Projektübersicht

Systematische Fehlersuche und gezielte Allowlist-Ausnahmen in DNS-Blocklisten, als YouTube-Kommentare durch eine zu breite Blockierung nicht mehr geladen wurden.

1. Situation (Ausgangslage)

Nach der Aktivierung der hagezi Multi PRO Blockliste in OPNsense (Unbound DNS) wurden YouTube-Kommentare nicht mehr geladen. Die Blockliste blockiert doubleclick.net, Googles Werbe- und Tracking-Netzwerk. YouTube nutzt jedoch bestimmte Subdomains dieses Netzwerks nicht nur für Werbung, sondern auch für das Rendering von Kommentaren. Die Blockierung war also zu pauschal.

2. Task (Zielsetzung)

• Ursache finden: Herausfinden, welche konkreten Domains das Problem verursachen.
• Gezielt freigeben: Nur die minimal notwendigen Subdomains in die Allowlist aufnehmen, nicht die gesamte Domain.
• Sicherheitsniveau halten: Die Blocklisten sollen weiterhin Werbung und Tracking blockieren, nur die funktionsrelevanten Ausnahmen werden zugelassen.

3. Action (Umsetzung)

A. Fehleranalyse über Browser-Entwicklertools

Die blockierten Domains wurden systematisch identifiziert:

• YouTube im Browser geöffnet, Entwicklertools (F12) auf der Konsole beobachtet.
• Drei rote Fehlermeldungen zeigten blockierte Domains: static.doubleclick.net, googleleads.g.doubleclick.net, googleads.g.doubleclick.net.
• Gegenprobe im OPNsense Blocklist-Tester (Services → Unbound DNS → Blocklists → Tester) bestätigte alle drei als geblockt.

B. Gezielte Allowlist-Konfiguration

Die drei Subdomains exakt in die Allowlist der hagezi Multi PRO Blockliste eingetragen:

• Bewusst keine Wildcard-Freigabe für doubleclick.net, da das die gesamte Blockierung aushebeln würde.
• Jede Subdomain einzeln eingetragen, damit nur die funktionsrelevanten Endpunkte freigegeben werden.

C. Zusätzliche Fehlerquelle identifiziert

Bei der Analyse fiel auf, dass OPNsense "Force SafeSearch" Kommentare unabhängig von der Blockliste unterdrückt. Dieser Zusammenhang ist nicht offensichtlich und wurde als separate Fehlerquelle dokumentiert.

4. Result (Ergebnis & Verifikation)

• YouTube-Kommentare werden wieder korrekt geladen, auf allen Geräten im Netzwerk.
• Die Blocklisten bleiben aktiv und blockieren weiterhin Tracking und Werbung.
• Die Lösung ist minimal-invasiv: drei exakte Subdomains statt einer pauschalen Freigabe.
• Eine Diagnose-Methode für zukünftige Blocklisten-Konflikte ist dokumentiert (Browser-Konsole → Blocklist-Tester → gezieltes Allowlisting).

Lessons Learned

• CORS-Fehler sind mehrdeutig: Die Browser-Konsole zeigt "Quellübergreifende Anfrage blockiert", aber die Ursache kann auf DNS-Ebene, Browser-Ebene oder bei Erweiterungen liegen. Immer auf mehreren Ebenen prüfen.
• Wildcard vs. exakt: Eine pauschale Freigabe löst das Problem schnell, hebelt aber den Schutz aus. Exakte Subdomains sind aufwändiger, halten das Sicherheitsniveau aber aufrecht.
• DNS-Blocklisten wirken netzwerkweit: Im Gegensatz zu Browser-Erweiterungen betrifft eine DNS-Blockierung alle Geräte gleichzeitig. Das ist ein Vorteil beim Schutz, kann aber bei Fehlkonfiguration alle Geräte gleichzeitig beeinträchtigen.