3. Collegare la rete a Warda

Finché il router fornisce i propri server DNS, i dispositivi non passano da Warda.

1. Indirizzo fisso. Nell'interfaccia del vostro router, sezione DHCP, riservate un indirizzo per l'apparecchio Warda (spesso chiamato "static lease" o "reservation").
2. Prova su un dispositivo. Nelle impostazioni di rete di un solo dispositivo (Wi-Fi di un telefono, scheda di rete di un PC), impostate l'indirizzo di Warda come DNS. Navigate per qualche minuto: le pubblicità spariscono e il dispositivo compare in Dispositivi.
3. Tutta la rete. Quando tutto funziona, impostate l'indirizzo di Warda come server DNS nel DHCP del router. I dispositivi lo adottano alla connessione successiva (se necessario, spegnete e riaccendete il Wi-Fi).

L'assistente riconosce i router internet dei principali operatori dell'Unione europea, del Regno Unito, della Svizzera e della Norvegia (Freebox, Livebox, SFR Box, Bbox, Proximus, KPN, Ziggo, Speedport, Vodafone, FRITZ!Box, TIM, Movistar, MEO, Swisscom, BT, Sky, Starlink… 45 modelli), e i router acquistati per la casa, sistemi mesh compresi (TP-Link Deco e Archer, Netgear Orbi e Nighthawk, ASUS, Linksys Velop, Google Nest Wifi, eero, UniFi, MikroTik, OpenWrt, pfSense, OPNsense, Synology, FRITZ!Box…). Fornisce i passaggi per il vostro; li ritrovate in Rete → Analisi della rete, Come collego la rete a Warda?, con gli altri router trovati sulla rete.

• Un vostro router dietro quello dell'operatore (due router uno dietro l'altro, «doppio NAT»): Warda funziona così. La pagina mostra il router dell'operatore dietro il vostro e indica dove mettere Warda come server DNS: nel router a cui si collegano i dispositivi, non in quello dell'operatore.
• Un router che risponde da sé ai dispositivi (eero, Google Nest Wifi, Netgear Orbi, AmpliFi): la sua impostazione DNS sceglie solo il server che interroga. Mettete lì Warda: la rete è protetta, ma Warda vede tutti i dispositivi come il router. Per distinguerli, lasciate che Warda distribuisca gli indirizzi (sotto).
• Un router dell'operatore che non permette di cambiare il DNS (Livebox in Francia, SFR Box, Speedport, Vodafone Station in Germania, Ziggo, Virgin Media, BT, Sky, Starlink): lasciate che Warda distribuisca da solo gli indirizzi della rete (Lasciare che Warda distribuisca gli indirizzi della rete (DHCP) nell'assistente). Fissa il proprio indirizzo, voi disattivate il server DHCP del router, e Warda verifica che nessun altro risponda prima di avviare il proprio.

Se il router annuncia anche un server DNS via IPv6, Warda vi avvisa: i dispositivi potrebbero aggirare Warda. La soluzione è la stessa che in IPv4: far annunciare Warda dal router come server DNS IPv6, al posto del suo. Warda può anche annunciarsi come server DNS su IPv6 (Rete → Servizi DNS), ma i dispositivi tengono allora accanto il server del router. Disattivare l'IPv6 è solo l'ultima risorsa: toglie l'IPv6 a tutta la rete. Il metodo, passo per passo: capitolo 10.

In Rete → Analisi della rete, Analizza la rete elenca tutte le macchine della rete e mostra quali usano già Warda (Warda analizza la rete anche ogni notte). Potete assegnarle a una persona o a un gruppo già prima che usino Warda. La stessa pagina indica se il dispositivo è collegato a uno switch gestito: un tale switch si annuncia (LLDP o CDP) con la porta del dispositivo e il suo VLAN; uno switch non gestito non dice nulla.

I dispositivi hanno un nome locale, prima quelli che ricevono il loro indirizzo da Warda, poi le macchine trovate sulla rete, ad esempio tv-salotto.casa.lan, e l'interfaccia risponde anche a warda.casa.lan. Il dominio viene scelto in base alla lingua all'installazione (casa.lan in italiano, home.lan in inglese) e si cambia in Rete → DNS locale. Da Warda 0.7.10 scegliete il dominio liberamente: qualsiasi nome di dominio di due parole o più (casa.lan, home.arpa, lab.internal, miafamiglia.local, un dominio vostro). Sotto il campo possono comparire due avvisi, e nessuno dei due vi ferma:

• .local è anche il dominio di mDNS/Bonjour: i dispositivi Apple, Avahi (Linux) e alcuni servizi di Windows cercano prima questi nomi da soli sulla rete, quindi i nomi di questo dominio possono rispondere lentamente, o non rispondere affatto, su quei dispositivi;
• se il dominio esiste su Internet, i vostri dispositivi non lo raggiungono più lì: Warda risponde da solo ai suoi nomi, con i soli nomi della vostra rete. Per un nome di quel dominio che vi serve da Internet (il sito della vostra azienda), aggiungetelo nella stessa pagina, in Record del DNS locale, con il suo indirizzo pubblico.

Qualunque sia il dominio, i nomi che contiene non escono mai dalla vostra rete. La stessa pagina accetta vostri nomi personalizzati (un NAS, un lab): un indirizzo (A, AAAA), un altro nome (CNAME) o un testo (TXT).

Proxy di rete (WPAD), in fondo a DNS locale, serve a una rete che gestisce un proprio proxy (filtro aziendale, cache): indicate il suo nome o indirizzo e la sua porta, e i dispositivi che rilevano automaticamente un proxy lo usano (i siti e le reti locali restano diretti; aggiungete eccezioni se serve). È disattivato per impostazione predefinita e altrimenti deve restarlo: indirizzare tutti i dispositivi verso un proxy è un modo classico per spiare una rete. Funziona meglio con Warda sulla porta 80 (altrimenti la pagina avvisa).

DNS cifrato. In Rete → Servizi DNS, Ottieni il certificato con un nome fornito da Warda (niente da configurare, gratuito, rinnovato da solo): i telefoni mantengono il loro "DNS privato" pur passando attraverso Warda. Android: DNS privato, con il nome mostrato; iPhone e Mac: il profilo da scaricare; Windows e i browser: l'indirizzo DoH mostrato. La stessa pagina indica quali resolver validano DNSSEC. Solo a casa: Android mantiene il suo DNS privato ovunque, e fuori casa un telefono impostato su questo nome non risolve più alcun nome; usatelo per i dispositivi che restano a casa, o rimettete il telefono su Automatico prima di uscire. Per un dispositivo che esce di casa, la protezione fuori casa gli dà un indirizzo proprio che funziona ovunque (capitolo 11). Ogni dispositivo, passo per passo: capitolo 9.

L'interfaccia in HTTPS, da sola (da Warda 0.7.10). Finché il box non ha un nome, http://warda porta a https://warda, con il certificato che Warda si è fatto da solo, da accettare nel browser. Una volta terminata l'installazione e ottenuto il certificato qui sopra (uno riconosciuto dai browser), http://warda porta a https:// seguito dal nome del box, senza avviso. Niente da impostare: Warda verifica le condizioni di continuo, e se una non vale più (certificato scaduto, nome perso), torna da solo all'indirizzo digitato. Non restate mai chiusi fuori.

• Ciò che serve ai dispositivi della rete in HTTP non viene mai reindirizzato: la pagina in cui un bambino chiede più tempo, la configurazione automatica del proxy, i controlli del box.
• Se digitate l'indirizzo del box (http://192.168.1.2) invece di http://warda, venite mandati al nome solo se il vostro dispositivo ha chiesto i suoi nomi a Warda nelle ultime 24 ore. Un altro dispositivo resta all'indirizzo digitato: non troverebbe il nome, al quale risponde solo Warda.
• I dispositivi dietro un altro router (o Warda in Docker su una rete bridge) arrivano a Warda con un solo indirizzo: se uno di loro ha usato il DNS di Warda nelle ultime 24 ore, tutti vengono mandati al nome quando digitano l'indirizzo del box. Quello il cui DNS non è Warda non può aprire il nome: https:// seguito dall'indirizzo del box funziona ancora, e il comando qui sotto è la via d'uscita.
• Dopo il primo reindirizzamento al nome, il browser vi chiede di accedere un'altra volta: una sessione appartiene all'indirizzo digitato.
• In Rete → Servizi DNS, la scheda del certificato dice a che punto siamo, alla riga Interfaccia in HTTP: «HTTP reindirizza a https://…», oppure «HTTP non reindirizza a questo nome:» con il motivo. La riga compare quando esiste un certificato; prima, il comando sudo warda https-redirect dice il motivo.
• Se un browser non riesce a raggiungere il nome (un browser con un proprio DNS sicuro, un dispositivo il cui DNS non è Warda), disattivate il reindirizzamento sul box: sudo warda https-redirect off (on lo riattiva; senza nulla dopo, il comando dice lo stato e il motivo).

Verificare le firme in Warda stesso, nella stessa pagina, è disattivato per impostazione predefinita. Warda verifica allora da solo le firme DNSSEC, a partire dalla radice: una risposta modificata lungo il percorso viene rifiutata. Se i server DNS upstream tolgono le firme, la pagina lo segnala e le risposte passano come prima. Non attivatelo con un server upstream che filtra (Quad9, AdGuard, NextDNS, Cloudflare 1.1.1.2 o 1.1.1.3): i suoi blocchi di nomi firmati diventerebbero errori.

In Risposte, Risposta a un nome bloccato sceglie cosa riceve un dispositivo per un nome bloccato: Pagina di blocco: l’indirizzo di Warda, che spiega il motivo (consigliato), Indirizzo nullo 0.0.0.0 / ::, NXDOMAIN: il nome non esiste o REFUSED: la richiesta è rifiutata. Scegliete REFUSED solo se Warda è l'unico server DNS dei dispositivi: la maggior parte dei dispositivi interroga allora l'altro server DNS, se ne ha uno. Richieste al secondo per ogni dispositivo (0: nessun limite) frena un dispositivo che chiede troppo; lasciate 0 quando il router invia a Warda le richieste di tutta la rete (Warda vede allora un solo dispositivo).

La pagina di blocco mostra una pagina che dice perché un sito è bloccato (capitolo 5, "La pagina Bloccato da Warda"). Da 0.8.4 è la risposta predefinita: un dispositivo Warda in cui nessuno ha scelto una risposta la usa, e uno in cui è stata scelta una risposta la mantiene. Quando Warda non può mostrare la pagina (la sua interfaccia web non è sulle porte 80 e 443, o la sua autorità di certificazione non è stata creata), la risposta predefinita resta l'indirizzo nullo, e la pagina spiega perché.

Il server DHCP di Warda#

Rete → Server DHCP (chiamato DHCP fino a Warda 0.8.4) è la pagina degli indirizzi che Warda distribuisce quando sostituisce il server DHCP del vostro router. È disattivato per impostazione predefinita: Attiva… (o l'assistente, Lasciare che Warda distribuisca gli indirizzi della rete (DHCP)) verifica che l'indirizzo di Warda sia fisso, vi chiede di disattivare il server DHCP del router, verifica che nessun altro server risponda, poi lo avvia (Verifica e attiva il DHCP di Warda). La pagina mostra poi:

• lo stato del server e le sue cifre, e le Impostazioni del server DHCP: la rete, il gateway (il router), il server DNS (Warda), il dominio locale, il Primo indirizzo e l'Ultimo indirizzo dell'intervallo (nella rete, mai l'indirizzo di Warda né quello del router), la Durata della lease (da 1 ora a 7 giorni). Salvare riavvia Warda per qualche secondo; i dispositivi conservano i loro indirizzi;
• le Opzioni date ai dispositivi: i server dell'ora e i domini di ricerca;
• Assegnare indirizzi IPv6 (DHCPv6): disattivato per impostazione predefinita; Android non lo chiede mai e conserva il suo indirizzo automatico;
• gli Indirizzi assegnati (IPv4 e IPv6, aggiornati ogni 15 secondi), con Riserva su ogni riga: un dispositivo con un Indirizzo riservato riceve sempre gli stessi indirizzi, e nessun altro dispositivo li riceve.

Quando un altro server DHCP risponde sulla rete, Warda non assegna alcun indirizzo finché lo fa, e la pagina lo dice. Per fermarlo, Disattiva, dopo aver riattivato il server DHCP del router: altrimenti i nuovi dispositivi restano senza indirizzo (gli altri conservano il loro per un giorno).