3. Het netwerk met Warda verbinden

Zolang de router zijn eigen DNS-servers doorgeeft, gaan apparaten niet via Warda.

1. Vast adres. Reserveer in de interface van uw router, DHCP- gedeelte, een adres voor de Warda-box (vaak "static lease" of "reservering" genoemd).
2. Test op één apparaat. Stel in de netwerkinstellingen van slechts één apparaat (wifi van een telefoon, netwerkkaart van een pc) het adres van Warda in als DNS. Surf enkele minuten: reclame verdwijnt en het apparaat verschijnt in Apparaten.
3. Het hele netwerk. Als alles goed werkt, stelt u het adres van Warda in als DNS-server in de DHCP van de router. Apparaten nemen dit over bij hun volgende verbinding (zet zo nodig de wifi uit en weer aan).

De assistent herkent de internetboxen van de grote providers van de Europese Unie, het Verenigd Koninkrijk, Zwitserland en Noorwegen (Freebox, Livebox, SFR Box, Bbox, Proximus, KPN, Ziggo, Speedport, Vodafone, FRITZ!Box, TIM, Movistar, MEO, Swisscom, BT, Sky, Starlink… 45 boxen), en de routers die voor thuis gekocht zijn, meshsystemen inbegrepen (TP-Link Deco en Archer, Netgear Orbi en Nighthawk, ASUS, Linksys Velop, Google Nest Wifi, eero, UniFi, MikroTik, OpenWrt, pfSense, OPNsense, Synology, FRITZ!Box…). Hij geeft de stappen voor de uwe; u vindt ze terug onder Netwerk → Netwerkanalyse, Hoe sluit ik het netwerk aan op Warda?, met de andere op het netwerk gevonden routers.

• Uw eigen router achter de box (twee routers achter elkaar, "dubbele NAT"): Warda werkt zo. De pagina toont de box achter de router en zegt waar u Warda als DNS-server invult: in de router waarmee de apparaten verbinden, niet in de box.
• Een router die de apparaten zelf antwoordt (eero, Google Nest Wifi, Netgear Orbi, AmpliFi): zijn DNS-instelling kiest alleen de server die hij vraagt. Vul daar Warda in: het netwerk is beschermd, maar Warda ziet alle apparaten als de router. Om ze uit elkaar te houden, laat u Warda de adressen uitdelen (hieronder).
• Een box waarvan u de DNS niet kunt wijzigen (Livebox in Frankrijk, SFR Box, Speedport, Vodafone Station in Duitsland, Ziggo, Virgin Media, BT, Sky, Starlink): laat Warda zelf de adressen van het netwerk uitdelen (Warda de adressen van het netwerk laten uitdelen (DHCP) in de assistent). Warda stelt zijn eigen adres in, u schakelt de DHCP-server van de box uit, en Warda controleert dat er geen andere antwoordt voordat het zijn eigen server start.

Kondigt de box ook een DNS-server via IPv6 aan, dan waarschuwt Warda u: de apparaten kunnen Warda omzeilen. De oplossing is dezelfde als bij IPv4: laat de box Warda aankondigen als IPv6-DNS-server, in plaats van zijn eigen server. Warda kan zichzelf ook aankondigen als DNS-server via IPv6 (Netwerk → DNS-diensten), maar de apparaten houden dan de server van de box ernaast. IPv6 uitschakelen is alleen het laatste redmiddel: het ontneemt het hele netwerk IPv6. De methode, stap voor stap: hoofdstuk 10.

In Netwerk → Netwerkanalyse toont Netwerk scannen alle machines van het netwerk en laat zien welke al Warda gebruiken (Warda scant het netwerk ook elke nacht). U kunt ze al aan een persoon of een groep toewijzen voordat ze Warda gebruiken. Dezelfde pagina laat zien of de box op een beheerbare switch is aangesloten: zo'n switch kondigt zich aan (met LLDP of CDP) met de poort van de box en zijn VLAN; een niet-beheerbare switch zegt niets.

De apparaten hebben een lokale naam, eerst degene die hun adres van Warda krijgen, dan de machines die op het netwerk zijn gevonden, bijvoorbeeld tv-woonkamer.thuis.lan, en de interface antwoordt ook op warda.thuis.lan. Het domein wordt bij de installatie gekozen op basis van de taal (thuis.lan in het Nederlands, home.lan in het Engels) en wordt gewijzigd in Netwerk → Lokale DNS. Vanaf Warda 0.7.10 kiest u het domein vrij: elke domeinnaam van twee woorden of meer (thuis.lan, home.arpa, lab.internal, mijnfamilie.local, een domein van uzelf). Onder het veld kunnen twee waarschuwingen verschijnen, en geen van beide houdt u tegen:

• .local is ook het domein van mDNS/Bonjour: Apple-apparaten, Avahi (Linux) en sommige Windows-diensten zoeken die namen eerst zelf op het netwerk, zodat de namen van dit domein op die apparaten traag of helemaal niet kunnen antwoorden;
• als het domein op internet bestaat, bereiken uw apparaten het daar niet meer: Warda beantwoordt de namen ervan zelf, alleen met de namen van uw netwerk. Hebt u een naam van dat domein van internet nodig (de site van uw bedrijf), voeg die dan op dezelfde pagina toe, in Records van de lokale DNS, met het openbare adres ervan.

Welk domein het ook is: de namen eronder verlaten uw netwerk nooit. Dezelfde pagina neemt ook uw eigen namen op (een NAS, een lab): een adres (A, AAAA), een andere naam (CNAME) of een tekst (TXT).

Netwerkproxy (WPAD), onderaan Lokale DNS, is voor een netwerk met een eigen proxy (bedrijfsfilter, cache): geef de naam of het adres en de poort, en de apparaten die automatisch een proxy zoeken gebruiken hem (lokale sites en netwerken blijven rechtstreeks; voeg zo nodig uitzonderingen toe). Standaard staat hij uit, en anders moet dat zo blijven: alle apparaten naar een proxy sturen is een klassieke manier om een netwerk te bespioneren. Het werkt het best met Warda op poort 80 (de pagina waarschuwt anders).

Versleuteld DNS. In Netwerk → DNS-diensten, Certificaat verkrijgen met een naam van Warda (niets in te stellen, gratis, vernieuwt zichzelf): de telefoons behouden hun "privé-DNS" en gaan toch via Warda. Android: Privé-DNS, met de getoonde naam; iPhone en Mac: het te downloaden profiel; Windows en de browsers: het getoonde DoH-adres. Dezelfde pagina toont welke upstreamservers DNSSEC valideren. Alleen thuis: Android houdt zijn privé-DNS overal aan, en buitenshuis vindt een telefoon met deze naam helemaal geen namen meer; gebruik het voor apparaten die thuis blijven, of zet de telefoon terug op Automatisch voordat u vertrekt. Voor een apparaat dat het huis verlaat, geeft de bescherming buitenshuis een eigen adres dat overal werkt (hoofdstuk 11). Elk apparaat, stap voor stap: hoofdstuk 9.

De interface via HTTPS, vanzelf (vanaf Warda 0.7.10). Zolang het kastje geen naam heeft, leidt http://warda naar https://warda, met het certificaat dat Warda voor zichzelf maakte en dat u in de browser moet aanvaarden. Zodra de installatie klaar is en het certificaat hierboven er is (een dat de browsers vertrouwen), leidt http://warda naar https:// gevolgd door de naam van het kastje, zonder waarschuwing. Niets in te stellen: Warda controleert de voorwaarden voortdurend, en als er een niet meer geldt (certificaat verlopen, naam kwijt), keert het vanzelf terug naar het getypte adres. U wordt nooit buitengesloten.

• Wat de apparaten van het netwerk via HTTP nodig hebben, wordt nooit omgeleid: de pagina waar een kind om meer tijd vraagt, de automatische proxyconfiguratie, de controles van het kastje.
• Typt u het adres van het kastje (http://192.168.1.2) in plaats van http://warda, dan wordt u alleen naar de naam gestuurd als uw apparaat de afgelopen 24 uur zijn namen aan Warda vroeg. Een ander apparaat blijft op het getypte adres: het zou de naam niet vinden, die alleen Warda beantwoordt.
• Apparaten achter een andere router (of Warda in Docker op een bridge-netwerk) komen bij Warda aan met één enkel adres: gebruikte een van hen de afgelopen 24 uur de DNS van Warda, dan worden ze allemaal naar de naam gestuurd wanneer ze het adres van het kastje typen. Een apparaat waarvan de DNS niet Warda is, kan de naam niet openen: https:// gevolgd door het adres van het kastje blijft werken, en de opdracht hieronder is de uitweg.
• Na de eerste omleiding naar de naam vraagt de browser u zich één keer opnieuw aan te melden: een sessie hoort bij het getypte adres.
• In Netwerk → DNS-diensten zegt de kaart van het certificaat hoe het ervoor staat, op de regel Interface via HTTP: "HTTP leidt om naar https://…", of "HTTP leidt niet om naar deze naam:" met de reden. De regel verschijnt zodra er een certificaat bestaat; daarvóór geeft de opdracht sudo warda https-redirect de reden.
• Kan een browser de naam niet bereiken (een browser met eigen beveiligde DNS, een apparaat waarvan de DNS niet Warda is), schakel de omleiding dan uit op het kastje: sudo warda https-redirect off (on zet ze weer aan; zonder woord erachter geeft de opdracht de toestand en de reden).

De handtekeningen in Warda zelf controleren, op dezelfde pagina, staat standaard uit. Warda controleert dan zelf de DNSSEC-handtekeningen, vanaf de root: een onderweg gewijzigd antwoord wordt geweigerd. Als de upstreamservers de handtekeningen weghalen, meldt de pagina dat en gaan de antwoorden door zoals voorheen. Zet het niet aan met een upstreamserver die filtert (Quad9, AdGuard, NextDNS, Cloudflare 1.1.1.2 of 1.1.1.3): zijn blokkades van ondertekende namen zouden mislukkingen worden.

Onder Antwoorden kiest Antwoord op een geblokkeerde naam wat een apparaat krijgt voor een geblokkeerde naam: Blokkeerpagina: het adres van Warda, dat de reden toont (aanbevolen), Nuladres 0.0.0.0 / ::, NXDOMAIN: de naam bestaat niet of REFUSED: het verzoek wordt geweigerd. Kies REFUSED alleen als Warda de enige DNS-server van de apparaten is: de meeste apparaten vragen dan hun andere DNS-server, als ze er een hebben. Verzoeken per seconde per apparaat (0: geen limiet) remt een apparaat af dat te veel vraagt; laat 0 staan als de router Warda de verzoeken van het hele netwerk stuurt (Warda ziet dan maar één apparaat).

De blokkeerpagina toont een pagina die zegt waarom een site geblokkeerd is (hoofdstuk 5, "De pagina Geblokkeerd door Warda"). Vanaf 0.8.4 is dat het standaardantwoord: een box waar niemand een antwoord koos, gebruikt het, en een box waar een antwoord gekozen werd, houdt dat. Kan Warda de pagina niet tonen (zijn webinterface staat niet op de poorten 80 en 443, of zijn certificeringsinstantie kon niet worden aangemaakt), dan blijft het nuladres het standaardantwoord, en de pagina zegt waarom.

De DHCP-server van Warda#

Netwerk → DHCP-server (tot Warda 0.8.4 DHCP genoemd) is de pagina van de adressen die Warda uitdeelt als het de DHCP-server van uw router vervangt. Hij staat standaard uit: Inschakelen… (of de assistent, Warda de adressen van het netwerk laten uitdelen (DHCP)) controleert dat het adres van Warda vast is, vraagt u de DHCP-server van de router uit te schakelen, controleert dat geen andere server antwoordt, en start hem dan (DHCP van Warda controleren en inschakelen). De pagina toont daarna:

• de status van de server en zijn cijfers, en de Instellingen van de DHCP-server: het netwerk, de gateway (de router), de DNS-server (Warda), het lokale domein, het Eerste adres en het Laatste adres van het bereik (binnen het netwerk, nooit het adres van Warda of van de router), de Leaseduur (1 uur tot 7 dagen). Opslaan start Warda een paar seconden opnieuw; de apparaten houden hun adressen;
• de Opties voor de apparaten: de tijdservers en de zoekdomeinen;
• IPv6-adressen uitdelen (DHCPv6): standaard uit; Android vraagt het nooit en houdt zijn automatische adres;
• de Uitgedeelde adressen (IPv4 en IPv6, elke 15 seconden vernieuwd), met Reserveren op elke regel: een apparaat met een Gereserveerd adres krijgt altijd dezelfde adressen, en geen ander apparaat krijgt ze.

Antwoordt een andere DHCP-server op het netwerk, dan deelt Warda geen adres uit zolang die dat doet, en de pagina zegt het. Om te stoppen: Uitschakelen, nadat u de DHCP-server van de router weer hebt ingeschakeld: anders krijgen nieuwe apparaten geen adres (de andere houden het hunne een dag).