Monitoring domen w sieci domowej – Pi-hole, NextDNS, logi routera, inspekcja TLS, ochrona dzieci

Pytanie

Czy można sprawdzić w sieci domowej na jakie strony wchodzą użytkownicy?

Odpowiedź Sztucznej Inteligencji

Bezpośrednia odpowiedź na pytanie

• Tak, ale z istotnymi ograniczeniami. W typowej sieci domowej można zobaczyć przede wszystkim odwiedzane domeny (np. youtube.com), a nie pełne adresy URL i treści stron. Pełną historię URL uzyskasz tylko dla ruchu nieszyfrowanego (HTTP) lub po wdrożeniu inspekcji TLS (MITM) na wszystkich urządzeniach.
• Kluczowe punkty:
  • Najprościej: logowanie zapytań DNS (Pi‑hole/AdGuard Home/NextDNS/OpenDNS) i/lub logi routera.
  • Szyfrowanie HTTPS/HTTP3 (QUIC), DoH/DoT, VPN, Tor i iCloud Private Relay ograniczają widoczność.
  • Inspekcja TLS wymaga instalacji własnego certyfikatu CA na urządzeniach i ma konsekwencje prawno‑etyczne.

Szczegółowa analiza problemu

• Warstwy, na których możesz monitorować:
  • DNS: rejestr zapytań „jaka nazwa → jaki adres IP”. Daje listę domen odwiedzanych przez każde urządzenie. Nie pokazuje ścieżek URL ani treści.
  • TLS/HTTPS: w standardowej konfiguracji widoczny jest adres IP serwera, metadane ruchu i zwykle nazwa domeny (SNI). Zawartość i pełne URL są zaszyfrowane.
  • HTTP (nieszyfrowane): pełne URL i treść są widoczne, ale dziś rzadko używane.
• Metody techniczne:
  • Logi routera/bramy: podstawowe statystyki (domeny/IP, czasy, wolumen). Zakres zależy od modelu.
  • Rejestrowanie DNS:
    • Lokalne: Pi‑hole lub AdGuard Home (np. na Raspberry Pi). Centralny punkt dla całej sieci, czytelne statystyki per urządzenie.
    • Chmurowe: NextDNS/OpenDNS – raporty i kategorie filtrów (rodzicielskie/bezpieczeństwa).
    • Wymuszenie użycia: zablokuj ruch DNS do Internetu (TCP/UDP 53 i 853) poza Twoim resolverem; w razie potrzeby blokuj znane endpointy DoH.
  • Brama klasy „home firewall”:
    • pfSense/OPNsense na małym PC/mini‑PC. Pakiety typu pfBlockerNG/ntopng dają wgląd w domeny, kategorie, przepływy, NetFlow/IPFIX.
    • Port mirroring/TAP + Wireshark/ntopng do analizy nagłówków i zapytań DNS.
  • Proxy/inspekcja TLS (MITM):
    • Transparentny proxy (np. Squid) z inspekcją TLS umożliwia wgląd w pełne URL także dla HTTPS, ale:
      • Musisz zainstalować własny certyfikat CA na KAŻDYM urządzeniu.
      • Część aplikacji z pinningiem certyfikatów przestanie działać lub wymaga wyjątków.
      • Aby inspekcja działała szerzej, zwykle blokuje się QUIC (UDP/443), aby wymusić TCP/443.
• Co ogranicza monitoring:
  • DoH/DoT: szyfrują zapytania DNS – Twój Pi‑hole „nie widzi” domen, chyba że wymusisz własny DNS i zablokujesz DoH.
  • VPN/Tor/iCloud Private Relay: całość ruchu jest tunelowana – zobaczysz tylko połączenie do węzła pośredniego.
  • ECH (Encrypted Client Hello) w TLS 1.3: coraz szerzej wdrażane – ukrywa nazwę domeny (SNI). Wtedy pozostaje jedynie adres IP/AS i metadane.
  • HTTP/3 (QUIC): utrudnia klasyczny passthrough proxy; bez blokady QUIC inspekcja bywa nieskuteczna.

Aktualne informacje i trendy

• Rosnąca domyślna adopcja szyfrowanego DNS (DoH/DoT) w przeglądarkach i systemach (Android, iOS, Windows 11).
• Upowszechnianie HTTP/3 (QUIC) i stopniowe wdrażanie ECH utrudniają widoczność nawet samej domeny.
• Producenci domowych routerów dodają panele „insights/parental control” z raportowaniem domen i kategorii zamiast szczegółowych URL.

Wspierające wyjaśnienia i detale

• Różnica „domena vs URL”: zobaczenie „example.com” nie oznacza wglądu w „example.com/konkretny‑adres”.
• Mapowanie aktywności na użytkownika wymaga rozróżnienia urządzeń (MAC, host name, przypisanie stałych DHCP).
• Incognito/tryb prywatny nie ukrywa ruchu sieciowego przed routerem – ukrywa tylko lokalną historię przeglądarki.

Aspekty etyczne i prawne

• Transparentność: poinformuj dorosłych domowników i gości o monitoringu. Dla gości rozważ osobną sieć „Guest” z krótką klauzulą informacyjną.
• Zgoda: w wielu jurysdykcjach podsłuch treści komunikacji bez zgody może naruszać prawo. W domu trzymaj się zasady minimalizacji (statystyki domen zamiast treści).
• Dzieci: narzędzia kontroli rodzicielskiej są akceptowalnym i proporcjonalnym rozwiązaniem. Dane przechowuj krótko.

Praktyczne wskazówki

• Wariant „na szybko” (15–30 min):
  • Włącz w routerze kontrolę rodzicielską/raporty aktywności.
  • Ustaw NextDNS/OpenDNS na DHCP; zablokuj porty 53/853 do świata.
• Wariant „domowy, skuteczny” (1–2 h):
  • Uruchom Pi‑hole lub AdGuard Home, ustaw jako jedyny DNS w DHCP.
  • Zablokuj DoH (lista znanych endpointów) i UDP/53/853 poza Twoim resolverem.
  • Włącz per‑klient statystyki i automatyczne raporty tygodniowe.
• Wariant „zaawansowany” (1 dzień):
  • Brama pfSense/OPNsense: VLAN dla gości/dzieci, pfBlockerNG (kategorie), ntopng (przepływy).
  • Opcjonalnie: inspekcja TLS (MITM) + blokada UDP/443. Testuj ostrożnie, dodawaj wyjątki (bankowość, systemy korporacyjne).
• Dobre praktyki:
  • Retencja logów krótka (np. 7–30 dni), dostęp tylko dla administratora.
  • Etykietuj urządzenia (rezerwacje DHCP), aby przypisać aktywność do właściwego użytkownika.
  • Monitoruj jedynie tyle, ile potrzebne do celu (bezpieczeństwo/rodzicielska ochrona).

Ewentualne zastrzeżenia lub uwagi dodatkowe

• Pełna rekonstrukcja aktywności (URL/treści) bez agentów na urządzeniach jest dziś często nierealna z powodu szyfrowania.
• Użytkownik z podstawową wiedzą (VPN/Tor/Private Relay) łatwo ukryje ruch.
• Inspekcja TLS zwiększa złożoność, opóźnienia i ryzyko problemów z aplikacjami.

Sugestie dalszych badań

• Sprawdzenie, czy Twój router wspiera eksport NetFlow/sFlow lub instalację OpenWrt.
• Ocena listy DoH do blokowania i polityk wymuszania DNS.
• Śledzenie postępów wdrażania ECH oraz wpływu na widoczność domen.

Krótkie podsumowanie

• Możesz wiarygodnie zobaczyć, jakie domeny odwiedzają urządzenia w Twojej sieci (DNS/logi routera, narzędzia typu Pi‑hole/NextDNS). Pełnych URL i treści nie zobaczysz bez inwazyjnej inspekcji TLS na wszystkich urządzeniach. Nowe technologie (DoH/DoT, QUIC, ECH, VPN/Tor) dodatkowo ograniczają widoczność, więc planuj monitoring przede wszystkim jako narzędzie bezpieczeństwa/rodzicielskie, z jasnymi zasadami i krótką retencją logów.

Jeśli podasz model routera i cel (np. ochrona dzieci vs. diagnostyka bezpieczeństwa), przygotuję konkretną procedurę krok po kroku.