Héberger Pi-hole sur votre propre VPS

Pourquoi auto-héberger Pi-hole sur un VPS

Bénéfices concrets de Pi-hole sur VPS

• Protection universelle : couvre tous vos appareils (PC, téléphones, tablettes) sans configuration par appareil
• Réduction de la bande passante : les requêtes bloquées ne consomment aucun octet de téléchargement
• Logs DNS centralisés : visibilité complète sur les domaines contactés par chaque appareil
• Indépendance vis-à-vis des FAI : votre DNS ne transite plus par le résolveur de votre opérateur
• Blocage des traceurs IoT : les objets connectés ne peuvent pas contacter leurs serveurs de télémétrie
• Personnalisable : ajoutez vos propres règles, whitelistez ce dont vous avez besoin, choisissez vos listes

Pi-hole v5 vs Pi-hole v6 : ce qui a changé

Pi-hole v5 vs v6

Faites défiler le tableau

Prérequis techniques

Ce dont vous avez besoin

• Un VPS sous Ubuntu 22.04/24.04 ou Debian 12 avec au moins 512 Mo de RAM (1 Go recommandé)
• Une adresse IPv4 statique et idéalement une adresse IPv6
• Accès SSH root ou sudo
• Le port 53 (TCP et UDP) fermé à Internet : ouvert seulement à l'interface WireGuard ou à vos propres adresses IP, jamais à tous
• Port 80 ou 443 pour l'interface web (optionnel, mais recommandé avec HTTPS)

Sécurité d'abord : pas de résolveur ouvert, et des mises à jour suivies

Déployer Pi-hole pas à pas

Installation complète sur Ubuntu/Debian

1. 01

   Désactiver le stub resolver de systemd-resolved

   Sur Ubuntu et Debian récents, systemd-resolved occupe le port 53 en écoute locale. Pi-hole ne peut pas démarrer tant que ce port est pris. Éditez /etc/systemd/resolved.conf et ajoutez DNSStubListener=no sous la section [Resolve]. Rechargez ensuite : sudo systemctl reload systemd-resolved. Vérifiez que le port est libre avec : ss -tulpn | grep ':53'.

2. 02

   Installer Pi-hole

   Lancez le script officiel :

   curl -sSL https://install.pi-hole.net | bash

   L'installateur vous demande l'interface réseau (souvent eth0) et le DNS amont (choisissez Custom si vous installez Unbound ensuite). Gardez le mode d'écoute par défaut, « Allow only local requests » : avec WireGuard, c'est celui qui convient. Notez le mot de passe admin affiché à la fin, ou fixez-le avec pihole setpassword.

3. 03

   Configurer le pare-feu

   N'ouvrez pas le port 53 à tout Internet. Ouvrez le port de WireGuard, autorisez le DNS depuis le sous-réseau du tunnel, et refusez le reste :

   sudo ufw allow 51820/udp
   sudo ufw allow from 10.8.0.0/24 to any port 53
   sudo ufw deny 53

   Adaptez 10.8.0.0/24 au sous-réseau de votre tunnel. Si vous utilisez CSF ou firewalld, transposez les mêmes règles. L'interface web ne doit pas non plus être publique : passez par le tunnel ou par un reverse proxy HTTPS restreint à vos IP.

4. 04

   Vérifier le fonctionnement

   Testez la résolution, puis le blocage, depuis le VPS lui-même ; vérifiez ensuite depuis l'extérieur que le port n'est pas joignable hors tunnel :

   # depuis le VPS
   dig @127.0.0.1 google.com
   dig @127.0.0.1 doubleclick.net
   # depuis un poste extérieur, HORS tunnel : doit échouer
   nmap -sU -p 53 IP_DE_VOTRE_VPS

   google.com doit renvoyer une adresse, doubleclick.net doit répondre 0.0.0.0, et nmap doit afficher le port closed ou filtered.

5. 05

   Pointer vos appareils vers le VPS

   Le plus simple est de passer par WireGuard : dans la configuration de chaque client, indiquez l'adresse de Pi-hole dans le tunnel comme serveur DNS, selon la méthode du guide WireGuard de Pi-hole :

   [Interface]
   Address = 10.8.0.2/32
   DNS = 10.8.0.1

   Sur Android, le « DNS privé » ne convient pas : il attend le nom d'hôte d'un fournisseur DNS-over-TLS, pas une adresse IP (cf. l'aide Android), et Pi-hole ne sert pas le DNS chiffré. Sur iOS et sur ordinateur, l'application WireGuard applique la même ligne DNS. Le tunnel protège aussi en 4G et sur les Wi-Fi publics.

6. 06

   Accéder à l'interface web

   En v6, l'interface est servie par FTL lui-même sur http://IP/admin (et en HTTPS avec un certificat auto-signé). Ouvrez-la à travers le tunnel, par exemple http://10.8.0.1/admin, et connectez-vous avec le mot de passe défini à l'installation. Le tableau de bord affiche en temps réel le nombre de requêtes, le taux de blocage, les domaines les plus sollicités et les clients les plus actifs.

Ajouter des listes de blocage recommandées

Listes recommandées

• StevenBlack Unified (publicités + traceurs) : https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts — la référence, ~100 000 domaines
• OISD Big : https://big.oisd.nl — liste agressive mais peu de faux positifs, ~500 000 domaines
• Firebog Ticked (coche verte uniquement) : visitez firebog.net et ajoutez uniquement les listes cochées en vert pour minimiser les faux positifs
• HaGeZi Multi PRO : https://raw.githubusercontent.com/hagezi/dns-blocklists/main/adblock/pro.txt — excellente couverture malwares
• Perflyst Smart-TV : pour bloquer la télémétrie des téléviseurs connectés

Gérer les faux positifs et le whitelisting

Diagnostiquer et corriger un faux positif

1. 07

   Identifier le domaine bloqué

   Dans l'interface, ouvrez Query Log (temps réel) ou Long-term data → Query Log. Filtrez par client ou par status Blocked. Chaque entrée indique le domaine exact et la liste qui le bloque. En v6, vous pouvez cliquer sur l'entrée pour voir les détails complets.

2. 08

   Ajouter à la liste d'autorisation

   Cliquez sur le domaine puis sur Allow, ou allez dans Domains et ajoutez-le en type Allow. Pour autoriser un domaine et tous ses sous-domaines, utilisez l'option Wildcard. Une entrée autorisée l'emporte toujours sur les listes de blocage. Si un même faux positif revient sur beaucoup de domaines, abonnez-vous plutôt à une liste d'autorisation maintenue par la communauté, dans Lists, en type Allow.

3. 09

   Autoriser en ligne de commande

   La v6 a renommé les commandes : pihole -w et --white-wild n'existent plus. Depuis SSH :

   pihole allow exemple.com
   pihole --allow-wild exemple.com
   pihole allow -l

   La première autorise un domaine exact, la deuxième le domaine et ses sous-domaines, la troisième affiche la liste d'autorisation.

4. 10

   Cas courants de faux positifs

   Microsoft Teams et Office 365 bloquent parfois sur des listes agressives (domaines live.com, microsoft.com). Apple utilise des CDN partagés avec des traceurs. Les mises à jour automatiques de Windows peuvent être bloquées par certaines listes. Le site firebog.net maintient une liste verte précisément pour réduire ces problèmes.

Pi-hole dans Docker, et les conflits du port 53

Déployer Pi-hole avec Docker Compose et y brancher vos conteneurs

1. 11

   Écrire le docker-compose.yml

   Le fichier suit la documentation Docker de Pi-hole, avec un tag daté plutôt que latest pour maîtriser les mises à jour. Le DNS n'est publié que sur la boucle locale et sur l'adresse du pont Docker 172.17.0.1, jamais sur l'IP publique ; l'interface web ne l'est que sur 127.0.0.1:8080, pour un reverse proxy.

   mkdir -p /opt/pihole/etc-pihole && cd /opt/pihole
   cat > docker-compose.yml << 'EOF'
   services:
     pihole:
       container_name: pihole
       image: pihole/pihole:2026.10.1
       ports:
         - "127.0.0.1:53:53/tcp"
         - "127.0.0.1:53:53/udp"
         - "172.17.0.1:53:53/tcp"
         - "172.17.0.1:53:53/udp"
         - "127.0.0.1:8080:80/tcp"
       environment:
         TZ: 'Europe/Paris'
         FTLCONF_webserver_api_password: 'un-mot-de-passe-long'
         FTLCONF_dns_listeningMode: 'ALL'
         FTLCONF_dns_upstreams: '9.9.9.9;1.1.1.1'
       volumes:
         - './etc-pihole:/etc/pihole'
       restart: unless-stopped
   EOF
   docker compose up -d && docker compose logs pihole | tail -20

   FTLCONF_dns_listeningMode: 'ALL' est requis sur le réseau bridge, parce que les requêtes arrivent de l'extérieur du sous-réseau du conteneur ; c'est le mapping de ports qui empêche l'exposition publique. Ajoutez cap_add: NET_ADMIN seulement si Pi-hole fait aussi serveur DHCP, ce qui n'a pas de sens sur un VPS.

2. 12

   Brancher les autres conteneurs sur Pi-hole

   Dans chaque service de vos autres stacks, indiquez l'adresse du pont Docker :

   services:
     mon-app:
       image: mon-image
       dns:
         - 172.17.0.1

   N'écrivez pas 127.0.0.1 : la documentation de Docker rappelle que, dans un conteneur, --dns=127.0.0.1 désigne la boucle locale du conteneur lui-même, pas celle de l'hôte. Pour un réglage global, la même adresse va dans /etc/docker/daemon.json sous la clé dns, suivie d'un systemctl restart docker.

3. 13

   Vérifier qu'aucun autre processus n'écoute

   Commande de diagnostic : sudo ss -tulpn | grep ':53'. Le seul processus attendu est pihole-FTL (ou docker-proxy pour les ports publiés par le conteneur). Si vous voyez systemd-resolved, named ou bind9, désactivez le service concurrent. Pour systemd-resolved, DNSStubListener=no dans /etc/systemd/resolved.conf suffit, comme en installation native.

4. 14

   Contrôler le résolveur vu par un conteneur

   Depuis un conteneur, lisez sa configuration DNS :

   docker exec mon-app cat /etc/resolv.conf
   sudo ss -tulpn | grep ':53'

   Un conteneur d'un réseau Compose personnalisé affiche 127.0.0.11, le résolveur embarqué de Docker, qui relaie vers les serveurs dns: déclarés : c'est normal. La preuve se lit dans le Query Log de Pi-hole, où le conteneur doit apparaître comme client. Si la mise à jour de Gravity échoue avec « Could not access the internet », le conteneur Pi-hole se résout probablement lui-même en boucle : vérifiez que FTLCONF_dns_upstreams vise bien un résolveur externe ou Unbound.

Pi-hole + Unbound : récursion DNS complète sans tiers

Installer et configurer Unbound

1. 15

   Installer Unbound

   sudo apt install unbound. Unbound est disponible dans les dépôts officiels Ubuntu et Debian. Il démarre automatiquement mais nous allons le configurer pour qu'il écoute uniquement en local.

2. 16

   Créer la configuration Pi-hole + Unbound

   Créez /etc/unbound/unbound.conf.d/pi-hole.conf d'après la configuration du guide Unbound de Pi-hole : écoute sur 127.0.0.1 port 5335, durcissement DNSSEC, tampon EDNS à 1232 octets.

   sudo tee /etc/unbound/unbound.conf.d/pi-hole.conf > /dev/null << 'EOF'
   server:
       verbosity: 0
       interface: 127.0.0.1
       port: 5335
       do-ip4: yes
       do-udp: yes
       do-tcp: yes
       do-ip6: no
       harden-glue: yes
       harden-dnssec-stripped: yes
       edns-buffer-size: 1232
       prefetch: yes
   EOF
   sudo systemctl restart unbound

   Installé depuis les dépôts Debian ou Ubuntu, Unbound connaît déjà les serveurs racine : le téléchargement de root.hints depuis internic.net n'est utile que pour une installation compilée à la main.

3. 17

   Pointer Pi-hole vers Unbound

   Dans l'interface Pi-hole, allez dans Settings → DNS. Désactivez tous les DNS upstream cochés. Dans le champ Custom DNS, entrez 127.0.0.1#5335. Sauvegardez. Pi-hole enverra maintenant toutes les requêtes non bloquées à Unbound, qui les résoudra en direct depuis les serveurs racine.

4. 18

   Vérifier la récursion et DNSSEC

   Testez Unbound directement :

   dig pi-hole.net @127.0.0.1 -p 5335
   dig fail01.dnssec.works @127.0.0.1 -p 5335
   dig +ad dnssec.works @127.0.0.1 -p 5335

   La première requête doit renvoyer une adresse. La deuxième doit échouer en SERVFAIL, sans adresse : la signature du domaine est volontairement cassée. La troisième doit répondre NOERROR avec le drapeau ad, qui confirme la validation DNSSEC. Dans le Query Log de Pi-hole, les requêtes doivent apparaître transmises à 127.0.0.1#5335.

5. 19

   Neutraliser openresolv sur Debian

   Debian installe d'office openresolv, et le service unbound-resolvconf écrit alors nameserver 127.0.0.1 sans le port 5335 dans /etc/resolv.conf : le système interroge Pi-hole, qui interroge Unbound, qui n'est plus joint. Le guide Unbound de Pi-hole recommande de désactiver ce service :

   sudo systemctl disable --now unbound-resolvconf.service
   # puis commenter la ligne unbound_conf= dans /etc/resolvconf.conf

   Redémarrez ensuite Unbound et refaites les tests de l'étape précédente.

Surveiller les métriques Pi-hole

Métriques importantes et valeurs de référence

• Taux de blocage (Ads blocked today) : entre 10 % et 30 % est normal. Un taux en dessous de 5 % suggère que vos listes sont incomplètes. Un taux supérieur à 40 % peut signaler trop de faux positifs.
• Queries/24h : donne une idée de la charge. Un réseau familial génère typiquement 5 000 à 50 000 requêtes par jour.
• Top Blocked Domains : si un domaine publicitaire revient en tête chaque jour, c'est que l'application correspondante est particulièrement intrusive.
• Top Clients : identifiez les appareils les plus bavards — les objets IoT sont souvent en tête.
• DNS cache size : en v6, FTL gère le cache interne. Un hit rate élevé (>60 %) réduit la latence perçue.
• Query Types : un volume anormal de requêtes PTR (résolution inverse) peut indiquer un scan réseau ou un logiciel mal configuré.

Pi-hole v6 ou AdGuard Home ?

Pi-hole v6 et AdGuard Home, critère par critère

Faites défiler le tableau

Sauvegarder et restaurer la configuration Pi-hole

Sauvegarde et restauration

1. 20

   Créer une sauvegarde Teleporter

   Dans l'interface web, ouvrez Settings → Teleporter et exportez l'archive : Pi-hole génère un fichier ZIP avec la configuration, les listes, les groupes et les domaines autorisés ou bloqués. En ligne de commande, la v6 passe par le binaire FTL :

   mkdir -p /root/pihole-backups && cd /root/pihole-backups
   sudo pihole-FTL --teleporter

   L'archive est créée dans le répertoire courant, et son nom est affiché.

2. 21

   Automatiser la sauvegarde

   Ajoutez ces deux tâches avec crontab -e : une archive chaque nuit, et le ménage des archives de plus de 30 jours.

   0 2 * * * cd /root/pihole-backups && pihole-FTL --teleporter >/dev/null 2>&1
   0 3 * * * find /root/pihole-backups -name '*.zip' -mtime +30 -delete

   En Docker, préfixez la commande par docker exec pihole et écrivez l'archive dans le volume monté, par exemple /etc/pihole.

3. 22

   Restaurer depuis une sauvegarde

   Après une réinstallation, ouvrez Settings → Teleporter et importez votre fichier ZIP, ou passez par la ligne de commande :

   sudo pihole-FTL --teleporter /root/pihole-backups/ARCHIVE.zip

   Pi-hole importe réglages, groupes et listes. En v6, le format Teleporter diffère de la v5 : les sauvegardes v5 ne sont que partiellement reprises (listes importées, configuration réseau à refaire à la main).

4. 23

   Sauvegarder la configuration Unbound

   Si vous utilisez Unbound, ajoutez ses fichiers à votre sauvegarde : tar -czf /root/unbound-config-$(date +%Y%m%d).tar.gz /etc/unbound/. La configuration Unbound ne change pas entre les versions et peut être restaurée directement.