Gemma 睇 65 萬條 DNS log：屋企 LAN 其實嘈過你想像

件事講緊乜

要先講清楚：呢次係 XDA 作者 Shekhar Vaidya 嘅 home lab 經驗，唔係 TechLab 自己實測，亦唔係一個可重複 benchmark。佢攞住一批過去一兩個月儲低嘅 DNS 記錄，原本散喺 Pi-hole、AdGuard Home 同 Technitium 幾套 DNS server 入面，最後只用 Pi-hole 同 AdGuard Home，整理出超過 65 萬條原始記錄，再交畀本機跑嘅 Gemma 4 E4B 分析。

重點唔係 Gemma 一口吞晒 65 萬行。XDA 作者自己估過，呢批 CSV 大約 1,200 萬 tokens，而 Gemma 4 E4B 官方係 128K context，根本塞唔入。佢先用程式喺本機整理成摘要：熱門 domain、每部 client 查詢量、每小時分佈、每日總量，再交畀 Ollama 入面嘅 Gemma。呢度先有啟發：AI 負責推理，前面嘅資料整理決定佢睇到咩。

圖片：Google Blog

Dashboard 睇數字，LLM 睇關係

Pi-hole 同 AdGuard Home dashboard 平時幾好用，邊個 domain 最多、邊部機最多查詢、封咗幾多廣告，一眼見到。不過 dashboard 多數係排榜同圖表，佢唔會自己問：凌晨 4 至 7 點點解突然多咗查詢？幾個 Amazon domain 點解成日一齊出現？某部 smart TV 明明 idle，點解仲同 telemetry server 傾偈？

XDA 作者話，Gemma 喺冇 device name、hostname、vendor label 嘅情況下，見到 firetvcaptiveportal.com、minerva.devices.a2z.com 同一批 Amazon telemetry domain 成日一齊出現，就歸埋一組，估到係 Fire TV Stick。佢又搵到凌晨高峰，對返係 Nextcloud sync、Samba 同背景 job。呢啲唔係驚天發現，但對屋企有 NAS、router、Home Assistant、幾十件 smart home 嘅人，已經夠實用。

本機 AI 嘅價值：唔使交出全屋 DNS

最啱呢個場景嘅位，係本機 LLM。DNS log 其實好私密，IETF 嘅 DNS privacy 文件講得好白：單次查詢同一串查詢，可以透露某個人用緊咩服務、幾時用、用得幾密。屋企層面睇，一部機半夜連邊個 domain，可能已經估到有人開咗 streaming、game console、VPN，甚至健康 app。

所以呢類分析最好留喺自己 NAS、mini PC 或 router 後面嘅小機做，唔好整包 log 掟上雲端聊天工具。AdGuard Home 官方私隱頁講明，log 同 DNS query log 會留喺跑緊 AdGuard Home 嗰部裝置，保留幾耐由用家自己管；Pi-hole 亦有 privacy level，可以隱藏 domain、client，level 3 會停用 query log 同長期資料庫。想玩呢類分析，開模型之前要諗清楚邊啲欄位保留、邊啲匿名化。

家用同 SOHO 可以點用

呢件事放返香港環境，其實唔係為咗玩 dashboard。好多家庭用緊 1Gbps 或 2.5Gbps 光纖、NAS、mesh Wi-Fi、IP cam、門鎖、冷氣 app、小朋友平板；SOHO 又可能有員工 notebook、printer、VPN、會計 SaaS。平時 router admin page 只話畀你知有幾多流量，DNS log 先會講邊部機喺咩時間問過邊個服務。

本機 LLM 可以幫手做第一層 triage：搵半夜突然爆量嘅裝置、搵不停重試失敗 domain 嘅 IoT、搵同公司業務無關嘅 SaaS、或者睇小朋友部 tablet 深夜有冇奇怪查詢。佢唔可以代替 SIEM、firewall rule、IDS，亦唔應該自動幫你封 domain；最穩陣係用嚟提出可疑線索，再由人對返裝置、時間同實際用途。

唔好神化：模型會估錯，log 亦會呃你

Gemma 今次估中 Fire TV，好大原因係 Amazon domain 命名明顯，查詢規律又集中。換轉一堆 CDN、Microsoft 365、Apple push、Google Play services，domain 可能共用好多服務，LLM 好容易講到似真但其實錯。Google 自己嘅 Gemma model card 都提醒，模型唔係知識庫，可能產生錯誤或者過時嘅事實。

DNS log 亦唔等於完整流量分析。DoH、app 內置 DNS、VPN、CDN、encrypted client hello、local cache，都會令你睇漏嘢；相反，某個 domain 多查詢，未必代表有大量資料上傳。實際玩法係 DNS log 配合 DHCP lease、router client 名稱、firewall counter、NAS job schedule，一齊砌返合理故事。AI 可以縮短你搵線索嘅時間，但每個結論都要有第二個訊號印證。

實用 take

XDA 呢個實驗提醒咗一件事：家用 DNS server 已經儲住一堆本來冇人睇嘅安全同私隱訊號。Pi-hole 同 AdGuard Home 封廣告只係入門；下一步可以係定期匯出、摘要化、匿名化，再用本機模型問幾條固定問題：邊部機突然變嘈？邊啲 domain 成日失敗？邊個時段唔合理？

對 NAS、smart home、家長監控或者小型辦公室嚟講，呢個方法值得試，但唔好畀模型直接改 router 設定，亦唔好無限期留住全家 DNS 記錄。由最少資料開始，見到異常先鑽深一層，會實際過一次過收晒所有 log 再交畀 AI 猜。

參考來源

• XDA Developers — I dumped 650K DNS records into Gemma, and it found patterns my dashboard completely missed — original report
• Gemma 4: Byte for byte, the most capable open models — 核對 Gemma 4 發布背景、模型定位同官方 blog 配圖來源。
• Gemma 4 model overview | Google AI for Developers — 核對 Gemma 4 家族、E2B/E4B edge 定位、128K/256K context 講法。
• Gemma 4 model card | Google AI for Developers — 核對 Gemma 4 context、E4B 規格同官方限制，包括模型可能講錯事實。
• Query Database - Pi-hole documentation — 核對 Pi-hole 長期 query data 儲喺 SQLite、預設保留日數同資料庫位置。
• Privacy levels - Pi-hole documentation — 核對 Pi-hole privacy level 點樣隱藏 domain/client 同停用 query log。
• AdGuard Home Privacy Notice — 核對 AdGuard Home log 存喺本機，同保留時間由用家管理。
• RFC 9076 - DNS Privacy Considerations — 補 DNS query 私隱背景：單次查詢同查詢序列都可以洩露使用習慣。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。