Alojar Pi-hole en tu propio VPS

Por qué alojar Pi-hole en un VPS

Beneficios concretos de Pi-hole en un VPS

• Protección universal: cubre todos tus dispositivos (PCs, teléfonos, tabletas) sin configuración por dispositivo
• Reducción del ancho de banda: las peticiones bloqueadas no consumen ningún byte de descarga
• Registros DNS centralizados: visibilidad completa de los dominios contactados por cada dispositivo
• Independencia del ISP: tu DNS ya no transita por el resolvedor de tu operador
• Bloqueo de rastreadores IoT: los dispositivos conectados no pueden contactar sus servidores de telemetría
• Personalizable: añade tus propias reglas, pon en lista blanca lo que necesites, elige tus listas

Pi-hole v5 vs Pi-hole v6: qué cambió

Pi-hole v5 vs v6

Desplace la tabla

Requisitos técnicos

Lo que necesitas

• Un VPS con Ubuntu 22.04/24.04 o Debian 12 con al menos 512 MB de RAM (1 GB recomendado)
• Una dirección IPv4 estática e idealmente una dirección IPv6
• Acceso SSH root o sudo
• El puerto 53 (TCP y UDP) cerrado a Internet: abierto solo a la interfaz de WireGuard o a tus propias direcciones IP, nunca a todo el mundo
• Puerto 80 o 443 para la interfaz web (opcional, pero recomendado con HTTPS)

La seguridad primero: ningún resolvedor abierto y actualizaciones al día

Desplegar Pi-hole paso a paso

Instalación completa en Ubuntu/Debian

1. 01

   Desactivar el stub resolver de systemd-resolved

   En Ubuntu y Debian recientes, systemd-resolved escucha en el puerto 53 localmente. Pi-hole no puede arrancar mientras este puerto esté ocupado. Edita /etc/systemd/resolved.conf y añade DNSStubListener=no bajo la sección [Resolve]. Luego recarga: sudo systemctl reload systemd-resolved. Verifica que el puerto está libre: ss -tulpn | grep ':53'.

2. 02

   Instalar Pi-hole

   Ejecuta el script oficial:

   curl -sSL https://install.pi-hole.net | bash

   El instalador te pide la interfaz de red (a menudo eth0) y el DNS superior (elige Custom si después vas a instalar Unbound). Conserva el modo de escucha por defecto, «Allow only local requests»: con WireGuard, es el adecuado. Anota la contraseña de administrador que aparece al final, o fíjala con pihole setpassword.

3. 03

   Configurar el firewall

   No abras el puerto 53 a todo Internet. Abre el puerto de WireGuard, permite el DNS desde la subred del túnel y rechaza el resto:

   sudo ufw allow 51820/udp
   sudo ufw allow from 10.8.0.0/24 to any port 53
   sudo ufw deny 53

   Adapta 10.8.0.0/24 a la subred de tu túnel. Si usas CSF o firewalld, traslada las mismas reglas. La interfaz web tampoco debe ser pública: pasa por el túnel o por un reverse proxy HTTPS restringido a tus IP.

4. 04

   Comprobar el funcionamiento

   Prueba la resolución y luego el bloqueo desde el propio VPS; después, comprueba desde fuera que el puerto no es accesible fuera del túnel:

   # desde el VPS
   dig @127.0.0.1 google.com
   dig @127.0.0.1 doubleclick.net
   # desde un equipo exterior, FUERA del túnel: debe fallar
   nmap -sU -p 53 IP_DE_VOTRE_VPS

   google.com debe devolver una dirección, doubleclick.net debe responder 0.0.0.0, y nmap debe mostrar el puerto closed o filtered.

5. 05

   Apuntar tus dispositivos al VPS

   Lo más sencillo es pasar por WireGuard: en la configuración de cada cliente, indica la dirección de Pi-hole dentro del túnel como servidor DNS, según la guía WireGuard de Pi-hole:

   [Interface]
   Address = 10.8.0.2/32
   DNS = 10.8.0.1

   En Android, el «DNS privado» no sirve: espera el nombre de host de un proveedor DNS-over-TLS, no una dirección IP (véase la ayuda de Android), y Pi-hole no sirve DNS cifrado. En iOS y en ordenadores, la aplicación WireGuard aplica la misma línea DNS. El túnel también te protege en 4G y en redes Wi-Fi públicas.

6. 06

   Acceder a la interfaz web

   En v6, la interfaz la sirve el propio FTL en http://IP/admin (y en HTTPS con un certificado autofirmado). Ábrela a través del túnel, por ejemplo http://10.8.0.1/admin, e inicia sesión con la contraseña definida en la instalación. El panel muestra en tiempo real el número de consultas, la tasa de bloqueo, los dominios más solicitados y los clientes más activos.

Añadir las mejores listas de bloqueo

Listas recomendadas

• StevenBlack Unified (anuncios + rastreadores): https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts — la referencia, ~100.000 dominios
• OISD Big: https://big.oisd.nl — lista agresiva pero pocos falsos positivos, ~500.000 dominios
• Firebog Ticked (solo marca verde): visita firebog.net y añade solo las listas con marca verde para minimizar los falsos positivos
• HaGeZi Multi PRO: https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/pro.txt — excelente cobertura de malware
• Perflyst Smart-TV: para bloquear la telemetría de televisores inteligentes

Gestionar los falsos positivos y la lista blanca

Diagnosticar y corregir un falso positivo

1. 07

   Identificar el dominio bloqueado

   En la interfaz, abre Query Log (tiempo real) o Long-term data → Query Log. Filtra por cliente o por estado Blocked. Cada entrada muestra el dominio exacto y la lista que lo bloqueó. En v6, puedes hacer clic en la entrada para ver los detalles completos.

2. 08

   Añadir a la lista de permitidos

   Haz clic en el dominio y luego en Allow, o ve a Domains y añádelo con el tipo Allow. Para permitir un dominio y todos sus subdominios, usa la opción Wildcard. Una entrada permitida siempre prevalece sobre las listas de bloqueo. Si el mismo falso positivo vuelve en muchos dominios, suscríbete mejor a una lista de permitidos mantenida por la comunidad, en Lists, con el tipo Allow.

3. 09

   Permitir desde la línea de comandos

   v6 renombró los comandos: pihole -w y --white-wild ya no existen. Desde SSH:

   pihole allow ejemplo.com
   pihole --allow-wild ejemplo.com
   pihole allow -l

   El primero permite un dominio exacto, el segundo el dominio y sus subdominios, y el tercero muestra la lista de permitidos.

4. 10

   Casos comunes de falsos positivos

   Microsoft Teams y Office 365 se bloquean a veces en listas agresivas (dominios live.com, microsoft.com). Apple usa CDNs compartidos con rastreadores. Las actualizaciones automáticas de Windows pueden ser bloqueadas por algunas listas. La lista verde de firebog.net existe precisamente para reducir estos problemas.

Pi-hole en Docker y los conflictos del puerto 53

Desplegar Pi-hole con Docker Compose y conectar tus contenedores

1. 11

   Escribir el docker-compose.yml

   El archivo sigue la documentación Docker de Pi-hole, con una etiqueta fechada en lugar de latest para controlar las actualizaciones. El DNS solo se publica en el loopback y en la dirección del puente Docker 172.17.0.1, nunca en la IP pública; la interfaz web solo en 127.0.0.1:8080, para un reverse proxy.

   mkdir -p /opt/pihole/etc-pihole && cd /opt/pihole
   cat > docker-compose.yml << 'EOF'
   services:
     pihole:
       container_name: pihole
       image: pihole/pihole:2026.10.1
       ports:
         - "127.0.0.1:53:53/tcp"
         - "127.0.0.1:53:53/udp"
         - "172.17.0.1:53:53/tcp"
         - "172.17.0.1:53:53/udp"
         - "127.0.0.1:8080:80/tcp"
       environment:
         TZ: 'Europe/Paris'
         FTLCONF_webserver_api_password: 'una-contrasena-larga'
         FTLCONF_dns_listeningMode: 'ALL'
         FTLCONF_dns_upstreams: '9.9.9.9;1.1.1.1'
       volumes:
         - './etc-pihole:/etc/pihole'
       restart: unless-stopped
   EOF
   docker compose up -d && docker compose logs pihole | tail -20

   FTLCONF_dns_listeningMode: 'ALL' es necesario en la red bridge, porque las consultas llegan desde fuera de la subred del contenedor; es el mapeo de puertos lo que impide la exposición pública. Añade cap_add: NET_ADMIN solo si Pi-hole también hace de servidor DHCP, algo sin sentido en un VPS.

2. 12

   Conectar los demás contenedores a Pi-hole

   En cada servicio de tus otros stacks, indica la dirección del puente Docker:

   services:
     mi-app:
       image: mi-imagen
       dns:
         - 172.17.0.1

   No escribas 127.0.0.1: la documentación de Docker recuerda que, en un contenedor, --dns=127.0.0.1 designa el loopback del propio contenedor, no el del host. Para un ajuste global, la misma dirección va en /etc/docker/daemon.json bajo la clave dns, seguida de un systemctl restart docker.

3. 13

   Comprobar que ningún otro proceso escucha

   Comando de diagnóstico: sudo ss -tulpn | grep ':53'. El único proceso esperado es pihole-FTL (o docker-proxy para los puertos publicados por el contenedor). Si ves systemd-resolved, named o bind9, desactiva el servicio que compite. Para systemd-resolved, basta con DNSStubListener=no en /etc/systemd/resolved.conf, como en la instalación nativa.

4. 14

   Controlar el resolvedor que ve un contenedor

   Desde un contenedor, lee su configuración DNS:

   docker exec mi-app cat /etc/resolv.conf
   sudo ss -tulpn | grep ':53'

   Un contenedor de una red Compose personalizada muestra 127.0.0.11, el resolvedor integrado de Docker, que reenvía a los servidores dns: declarados: es normal. La prueba está en el Query Log de Pi-hole, donde el contenedor debe aparecer como cliente. Si la actualización de Gravity falla con «Could not access the internet», es probable que el contenedor de Pi-hole se resuelva a sí mismo en bucle: comprueba que FTLCONF_dns_upstreams apunta a un resolvedor externo o a Unbound.

Pi-hole + Unbound: recursión DNS completa sin terceros

Instalar y configurar Unbound

1. 15

   Instalar Unbound

   sudo apt install unbound. Disponible en los repositorios oficiales de Ubuntu y Debian. Arranca automáticamente pero lo configuraremos para escuchar solo localmente.

2. 16

   Crear la configuración Pi-hole + Unbound

   Crea /etc/unbound/unbound.conf.d/pi-hole.conf a partir de la configuración de la guía Unbound de Pi-hole: escucha en 127.0.0.1 puerto 5335, endurecimiento DNSSEC y búfer EDNS de 1232 bytes.

   sudo tee /etc/unbound/unbound.conf.d/pi-hole.conf > /dev/null << 'EOF'
   server:
       verbosity: 0
       interface: 127.0.0.1
       port: 5335
       do-ip4: yes
       do-udp: yes
       do-tcp: yes
       do-ip6: no
       harden-glue: yes
       harden-dnssec-stripped: yes
       edns-buffer-size: 1232
       prefetch: yes
   EOF
   sudo systemctl restart unbound

   Instalado desde los repositorios de Debian o Ubuntu, Unbound ya conoce los servidores raíz: descargar root.hints de internic.net solo tiene sentido en una instalación compilada a mano.

3. 17

   Apuntar Pi-hole a Unbound

   En la interfaz de Pi-hole, ve a Settings → DNS. Desmarca todos los servidores DNS upstream. En el campo Custom DNS, introduce 127.0.0.1#5335. Guarda. Pi-hole enviará ahora todas las consultas no bloqueadas a Unbound, que las resolverá directamente desde los servidores raíz.

4. 18

   Comprobar la recursión y DNSSEC

   Prueba Unbound directamente:

   dig pi-hole.net @127.0.0.1 -p 5335
   dig fail01.dnssec.works @127.0.0.1 -p 5335
   dig +ad dnssec.works @127.0.0.1 -p 5335

   La primera consulta debe devolver una dirección. La segunda debe fallar con SERVFAIL, sin dirección: la firma del dominio está rota a propósito. La tercera debe responder NOERROR con el indicador ad, que confirma la validación DNSSEC. En el Query Log de Pi-hole, las consultas deben aparecer reenviadas a 127.0.0.1#5335.

5. 19

   Neutralizar openresolv en Debian

   Debian instala openresolv por defecto, y el servicio unbound-resolvconf escribe entonces nameserver 127.0.0.1 sin el puerto 5335 en /etc/resolv.conf: el sistema consulta a Pi-hole, que consulta a Unbound, al que ya no llega. La guía Unbound de Pi-hole recomienda desactivar ese servicio:

   sudo systemctl disable --now unbound-resolvconf.service
   # después, comenta la línea unbound_conf= en /etc/resolvconf.conf

   Después, reinicia Unbound y repite las pruebas del paso anterior.

Supervisar las métricas de Pi-hole

Métricas importantes y valores de referencia

• Tasa de bloqueo (Ads blocked today): entre 10% y 30% es normal. Una tasa inferior al 5% sugiere que tus listas están incompletas. Una tasa superior al 40% puede indicar demasiados falsos positivos.
• Queries/24h: da una idea de la carga. Una red familiar genera típicamente entre 5.000 y 50.000 consultas por día.
• Top Blocked Domains: si un dominio publicitario encabeza la lista cada día, la aplicación correspondiente es especialmente intrusiva.
• Top Clients: identifica los dispositivos más «parlanchines» — los objetos IoT suelen estar a la cabeza.
• DNS cache size: en v6, FTL gestiona la caché interna. Una tasa de aciertos alta (>60%) reduce la latencia percibida.
• Query Types: un volumen anormal de consultas PTR (resolución inversa) puede indicar un escaneo de red o software mal configurado.

¿Pi-hole v6 o AdGuard Home?

Pi-hole v6 y AdGuard Home, criterio por criterio

Desplace la tabla

Copia de seguridad y restauración de la configuración de Pi-hole

Copia de seguridad y restauración

1. 20

   Crear una copia Teleporter

   En la interfaz web, abre Settings → Teleporter y exporta el archivo: Pi-hole genera un ZIP con la configuración, las listas, los grupos y los dominios permitidos o bloqueados. En línea de comandos, v6 pasa por el binario FTL:

   mkdir -p /root/pihole-backups && cd /root/pihole-backups
   sudo pihole-FTL --teleporter

   El archivo se crea en el directorio actual, y se muestra su nombre.

2. 21

   Automatizar la copia de seguridad

   Añade estas dos tareas con crontab -e: un archivo cada noche y la limpieza de los archivos de más de 30 días.

   0 2 * * * cd /root/pihole-backups && pihole-FTL --teleporter >/dev/null 2>&1
   0 3 * * * find /root/pihole-backups -name '*.zip' -mtime +30 -delete

   Con Docker, antepón docker exec pihole al comando y escribe el archivo en el volumen montado, por ejemplo /etc/pihole.

3. 22

   Restaurar desde una copia

   Tras una reinstalación, abre Settings → Teleporter e importa tu ZIP, o usa la línea de comandos:

   sudo pihole-FTL --teleporter /root/pihole-backups/ARCHIVE.zip

   Pi-hole importa ajustes, grupos y listas. En v6 el formato Teleporter difiere del de v5: las copias de v5 solo se recuperan en parte (listas importadas, configuración de red que rehacer a mano).

4. 23

   Copia de seguridad de la configuración de Unbound

   Si usas Unbound, añade sus archivos a tu copia de seguridad: tar -czf /root/unbound-config-$(date +%Y%m%d).tar.gz /etc/unbound/. La configuración de Unbound no cambia entre versiones y puede restaurarse directamente.