AdGuard Home auf einem VPS: Installation und Werbeblockierung

H1: So installieren und konfigurieren Sie AdGuard Home auf einem VPS

AdGuard Home ist ein kostenloser DNS-Server, der Anfragen an Werbedomains, Tracker und andere unerwünschte Ressourcen blockiert. Sie können die DNS-Anfragen von Computern, Smartphones, Fernsehern und anderen Geräten darüber leiten und die Filterung über eine zentrale Verwaltungsoberfläche steuern. Im Folgenden behandeln wir die Installation auf einem Ubuntu- oder Debian-VPS, die Ersteinrichtung, die Verbindung von Clients und den Schutz eines öffentlich erreichbaren Servers.

Voraussetzungen

Für die private Nutzung reichen in der Regel 1 vCPU, 512 MB–1 GB RAM und einige Gigabyte freier Speicherplatz aus. Außerdem benötigen Sie eine feste IP-Adresse, SSH-Zugriff sowie root- oder sudo-Rechte.

AdGuard Home verwendet:

• 3000/TCP für den Assistenten zur Ersteinrichtung;
• 53/UDP und 53/TCP für normales DNS;
• einen von Ihnen gewählten Port für den dauerhaften Zugriff auf die Verwaltungsoberfläche.

Port 53 darf nicht ohne Einschränkungen für das gesamte Internet geöffnet werden. Eine sichere Konfiguration betrachten wir in einem eigenen Abschnitt.

AdGuard Home auf Ubuntu oder Debian installieren

Verbinden Sie sich per SSH mit dem VPS und installieren Sie curl:

sudo apt update
sudo apt install -y curl

Führen Sie das offizielle Installationsskript aus:

curl -s -S -L https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sudo sh -s -- -v

Das Skript erkennt die Serverarchitektur, lädt die stabile Version herunter, installiert sie unter /opt/AdGuardHome und erstellt einen Systemdienst. Den Status können Sie mit folgendem Befehl prüfen:

sudo /opt/AdGuardHome/AdGuardHome -s status

Öffnen Sie anschließend im Browser:

http://SERVER_IP:3000

Wenn die Seite nicht erreichbar ist, prüfen Sie die Firewall des Systems und die Regeln im Verwaltungsbereich Ihres Hosting-Anbieters.

Ersteinrichtung

Im Einrichtungsassistenten müssen Sie die Adressen und Ports für die Verwaltungsoberfläche und den DNS-Server auswählen.

Für die Verwaltungsoberfläche können Sie Port 3000 beibehalten und die IP-Adresse des VPS als Schnittstelle auswählen. Erstellen Sie einen eigenen Benutzernamen und ein sicheres Passwort: Über die Oberfläche sind das Abfrageprotokoll, die Filter und die Client-Einstellungen erreichbar.

Wählen Sie für DNS die Server-IP und den Standardport 53. Falls dieser bereits belegt ist, ersetzen Sie ihn nicht durch einen beliebigen Port – die meisten Geräte erwarten normales DNS auf Port 53. Eine Lösung für diesen Konflikt finden Sie weiter unten.

Nach Abschluss des Assistenten zeigt die Startseite Statistiken zu den Anfragen, die Anzahl der Blockierungen, aktive Clients und häufig aufgerufene Domains.

So funktioniert die DNS-Filterung

Bevor sich ein Gerät mit einer Website oder einem Dienst verbindet, fragt es die IP-Adresse der Domain ab. AdGuard Home gleicht diese Domain mit den Regellisten ab. Eine Anfrage an ein Werbenetzwerk oder einen Tracker wird blockiert, während eine erlaubte Anfrage an einen Upstream-DNS-Server weitergeleitet wird.

Dieser Ansatz ermöglicht eine einheitliche Filterung für das gesamte Netzwerk und funktioniert nicht nur in Browsern, sondern auch in vielen mobilen Apps und auf Smart-TVs. Zusätzlich stehen ein Abfrageprotokoll, Regeln für einzelne Geräte, Safe Search und eine zeitgesteuerte Sperrung von Diensten zur Verfügung.

AdGuard Home entschlüsselt HTTPS nicht und verändert den Code von Webseiten nicht. Es blockiert daher Domainanfragen, kann aber nicht jedes Werbeelement entfernen.

Wichtige Einstellungen nach der Installation

Upstream-DNS-Server

Öffnen Sie Einstellungen → DNS-Einstellungen. Hier legen Sie fest, an welche Server AdGuard Home erlaubte Anfragen weiterleitet. Zunächst können Sie die vorgeschlagenen Werte beibehalten und später zuverlässige Resolver mit DNS-over-HTTPS oder DNS-over-TLS auswählen.

Ein verschlüsselter Upstream-DNS schützt die Verbindung vom VPS bis zum externen Resolver. Die Verbindung vom Gerät zum VPS muss separat über DoH, DoT oder ein VPN geschützt werden.

Blocklisten

Der Basisfilter ist bereits aktiviert. Fügen Sie nicht sofort Dutzende umfangreicher Listen hinzu: Sie überschneiden sich und erhöhen das Risiko von Fehlblockierungen. Ergänzen Sie jeweils eine Liste für einen konkreten Zweck und prüfen Sie das Abfrageprotokoll.

Wenn eine Website oder App nach einer Änderung nicht mehr funktioniert, suchen Sie die blockierte Domain im Protokoll und fügen Sie eine gezielte Ausnahme hinzu.

Eigene Regeln

Mit benutzerdefinierten Regeln können Sie einzelne Domains blockieren oder erlauben:

||ads.example.com^
@@||needed.example.com^

Die erste Zeile blockiert die Domain, die zweite fügt eine Ausnahme hinzu.

Dienste, Zeitpläne und Clients

AdGuard Home kann einzelne Dienste vollständig blockieren und Zeitpläne anwenden. Wenn Sie Geräte als feste Clients hinzufügen, lassen sich für einen Computer, das Tablet eines Kindes und einen Fernseher unterschiedliche Regeln festlegen.

Geräte verbinden

Die Installation des Servers allein ändert die DNS-Einstellungen auf den Geräten nicht. Die Adresse von AdGuard Home muss im Router oder auf jedem einzelnen Client eingetragen werden.

Über den Router

Öffnen Sie die Router-Einstellungen und suchen Sie den Bereich DHCP, LAN oder DNS. Tragen Sie die IP-Adresse von AdGuard Home als DNS-Server ein, speichern Sie die Konfiguration und verbinden Sie die Geräte erneut mit dem Netzwerk.

Fügen Sie keinen öffentlichen DNS-Server als zweite Adresse hinzu, wenn die Filterung verpflichtend sein soll. Manche Geräte verwenden beide Adressen und können AdGuard Home dadurch umgehen. Für Ausfallsicherheit ist es besser, eine zweite Instanz bereitzustellen.

Auf einem einzelnen Gerät

Zum Testen können Sie DNS nur auf einem Computer oder Smartphone ändern:

• Windows — Eigenschaften des Netzwerkadapters und IPv4-/IPv6-Einstellungen;
• macOS — Einstellungen der aktiven Verbindung;
• Android und iOS — Einstellungen des aktuellen WLAN-Netzwerks;
• Smart-TV — manuelle Netzwerkeinstellungen.

Eine normale WLAN-Konfiguration gilt nicht bei einer Verbindung über das Mobilfunknetz. Damit die Filterung in allen Netzwerken funktioniert, benötigen Sie DoH, DoT oder ein VPN.

Sie können den Server mit folgendem Befehl testen:

nslookup example.org SERVER_IP

Die Anfrage sollte im Abfrageprotokoll von AdGuard Home erscheinen.

Sichere Konfiguration auf einem öffentlichen VPS

Automatische Scanner finden einen offenen DNS-Resolver sehr schnell. Er kann von unbefugten Clients genutzt oder für DNS-Angriffe eingesetzt werden, was zusätzliche Last und das Risiko von Beschwerden über die IP-Adresse verursacht.

Erlauben Sie zum Testen nur den Zugriff von Ihrer öffentlichen IP-Adresse. Falls UFW nicht installiert ist, installieren Sie es zunächst mit sudo apt install -y ufw.

sudo ufw allow OpenSSH
sudo ufw allow from YOUR_IP to any port 3000 proto tcp
sudo ufw allow from YOUR_IP to any port 53 proto udp
sudo ufw allow from YOUR_IP to any port 53 proto tcp
sudo ufw enable

Erlauben Sie zuerst SSH, da Sie sonst den Zugriff auf den VPS verlieren können. Wenn sich Ihre IP-Adresse häufig ändert, verbinden Sie die Geräte über WireGuard, Tailscale oder ein anderes VPN.

Für den dauerhaften Einsatz aus unterschiedlichen Netzwerken sollten Sie eine Domain, ein TLS-Zertifikat und sicheres DNS konfigurieren:

• 443/TCP für DNS-over-HTTPS;
• 853/TCP für DNS-over-TLS;
• Beschränkungen für Clients und die Abfragehäufigkeit in den AdGuard-Home-Einstellungen.

Auch die Verwaltungsoberfläche sollte durch eine Firewall oder ein VPN geschützt werden. Das Protokoll enthält die Domains, auf die Geräte zugegriffen haben. Bewahren Sie es daher nur so lange wie erforderlich auf.

Fehler „Port 53 ist bereits belegt“

Unter Ubuntu wird Port 53 häufig von systemd-resolved belegt. Mit folgendem Befehl können Sie prüfen, welche Prozesse darauf lauschen:

sudo ss -lntup | grep ':53'

Wenn der Dienst nur auf 127.0.0.53 lauscht, versuchen Sie zunächst, AdGuard Home an die konkrete IP-Adresse des VPS statt an alle Schnittstellen zu binden.

Wenn der Konflikt bestehen bleibt, deaktivieren Sie den lokalen DNS-Stub-Listener:

sudo mkdir -p /etc/systemd/resolved.conf.d

printf '[Resolve]\nDNS=127.0.0.1\nDNSStubListener=no\n' | \
sudo tee /etc/systemd/resolved.conf.d/adguardhome.conf

sudo mv /etc/resolv.conf /etc/resolv.conf.backup
sudo ln -s /run/systemd/resolve/resolv.conf /etc/resolv.conf
sudo systemctl reload-or-restart systemd-resolved
sudo /opt/AdGuardHome/AdGuardHome -s restart

Schließen Sie die SSH-Sitzung nicht, bevor Sie sich vergewissert haben, dass der Server wieder Domainnamen auflösen kann und AdGuard Home läuft.

Aktualisierung und Sicherung

Sie können über die Verwaltungsoberfläche oder mit folgendem Befehl aktualisieren:

cd /opt/AdGuardHome
sudo ./AdGuardHome --update

Sichern Sie vor größeren Änderungen die Datei /opt/AdGuardHome/AdGuardHome.yaml und das Verzeichnis /opt/AdGuardHome/data/. Darin befinden sich Einstellungen, Clients, Filter und Betriebsdaten.

Welchen VPS für AdGuard Home wählen

Für eine Familie oder ein kleines Team reichen in der Regel 1 vCPU und 1 GB RAM aus. Wenn neben AdGuard Home auch ein VPN, Monitoring oder andere Anwendungen laufen sollen, planen Sie zusätzlichen Arbeitsspeicher ein.

Für diese Aufgabe eignet sich ein VPS von tropic.host: Sie können Ubuntu oder Debian installieren, eine eigene IP-Adresse erhalten und den DNS-Server rund um die Uhr verfügbar halten, ohne einen Computer zu Hause betreiben zu müssen. Bei einer Bereitstellung im Internet müssen Sie unbedingt eine Firewall, sicheres DNS oder ein VPN verwenden.

Einschränkungen von AdGuard Home

DNS-Filterung ersetzt weder einen Werbeblocker im Browser noch Antivirensoftware oder eine Firewall. Werbung, die von derselben Domain wie der Hauptinhalt geladen wird, lässt sich damit nicht zuverlässig entfernen. Deshalb können Videoanzeigen auf YouTube und Twitch oder gesponserte Beiträge in sozialen Netzwerken auf DNS-Ebene nicht zuverlässig blockiert werden, ohne die Dienste selbst zu beeinträchtigen.

Nach dem Blockieren können auf einer Seite leere Bereiche zurückbleiben. Eine Browser-Erweiterung kann Seitenelemente ausblenden und daher gemeinsam mit AdGuard Home verwendet werden. Einige Anwendungen nutzen außerdem ein eigenes verschlüsseltes DNS und können die Systemeinstellungen umgehen.

Kurzes Fazit

AdGuard Home blockiert einen erheblichen Teil der Werbung und Tracker zentral auf Computern, Smartphones und anderen Geräten. Es lässt sich in wenigen Minuten auf einem VPS installieren und benötigt nur wenige Ressourcen.

Konfigurieren Sie nach der Installation die Clients und Filter, schützen Sie die Verwaltungsoberfläche und lassen Sie Port 53 nicht für das gesamte Internet offen. Verwenden Sie für den Zugriff aus Mobilfunk- und externen Netzwerken ein VPN, DNS-over-HTTPS oder DNS-over-TLS.

FAQ

Ist AdGuard Home kostenlos?

Ja. AdGuard Home wird kostenlos angeboten und erfordert kein Abonnement. Kosten entstehen nur für das Gerät oder den VPS, auf dem es ausgeführt wird.

Blockiert AdGuard Home Werbung auf YouTube?

Nein. Werbung und Videos können von denselben Domains geladen werden, sodass eine DNS-Blockierung die Funktion von YouTube selbst beeinträchtigen würde.

Funktioniert die Filterung über das Mobilfunknetz?

Ja, wenn Sie DNS-over-TLS, DNS-over-HTTPS, ein kompatibles Profil oder ein VPN konfigurieren. Eine DNS-Änderung in den WLAN-Einstellungen gilt nur für dieses Netzwerk.

Wie viel RAM wird benötigt?

Für die private Nutzung reichen normalerweise 512 MB–1 GB RAM aus. Bei vielen Clients, umfangreichen Filtern oder zusätzlichen Diensten kann mehr Arbeitsspeicher erforderlich sein.

Was tun, wenn sich eine Website nach Aktivierung des Filters nicht mehr öffnen lässt?

Öffnen Sie das Abfrageprotokoll, wiederholen Sie die problematische Aktion und suchen Sie die blockierte Domain. Fügen Sie eine gezielte Ausnahme hinzu, statt die gesamte Filterung zu deaktivieren.