Self-hosta Pi-hole på en VPS: nätverksomfattande ad-blockering över WireGuard

Annons- och tracker-blockering på DNS-nivå är den enskilt högsta-hävstångs integritetsvinsten — den dödar annonser i appar, smart-TV:er och webbläsare lika. En Pi-hole hemma täcker bara din soffa. Sätt den på en VPS bakom WireGuard och varje enhet får filtrerad DNS överallt — mobildata, hotell-wifi, på vägen. Sätt upp det med Docker och betala för servern i krypto, ingen KYC.

Vad detta behöver

• En dedikerad IPv4 för WireGuard-endpointen — klienter ansluter till en inkommande UDP-port, som NAT-plan inte tillhandahåller. Nano-IP eller Small-IP räcker gott.
• WireGuard som transport. Pi-hole svarar DNS bara på tunnel-gränssnittet; den publika DNS-porten förblir stängd. Detta paras direkt med vår WireGuard-guide (länkad nedan).
• Knappt någon RAM/CPU. Pi-hole är lätt även med många enheter och stora blocklistor.

Sätt upp det (Ubuntu 24.04, Docker)

Ställ först upp WireGuard (se guiden nedan), kör sedan Pi-hole bunden till tunnel-IP:n:

# docker-compose.yml — Pi-hole. Bind DNS to the WireGuard interface, NEVER the public
# internet (an open DNS resolver gets abused for amplification attacks).
services:
  pihole:
    image: pihole/pihole:latest
    restart: unless-stopped
    environment:
      TZ: "UTC"
      FTLCONF_webserver_api_password: "change-me-strong"
    volumes:
      - "/srv/pihole/etc:/etc/pihole"
      - "/srv/pihole/dnsmasq.d:/etc/dnsmasq.d"
    ports:
      - "10.8.0.1:53:53/tcp"    # WireGuard IP only — not 0.0.0.0
      - "10.8.0.1:53:53/udp"
      - "127.0.0.1:8080:80"     # admin UI over localhost / SSH tunnel

Lås brandväggen så att DNS aldrig möter internet:

# Firewall: allow WireGuard (UDP 51820) in; keep DNS (53) OFF the public interface.
ufw allow 51820/udp
ufw deny 53
# Point each WireGuard client's DNS at 10.8.0.1 — Pi-hole now filters all their traffic.

Rikta DNS för varje WireGuard-peer mot 10.8.0.1 och hela din enhetsflotta är nu annonsfri, var den än är.

Gör det till ditt

• Blocklistor du väljer — kurera vad som filtreras; lägg till allowlists per domän.
• Per-klient-statistik och query-loggar, synliga i admin-UI:et (nå det över tunneln eller en SSH-port-forward).
• DoH/DoT upstream för krypterad resolution bortom din server.
• Exponera aldrig port 53 publikt — configen ovan binder DNS bara till WireGuard-IP:n.

Varför EQVPS för Pi-hole + WireGuard

• Dedikerad IPv4 från $8/mån, alla portar (inkl. UDP), self-service rDNS.
• EU-platser (Tyskland, Finland) — rena rutter, verklig dataskyddslag.
• Ingen KYC, krypto-betalning. E-post för att registrera, USDC/USDT för att betala — passande för ett integritetsverktyg.
• Root på ~60 sekunder, NVMe. Ta upp WireGuard + Pi-hole och dina enheter är filtrerade var som helst.

Self-hosta WireGuard VPN först → · Anonym VPS-hosting förklarad →