โฮสต์ Pi-hole เองบน VPS: การบล็อกโฆษณาทั่วเครือข่ายผ่าน WireGuard

การบล็อกโฆษณาและตัวติดตามที่ระดับ DNS คือชัยชนะความเป็นส่วนตัวที่ leverage สูงที่สุดตัวเดียว — มันฆ่าโฆษณาในแอป สมาร์ททีวี และเบราว์เซอร์เหมือนกัน Pi-hole ที่บ้านครอบคลุมแค่โซฟาของคุณ วางมันบน VPS หลัง WireGuard และทุกอุปกรณ์ได้ DNS ที่กรองทุกที่ — เน็ตมือถือ Wi-Fi โรงแรม บนถนน ตั้งค่ามันด้วย Docker และจ่ายค่าเซิร์ฟเวอร์ด้วยคริปโต ไม่ต้อง KYC

นี่ต้องการอะไร

• IPv4 แบบเฉพาะ สำหรับ endpoint WireGuard — ไคลเอนต์เชื่อมต่อพอร์ต UDP ขาเข้า ซึ่งแพ็กเกจ NAT ไม่ให้ Nano-IP หรือ Small-IP เพียงพอ
• WireGuard เป็น transport Pi-hole ตอบ DNS เฉพาะบนอินเทอร์เฟซ tunnel พอร์ต DNS สาธารณะยังปิด นี่จับคู่ตรงกับคู่มือ WireGuard ของเรา (ลิงก์ด้านล่าง)
• RAM/CPU แทบไม่มี Pi-hole เบาแม้มีหลายอุปกรณ์และ blocklist ใหญ่

ตั้งค่ามัน (Ubuntu 24.04, Docker)

ก่อนอื่นยก WireGuard ขึ้น (ดูคู่มือด้านล่าง) จากนั้นรัน Pi-hole ผูกกับ IP ของ tunnel:

# docker-compose.yml — Pi-hole ผูก DNS กับอินเทอร์เฟซ WireGuard ไม่เคยกับ
# อินเทอร์เน็ตสาธารณะ (open DNS resolver ถูกใช้ในทางที่ผิดสำหรับการโจมตี amplification)
services:
  pihole:
    image: pihole/pihole:latest
    restart: unless-stopped
    environment:
      TZ: "UTC"
      FTLCONF_webserver_api_password: "change-me-strong"
    volumes:
      - "/srv/pihole/etc:/etc/pihole"
      - "/srv/pihole/dnsmasq.d:/etc/dnsmasq.d"
    ports:
      - "10.8.0.1:53:53/tcp"    # IP WireGuard เท่านั้น — ไม่ใช่ 0.0.0.0
      - "10.8.0.1:53:53/udp"
      - "127.0.0.1:8080:80"     # admin UI ผ่าน localhost / SSH tunnel

ล็อก firewall เพื่อให้ DNS ไม่เคยหันหน้าอินเทอร์เน็ต:

# Firewall: อนุญาต WireGuard (UDP 51820) เข้า; เก็บ DNS (53) ปิดบนอินเทอร์เฟซสาธารณะ
ufw allow 51820/udp
ufw deny 53
# ชี้ DNS ของ WireGuard client แต่ละตัวไปที่ 10.8.0.1 — Pi-hole กรองทราฟฟิกทั้งหมดของพวกมัน

ชี้ DNS ของ WireGuard peer แต่ละตัวไปที่ 10.8.0.1 และกองอุปกรณ์ทั้งหมดของคุณตอนนี้ปลอดโฆษณา ที่ไหนก็ตามที่มันอยู่

ทำให้เป็นของคุณ

• blocklist ที่คุณเลือก — คัดสิ่งที่กรอง เพิ่ม allowlist ต่อโดเมน
• สถิติต่อ client และ query log มองเห็นได้ใน admin UI (เข้าถึงผ่าน tunnel หรือ SSH port-forward)
• upstream DoH/DoT สำหรับการแปลงค่าที่เข้ารหัสเกินเซิร์ฟเวอร์ของคุณ
• อย่าเปิดพอร์ต 53 สาธารณะ — คอนฟิกข้างต้นผูก DNS กับ IP WireGuard เท่านั้น

ทำไม EQVPS สำหรับ Pi-hole + WireGuard

• IPv4 แบบเฉพาะจาก $8/เดือน ทุกพอร์ต (รวม UDP) rDNS บริการตนเอง
• ตำแหน่ง EU (เยอรมนี ฟินแลนด์) — เส้นทางสะอาด กฎหมายคุ้มครองข้อมูลจริง
• ไม่ KYC จ่ายด้วยคริปโต อีเมลเพื่อลงทะเบียน USDC/USDT เพื่อจ่าย — เหมาะสำหรับเครื่องมือความเป็นส่วนตัว
• root ใน ~60 วินาที NVMe ยก WireGuard + Pi-hole ขึ้นและอุปกรณ์ของคุณถูกกรองทุกที่

โฮสต์ WireGuard VPN เองก่อน → · โฮสติง VPS ไม่ระบุตัวตนอธิบาย →