在 VPS 上自託管 Pi-hole：透過 WireGuard 實作全網去廣告

在 DNS 層面遮蔽廣告和追蹤器是槓桿最高的隱私之舉——它能同時幹掉應用、智慧電視和瀏覽器裡的廣告。家裡的 Pi-hole 只覆蓋您的沙發。把它放到 VPS 上、置於 WireGuard 之後，每台裝置在任何地方都獲得過濾後的 DNS——移動資料、酒店 Wi-Fi、在路上。用 Docker 搭建，用加密貨幣付款、免 KYC。

需要什麼

• 一個專用 IPv4 作為 WireGuard 端點——用戶端連線到一個對內 UDP 埠，而 NAT 方案沒有。Nano-IP 或 Small-IP 綽綽有餘。
• 以 WireGuard 為傳輸。 Pi-hole 只 在通道介面上應答 DNS；公用 DNS 埠保持關閉。這與我們的 WireGuard 指南直接配套（見下方）。
• 幾乎不佔 RAM/CPU。 即便很多裝置和大型遮蔽列表，Pi-hole 也很輕。

部署（Ubuntu 24.04，Docker）

先架起 WireGuard（見下方指南），再執行綁定到通道 IP 的 Pi-hole：

# docker-compose.yml — Pi-hole. Bind DNS to the WireGuard interface, NEVER the public
# internet (an open DNS resolver gets abused for amplification attacks).
services:
  pihole:
    image: pihole/pihole:latest
    restart: unless-stopped
    environment:
      TZ: "UTC"
      FTLCONF_webserver_api_password: "change-me-strong"
    volumes:
      - "/srv/pihole/etc:/etc/pihole"
      - "/srv/pihole/dnsmasq.d:/etc/dnsmasq.d"
    ports:
      - "10.8.0.1:53:53/tcp"    # WireGuard IP only — not 0.0.0.0
      - "10.8.0.1:53:53/udp"
      - "127.0.0.1:8080:80"     # admin UI over localhost / SSH tunnel

鎖好防火牆，讓 DNS 永不面向網際網路：

# Firewall: allow WireGuard (UDP 51820) in; keep DNS (53) OFF the public interface.
ufw allow 51820/udp
ufw deny 53
# Point each WireGuard client's DNS at 10.8.0.1 — Pi-hole now filters all their traffic.

把每個 WireGuard 對等端的 DNS 指向 10.8.0.1，您的整套裝置無論在哪都告別廣告。

讓它屬於您

• 您選擇的遮蔽列表——自定過濾內容；按網域新增白名單。
• 按用戶端的統計 和查詢記錄，在管理介面可見（透過通道或 SSH 埠轉發存取）。
• DoH/DoT 上游 實作伺服器之外的加密解析。
• 永不公開 53 埠——上方設定把 DNS 只綁定到 WireGuard IP。

為什麼選擇 EQVPS 做 Pi-hole + WireGuard

• 專用 IPv4 每月 $8 起，所有埠（含 UDP），自助反向 DNS。
• 歐盟地點——乾淨的路由、真正的資料保護法。
• 免 KYC、加密貨幣付款。 用電子郵件註冊、用 USDC/USDT 付款——很適合隱私工具。
• 約 60 秒拿到 root、NVMe。 架起 WireGuard + Pi-hole，您的裝置在任何地方都被過濾。

先自託管 WireGuard VPN → · 匿名 VPS 託管解釋 →