Blocking Page ist die noch vorhanden?

Früher gab es bei Pihole eine Art Blocking Page wenn eine Seite blockiert wurde hat Pihole eine Seite angezeigt damit die Seite blockiert wurde.
Gibt es die Seite in der Beta v6 immer noch oder wie könnte man dies umsetzen.?

Wie ich es in Benutzung habe: in einem Portainer als Docker :slightly_smiling_face:

Diese Blocking Seite wurde auch für v5 schon >1 Jahr entfernt, da diese für https Traffic (mittlerweile >90% des Internetverkehrs) prinzipbedingt nicht funktioniert.

Aber wieso ist dies nicht möglich wenn Pihole als Beispiel jetzt die Anfrage von www.google.com erhält holt er ja die IP- Adresse ein kann er dann nicht eine eigene schicken die man festlegt die er dann aufruft

Ein DNS - Resolver holt sich doch meines wissen die IP-Adresse für die Webseite um es kurz zufassen

Als Beispiel es gibt ja auch in vielen Router die Kinderschutz funktion und ich habe auch schonmal gesehen das dann von dem Router selber bei einer Seite die gespeert wurde eine Seite sich geöffnet hat wo stand diese Seite ist gespeert.

@yubiuser Danke für deine schnellen Antworten :slight_smile:

Ja, aber Yubiuser hat hier das Schlüsselort gebracht:

Das hat früher so problemlos funktioniert, aber es gibt vier Probleme:

  1. Du wirst normalerweise kein gültiges Zertifikat für die Seiten, die geblockt werden (wie www.abc.com), haben. Somit würde ein HTTPS-Verbindungsaufbau zweifelsohne in einer Fehlermeldung (keine Blocking page) enden. Das lässt sich mit einer selbst erstellten Zertifizierungsstelle umgehen, die Du jedoch auch manuell bei jedem einzelnen Gerät in Deinem Netzwerk hinzufügen musst.
    Das ist zwar an sich möglich, wir raten aber davon ab, da dies eine potenzielle Schwachstelle in Dein Netzwerk einbaut: Wer auch immer sich dieser Zertifizierungsstelle habhaft werden kann (per Login auf dem Pi-hole oder einfach SD-Karte kurz rausnehmen und kopieren, ...), der kann sich dann theoretisch per MITM in den gesamten verschlüsselten Internetverkehr einklinken und z.B. Passwörter fürs Online-Banking, etc. problemlos mitlesen.
    Deswegen bietet Pi-hole so etwas nicht von Haus aus an - auch wenn wir wissen, dass das anderswo so gemacht wird, denken wir, dass die Risiken viel zu groß sind.

    Persönliche Meinung: Ich verzichte lieber auf eine Blocking-Page, als dass jemand (wer auch immer!) mein Online-Banking bzw. alle meine Logins überall im Internet frei mitlesen kann.

  2. Also bleibt nur übrig zu hoffen, dass die Browser eine unverschlüsselte HTTP-Verbindung zuerst probieren. Hier könntest Du dann problemlos die Blocking-Page präsentieren. Das macht aber keiner der namhaften Browser[1] seit ein paar Jahren mehr.

  3. Browser merken sich, ob sie eine Seite schon einmal zuvor per HTTPS besucht haben und werden dann verweigern diese Seite über HTTP aufzurufen (ist vielleicht irrelevant im Fall von Seiten, die Werbung, etc. beinhalten und die idealerweise ja noch nie besucht wurden).

  4. HTTP Strict Transport Security (HSTS): Alle modernen Broser beinhalten mittlerweile eine HSTS-Liste. Diese enthält Domains, die nur verschlüsselt aufgerufen werden können/sollen. Browser werden bei diesen Seiten niemals versuchen eine unverschlüsselte Verbindung aufzubauen.

    Wikipedia:

    HTTP Strict Transport Security (kurz HSTS) ist ein Sicherheitsmechanismus für HTTPS-Verbindungen, der sowohl vor Aushebelung der Verbindungsverschlüsselung durch eine Downgrade-Attacke als auch vor Session Hijacking schützen soll. Hierzu kann ein Server [...] mitteilen, [...] ausschließlich verschlüsselte Verbindungen für diese Domain zu nutzen. [...]

    Ein grundsätzliches Problem des Standards ist, dass beim Erstaufruf einer Domain zunächst ein Request vom Client zum Server abgeschickt werden muss, um zu prüfen, ob dieser Verschlüsselung fordert. Bei dieser initialen Abfrage könnte ein Angreifer ansetzen, bevor die zukünftige Kommunikation zu der aufgerufenen Domain verschlüsselt wird. Um diesem Problem entgegenzuwirken, wird eine von Google Chrome betreute und den anderen großen Webbrowsern genutzte HSTS preload list gepflegt. Steht eine Domain auf dieser Liste, überspringt der Browser die Erstanfrage und verschlüsselt sämtliche Kommunikation sofort. Die Eintragung zusätzlicher Domains ist kostenlos möglich.


  1. Google Chrome, Firefox, Safari, Opera, Edge und sogar IE. Sowie alle, die auf diesen aufbauen (also de-factor alle). ↩︎

1 Like