AdGuard Home na VPS: instalacja i blokowanie reklam

H1: Jak zainstalować i skonfigurować AdGuard Home na VPS

AdGuard Home to bezpłatny serwer DNS, który blokuje żądania do domen reklamowych, trackerów i innych niepożądanych zasobów. Możesz kierować przez niego zapytania DNS z komputerów, telefonów, telewizorów i innych urządzeń, a filtrowaniem zarządzać z jednego panelu. Poniżej omówimy instalację na VPS z Ubuntu lub Debianem, konfigurację początkową, podłączanie klientów oraz zabezpieczenie publicznego serwera.

Czego potrzebujesz

Do użytku osobistego zwykle wystarczy 1 vCPU, 512 MB–1 GB pamięci RAM i kilka gigabajtów wolnego miejsca. Potrzebny będzie także stały adres IP, dostęp SSH oraz uprawnienia root lub sudo.

AdGuard Home wykorzystuje:

• 3000/TCP do uruchomienia kreatora konfiguracji;
• 53/UDP i 53/TCP do standardowych zapytań DNS;
• wybrany przez Ciebie port do stałego dostępu do panelu.

Portu 53 nie należy otwierać dla całego internetu bez ograniczeń. Do bezpiecznej konfiguracji wrócimy w osobnej sekcji.

Instalacja AdGuard Home na Ubuntu lub Debianie

Połącz się z VPS-em przez SSH i zainstaluj curl:

sudo apt update
sudo apt install -y curl

Uruchom oficjalny skrypt instalacyjny:

curl -s -S -L https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sudo sh -s -- -v

Skrypt wykryje architekturę serwera, pobierze stabilną wersję, zainstaluje ją w /opt/AdGuardHome i utworzy usługę systemową. Jej status możesz sprawdzić poleceniem:

sudo /opt/AdGuardHome/AdGuardHome -s status

Następnie otwórz w przeglądarce następujący adres:

http://SERVER_IP:3000

Jeśli strona jest niedostępna, sprawdź zaporę systemową oraz reguły w panelu administracyjnym dostawcy hostingu.

Konfiguracja początkowa

W kreatorze konfiguracji wybierz adresy i porty panelu administracyjnego oraz serwera DNS.

W przypadku panelu możesz pozostawić port 3000 i wybrać adres IP VPS-a jako interfejs. Utwórz osobną nazwę użytkownika i silne hasło, ponieważ panel zapewnia dostęp do dziennika zapytań, filtrów i ustawień klientów.

Dla DNS wybierz adres IP serwera i standardowy port 53. Jeśli jest już używany, nie zastępuj go przypadkowym portem — większość urządzeń oczekuje standardowego DNS na porcie 53. Sposób rozwiązania tego konfliktu opisujemy niżej.

Po ukończeniu kreatora strona główna wyświetli statystyki zapytań, liczbę zablokowanych żądań, aktywnych klientów i popularnych domen.

Jak działa filtrowanie DNS

Przed połączeniem ze stroną lub usługą urządzenie pobiera adres IP domeny. AdGuard Home sprawdza domenę względem list reguł. Żądanie do sieci reklamowej lub trackera zostaje zablokowane, a dozwolone żądanie jest przekazywane do nadrzędnego serwera DNS.

Takie podejście zapewnia scentralizowane filtrowanie całej sieci i działa nie tylko w przeglądarkach, ale także w wielu aplikacjach mobilnych oraz na telewizorach Smart TV. Dodatkowe funkcje obejmują dziennik zapytań, reguły dla poszczególnych urządzeń, bezpieczne wyszukiwanie oraz zaplanowane blokowanie usług.

AdGuard Home nie odszyfrowuje ruchu HTTPS ani nie modyfikuje kodu stron. Blokuje więc żądania do domen, ale nie może usunąć każdego elementu reklamowego.

Najważniejsze ustawienia po instalacji

Nadrzędne serwery DNS

Otwórz Settings → DNS settings. W tym miejscu określasz serwery, do których AdGuard Home przekazuje dozwolone zapytania. Na początku możesz pozostawić sugerowane wartości, a później wybrać niezawodne resolvery obsługujące DNS-over-HTTPS lub DNS-over-TLS.

Szyfrowany nadrzędny DNS chroni połączenie między VPS-em a zewnętrznym resolverem. Połączenie urządzenia z VPS-em trzeba zabezpieczyć osobno za pomocą DoH, DoT lub VPN-u.

Listy blokad

Podstawowy filtr jest już włączony. Nie dodawaj od razu dziesiątek dużych list: powielają one reguły i zwiększają ryzyko fałszywych blokad. Dodawaj po jednej liście dla konkretnego celu i obserwuj dziennik zapytań.

Jeśli po zmianie strona lub aplikacja przestanie działać, znajdź zablokowaną domenę w dzienniku i dodaj precyzyjny wyjątek.

Reguły niestandardowe

W regułach niestandardowych możesz zablokować lub zezwolić na pojedynczą domenę:

||ads.example.com^
@@||needed.example.com^

Pierwszy wiersz blokuje domenę, a drugi dodaje wyjątek.

Usługi, harmonogramy i klienci

AdGuard Home może całkowicie blokować wybrane usługi i stosować harmonogram. Jeśli dodasz urządzenia jako stałych klientów, możesz przypisać różne reguły komputerowi, tabletowi dziecka i telewizorowi.

Jak podłączyć urządzenia

Sama instalacja serwera nie zmienia automatycznie ustawień DNS na urządzeniach. Musisz wskazać adres AdGuard Home w routerze albo na każdym kliencie.

Przez router

Otwórz ustawienia routera i znajdź sekcję DHCP, LAN lub DNS. Wskaż adres IP AdGuard Home jako serwer DNS, zapisz konfigurację i ponownie połącz urządzenia z siecią.

Nie dodawaj publicznego serwera DNS jako adresu dodatkowego, jeśli filtrowanie ma być obowiązkowe. Niektóre urządzenia korzystają z obu adresów i mogą ominąć AdGuard Home. Dla zwiększenia odporności na awarie lepiej uruchomić drugą instancję.

Na pojedynczym urządzeniu

Do testów możesz zmienić DNS tylko na jednym komputerze lub telefonie:

• Windows — właściwości karty sieciowej i ustawienia IPv4/IPv6;
• macOS — ustawienia aktywnego połączenia;
• Android i iOS — ustawienia bieżącej sieci Wi-Fi;
• Smart TV — ręczne ustawienia sieci.

Zwykła konfiguracja Wi-Fi nie obowiązuje podczas korzystania z transmisji komórkowej. Aby filtrowanie działało w każdej sieci, potrzebujesz DoH, DoT lub VPN-u.

Możesz przetestować serwer poleceniem:

nslookup example.org SERVER_IP

Zapytanie powinno pojawić się w dzienniku zapytań AdGuard Home.

Bezpieczna konfiguracja na publicznym VPS-ie

Automatyczne skanery szybko wykrywają otwarty resolver DNS. Może on zostać wykorzystany przez nieuprawnionych klientów lub do ataków DNS, co zwiększa obciążenie i ryzyko skarg dotyczących adresu IP.

Do testów zezwól na dostęp tylko z własnego publicznego adresu IP. Jeśli UFW nie jest zainstalowany, najpierw doinstaluj go poleceniem sudo apt install -y ufw.

sudo ufw allow OpenSSH
sudo ufw allow from YOUR_IP to any port 3000 proto tcp
sudo ufw allow from YOUR_IP to any port 53 proto udp
sudo ufw allow from YOUR_IP to any port 53 proto tcp
sudo ufw enable

Najpierw zezwól na SSH, w przeciwnym razie możesz stracić dostęp do VPS-a. Jeśli Twój adres IP często się zmienia, podłącz urządzenia przez WireGuard, Tailscale lub inną sieć VPN.

Przy stałym korzystaniu z różnych sieci lepiej skonfigurować domenę, certyfikat TLS i bezpieczny DNS:

• 443/TCP dla DNS-over-HTTPS;
• 853/TCP dla DNS-over-TLS;
• ograniczenia klientów i liczby zapytań w ustawieniach AdGuard Home.

Panel administracyjny również powinien być chroniony zaporą lub VPN-em. Dziennik zawiera domeny odwiedzane przez urządzenia, dlatego przechowuj go tylko tak długo, jak jest to potrzebne.

Błąd „Port 53 jest już używany”

W Ubuntu port 53 często zajmuje systemd-resolved. Procesy nasłuchujące możesz sprawdzić poleceniem:

sudo ss -lntup | grep ':53'

Jeśli usługa nasłuchuje tylko na 127.0.0.53, najpierw spróbuj przypisać AdGuard Home do konkretnego adresu IP VPS-a zamiast do wszystkich interfejsów.

Jeśli konflikt nadal występuje, wyłącz lokalny odbiornik stub DNS:

sudo mkdir -p /etc/systemd/resolved.conf.d

printf '[Resolve]\nDNS=127.0.0.1\nDNSStubListener=no\n' | \
sudo tee /etc/systemd/resolved.conf.d/adguardhome.conf

sudo mv /etc/resolv.conf /etc/resolv.conf.backup
sudo ln -s /run/systemd/resolve/resolv.conf /etc/resolv.conf
sudo systemctl reload-or-restart systemd-resolved
sudo /opt/AdGuardHome/AdGuardHome -s restart

Nie zamykaj sesji SSH, dopóki nie potwierdzisz, że serwer ponownie rozwiązuje nazwy domen i że AdGuard Home działa.

Aktualizacje i kopie zapasowe

Możesz aktualizować program z panelu lub poleceniem:

cd /opt/AdGuardHome
sudo ./AdGuardHome --update

Przed większymi zmianami zachowaj plik /opt/AdGuardHome/AdGuardHome.yaml oraz katalog /opt/AdGuardHome/data/. Zawierają one ustawienia, klientów, filtry i dane operacyjne.

Jaki VPS wybrać dla AdGuard Home

Dla rodziny lub małego zespołu zwykle wystarczy 1 vCPU i 1 GB RAM. Jeśli razem z AdGuard Home będą działać VPN, system monitoringu lub inne aplikacje, przydziel dodatkową pamięć.

VPS od tropic.host dobrze nadaje się do tego zadania: możesz zainstalować Ubuntu lub Debiana, otrzymać dedykowany adres IP i utrzymywać serwer DNS dostępny przez całą dobę bez uzależnienia od domowego komputera. Jeśli udostępniasz go w internecie, zawsze używaj zapory, bezpiecznego DNS-u albo VPN-u.

Ograniczenia AdGuard Home

Filtrowanie DNS nie zastępuje blokera działającego w przeglądarce, programu antywirusowego ani zapory sieciowej. Nie potrafi niezawodnie usuwać reklam dostarczanych z tej samej domeny co główna treść. Z tego powodu filtrowanie na poziomie DNS nie usuwa skutecznie reklam wideo z YouTube i Twitcha ani sponsorowanych postów w sieciach społecznościowych — bez zakłócania działania samych usług.

Po zablokowaniu elementów na stronie mogą pozostać puste miejsca. Rozszerzenie przeglądarki może ukryć takie elementy, więc można używać go razem z AdGuard Home. Niektóre aplikacje korzystają również z własnego szyfrowanego DNS-u i mogą omijać ustawienia systemowe.

Podsumowanie

AdGuard Home centralnie blokuje znaczną część reklam i trackerów na komputerach, telefonach oraz innych urządzeniach. Można zainstalować go na VPS-ie w kilka minut, a program nie wymaga wielu zasobów.

Po instalacji skonfiguruj klientów i filtry, zabezpiecz panel oraz nie pozostawiaj portu 53 otwartego dla całego internetu. Do łączenia z sieci komórkowych i zewnętrznych używaj VPN-u, DNS-over-HTTPS albo DNS-over-TLS.

FAQ

Czy AdGuard Home jest bezpłatny?

Tak. AdGuard Home jest rozpowszechniany bezpłatnie i nie wymaga abonamentu. Płacisz jedynie za urządzenie lub VPS, na którym działa.

Czy AdGuard Home blokuje reklamy na YouTube?

Nie. Reklamy i filmy mogą być dostarczane z tych samych domen, dlatego blokowanie DNS zakłócałoby działanie samego YouTube.

Czy filtrowanie działa przez transmisję komórkową?

Tak, jeśli skonfigurujesz DNS-over-TLS, DNS-over-HTTPS, zgodny profil albo VPN. Zmiana DNS w ustawieniach Wi-Fi dotyczy tylko tej sieci.

Ile pamięci RAM jest potrzebne?

Do użytku osobistego zwykle wystarczy 512 MB–1 GB RAM. Więcej pamięci może być potrzebne przy dużej liczbie klientów, rozbudowanych filtrach lub dodatkowych usługach.

Co zrobić, jeśli strona przestanie się otwierać po włączeniu filtrowania?

Otwórz dziennik zapytań, powtórz czynność, która wywołała problem, i znajdź zablokowaną domenę. Dodaj precyzyjny wyjątek zamiast wyłączać całe filtrowanie.