Warden läuft auf einem Mini-PC, einer VM oder dem Homeserver, die du sowieso schon hast, und filtert DNS für den ganzen Haushalt — Tracker, Werbung und Malware sind weg, bevor ein Gerät sich überhaupt verbindet. Keine Cloud, kein Konto, keine Einrichtung pro Gerät.
warden
Ein Mini-PC, eine VM oder der Homeserver, der bei dir schon läuft. Warden gibt es als Linux-Binärdatei für x86_64 (amd64) — was auch immer in der Ecke deines Racks brummt, reicht. Neue Hardware musst du nicht kaufen. ARM-Boards wie ein Raspberry Pi bauen Warden aus dem Quellcode und brauchen eine kleine Listenauswahl, damit sie in den Arbeitsspeicher passt; die Standardlisten brauchen etwa 600 MB.
Eine einzige Binärdatei, ohne Runtime zum Installieren. Sie wartet im Leerlauf neben deinen anderen Diensten, bis du nachschaust, was sie blockiert.
Trag im Router einmal Warden ein, und jedes Gerät ist abgedeckt: Handys, Laptops, Fernseher, Konsolen und die IoT-Gadgets, auf denen kein Werbeblocker läuft. Ein Resolver für den ganzen Haushalt.
Keine Cloud, kein Konto, keine Telemetrie. Deine Regeln, Blocklisten und die Anfragenhistorie bleiben auf deiner Hardware — die Schlüssel hast du, und nichts aus deinem Netz verlässt je das Haus.
Ein Netz, viele Leute. Jede Person bekommt eigene Regeln — die Tablets der Kinder dicht, dein Arbeitslaptop offen, Gäste für sich.
Eigene Regeln pro Person.
Jedes Profil wählt seine Listen, Ausnahmen und block-all. Unbekannte Geräte nehmen das Standardprofil — oder werden abgewiesen, wenn du keins setzt.
Quellesrc/config/schema/profile.rs
Google, YouTube, Bing, DuckDuckGo.
Ein Schalter am Profil erzwingt die familientauglichen Varianten. Häng die Liste adult oder gambling an dieses Profil, wenn das auch weg soll.
Quellesrc/profiles/safesearch.rs
Hausaufgabenzeit, ohne Ausnahme.
Ein Zeitplan legt ein Gerät oder eine Gruppe nach Uhrzeit und Wochentag auf ein anderes Profil. Nächte, Schulzeiten, Wochenenden. Über Mitternacht inklusive.
Quellesrc/config/schema/schedule.rs
Besucher, abgetrennt.
Häng ein Profil an das Gast-Subnetz. Besucher bekommen gefiltertes DNS, ohne deine Ausnahmen zu erben. Du gibst das WLAN raus, nicht deine Regeln.
Quellesrc/config/schema/subnet.rs
nas.home, printer.home — Namen, die du
festlegst, werden im LAN beantwortet. Upstream sieht sie nie.
Gib deinen Kisten Namen.
Lege interne Aliase an — nas.home, printer.home — als A, AAAA oder CNAME. Schluss damit, IP-Adressen auswendig zu lernen.
Quellesrc/dns/local.rs
Das Homelab, nicht das Gast-WLAN.
Derselbe Name kann pro Profil anders auflösen — nas.home auf dem Homelab-Profil, nichts auf dem Gastprofil.
Quellesrc/config/schema/profile.rs
Logs, die man wirklich lesen kann.
Ordne einem Host im LAN einen Namen zu, damit das Log kids-ipad liest, nicht 192.168.1.107. IP, MAC oder beides.
Quellesrc/config/schema/device.rs
PTR, automatisch.
Jeder lokale A- oder AAAA-Eintrag, den du anlegst, bekommt automatisch einen PTR. Reverse-Lookups zu diesen Einträgen kommen als Namen, nicht als Zahlen.
Quellesrc/dns/local.rs
Jede Anfrage, jedes Gerät, in der TUI — plus ein Backup der Konfiguration, damit nach einem missglückten Schrauben ein Restore reicht, kein Neuschreiben.
Keine Blackbox.
Du siehst Anfragen, sobald sie landen: wer gefragt hat, welche Domain, allow oder block. Kann aus, nur Blockiertes, oder stichprobenartig sein.
Quellesrc/tracking/query_log.rs
Jedes Gerät kennen.
Anfragen heute, Block-% und eine 24h-Reihe für jeden Client. Du erkennst den geschwätzigen Smart-TV. Top-Domains bleiben netzweit.
Quellesrc/tracking/engine.rs
Der Pranger.
Ein Live-Ranking blockierter Domains im Netz — schnell ablesbar, wie hart die Listen arbeiten.
Quellesrc/tracking/top_n.rs
Neu aufsetzen aus einem Tarball.
warden config backup schreibt ein tar.gz des Konfigurationsbaums. Auf neuer Hardware spielst du es mit warden config restore wieder ein.
Quellesrc/cli/commands/config/backup.rs