipedia.org/wiki/Domain_Name_System_Security_Extensions

Aν δεν βγάζεις και πολύ άκρη με τα παραπάνω δες σε ποιό απλή μορφή:

https://blog.apnic.net/2018/08/20/dnssec-and-dns-over-tls/

https://www.dnsknowledge.com/unbound/configure-unbound-dns-over-tls-on-linux/

https://stackoverflow.com/questions/31043217/how-to-enable-unbound-dnssec-dns-resolver-on-mac-os-x-10-10-3-yosemite

To dnscrypt όπως και άλλα projects κάνουν ότι κάνει το DNS over TLS.

Επεξ/σία 24 Ιουλίου 2019 από Επισκέπτης

[Cygnus]

20 ώρες πριν, Daredevil είπε

ναι είναι "θέμα" hardware θέλει τουλάχιστον παθητική ψύξη ή πολύ καλύτερα ενεργή

Έχω παθητική ψύξη με ψύκτρα. Έχεις να προτείνεις κάτι σε fan;

[Grim Ripper]

Αν δεν κάνω λάθος το rpi4 είναι συμβατό με θήκες του 3b+ σωστά;

Νομίζω ότι ένας φίλος περιμένει αυτή την θήκη.

https://www.aliexpress.com/item/33039918582.html