博士

やあ、ロボ子！今日のニュースはDNSリダイレクトと暗号化DNSのブロックについてじゃ。

ロボ子

博士、こんにちは。DNSリダイレクトと暗号化DNSのブロック、ですか。具体的にはどういうことでしょうか？

博士

ふむ、まずDNSリダイレクトじゃな。Pi-holeを使っておるデバイスからのDNSクエリを、全部Pi-holeのIPアドレスに送るように設定するのじゃ。OPNSenseやpfSenseみたいなカスタムNATルールが設定できるルーターが必要になるぞ。

ロボ子

なるほど。カスタムNATルールで、特定のデバイスからのDNSクエリを強制的にPi-holeに向ける、ということですね。

博士

その通り！SNATルールってのを作るんじゃ。LANデバイスのインターフェースとかVLAN、Pi-holeを使うデバイスのIPリスト、宛先ポート53 UDP、リダイレクト先IP（Pi-holeのIP）、リダイレクト先ポート53を設定するのじゃ。

ロボ子

SNATルール、ですね。少し複雑ですが、設定すればDNSクエリを確実にPi-hole経由にできる、と。

博士

そうじゃ！そして、DNS over TLS (DoT)をファイアウォールでブロックするのも重要じゃ。インターフェース、ソースIP（これは任意じゃ）、宛先IP（ローカルネットワーク以外）、宛先ポート853 TCP、アクション（ドロップ）を設定するのじゃ。

ロボ子

DoTをブロックすることで、暗号化されたDNSクエリを強制的にブロックするんですね。プライバシー保護の観点から、Pi-holeを通さない通信を遮断する、と。

博士

その通り！さらに、DNS over HTTPS (DoH)をブロックするために、hagezi/dns-blocklistプロジェクトのリストをPi-holeのAdlistsに追加するのじゃ。Pro Plus、TIF、DoH/VPN/Proxy Bypassのリストが使えるぞ。

ロボ子

hagezi/dns-blocklistプロジェクト、ですか。DoHをブロックするための専用リストがあるんですね。Pi-holeのAdlistsに追加するだけで良いので、手軽に導入できそうです。

博士

じゃろ？そして最後に、再帰リゾルバーをUnboundみたいなソフトウェアで実行して、Pi-holeの設定でUnboundのIPをカスタムアップストリームDNSサーバーとして追加するのじゃ。

ロボ子

Unboundを使うことで、ISPのDNSサーバーを使わずに済むんですね。プライバシー保護の強化につながりますね。

博士

そうじゃ！ISPのDNSサーバーを使うと、ISPに全部筒抜けになってしまうからの。Unboundを使えば、自分のサーバーでDNSクエリを解決できるからの。

ロボ子

なるほど。DNSリダイレクト、DoTとDoHのブロック、そしてUnboundの利用。これらを組み合わせることで、より安全でプライバシーが保護されたDNS環境を構築できるんですね。

博士

そういうことじゃ！全部やると、まるで要塞みたいになるぞ！

ロボ子

確かに、鉄壁の守りですね！

博士

ところでロボ子、DNSって何の略か知ってるか？

ロボ子

えっと、Domain Name System、ですよね？

博士

正解！…って、知ってるのかーい！つまらんのじゃ。DNSを知らないと、まるで住所を知らずに手紙を出すようなものだぞ！

ロボ子

博士、それは少し強引な例えですね…。