Por qué alojar Pi-hole en un VPS
La mayoría de las guías de Pi-hole asumen una Raspberry Pi en tu red local. Un VPS cambia radicalmente la ecuación: tu bloqueador DNS está accesible desde cualquier dispositivo, en cualquier lugar del mundo. Configura tu smartphone en movimiento para apuntar a tu VPS y los anuncios desaparecen incluso en redes móviles y Wi-Fi públicas.
Beneficios concretos de Pi-hole en un VPS
- Protección universal: cubre todos tus dispositivos (PCs, teléfonos, tabletas) sin configuración por dispositivo
- Reducción del ancho de banda: las peticiones bloqueadas no consumen ningún byte de descarga
- Registros DNS centralizados: visibilidad completa de los dominios contactados por cada dispositivo
- Independencia del ISP: tu DNS ya no transita por el resolvedor de tu operador
- Bloqueo de rastreadores IoT: los dispositivos conectados no pueden contactar sus servidores de telemetría
- Personalizable: añade tus propias reglas, pon en lista blanca lo que necesites, elige tus listas
Pi-hole v5 vs Pi-hole v6: qué cambió
Pi-hole v5 vs v6
Desplace la tabla
| Característica | Pi-hole v5 | Pi-hole v6 (2025) |
|---|---|---|
| Interfaz web | PHP + lighttpd | Integrada en FTL, sin lighttpd |
| Motor DNS | dnsmasq separado | FTL unificado (Faster Than Light) incluye DNS |
| API | API limitada, clave en la URL | API REST completa con autenticación por token |
| Configuración | Ficheros en /etc/pihole/* | Fichero TOML único pihole.toml |
| Instalación | Script curl | bash | Script curl | bash (idéntico, misma URL) |
| Docker | Imagen pihole/pihole | Imagen pihole/pihole (actualizada, mismo nombre) |
La migración de v5 a v6 se realiza mediante el script de instalación estándar ejecutado en un sistema v5 existente: Pi-hole detecta la versión existente y ofrece la actualización. La configuración se convierte automáticamente al formato TOML. Si empiezas desde cero, instala directamente v6.
Requisitos técnicos
Lo que necesitas
- Un VPS con Ubuntu 22.04/24.04 o Debian 12 con al menos 512 MB de RAM (1 GB recomendado)
- Una dirección IPv4 estática e idealmente una dirección IPv6
- Acceso SSH root o sudo
- Puerto 53 (TCP y UDP) abierto en el firewall del VPS y en tu proveedor de alojamiento
- Puerto 80 o 443 para la interfaz web (opcional, pero recomendado con HTTPS)
Desplegar Pi-hole paso a paso
Instalación completa en Ubuntu/Debian
Desactivar el stub resolver de systemd-resolved
Instalar Pi-hole
Configurar el firewall
Verificar el funcionamiento
Apuntar tus dispositivos al VPS
Acceder a la interfaz web
Añadir las mejores listas de bloqueo
Pi-hole viene con una lista básica. Para un bloqueo eficaz, añade listas comunitarias probadas desde el menú Adlists de la interfaz web (Group Management → Adlists).
Listas recomendadas
- StevenBlack Unified (anuncios + rastreadores): https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts — la referencia, ~100.000 dominios
- OISD Big: https://big.oisd.nl — lista agresiva pero pocos falsos positivos, ~500.000 dominios
- Firebog Ticked (solo marca verde): visita firebog.net y añade solo las listas con marca verde para minimizar los falsos positivos
- HaGeZi Multi PRO: https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/pro.txt — excelente cobertura de malware
- Perflyst Smart-TV: para bloquear la telemetría de televisores inteligentes
Tras añadir listas, haz clic en Tools → Update Gravity (o ejecuta pihole -g por SSH) para descargar y compilar todas las listas. La operación puede tardar de 1 a 3 minutos según el número de listas. Pi-hole permanece funcional durante la actualización.
Gestionar los falsos positivos y la lista blanca
Un bloqueo demasiado agresivo acaba rompiendo servicios legítimos. Pi-hole proporciona herramientas de diagnóstico precisas para identificar y corregir los falsos positivos sin debilitar tu protección.
Diagnosticar y corregir un falso positivo
Identificar el dominio bloqueado
Añadir a la lista blanca
Lista blanca desde la línea de comandos
Casos comunes de falsos positivos
Resolver conflictos de Docker y el puerto 53
Si tu VPS ejecuta contenedores Docker, encontrarás un segundo problema: Docker crea su propio resolvedor DNS interno que también puede escuchar en el puerto 53. Así es como convivir.
Resolver conflictos de Docker DNS
Desactivar el DNS de Docker en el host
Pi-hole en Docker
Verificar que ningún otro proceso escucha
Pi-hole + Unbound: recursión DNS completa sin terceros
Por defecto, Pi-hole reenvía las consultas no bloqueadas a un resolvedor público (Cloudflare 1.1.1.1, Google 8.8.8.8). Ese resolvedor ve entonces todas tus consultas DNS. Unbound resuelve este problema consultando directamente los servidores raíz y de autoridad, sin intermediario.
Instalar y configurar Unbound
Instalar Unbound
Crear la configuración Pi-hole + Unbound
Apuntar Pi-hole a Unbound
Verificar la recursión
Supervisar las métricas de Pi-hole
El panel de Pi-hole v6 muestra las métricas clave en tiempo real. Así es como interpretarlas y qué vigilar.
Métricas importantes y valores de referencia
- Tasa de bloqueo (Ads blocked today): entre 10% y 30% es normal. Una tasa inferior al 5% sugiere que tus listas están incompletas. Una tasa superior al 40% puede indicar demasiados falsos positivos.
- Queries/24h: da una idea de la carga. Una red familiar genera típicamente entre 5.000 y 50.000 consultas por día.
- Top Blocked Domains: si un dominio publicitario encabeza la lista cada día, la aplicación correspondiente es especialmente intrusiva.
- Top Clients: identifica los dispositivos más «parlanchines» — los objetos IoT suelen estar a la cabeza.
- DNS cache size: en v6, FTL gestiona la caché interna. Una tasa de aciertos alta (>60%) reduce la latencia percibida.
- Query Types: un volumen anormal de consultas PTR (resolución inversa) puede indicar un escaneo de red o software mal configurado.
Para exportar métricas a Grafana o Prometheus, Pi-hole v6 expone una API REST en /api/metrics. Un exportador comunitario (pihole-exporter) permite integrar Pi-hole en un panel existente sin modificar la configuración de Pi-hole.
Copia de seguridad y restauración de la configuración de Pi-hole
Las copias de seguridad regulares de Pi-hole son esenciales: preservan tus listas personalizadas, lista blanca, grupos y configuración DNS, que no querrás reconfigurer manualmente después de una migración o reinstalación.
Copia de seguridad y restauración
Crear una copia de seguridad con Teleporter
Automatizar las copias de seguridad
Restaurar desde una copia de seguridad
Copia de seguridad de la configuración de Unbound
Guarda tus copias de seguridad fuera del VPS: cópialas a un bucket S3, un servidor remoto o tu máquina local. Si tu VPS se vuelve inaccesible, puedes reconfigurar Pi-hole en un nuevo servidor en minutos simplemente importando el archivo Teleporter.
