استضافة Pi-hole على خادمك الافتراضي الخاص

لماذا تستضيف Pi-hole على خادم VPS

مزايا ملموسة لـ Pi-hole على خادم VPS

• حماية شاملة: تغطي جميع أجهزتك (أجهزة كمبيوتر، هواتف، أجهزة لوحية) دون إعداد لكل جهاز على حدة
• تقليل استهلاك النطاق الترددي: الطلبات المحجوبة لا تستهلك أي بيانات
• سجلات DNS مركزية: رؤية كاملة للنطاقات التي يتصل بها كل جهاز
• استقلالية عن مزود الخدمة: لا يمر DNS بعد الآن عبر محلل مزود الإنترنت
• حجب متتبعات إنترنت الأشياء: لا تستطيع الأجهزة المتصلة الاتصال بخوادم القياس عن بُعد
• قابل للتخصيص: أضف قواعدك الخاصة، وضع في القائمة البيضاء ما تحتاجه، اختر قوائمك

‏Pi-hole v5 مقابل Pi-hole v6: ما الذي تغيّر

Pi-hole v5 مقابل v6

مرّر الجدول أفقيًا

المتطلبات التقنية

ما تحتاجه

• ‏خادم VPS يعمل بنظام Ubuntu 22.04/24.04 أو Debian 12 بذاكرة وصول عشوائي لا تقل عن 512 ميغابايت (يُوصى بـ 1 غيغابايت)
• عنوان IPv4 ثابت وعنوان IPv6 بشكل مثالي
• ‏الوصول عبر SSH بصلاحيات root أو sudo
• المنفذ 53 (TCP وUDP) مغلق أمام الإنترنت: مفتوح فقط لواجهة WireGuard أو لعناوين IP الخاصة بك، ولا يُفتح للجميع أبدًا
• ‏المنفذ 80 أو 443 لواجهة الويب (اختياري، لكن يُوصى به مع HTTPS)

الأمان أولًا: لا محلل مفتوحًا، وتحديثات متابَعة

نشر Pi-hole خطوة بخطوة

‏التثبيت الكامل على Ubuntu/Debian

1. 01

   ‏تعطيل محلل الوكيل الخاص بـ systemd-resolved

   ‏على Ubuntu وDebian الحديثين، يستمع systemd-resolved على المنفذ 53 محلياً‏. لا يمكن لـ Pi-hole البدء طالما هذا المنفذ محجوز‏. حرّر /etc/systemd/resolved.conf وأضف DNSStubListener=no تحت قسم [Resolve]‏. ثم أعد التحميل: sudo systemctl reload systemd-resolved‏. تحقق من أن المنفذ حر: ss -tulpn | grep ':53'‏.

2. 02

   تثبيت Pi-hole

   شغّل السكربت الرسمي:

   curl -sSL https://install.pi-hole.net | bash

   يسألك المثبّت عن واجهة الشبكة (غالبًا eth0) وعن خادم DNS الأعلى (اختر Custom إن كنت ستثبّت Unbound لاحقًا). احتفظ بوضع الاستماع الافتراضي «Allow only local requests»: فهو المناسب مع WireGuard. دوّن كلمة مرور المسؤول المعروضة في النهاية، أو حدّدها بالأمر pihole setpassword.

3. 03

   إعداد الجدار الناري

   لا تفتح المنفذ 53 للإنترنت كله. افتح منفذ WireGuard، واسمح بـDNS من الشبكة الفرعية للنفق، وارفض الباقي:

   sudo ufw allow 51820/udp
   sudo ufw allow from 10.8.0.0/24 to any port 53
   sudo ufw deny 53

   عدّل 10.8.0.0/24 وفق الشبكة الفرعية لنفقك. وإن كنت تستخدم CSF أو firewalld، فانقل القواعد نفسها. ولا يجوز أن تكون واجهة الويب عامة أيضًا: مرّ عبر النفق أو عبر بروكسي عكسي HTTPS مقيّد بعناوينك.

4. 04

   التحقق من العمل

   اختبر التحليل ثم الحجب من الخادم نفسه، ثم تحقق من الخارج أن المنفذ غير متاح خارج النفق:

   # from the VPS
   dig @127.0.0.1 google.com
   dig @127.0.0.1 doubleclick.net
   # from an outside machine, OUTSIDE the tunnel: must fail
   nmap -sU -p 53 IP_DE_VOTRE_VPS

   يجب أن يعيد google.com عنوانًا، وأن يجيب doubleclick.net بـ0.0.0.0، وأن يُظهر nmap المنفذ closed أو filtered.

5. 05

   توجيه أجهزتك نحو الخادم

   الطريق الأبسط هو WireGuard: في إعداد كل عميل، حدّد عنوان Pi-hole داخل النفق خادمًا لـDNS، وفق دليل WireGuard من Pi-hole:

   [Interface]
   Address = 10.8.0.2/32
   DNS = 10.8.0.1

   على Android، لا يصلح «DNS الخاص»: فهو ينتظر اسم مضيف لمزوّد DNS-over-TLS لا عنوان IP (انظر مساعدة Android)، وPi-hole لا يقدّم DNS مشفّرًا. وعلى iOS والحواسيب، يطبّق تطبيق WireGuard سطر DNS نفسه. ويحميك النفق أيضًا على شبكات 4G وشبكات Wi-Fi العامة.

6. 06

   فتح واجهة الويب

   في v6، يقدّم FTL الواجهة بنفسه على http://IP/admin (وعبر HTTPS بشهادة موقّعة ذاتيًا). افتحها عبر النفق، مثلًا http://10.8.0.1/admin، وسجّل الدخول بكلمة المرور المحدّدة عند التثبيت. تعرض لوحة التحكم مباشرة عدد الطلبات ونسبة الحجب والنطاقات الأكثر طلبًا والعملاء الأكثر نشاطًا.

إضافة أفضل قوائم الحجب

القوائم الموصى بها

• ‏StevenBlack Unified (إعلانات + متتبعات): https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts — المرجع، نحو 100,000 نطاق
• ‏OISD Big: https://big.oisd.nl — قائمة صارمة لكن إيجابيات خاطئة قليلة، نحو 500,000 نطاق
• ‏Firebog Ticked (العلامة الخضراء فقط): زر firebog.net وأضف القوائم ذات العلامة الخضراء فقط لتقليل الإيجابيات الخاطئة
• ‏HaGeZi Multi PRO: https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/pro.txt — تغطية ممتازة للبرامج الضارة
• ‏Perflyst Smart-TV: لحجب بيانات القياس من التلفزيونات الذكية

إدارة الإيجابيات الخاطئة والقائمة البيضاء

تشخيص الإيجابية الخاطئة وإصلاحها

1. 07

   تحديد النطاق المحجوب

   ‏في الواجهة، افتح Query Log (‏الوقت الفعلي‏) أو Long-term data → Query Log‏. فلتر حسب العميل أو حالة Blocked‏. تُظهر كل إدخال النطاق الدقيق والقائمة التي حجبته‏. في v6‏، يمكنك النقر على الإدخال لرؤية التفاصيل الكاملة‏.

2. 08

   الإضافة إلى قائمة السماح

   انقر النطاق ثم Allow، أو افتح Domains وأضفه بالنوع Allow. وللسماح بنطاق وجميع نطاقاته الفرعية، استخدم خيار Wildcard. يتغلب الإدخال المسموح دائمًا على قوائم الحجب. وإن تكرر الإيجابي الخاطئ نفسه على نطاقات كثيرة، فاشترك بدلًا من ذلك في قائمة سماح يصونها المجتمع، من Lists بالنوع Allow.

3. 09

   السماح من سطر الأوامر

   أعاد v6 تسمية الأوامر: لم يعد pihole -w و--white-wild موجودين. عبر SSH:

   pihole allow example.com
   pihole --allow-wild example.com
   pihole allow -l

   يسمح الأول بنطاق محدد، والثاني بالنطاق ونطاقاته الفرعية، ويعرض الثالث قائمة السماح.

4. 10

   حالات الإيجابيات الخاطئة الشائعة

   ‏قد يُحجب Microsoft Teams وOffice 365 أحياناً على القوائم الصارمة (نطاقات live.com‏، microsoft.com‏)‏. تستخدم Apple شبكات CDN مشتركة مع متتبعات‏. قد تُحجب تحديثات Windows التلقائية بواسطة بعض القوائم‏. توجد القائمة الخضراء في firebog.net تحديداً لتقليل هذه المشكلات‏.

Pi-hole داخل Docker وتعارضات المنفذ 53

نشر Pi-hole عبر Docker Compose وربط حاوياتك به

1. 11

   كتابة ملف docker-compose.yml

   يتبع الملف وثائق Docker الخاصة بـPi-hole، مع وسم مؤرّخ بدلًا من latest للتحكم في التحديثات. لا يُنشر DNS إلا على حلقة الاسترجاع المحلية وعلى عنوان جسر Docker 172.17.0.1، ولا يُنشر أبدًا على العنوان العام؛ وتُنشر واجهة الويب على 127.0.0.1:8080 فقط، لبروكسي عكسي.

   mkdir -p /opt/pihole/etc-pihole && cd /opt/pihole
   cat > docker-compose.yml << 'EOF'
   services:
     pihole:
       container_name: pihole
       image: pihole/pihole:2026.10.1
       ports:
         - "127.0.0.1:53:53/tcp"
         - "127.0.0.1:53:53/udp"
         - "172.17.0.1:53:53/tcp"
         - "172.17.0.1:53:53/udp"
         - "127.0.0.1:8080:80/tcp"
       environment:
         TZ: 'Europe/Paris'
         FTLCONF_webserver_api_password: 'a-long-password'
         FTLCONF_dns_listeningMode: 'ALL'
         FTLCONF_dns_upstreams: '9.9.9.9;1.1.1.1'
       volumes:
         - './etc-pihole:/etc/pihole'
       restart: unless-stopped
   EOF
   docker compose up -d && docker compose logs pihole | tail -20

   يلزم FTLCONF_dns_listeningMode: 'ALL' على شبكة bridge لأن الطلبات تصل من خارج الشبكة الفرعية للحاوية، وربط المنافذ هو ما يمنع التعرض العام. أضف cap_add: NET_ADMIN فقط إذا كان Pi-hole يقدّم DHCP أيضًا، وهو أمر لا معنى له على VPS.

2. 12

   ربط الحاويات الأخرى بـPi-hole

   في كل خدمة من حزمك الأخرى، حدّد عنوان جسر Docker:

   services:
     my-app:
       image: my-image
       dns:
         - 172.17.0.1

   لا تكتب 127.0.0.1: تذكّر وثائق Docker بأن --dns=127.0.0.1 داخل الحاوية يشير إلى حلقة الاسترجاع الخاصة بالحاوية نفسها لا بالمضيف. ولإعداد شامل، يوضع العنوان نفسه في /etc/docker/daemon.json تحت المفتاح dns، ثم systemctl restart docker.

3. 13

   التحقق من عدم استماع أي عملية أخرى

   أمر التشخيص: sudo ss -tulpn | grep ':53'. العملية الوحيدة المتوقعة هي pihole-FTL (أو docker-proxy للمنافذ التي تنشرها الحاوية). وإن رأيت systemd-resolved أو named أو bind9، فعطّل الخدمة المنافسة. ومع systemd-resolved يكفي DNSStubListener=no في /etc/systemd/resolved.conf، كما في التثبيت المباشر.

4. 14

   فحص المحلل الذي تراه الحاوية

   من داخل حاوية، اقرأ إعدادات DNS الخاصة بها:

   docker exec my-app cat /etc/resolv.conf
   sudo ss -tulpn | grep ':53'

   تُظهر الحاوية على شبكة Compose مخصّصة العنوان 127.0.0.11، وهو محلل Docker المدمج الذي يمرّر الطلبات إلى خوادم dns: المعلنة: هذا طبيعي. والدليل يُقرأ في Query Log الخاص بـPi-hole، حيث يجب أن تظهر الحاوية عميلًا. وإذا فشل تحديث Gravity برسالة «Could not access the internet»، فالأرجح أن حاوية Pi-hole تحلّل عبر نفسها في حلقة: تحقق من أن FTLCONF_dns_upstreams يشير إلى محلل خارجي أو إلى Unbound.

‏Pi-hole + Unbound: تكرار DNS كامل بدون طرف ثالث

‏تثبيت وإعداد Unbound

1. 15

   ‏تثبيت Unbound

   ‏sudo apt install unbound‏. متاح في مستودعات Ubuntu وDebian الرسمية‏. يبدأ تلقائياً لكننا سنعدّه للاستماع محلياً فقط‏.

2. 16

   إنشاء إعداد Pi-hole + Unbound

   أنشئ /etc/unbound/unbound.conf.d/pi-hole.conf وفق الإعداد الوارد في دليل Unbound من Pi-hole: الاستماع على 127.0.0.1 والمنفذ 5335، وتقوية DNSSEC، ومخزن EDNS بحجم 1232 بايت.

   sudo tee /etc/unbound/unbound.conf.d/pi-hole.conf > /dev/null << 'EOF'
   server:
       verbosity: 0
       interface: 127.0.0.1
       port: 5335
       do-ip4: yes
       do-udp: yes
       do-tcp: yes
       do-ip6: no
       harden-glue: yes
       harden-dnssec-stripped: yes
       edns-buffer-size: 1232
       prefetch: yes
   EOF
   sudo systemctl restart unbound

   عند تثبيت Unbound من مستودعات Debian أو Ubuntu، يكون قد عرف خوادم الجذر مسبقًا: ولا يفيد تنزيل root.hints من internic.net إلا في تثبيت مُجمَّع يدويًا.

3. 17

   ‏توجيه Pi-hole نحو Unbound

   ‏في واجهة Pi-hole‏، اذهب إلى Settings → DNS‏. أزل التحديد عن جميع خوادم DNS الخارجية‏. في حقل Custom DNS‏، أدخل 127.0.0.1#5335‏. احفظ‏. سيُرسل Pi-hole الآن جميع الاستعلامات غير المحجوبة إلى Unbound الذي يحلّها مباشرةً من خوادم الجذر‏.

4. 18

   التحقق من التحليل التكراري وDNSSEC

   اختبر Unbound مباشرة:

   dig pi-hole.net @127.0.0.1 -p 5335
   dig fail01.dnssec.works @127.0.0.1 -p 5335
   dig +ad dnssec.works @127.0.0.1 -p 5335

   يجب أن يعيد الطلب الأول عنوانًا. ويجب أن يفشل الثاني بـSERVFAIL دون عنوان، لأن توقيع النطاق معطوب عمدًا. ويجب أن يجيب الثالث بـNOERROR مع العلم ad الذي يؤكد التحقق من DNSSEC. وفي Query Log الخاص بـPi-hole، يجب أن تظهر الطلبات محوّلة إلى 127.0.0.1#5335.

5. 19

   تحييد openresolv على Debian

   يثبّت Debian الحزمة openresolv افتراضيًا، فتكتب الخدمة unbound-resolvconf السطر nameserver 127.0.0.1 دون المنفذ 5335 في /etc/resolv.conf: يسأل النظام Pi-hole، الذي يسأل Unbound، الذي لم يعد يُبلَغ. ويوصي دليل Unbound من Pi-hole بتعطيل هذه الخدمة:

   sudo systemctl disable --now unbound-resolvconf.service
   # then comment out the unbound_conf= line in /etc/resolvconf.conf

   ثم أعد تشغيل Unbound وأعد اختبارات الخطوة السابقة.

‏مراقبة مقاييس Pi-hole

المقاييس المهمة والقيم المرجعية

• ‏معدل الحجب (Ads blocked today‏): بين 10‏% و30‏% طبيعي‏. معدل أقل من 5‏% يشير إلى أن قوائمك غير مكتملة‏. معدل فوق 40‏% قد يشير إلى إيجابيات خاطئة كثيرة‏.
• ‏Queries/24h‏: يعطي فكرة عن الحمل‏. تُولّد شبكة عائلية عادةً 5,000 إلى 50,000 استعلام يومياً‏.
• ‏Top Blocked Domains‏: إذا تصدّر نطاق إعلاني القائمة كل يوم، فالتطبيق المقابل مزعج بشكل خاص‏.
• ‏Top Clients‏: حدد الأجهزة الأكثر ثرثرة — أجهزة إنترنت الأشياء في الغالب في المقدمة‏.
• ‏DNS cache size‏: في v6‏، يدير FTL الذاكرة المخبئية الداخلية‏. معدل إصابة مرتفع (‏>60‏%‏) يقلل الكمون المحسوس‏.
• ‏Query Types‏: حجم غير طبيعي من استعلامات PTR (‏الحل العكسي‏) قد يشير إلى مسح شبكة أو برنامج مُعدّ بشكل خاطئ‏.

Pi-hole v6 أم AdGuard Home؟

Pi-hole v6 وAdGuard Home معيارًا بمعيار

مرّر الجدول أفقيًا

‏النسخ الاحتياطي واستعادة إعداد Pi-hole

النسخ الاحتياطي والاستعادة

1. 20

   إنشاء نسخة احتياطية بـTeleporter

   في واجهة الويب، افتح Settings ← Teleporter وصدّر الأرشيف: يولّد Pi-hole ملف ZIP يضم الإعدادات والقوائم والمجموعات والنطاقات المسموح بها أو المحجوبة. ومن سطر الأوامر، يمر v6 عبر ملف FTL التنفيذي:

   mkdir -p /root/pihole-backups && cd /root/pihole-backups
   sudo pihole-FTL --teleporter

   يُنشأ الأرشيف في المجلد الحالي، ويُعرض اسمه.

2. 21

   أتمتة النسخ الاحتياطي

   أضف هاتين المهمتين عبر crontab -e: أرشيف كل ليلة، وتنظيف الأرشيفات التي يزيد عمرها على 30 يومًا.

   0 2 * * * cd /root/pihole-backups && pihole-FTL --teleporter >/dev/null 2>&1
   0 3 * * * find /root/pihole-backups -name '*.zip' -mtime +30 -delete

   مع Docker، أضف قبل الأمر docker exec pihole واكتب الأرشيف في المجلد المركّب، مثل /etc/pihole.

3. 22

   الاستعادة من نسخة احتياطية

   بعد إعادة التثبيت، افتح Settings ← Teleporter واستورد ملف ZIP، أو استخدم سطر الأوامر:

   sudo pihole-FTL --teleporter /root/pihole-backups/ARCHIVE.zip

   يستورد Pi-hole الإعدادات والمجموعات والقوائم. وفي v6 تختلف صيغة Teleporter عن v5: فلا تُستعاد نسخ v5 إلا جزئيًا (تُستورد القوائم، ويُعاد إعداد الشبكة يدويًا).

4. 23

   ‏النسخ الاحتياطي لإعداد Unbound

   ‏إذا كنت تستخدم Unbound‏، أضف ملفاته إلى نسختك الاحتياطية: tar -czf /root/unbound-config-$(date +%Y%m%d)‎.tar.gz /etc/unbound/‏. إعداد Unbound لا يتغير بين الإصدارات ويمكن استعادته مباشرةً‏.