3. Das Netzwerk mit Warda verbinden

Solange der Router seine eigenen DNS-Server vergibt, laufen die Geräte nicht über Warda.

1. Feste Adresse. Reservieren Sie in der Oberfläche Ihres Routers, im DHCP-Bereich, eine Adresse für die Warda-Box (oft "statische Zuweisung" oder "Reservierung" genannt).
2. Bei einem Gerät testen. Stellen Sie in den Netzwerkeinstellungen nur eines Geräts (WLAN eines Telefons, Netzwerkkarte eines PCs) die Adresse von Warda als DNS ein. Surfen Sie einige Minuten: Werbung verschwindet, und das Gerät erscheint unter Geräte.
3. Das gesamte Netzwerk. Wenn alles funktioniert, tragen Sie die Adresse von Warda als DNS-Server im DHCP des Routers ein. Die Geräte übernehmen sie bei ihrer nächsten Verbindung (falls nötig, WLAN aus- und wieder einschalten).

Der Assistent erkennt die Internet-Router der großen Anbieter der Europäischen Union, des Vereinigten Königreichs, der Schweiz und Norwegens (Freebox, Livebox, SFR Box, Bbox, Proximus, KPN, Ziggo, Speedport, Vodafone, FRITZ!Box, TIM, Movistar, MEO, Swisscom, BT, Sky, Starlink … 45 Modelle) sowie die für zu Hause gekauften Router, Mesh-Systeme eingeschlossen (TP-Link Deco und Archer, Netgear Orbi und Nighthawk, ASUS, Linksys Velop, Google Nest Wifi, eero, UniFi, MikroTik, OpenWrt, pfSense, OPNsense, Synology, FRITZ!Box …). Er gibt die Schritte für Ihren vor; Sie finden sie auch unter Netzwerk → Netzwerkanalyse, Wie verbinde ich das Netzwerk mit Warda?, zusammen mit den anderen im Netzwerk gefundenen Routern.

• Ein eigener Router hinter dem Router des Anbieters (zwei Router hintereinander, „doppeltes NAT“): Warda funktioniert so. Die Seite zeigt den Router des Anbieters dahinter und sagt, wo Warda als DNS-Server einzutragen ist: in dem Router, mit dem sich die Geräte verbinden, nicht in dem des Anbieters.
• Ein Router, der den Geräten selbst antwortet (eero, Google Nest Wifi, Netgear Orbi, AmpliFi): Seine DNS-Einstellung wählt nur den Server, den er fragt. Tragen Sie dort Warda ein: Das Netzwerk ist geschützt, aber Warda sieht alle Geräte als den Router. Um sie zu unterscheiden, lassen Sie Warda die Adressen vergeben (siehe unten).
• Ein Router des Anbieters, bei dem sich der DNS nicht ändern lässt (Livebox in Frankreich, SFR Box, Speedport, Vodafone Station in Deutschland, Ziggo, Virgin Media, BT, Sky, Starlink): Lassen Sie Warda selbst die Adressen des Netzwerks vergeben (Warda die Adressen des Netzwerks vergeben lassen (DHCP) im Assistenten). Warda legt seine eigene Adresse fest, Sie schalten den DHCP-Server der Box aus, und Warda prüft, dass kein anderer antwortet, bevor es startet.

Meldet die Box auch einen DNS-Server über IPv6, warnt Warda Sie: Die Geräte könnten an Warda vorbeigehen. Die Lösung ist dieselbe wie bei IPv4: Die Box soll Warda als IPv6-DNS-Server ankündigen, anstelle ihres eigenen. Warda kann sich auch selbst als DNS-Server über IPv6 ankündigen (Netzwerk → DNS-Dienste), aber die Geräte behalten dann den Server der Box daneben. IPv6 abzuschalten ist nur der letzte Ausweg: Es nimmt dem ganzen Netzwerk IPv6. Die Methode, Schritt für Schritt: Kapitel 10.

Unter Netzwerk → Netzwerkanalyse listet Netzwerk scannen alle Geräte des Netzwerks auf und zeigt, welche bereits Warda nutzen (Warda scannt das Netzwerk auch jede Nacht). Sie können sie schon vor ihrer Nutzung von Warda einer Person oder einer Gruppe zuordnen. Die gleiche Seite zeigt, ob die Box an einen verwaltbaren Switch angeschlossen ist: Ein solcher Switch meldet sich (LLDP oder CDP) mit dem Port der Box und seinem VLAN; ein nicht verwaltbarer Switch sagt nichts.

Die Geräte haben einen lokalen Namen, zuerst die, die ihre Adresse von Warda erhalten, dann die im Netzwerk gefundenen Geräte, zum Beispiel tv-wohnzimmer.haus.lan, und die Oberfläche antwortet auch unter warda.haus.lan. Die Domain wird bei der Installation anhand der Sprache gewählt (haus.lan auf Deutsch, home.lan auf Englisch) und lässt sich unter Netzwerk → Lokaler DNS ändern. Ab Warda 0.7.10 wählen Sie die Domain frei: jeder Domainname aus zwei oder mehr Wörtern (haus.lan, home.arpa, lab.internal, meinefamilie.local, eine Domain, die Ihnen gehört). Zwei Hinweise können unter dem Feld erscheinen, und keiner hält Sie auf:

• .local ist auch die Domain von mDNS/Bonjour: Apple-Geräte, Avahi (Linux) und einige Windows-Dienste suchen diese Namen zuerst selbst im Netzwerk, die Namen dieser Domain können deshalb auf diesen Geräten langsam oder gar nicht antworten;
• wenn die Domain im Internet existiert, erreichen Ihre Geräte sie dort nicht mehr: Warda beantwortet ihre Namen selbst, nur mit den Namen Ihres Netzwerks. Für einen Namen dieser Domain, den Sie aus dem Internet brauchen (die Website Ihres Unternehmens), tragen Sie ihn auf derselben Seite unter Einträge des lokalen DNS ein, mit seiner öffentlichen Adresse.

Welche Domain es auch ist: Die Namen darunter verlassen Ihr Netzwerk nie. Die gleiche Seite nimmt auch eigene Namen entgegen (ein NAS, ein Labor): eine Adresse (A, AAAA), ein anderer Name (CNAME) oder ein Text (TXT).

Netzwerk-Proxy (WPAD), unten auf Lokaler DNS, ist für ein Netzwerk gedacht, das einen eigenen Proxy betreibt (Firmenfilter, Cache): Geben Sie seinen Namen oder seine Adresse und seinen Port an, und die Geräte, die automatisch nach einem Proxy suchen, verwenden ihn (lokale Websites und Netze bleiben direkt; fügen Sie bei Bedarf Ausnahmen hinzu). Standardmäßig ist er aus und sollte es sonst auch bleiben: Alle Geräte auf einen Proxy zu leiten ist ein klassischer Weg, ein Netzwerk auszuspähen. Es funktioniert am besten mit Warda auf Port 80 (die Seite warnt sonst).

Verschlüsseltes DNS. Unter Netzwerk → DNS-Dienste holen Sie mit Zertifikat holen ein Zertifikat mit einem von Warda gegebenen Namen (nichts einzurichten, kostenlos, erneuert sich selbstständig): Die Telefone behalten ihr "privates DNS" und laufen trotzdem über Warda. Android: Privates DNS, mit dem angezeigten Namen; iPhone und Mac: das herunterzuladende Profil; Windows und die Browser: die angezeigte DoH-Adresse. Die gleiche Seite zeigt, welche vorgelagerten Server DNSSEC validieren. Nur zu Hause: Android behält sein privates DNS überall, und unterwegs löst ein darauf eingestelltes Telefon gar keine Namen mehr auf; nutzen Sie es für Geräte, die zu Hause bleiben, oder stellen Sie das Telefon vor dem Verlassen wieder auf Automatisch. Für ein Gerät, das aus dem Haus geht, gibt der Schutz außer Haus eine eigene Adresse, die überall funktioniert (Kapitel 11). Jedes Gerät, Schritt für Schritt: Kapitel 9.

Die Oberfläche über HTTPS, von selbst (ab Warda 0.7.10). Solange die Box keinen Namen hat, führt http://warda zu https://warda, mit dem Zertifikat, das Warda sich selbst ausgestellt hat und das im Browser zu akzeptieren ist. Sobald die Installation abgeschlossen und das Zertifikat von oben da ist (eines, dem die Browser vertrauen), führt http://warda zu https:// gefolgt vom Namen der Box, ohne Warnung. Nichts einzustellen: Warda prüft die Bedingungen ständig, und wenn eine nicht mehr gilt (Zertifikat abgelaufen, Name verloren), kehrt es von selbst zur eingegebenen Adresse zurück. Sie werden nie ausgesperrt.

• Was die Geräte des Netzwerks über HTTP brauchen, wird nie umgeleitet: die Seite, auf der ein Kind um mehr Zeit bittet, die automatische Proxy-Konfiguration, die Prüfungen der Box.
• Geben Sie die Adresse der Box ein (http://192.168.1.2) statt http://warda, werden Sie nur dann zum Namen geschickt, wenn Ihr Gerät in den letzten 24 Stunden seine Namen bei Warda angefragt hat. Ein anderes Gerät bleibt bei der eingegebenen Adresse: Es würde den Namen nicht finden, den nur Warda beantwortet.
• Geräte hinter einem anderen Router (oder Warda in Docker in einem Bridge-Netzwerk) erreichen Warda mit einer einzigen Adresse: Hat eines von ihnen in den letzten 24 Stunden das DNS von Warda genutzt, werden alle zum Namen geschickt, wenn sie die Adresse der Box eingeben. Ein Gerät, dessen DNS nicht Warda ist, kann den Namen nicht öffnen: https:// gefolgt von der Adresse der Box funktioniert weiterhin, und der Befehl unten ist der Ausweg.
• Nach der ersten Umleitung zum Namen bittet der Browser Sie, sich einmal neu anzumelden: Eine Sitzung gehört zur eingegebenen Adresse.
• Unter Netzwerk → DNS-Dienste zeigt die Karte des Zertifikats den Stand, in der Zeile Oberfläche über HTTP: „HTTP leitet zu https://… weiter“, oder „HTTP leitet nicht zu diesem Namen weiter:“ mit dem Grund. Die Zeile erscheint, sobald ein Zertifikat existiert; davor nennt der Befehl sudo warda https-redirect den Grund.
• Kann ein Browser den Namen nicht erreichen (ein Browser mit eigenem sicherem DNS, ein Gerät, dessen DNS nicht Warda ist), schalten Sie die Umleitung auf der Box aus: sudo warda https-redirect off (on schaltet sie wieder ein; ohne weiteres Wort nennt der Befehl den Stand und seinen Grund).

Die Signaturen in Warda selbst prüfen, auf derselben Seite, ist standardmäßig aus. Warda prüft dann die DNSSEC-Signaturen selbst, ausgehend von der Wurzel: Eine unterwegs veränderte Antwort wird abgelehnt. Entfernen die vorgelagerten Server die Signaturen, sagt die Seite es, und die Antworten gehen wie bisher durch. Nicht mit einem filternden vorgelagerten Server einschalten (Quad9, AdGuard, NextDNS, Cloudflare 1.1.1.2 oder 1.1.1.3): Seine Sperren signierter Namen würden zu Fehlern.

Unter Antworten wählt Antwort auf einen gesperrten Namen, was ein Gerät für einen gesperrten Namen erhält: Sperrseite: die Adresse von Warda, die den Grund nennt (empfohlen), Nulladresse 0.0.0.0 / ::, NXDOMAIN: Der Name existiert nicht oder REFUSED: Die Anfrage wird abgelehnt. Wählen Sie REFUSED nur, wenn Warda der einzige DNS-Server der Geräte ist: Die meisten Geräte fragen dann ihren anderen DNS-Server, falls sie einen haben. Anfragen pro Sekunde je Gerät (0: keine Grenze) bremst ein Gerät, das zu viel fragt; lassen Sie 0, wenn der Router Warda die Anfragen des gesamten Netzwerks schickt (Warda sieht dann nur ein Gerät).

Die Sperrseite zeigt eine Seite, die sagt, warum eine Website gesperrt ist (Kapitel 5, „Die Seite Von Warda blockiert“). Ab 0.8.4 ist sie die Standardantwort: Eine Box, bei der niemand eine Antwort gewählt hat, verwendet sie, und eine Box, bei der eine Antwort gewählt wurde, behält diese. Kann Warda die Seite nicht zeigen (seine Weboberfläche ist nicht auf den Ports 80 und 443, oder seine Zertifizierungsstelle konnte nicht erstellt werden), bleibt die Nulladresse die Standardantwort, und die Seite nennt den Grund.

Der DHCP-Server von Warda#

Netzwerk → DHCP-Server (bis Warda 0.8.4 DHCP genannt) ist die Seite der Adressen, die Warda vergibt, wenn es den DHCP-Server Ihres Routers ersetzt. Er ist standardmäßig aus: Einschalten… (oder der Assistent, Warda die Adressen des Netzwerks vergeben lassen (DHCP)) prüft, dass die Adresse von Warda fest ist, bittet Sie, den DHCP-Server des Routers auszuschalten, prüft, dass kein anderer Server antwortet, und startet ihn dann (DHCP von Warda prüfen und einschalten). Die Seite zeigt dann:

• den Zustand des Servers und seine Zahlen, und die Einstellungen des DHCP-Servers: das Netzwerk, das Gateway (der Router), den DNS-Server (Warda), die lokale Domain, die Erste Adresse und die Letzte Adresse des Bereichs (im Netzwerk, nie die Adresse von Warda oder des Routers), die Lease-Dauer (1 Stunde bis 7 Tage). Speichern startet Warda für ein paar Sekunden neu; die Geräte behalten ihre Adressen;
• die An die Geräte übergebenen Optionen: die Zeitserver und die Suchdomains;
• IPv6-Adressen vergeben (DHCPv6): standardmäßig aus; Android fragt nie danach und behält seine automatische Adresse;
• die Vergebenen Adressen (IPv4 und IPv6, alle 15 Sekunden aktualisiert), mit Reservieren in jeder Zeile: Ein Gerät mit einer Reservierten Adresse bekommt immer dieselben Adressen, und kein anderes Gerät bekommt sie.

Antwortet ein anderer DHCP-Server im Netzwerk, vergibt Warda keine Adresse, solange er das tut, und die Seite sagt es. Zum Beenden Ausschalten, nachdem Sie den DHCP-Server des Routers wieder eingeschaltet haben: sonst bekommen neue Geräte keine Adresse (die anderen behalten ihre einen Tag lang).