Reforçando a privacidade do Homelab com Unbound e Tailscale Exit Node

Nos últimos dias decidi dar mais um passo na segurança e privacidade do meu homelab.

O objetivo era simples: deixar de depender de serviços públicos de DNS e garantir que todos os meus dispositivos, mesmo quando estão fora de casa, utilizam a mesma infraestrutura de rede.

Instalação do Unbound

O primeiro passo foi instalar o Unbound na máquina alexandra (Sim, dou nomes femininos a todas as máquinas do meu homelab 🙂 Não sou um cromo dos computadores, quero deixar isto humano 😉 onde já estava a correr o Pi-hole / DNS.

O Pi-hole é excelente a bloquear publicidade e rastreadores, mas necessita de um servidor DNS para resolver os domínios que não são bloqueados. Em vez de utilizar servidores públicos como Cloudflare ou Google, optei pelo Unbound, instalado na própria máquina.

Desta forma, o meu servidor DNS resolve os nomes diretamente a partir dos servidores raiz da Internet, aumentando a privacidade e reduzindo a dependência de terceiros.

A configuração ficou assim:

Dispositivos
      │
      ▼
Pi-hole
      │
      ▼
Unbound
      │
      ▼
Servidores raiz da Internet

Configuração do Exit Node

O passo seguinte consistiu em configurar a máquina carla como Exit Node do Tailscale.

Isto permite que qualquer dispositivo da minha Tailnet utilize a ligação à Internet da minha casa, mesmo quando está ligado através de outra rede, como um hotspot móvel ou Wi-Fi público.

Após ativar o encaminhamento IP e anunciar a máquina como Exit Node, bastou aprová-la na consola de administração do Tailscale.

Agora, sempre que seleciono a carla como Exit Node, todo o tráfego da Internet passa pelo meu servidor doméstico.

Pi-hole para todos os dispositivos

A última etapa foi configurar o Tailscale para utilizar o Pi-hole como servidor DNS da Tailnet.

Foi necessário definir a máquina alexandra como servidor DNS global e garantir que esse servidor continuava a ser utilizado mesmo quando um Exit Node estivesse ativo.

Depois desta configuração, todos os dispositivos passaram a utilizar automaticamente o Pi-hole:

• Linux Mint
• Windows
• Android
• Tablets

Independentemente do local onde se encontrem.

Resultado

A infraestrutura ficou organizada da seguinte forma:

Internet
     ▲
     │
 Carla (Exit Node)
     │
     ├──────────────► Internet
     │
     ▼
Alexandra
Pi-hole
     │
     ▼
Unbound
     │
     ▼
Servidores DNS raiz

Na prática, quando estou fora de casa:

• todo o tráfego passa pelo meu servidor doméstico;
• as consultas DNS são filtradas pelo Pi-hole;
• os domínios são resolvidos localmente pelo Unbound;
• mantenho a mesma experiência de navegação em qualquer dispositivo.

Considerações finais

Esta foi uma das melhorias mais interessantes que fiz ao meu homelab. A combinação de Tailscale, Pi-hole e Unbound proporciona uma solução simples, segura e muito eficaz para quem pretende aumentar a privacidade sem complicar demasiado a administração da rede.

Como sempre acontece nestes projetos, houve alguns momentos de resolução de problemas e afinação da configuração, mas o resultado final compensou plenamente o esforço.

Agora resta observar o comportamento da infraestrutura durante os próximos dias, mas tudo indica que encontrei uma configuração estável e que passará a fazer parte da minha rede doméstica de forma permanente.

Texto elaborado em colaboração com o ChatGPT.
Ele escreve melhor do que eu 😀