1. Igen, amíg nem az alkalmazás dönti el, hogy milyen DNS-t használ addig ez oké. De azért szerintem nincs olyan messze a DNS forgalom védelme sem.

2. Az RPI router mögött van, ez igaz, de ezért írtam, hogy nem is az rpi-t kell kompromittálni, hanem elég a listát amit használ. Ha mondjuk dinamikusan frissíti az RPI a saját szűrő listáját külső forrásból, akkor elég azt támadni ahonnan a listát veszi (tehát magát a listát módosítani) és minden pi hole ami azt a listát használja máris a támadó által kívánt helyre fogja terelni a forgalmat. Nem tudom a gyakorlatban történt e már ilyen, én csak az elvi lehetőségre gondoltam.