Por qué autoalojar Pi-hole en un VPS
Pi-hole es un resolvedor DNS con filtrado: intercepta las peticiones de sus dispositivos y se niega a resolver los dominios de publicidad, de telemetría y de rastreo a partir de listas de bloqueo. Alojado en un VPS en lugar de en una Raspberry en casa, le sigue a todas partes: su teléfono con datos móviles, su portátil en una cafetería o un servidor remoto pueden usarlo como DNS y beneficiarse del filtrado. El VPS aporta lo que el hardware local no puede: una IP pública estable accesible desde cualquier sitio y una disponibilidad permanente. La contrapartida es la seguridad: un resolvedor DNS abierto en Internet es un blanco. Ese es todo el reto de este despliegue: exponer Pi-hole de forma controlada, nunca como DNS público abierto.
Beneficios concretos de Pi-hole en un VPS
- Filtrado de publicidad y antirrastreo para todos sus dispositivos, estén donde estén, sin instalar ningún software.
- DNS cifrado posible (DNS-over-HTTPS / DNS-over-TLS) aguas arriba mediante un resolvedor como cloudflared.
- Panel de control detallado: visualice en tiempo real qué dominios contactan sus dispositivos.
- Listas de bloqueo personalizables y reglas allow/deny por cliente para aplicar políticas diferenciadas.
- Resolución más rápida gracias a la caché DNS local, compartida entre todos sus dispositivos.
- Reutilizable como DNS para sus otros VPS y contenedores, con registro centralizado.
Requisitos técnicos
Pi-hole es extremadamente ligero: bastan 1 vCPU, de 512 MB a 1 GB de RAM y unos pocos gigabytes de disco. Necesita Docker y Docker Compose. El punto crítico no es la potencia, sino la red y la seguridad: Pi-hole escucha en el puerto 53 (DNS, TCP y UDP) y expone una interfaz web de administración. No abra nunca el puerto 53 a todo Internet: un resolvedor DNS abierto acabará siendo utilizado para ataques de amplificación. Prevea por tanto o bien una VPN (WireGuard) para acceder al DNS de forma privada, o bien una restricción por cortafuegos a las únicas IP autorizadas. Un subdominio pihole.votredomaine.com resulta útil para la interfaz en HTTPS.
Desplegar Pi-hole paso a paso
Preparar la stack Docker
En el VPS, cree
/opt/piholey undocker-compose.ymlbasado en la imagenpihole/pihole:latest. Defina la variableWEBPASSWORDy la zona horariaTZ, y monte volúmenes para/etc/piholey/etc/dnsmasq.dcon el fin de persistir la configuración.Blindar el acceso DNS antes que nada
No publique el puerto 53 hacia
0.0.0.0. Lo más seguro: despliegue primero WireGuard en el VPS y haga que Pi-hole escuche únicamente en la interfaz VPN. En su defecto, restrinja el puerto 53 por cortafuegos (ufw) a las únicas IP de confianza. Un resolvedor abierto es inaceptable.Arrancar Pi-hole
Arranque con
docker compose up -d. Compruebe que el servicio responde internamente:docker compose exec pihole dig @127.0.0.1 doubleclick.netdebe devolver una respuesta bloqueada (0.0.0.0).Proteger la interfaz de administración
Exponga la interfaz web (puerto interno 80) únicamente detrás de un reverse proxy HTTPS, nunca en claro. Con Caddy:
pihole.votredomaine.com { reverse_proxy pihole:80 }. La administración sigue accesible en/admincon la contraseña definida.Activar un DNS ascendente cifrado
Añada un contenedor
cloudflaredcomo resolvedor DoH y configure Pi-hole para usarlo como upstream (127.0.0.1#5053). Sus peticiones salientes viajan entonces cifradas entre el VPS y el resolvedor público.Configurar sus dispositivos
Apunte el DNS de sus dispositivos (o la configuración de WireGuard) a la IP del VPS. En el móvil, use el perfil VPN para enrutar el DNS a través de Pi-hole incluso de viaje. Compruebe el filtrado en el panel de control en tiempo real.
Combine Pi-hole con WireGuard en el mismo VPS: haga que Pi-hole escuche exclusivamente en la interfaz wg0 y distribúyalo como DNS en la configuración de los peers de WireGuard. Obtiene así un DNS con filtrado privado, cifrado y accesible desde cualquier lugar, sin exponer nunca el puerto 53 a Internet: es la única manera realmente segura de tener un Pi-hole «nómada». Añada después listas de bloqueo temáticas (por ejemplo listas antitelemetría o antirrastreadores regionales) en lugar de una única lista gigante, para mantener bajo el índice de falsos positivos.
