AdGuard Home на VPS: инсталиране и блокиране на реклами

H1: Как да инсталирате и конфигурирате AdGuard Home на VPS

AdGuard Home е безплатен DNS сървър, който блокира заявки към рекламни домейни, тракери и други нежелани ресурси. Можете да насочите през него DNS заявките на компютри, телефони, телевизори и други устройства и да управлявате филтрирането от един контролен панел. По-долу ще разгледаме инсталирането върху VPS с Ubuntu или Debian, първоначалната конфигурация, свързването на клиенти и защитата на публичен сървър.

Какво ще ви е необходимо

За лична употреба обикновено са достатъчни 1 vCPU, 512 MB–1 GB RAM и няколко гигабайта свободно дисково пространство. Ще са ви нужни също статичен IP адрес, SSH достъп и права root или sudo.

AdGuard Home използва:

• 3000/TCP за първоначалния съветник за настройка;
• 53/UDP и 53/TCP за стандартния DNS;
• порт по ваш избор за постоянен достъп до контролния панел.

Порт 53 не трябва да се отваря без ограничения към целия интернет. На сигурната конфигурация ще се спрем отделно.

Инсталиране на AdGuard Home в Ubuntu или Debian

Свържете се с VPS през SSH и инсталирайте curl:

sudo apt update
sudo apt install -y curl

Стартирайте официалния инсталационен скрипт:

curl -s -S -L https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sudo sh -s -- -v

Скриптът ще открие архитектурата на сървъра, ще изтегли стабилната версия, ще я инсталира в /opt/AdGuardHome и ще създаде системна услуга. Можете да проверите състоянието ѝ с:

sudo /opt/AdGuardHome/AdGuardHome -s status

След това отворете в браузъра следния адрес:

http://SERVER_IP:3000

Ако страницата не е достъпна, проверете системната защитна стена и правилата в контролния панел на хостинг доставчика.

Първоначална конфигурация

В съветника за настройка трябва да изберете адресите и портовете за административния панел и DNS сървъра.

За панела можете да оставите порт 3000 и да изберете IP адреса на VPS като интерфейс. Създайте отделно потребителско име и силна парола: панелът предоставя достъп до дневника на заявките, филтрите и настройките на клиентите.

За DNS изберете IP адреса на сървъра и стандартния порт 53. Ако той вече се използва, не го заменяйте с произволен порт — повечето устройства очакват стандартния DNS на порт 53. По-долу е описано решение на този конфликт.

След приключване на съветника началната страница ще показва статистика за заявките, броя блокирани заявки, активните клиенти и най-често използваните домейни.

Как работи DNS филтрирането

Преди да се свърже с уебсайт или услуга, устройството заявява IP адреса на домейна. AdGuard Home проверява домейна спрямо своите списъци с правила. Заявката към рекламна мрежа или тракер се блокира, а разрешената заявка се препраща към upstream DNS сървър.

Този подход осигурява централизирано филтриране за цялата мрежа и работи не само в браузърите, но и в много мобилни приложения и смарт телевизори. Допълнителните функции включват дневник на заявките, правила за отделни устройства, безопасно търсене и планирано блокиране на услуги.

AdGuard Home не дешифрира HTTPS трафика и не променя кода на страниците. Затова блокира заявките към домейни, но не може да премахне всеки рекламен елемент.

Важни настройки след инсталирането

Upstream DNS сървъри

Отворете Settings → DNS settings. Тук задавате сървърите, към които AdGuard Home препраща разрешените заявки. Първоначално можете да оставите предложените стойности, а по-късно да изберете надеждни резолвери с поддръжка на DNS-over-HTTPS или DNS-over-TLS.

Криптираният upstream DNS защитава връзката от VPS до външния резолвер. Връзката от устройството до VPS трябва да бъде защитена отделно чрез DoH, DoT или VPN.

Списъци за блокиране

Основният филтър вече е активиран. Не добавяйте наведнъж десетки големи списъци: те се дублират и увеличават риска от фалшиви блокирания. Добавяйте по един списък с конкретна цел и преглеждайте дневника на заявките.

Ако уебсайт или приложение спре да работи след промяна, намерете блокирания домейн в дневника и добавете целенасочено изключение.

Персонализирани правила

В персонализираните правила можете да блокирате или разрешите отделен домейн:

||ads.example.com^
@@||needed.example.com^

Първият ред блокира домейна, а вторият добавя изключение.

Услуги, графици и клиенти

AdGuard Home може напълно да блокира отделни услуги и да прилага график. Ако добавите устройствата като постоянни клиенти, можете да зададете различни правила за компютър, таблет на дете и телевизор.

Как да свържете устройствата

Инсталирането на сървъра не променя автоматично DNS настройките на устройствата. Трябва да посочите адреса на AdGuard Home в рутера или във всеки отделен клиент.

Чрез рутера

Отворете настройките на рутера и намерете секцията DHCP, LAN или DNS. Посочете IP адреса на AdGuard Home като DNS сървър, запазете конфигурацията и свържете устройствата отново към мрежата.

Не добавяйте публичен DNS сървър като вторичен адрес, ако филтрирането трябва да е задължително. Някои устройства използват и двата адреса и могат да заобиколят AdGuard Home. За отказоустойчивост е по-добре да разположите втори екземпляр.

На едно устройство

За тест можете да промените DNS само на един компютър или телефон:

• Windows — свойствата на мрежовия адаптер и настройките за IPv4/IPv6;
• macOS — настройките на активната връзка;
• Android и iOS — настройките на текущата Wi-Fi мрежа;
• Smart TV — ръчните мрежови настройки.

Обикновената Wi-Fi конфигурация не се прилага при използване на мобилни данни. За да работи филтрирането във всяка мрежа, ще са ви нужни DoH, DoT или VPN.

Можете да тествате сървъра с:

nslookup example.org SERVER_IP

Заявката трябва да се появи в дневника на заявките на AdGuard Home.

Защитена конфигурация на публичен VPS

Автоматизираните скенери бързо откриват отворен DNS резолвер. Той може да бъде използван от неоторизирани клиенти или да бъде включен в DNS атаки, което създава допълнително натоварване и риск от оплаквания срещу IP адреса.

За тестове разрешете достъп само от вашия публичен IP адрес. Ако UFW не е инсталиран, първо го добавете с sudo apt install -y ufw.

sudo ufw allow OpenSSH
sudo ufw allow from YOUR_IP to any port 3000 proto tcp
sudo ufw allow from YOUR_IP to any port 53 proto udp
sudo ufw allow from YOUR_IP to any port 53 proto tcp
sudo ufw enable

Първо разрешете SSH, иначе може да загубите достъп до VPS. Ако IP адресът ви се променя често, свързвайте устройствата чрез WireGuard, Tailscale или друга VPN услуга.

За постоянна употреба от различни мрежи е по-добре да конфигурирате домейн, TLS сертификат и защитен DNS:

• 443/TCP за DNS-over-HTTPS;
• 853/TCP за DNS-over-TLS;
• ограничения за клиентите и честотата на заявките в настройките на AdGuard Home.

Административният панел също трябва да бъде защитен чрез защитна стена или VPN. Дневникът съдържа домейните, до които устройствата са имали достъп, затова го съхранявайте само толкова дълго, колкото е необходимо.

Грешка „Port 53 is already in use“

В Ubuntu порт 53 често е зает от systemd-resolved. Можете да проверите процесите, които слушат, с:

sudo ss -lntup | grep ':53'

Ако услугата слуша само на 127.0.0.53, първо опитайте да свържете AdGuard Home към конкретния IP адрес на VPS, вместо към всички интерфейси.

Ако конфликтът остане, деактивирайте локалния DNS stub listener:

sudo mkdir -p /etc/systemd/resolved.conf.d

printf '[Resolve]\nDNS=127.0.0.1\nDNSStubListener=no\n' | \
sudo tee /etc/systemd/resolved.conf.d/adguardhome.conf

sudo mv /etc/resolv.conf /etc/resolv.conf.backup
sudo ln -s /run/systemd/resolve/resolv.conf /etc/resolv.conf
sudo systemctl reload-or-restart systemd-resolved
sudo /opt/AdGuardHome/AdGuardHome -s restart

Не затваряйте SSH сесията, докато не потвърдите, че сървърът отново може да преобразува имената на домейните и че AdGuard Home работи.

Актуализации и резервни копия

Можете да актуализирате от панела или със:

cd /opt/AdGuardHome
sudo ./AdGuardHome --update

Преди големи промени запазете файла /opt/AdGuardHome/AdGuardHome.yaml и директорията /opt/AdGuardHome/data/. Те съдържат настройките, клиентите, филтрите и оперативните данни.

Какъв VPS да изберете за AdGuard Home

За семейство или малък екип обикновено са достатъчни 1 vCPU и 1 GB RAM. Ако наред с AdGuard Home ще работят VPN, система за мониторинг или други приложения, отделете повече памет.

VPS от tropic.host е подходящ за тази задача: можете да инсталирате Ubuntu или Debian, да получите специален IP адрес и да поддържате DNS сървъра достъпен денонощно, без да разчитате на домашен компютър. Когато го хоствате в интернет, винаги използвайте защитна стена, защитен DNS или VPN.

Ограничения на AdGuard Home

DNS филтрирането не заменя блокиращ инструмент в браузъра, антивирусен софтуер или защитна стена. То не може надеждно да премахва реклами, доставяни от същия домейн като основното съдържание. Затова DNS филтрирането не може надеждно да премахне видеорекламите в YouTube и Twitch или спонсорираните публикации в социалните мрежи, без да наруши самите услуги.

След блокиране на страницата могат да останат празни места. Разширението за браузър може да скрива елементи на страницата, затова може да се използва заедно с AdGuard Home. Някои приложения също използват собствен криптиран DNS и могат да заобиколят системните настройки.

Заключение

AdGuard Home централизирано блокира значителна част от рекламите и тракерите на компютри, телефони и други устройства. Можете да го инсталирате на VPS за няколко минути, а той не изисква много ресурси.

След инсталирането конфигурирайте клиентите и филтрите, защитете административния панел и не оставяйте порт 53 отворен към целия интернет. За свързване от мобилни и външни мрежи използвайте VPN, DNS-over-HTTPS или DNS-over-TLS.

FAQ

Безплатен ли е AdGuard Home?

Да. AdGuard Home се разпространява безплатно и не изисква абонамент. Плащате само за устройството или VPS, на който работи.

Блокира ли AdGuard Home рекламите в YouTube?

Не. Рекламите и видеата могат да се доставят от едни и същи домейни, затова DNS блокирането би нарушило самия YouTube.

Работи ли филтрирането през мобилни данни?

Да, ако настроите DNS-over-TLS, DNS-over-HTTPS, съвместим профил или VPN. Промяната на DNS в настройките на Wi-Fi важи само за тази мрежа.

Колко RAM е необходима?

За лична употреба обикновено са достатъчни 512 MB–1 GB RAM. Повече памет може да е необходима при голям брой клиенти, обширни филтри или допълнителни услуги.

Какво да направя, ако уебсайт спре да се отваря след включване на филтрирането?

Отворете дневника на заявките, повторете действието, което е причинило проблема, и намерете блокирания домейн. Добавете целенасочено изключение, вместо да изключвате цялото филтриране.