Self-host Pi-hole på en VPS: netværksdækkende reklameblokering over WireGuard

Reklame- og tracker-blokering på DNS-niveau er den enkelt højeste privatlivs-gevinst med mest løftestang — den dræber reklamer i apps, smart-TV'er og browsere lige meget. En hjemme-Pi-hole dækker kun din sofa. Sæt den på en VPS bag WireGuard, og hver enhed får filtreret DNS overalt — mobildata, hotel-Wi-Fi, på farten. Sæt den op med Docker og betal for serveren i krypto, ingen KYC.

Hvad dette har brug for

• En dedikeret IPv4 til WireGuard-endpointet — klienter forbinder til en indgående UDP-port, som NAT-abonnementer ikke leverer. Nano-IP eller Small-IP er rigeligt.
• WireGuard som transport. Pi-hole besvarer DNS kun på tunnel-interfacet; den offentlige DNS-port forbliver lukket. Dette parrer direkte med vores WireGuard-guide (linket nedenfor).
• Knap nogen RAM/CPU. Pi-hole er let selv med mange enheder og store blocklister.

Sæt det op (Ubuntu 24.04, Docker)

Rejs først WireGuard (se guiden nedenfor), kør derefter Pi-hole bundet til tunnel-IP'en:

# docker-compose.yml — Pi-hole. Bind DNS til WireGuard-interfacet, ALDRIG det offentlige
# internet (en åben DNS-resolver bliver misbrugt til amplifikationsangreb).
services:
  pihole:
    image: pihole/pihole:latest
    restart: unless-stopped
    environment:
      TZ: "UTC"
      FTLCONF_webserver_api_password: "change-me-strong"
    volumes:
      - "/srv/pihole/etc:/etc/pihole"
      - "/srv/pihole/dnsmasq.d:/etc/dnsmasq.d"
    ports:
      - "10.8.0.1:53:53/tcp"    # kun WireGuard-IP — ikke 0.0.0.0
      - "10.8.0.1:53:53/udp"
      - "127.0.0.1:8080:80"     # admin-UI over localhost / SSH-tunnel

Lås firewallen, så DNS aldrig vender mod internettet:

# Firewall: tillad WireGuard (UDP 51820) ind; hold DNS (53) VÆK fra det offentlige interface.
ufw allow 51820/udp
ufw deny 53
# Peg hver WireGuard-klients DNS mod 10.8.0.1 — Pi-hole filtrerer nu al deres trafik.

Peg hver WireGuard-peers DNS mod 10.8.0.1, og hele din enhedsflåde er nu reklamefri, hvor end den er.

Gør den til din

• Blocklister du vælger — kurér, hvad der filtreres; tilføj allowlister per domæne.
• Per-klient-statistik og forespørgselslogs, synlige i admin-UI'en (nå den over tunnelen eller en SSH-port-forward).
• DoH/DoT-upstream til krypteret resolution ud over din server.
• Eksponér aldrig port 53 offentligt — konfigurationen ovenfor binder DNS kun til WireGuard-IP'en.

Hvorfor EQVPS til Pi-hole + WireGuard

• Dedikeret IPv4 fra $8/md, alle porte (inkl. UDP), selvbetjent rDNS.
• EU-lokationer (Tyskland, Finland) — rene ruter, reel databeskyttelseslov.
• Ingen KYC, kryptobetaling. E-mail for at registrere, USDC/USDT for at betale — passende for et privatlivsværktøj.
• Root på ~60 sekunder, NVMe. Rejs WireGuard + Pi-hole, og dine enheder er filtreret hvor som helst.

Self-host WireGuard-VPN først → · Anonym VPS-hosting forklaret →