หยุดทีวี LG ไม่ให้ส่งข้อมูลกลับบริษัท — ด้วย Pi-hole และเราเตอร์ตัวไหนก็ได้

ทีวี LG ขออะไรบ้าง (เท่าที่ DNS มองเห็น)

• การกวาดค้นชื่อย้อนกลับทั่วทั้ง LAN ตลอดวัน ราวห้าสิบครั้งต่อชั่วโมงของการค้นหา in-addr.arpa — ทีวีถามชื่อของทุกอุปกรณ์ในเครือข่าย ไม่ว่าทีวีจะเปิดอยู่หรือไม่
• สัญญาณชีพไปยังคลาวด์ ThinQ / สมาร์ทโฮมทุกไม่กี่นาที kic.api.lgtviot.com — 319 ครั้งในตัวอย่าง
• โฮสต์โฆษณา การแนะนำ และ “การกระตุ้น” lgsmartad.com, recommend, nudge, homeprv, cdpbeacon และ wiseconfig ภายใต้ lgtvcommon.com, wiselg.com, rdx2.nextlgsdp.com
• การตั้งค่าระบบจดจำเนื้อหา (ACR) บนเครื่องรุ่นเก่ากว่า prov-lg.alphonso.tv บนรุ่นปี 2019 — บริการที่เก็บลายนิ้วมือของสิ่งที่อยู่บนจอ
• และสิ่งที่มันต้องใช้ การอัปเดตเฟิร์มแวร์จาก snu.lge.com แอปสโตร์และภาพย่อของมัน บริการบัญชี และการตรวจออนไลน์ของแพลตฟอร์ม สิ่งเหล่านี้ต้องทำงานต่อ ไม่อย่างนั้นทีวีจะกลายเป็นทีวีที่แย่ลง

สิ่งที่ต้องมี

• Pi-hole เวอร์ชัน 6 ขึ้นไป ข้อกำหนดตายตัวข้อเดียว ทุกอย่างที่ตัดสินว่าจะบล็อกชื่อไหนอยู่ที่นี่ และนี่เป็นที่เดียวที่บล็อกตามอุปกรณ์ได้ ส่วนอื่นของบ้านจึงไม่ถูกแตะ มี Pi-hole สองตัว? ทำทุกขั้นตอนบนทั้งสองตัว
• ที่อยู่คงที่สำหรับทีวีแต่ละเครื่อง static DHCP lease ตาม MAC บนเราเตอร์ของคุณ เพื่อให้กฎด้านล่างชี้ไปที่อุปกรณ์ที่ถูกต้องเสมอ
• เราเตอร์ที่บังคับเส้นทางพอร์ตและบล็อกพอร์ตได้ pfSense, OPNsense, OpenWrt, MikroTik, เครื่อง Linux ที่ทำ NAT หรือเกตเวย์ UniFi ใช้ได้ทั้งหมด เราเตอร์ธรรมดาจากผู้ให้บริการอินเทอร์เน็ตมักบังคับเส้นทางไม่ได้ ดูทางสำรองในขั้นที่ 3
• สิบนาทีที่ตัวทีวีเอง การบล็อกหยุดการรายงาน ส่วนสวิตช์บนตัวทีวีหยุดการเก็บข้อมูลบางส่วน (ขั้นที่ 4)

ขั้นที่ 1 — ดูก่อน

# the TV's most-asked names in the last day (replace the IP)
sqlite3 /etc/pihole/pihole-FTL.db \
  "SELECT domain, COUNT(*) n FROM queries WHERE client='192.168.1.50' AND timestamp > strftime('%s','now','-1 day') GROUP BY domain ORDER BY n DESC LIMIT 40;"

ขั้นที่ 2 — Pi-hole: บล็อกตามกลุ่มอุปกรณ์ เก็บตัวแพลตฟอร์มไว้

สองรายการ

• HaGeZi — native LG webOS (https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/native.lgwebos.txt) แบบ Adblock โดเมนย่อยจึงตรงด้วย ตั้งใจปล่อยโฮสต์การอัปเดต สโตร์ และแพลตฟอร์มไว้ รายการที่ระมัดระวัง
• Perflyst — Smart-TV (https://raw.githubusercontent.com/Perflyst/PiHoleBlocklist/master/SmartTV.txt) โฮสต์ตรงตัว ครอบคลุมกว้างกว่า ทุกผู้ผลิต มันบล็อก nextlgsdp.com ทุกภูมิภาค — รวมถึงของคุณ — นี่คือเหตุผลที่รายการอนุญาตด้านล่างไม่ใช่ทางเลือก

กลุ่มอุปกรณ์สำหรับทีวี

regex ที่ปฏิเสธ (จำกัดตามกลุ่ม)

(^|\.)(rdx2|smartshare)\.(nextlgsdp|lgtvsdp)\.com$
(^|\.)lgtviot\.com$
(^|\.)lgthinq\.com$
(^|\.)wiselg\.com$
(^|\.)(recommend|nudge|homeprv|cdpbeacon|rdl|wiseconfig|ads)\.lgtvcommon\.com$
(^|\.)lgsmartad\.com$
(^|\.)alphonso\.tv$
\.in-addr\.arpa$

รายการอนุญาต (ตรงตัว ชนะรายการบล็อก)

snu.lge.com
su.lge.com
su-ssl.lge.com
th.nextlgsdp.com
th.lgtvsdp.com
lgtvonline.lge.com
th.lgeapi.com
th.emp.lgsmartplatform.com
kic-gfts.nextlgsdp.com
ngfts.nextlgsdp.com
ngfts.lge.com
gfts.lge.com

ขั้นที่ 3 — เราเตอร์: ทำให้ Pi-hole เป็นทางออกเดียว

8.8.8.8  8.8.4.4          # Google
1.1.1.1  1.0.0.1          # Cloudflare
9.9.9.9  149.112.112.112  # Quad9
208.67.222.222  208.67.220.220   # OpenDNS

pfSense / OPNsense

• Aliases LG_TVs = ที่อยู่ของทีวี Pi_holes = Pi-hole ของคุณ DoH_resolvers = ชุดด้านบน
• กฎ A: Firewall → NAT → Port Forward Interface LAN, protocol TCP/UDP, source LG_TVs, destination ไม่ใช่ Pi_holes, destination port 53, redirect target เป็นพอร์ต 53 ของ Pi-hole พร้อม pass rule ที่ผูกกัน ตรวจด้วย pfctl -sn: คุณควรเห็น rdr … from <LG_TVs> to ! <Pi_holes> port = domain -> <pi-hole>
• กฎ B และ C: Firewall → Rules → LAN Block, log, source LG_TVs, destination any port 853 และ block, log, source LG_TVs, destination DoH_resolvers port 443, TCP/UDP ลากทั้งสองขึ้นไปไว้เหนือกฎเริ่มต้น “allow LAN to any” — กฎใหม่จะไปอยู่ล่างสุด ซึ่งมันจะไม่มีวันทำงาน

OpenWrt, MikroTik หรือเราเตอร์ Linux ใดก็ได้

TV=192.168.1.50; PH=192.168.1.2
# A: redirect DNS the TV sends anywhere else
iptables -t nat -A PREROUTING -s $TV ! -d $PH -p udp --dport 53 -j DNAT --to-destination $PH
iptables -t nat -A PREROUTING -s $TV ! -d $PH -p tcp --dport 53 -j DNAT --to-destination $PH
# B: no DNS-over-TLS
iptables -A FORWARD -s $TV -p tcp --dport 853 -j REJECT
# C: no DNS-over-HTTPS to the public resolvers (TCP and QUIC)
ipset create doh hash:ip 2>/dev/null
for ip in 8.8.8.8 8.8.4.4 1.1.1.1 1.0.0.1 9.9.9.9 149.112.112.112 208.67.222.222 208.67.220.220; do ipset add doh $ip 2>/dev/null; done
iptables -A FORWARD -s $TV -m set --match-set doh dst -p tcp --dport 443 -j REJECT
iptables -A FORWARD -s $TV -m set --match-set doh dst -p udp --dport 443 -j REJECT

ถ้าเราเตอร์ของคุณทำได้แค่บล็อก

ขั้นที่ 4 — สวิตช์บนตัวทีวีเอง

• Settings → General → System → Additional Settings → Live Plus: ปิด นี่คือฟีเจอร์จดจำเนื้อหา
• Settings → Support → Privacy & Terms → User Agreements: ยกเลิกข้อมูลการรับชม โฆษณาตามความสนใจ และข้อมูลเสียง ชื่อเมนูต่างกันไปตามปีและภูมิภาค แต่สามแนวคิดนี้ไม่เปลี่ยน
• เสียง: ปิดการรับเสียงระยะไกล “Hi LG” ปุ่มไมโครโฟนบนรีโมตยังใช้ได้เมื่อคุณกด
• Home Promotion, Content Recommendation, Home Hub / ThinQ: ปิด เว้นแต่คุณใช้ ถ้าคุณใช้ทีวีเป็นฮับสมาร์ทโฮม ให้ยกเลิก regex lgtviot จากขั้นที่ 2 — นั่นคือตัวที่มันต้องใช้

ตรวจสอบ

• ถูกบล็อก (regex ปฏิเสธ): kic.api.lgtviot.com (หรือของภูมิภาคคุณ), …rdx2.nextlgsdp.com, อะไรก็ตามที่เป็น lgsmartad / wiselg / alphonso และการค้นหา in-addr.arpa ทุกครั้ง
• อนุญาต: snu.lge.com, <region>.nextlgsdp.com, lgtvonline.lge.com แล้วพิสูจน์: Settings → Support → Software Update → การตรวจหาอัปเดตต้องสำเร็จ และแอปสโตร์ต้องเปิดได้พร้อมรูปภาพ
• เราเตอร์: กฎบล็อกสองข้อควรบันทึกการชนสองสามครั้งในชั่วโมงแรกหลังเปิดปิดเครื่อง ความเงียบตรงนั้นก็ไม่เป็นไร — แปลว่าทีวีไม่เคยพยายาม
• ถ้าทีวีแจ้งข้อผิดพลาดเครือข่าย หรือลงชื่อเข้า ThinQ ไม่ได้: ปิด regex lgtviot และ lgthinq ก่อน — สองตัวนี้เป็นตัวที่คาดการณ์ ที่เหลือบล็อกเฉพาะการรายงาน และไม่แตะฟีเจอร์ของทีวีเอง

สิ่งที่ DNS หยุดไม่ได้

สิ่งที่ต้องระวัง

• คำนำหน้าภูมิภาคคือหัวใจทั้งหมด ทุกการบล็อกและการอนุญาตข้างบนที่มี th. หรือ kic. จะเป็นคำนำหน้าภูมิภาคของคุณเองบนทีวีของคุณ อ่านล็อกก่อนคัดลอกรายการ
• รายการแบบ Adblock ตรงกับโดเมนย่อย รายการแบบ hosts ตรงแบบตรงตัว รายการ HaGeZi เป็นแบบแรก Perflyst เป็นแบบหลัง นี่คือเหตุผลที่ Perflyst ต้องมีรายการอนุญาต ส่วน HaGeZi ส่วนใหญ่ไม่ต้อง
• ขอบเขตตามกลุ่มคือสิ่งที่ทำให้อยู่กับมันได้ การบล็อก lgthinq.com ทั้งบ้านจะทำให้แอปเครื่องใช้ไฟฟ้า LG พังบนมือถือทุกเครื่อง แต่เมื่อจำกัดไว้ที่ทีวีก็ไม่เสียอะไรเลย
• เพิ่มทีวีตาม MAC และให้ static lease ด้วยอยู่ดี กฎของเราเตอร์ทำงานตามที่อยู่ กลุ่มของ Pi-hole ทำงานตาม MAC ทั้งสองจะถูกต้องต่อเมื่อที่อยู่ไม่เปลี่ยนไปมา
• กฎไฟร์วอลล์ใหม่ไปอยู่ล่างสุด บน pfSense กฎบล็อกต้องถูกลากขึ้นไปไว้เหนือกฎ allow เริ่มต้น ไม่อย่างนั้นจะไม่มีวันตรงกัน — ล็อกจะว่างเปล่า และดูเหมือนทีวีไม่เคยพยายาม