适合放在 VPS 的情况：

• 已经有 WireGuard、Tailscale 或 Headscale 私网；
• 想让远程手机、电脑和家庭设备使用同一套 DNS；
• 需要集中管理广告过滤、恶意域名和本地服务域名；
• 设备数量不大，查询量主要来自个人和家庭；
• 能接受维护 VPS、DNS、备份和访问策略。

不建议直接放到公网提供任意人使用的情况：

• 没有 VPN 或来源 IP 限制；
• 计划把 1.2.3.4:53 对全网开放；
• 不理解 DNS 递归、缓存、转发和放大攻击；
• 需要企业级审计、身份策略或大规模 Anycast DNS；
• 只想屏蔽浏览器广告，却不想维护一套网络服务。

如果只是家里几台设备，树莓派、NAS 或路由器也可以运行 AdGuard Home。VPS 的优势是远程可用、网络稳定、和 WireGuard/Headscale 容易组合；缺点是所有设备的 DNS 都依赖这台机器，必须准备备用 DNS 和恢复方案。

AdGuard Home 适合“统一 DNS 策略”。它不会自动替代浏览器内容拦截器，也不能保证 YouTube、流媒体或所有 App 的广告都消失。DNS 只能拦截能够被域名层识别的请求。

假设 VPS 已经通过 WireGuard 建立私网：

VPS 公网 IPv4
        │
        ├── WireGuard wg0: 10.66.66.1
        │       │
        │       ├── 手机: 10.66.66.2 ── DNS 53 ──┐
        │       ├── 笔记本: 10.66.66.3 ─────────┤
        │       └── 家庭服务器: 10.66.66.4 ────┤
        │                                       ▼
        └──────────── Docker AdGuard Home ── 上游 DoH/DoT DNS

这里的关键是：

• 客户端通过 WireGuard 加密连接到 VPS；
• AdGuard Home 的 53 端口只绑定 10.66.66.1，不绑定公网 IPv4；
• AdGuard Home 到上游 DNS 可以使用 DoH 或 DoT；
• 客户端不需要把管理后台暴露到公网。

如果还没有 WireGuard，可以先看 VPS 搭建 WireGuard VPN 教程。设备较多、需要标签和统一策略时，再看 VPS 搭建 Headscale 教程。

AdGuard Home 本身很轻，查询量不大的家庭场景可以从下面的配置开始：

本文只需要这些端口：

• 53/tcp 和 53/udp：DNS 查询，只绑定 VPN 私网 IP；
• 3000/tcp：首次安装向导，只绑定 VPS 本机；
• 80/tcp：可选的 AdGuard Web 管理端口，只绑定本机或反向代理内部；
• 443/tcp、853/tcp：只有在明确配置 DoH/DoT 并限制访问时才开放。

先检查系统是否已经占用 53：

sudo ss -lntup | grep -E ':(53|3000|80|443|853)\b' || true

很多 Ubuntu 主机会运行 systemd-resolved，它通常监听 127.0.0.53:53。只要 AdGuard Home 绑定的是 WireGuard 私网地址 10.66.66.1，通常不会冲突；不要一看到 DNS 教程就盲目关闭 systemd-resolved。

如果你确实要让 AdGuard Home 监听 0.0.0.0:53，必须先理解本机解析器、Docker 端口和防火墙规则，否则可能让 VPS 自己无法解析域名，甚至暴露公网递归服务。

先确认 Docker 和 Compose 可用：

docker version
docker compose version

如果没有 Docker，可以参考 Docker 部署实战指南。创建 AdGuard Home 数据目录：

sudo mkdir -p /opt/adguardhome/work
sudo mkdir -p /opt/adguardhome/conf
sudo chown -R "$USER":"$USER" /opt/adguardhome
sudo chmod 750 /opt/adguardhome

确认 WireGuard 私网地址确实存在：

ip -4 addr show wg0

下面示例使用 10.66.66.1。如果你的接口地址不同，把 Compose 中所有 10.66.66.1 替换成实际地址。不要照抄一个不存在于本机的 IP，否则 Docker 绑定端口时会失败。

创建 /opt/adguardhome/compose.yaml：

services:
  adguardhome:
    image: adguard/adguardhome:v0.107.78
    container_name: adguardhome
    restart: unless-stopped
    ports:
      # 只在 WireGuard 私网 IP 提供 DNS，不绑定公网 IP
      - "10.66.66.1:53:53/tcp"
      - "10.66.66.1:53:53/udp"
      # 首次安装和管理页面只通过 SSH 隧道访问
      - "127.0.0.1:3000:3000/tcp"
      - "127.0.0.1:8080:80/tcp"
    volumes:
      - /opt/adguardhome/work:/opt/adguardhome/work
      - /opt/adguardhome/conf:/opt/adguardhome/conf

官方 Docker 示例还列出 DHCP、443、853 和 5443 等可选端口。本文不映射这些端口，因为 VPN 内的普通 DNS 已经由 WireGuard 加密，公开 DoH/DoT 不是默认必需项。

检查 Compose 文件：

cd /opt/adguardhome
docker compose config --quiet

启动容器：

docker compose up -d
docker compose ps
docker compose logs --tail=150 adguardhome

本机检查首次安装页面：

curl -I http://127.0.0.1:3000

如果报 bind: cannot assign requested address，先检查 wg0 是否启动、地址是否真的是 10.66.66.1。如果报端口已占用，再检查 ss 输出，不要直接换成公网端口解决。

在自己的电脑上建立隧道：

ssh -L 3000:127.0.0.1:3000 your_user@your_vps_ip

浏览器打开：

http://127.0.0.1:3000

初始化向导会让你设置管理员账号、Web 管理端口和 DNS 监听端口。建议：

• 管理员使用独立长密码，不与 VPS、邮箱和 VPN 复用；
• Web 管理端口保持容器内的 80，宿主机通过 127.0.0.1:8080 或 SSH 隧道访问；
• DNS 监听选择容器的所有接口，由宿主机端口映射限制到 10.66.66.1；
• 不启用不需要的 DHCP 服务，除非你明确知道 VPS 处于需要发放地址的二层网络；
• 记录你设置的 Web 管理地址，不要把管理员页面和 DNS 端口混为一谈。

完成向导后，管理页面在宿主机的本地端口 8080：

ssh -L 8080:127.0.0.1:8080 your_user@your_vps_ip

然后访问 http://127.0.0.1:8080。如果你更习惯使用第一次的 3000 隧道，也可以按向导显示的实际端口访问。

在 Settings → DNS settings 中配置上游服务器。可以选择 DoH 或 DoT，例如：

https://dns.cloudflare.com/dns-query
https://dns.google/dns-query
tls://1dot1dot1dot1.cloudflare-dns.com

再填写 Bootstrap DNS，例如：

1.1.1.1
9.9.9.9

Bootstrap DNS 只负责把上游域名解析成 IP，不等于所有客户端都会绕过 AdGuard Home。配置后用 Test upstreams 测试延迟和可用性。

几个实际建议：

• 先选 2 个稳定上游，不要堆十几个地址；
• 上游服务的隐私政策、日志周期和所在地区要自己确认；
• 需要稳定性时保留一个不同服务商的备用上游；
• DNSSEC、缓存和并发设置不要一次全部改动，方便定位问题；
• 上游 DoH/DoT 失败时，先看 VPS 时间、证书验证和 Bootstrap DNS。

客户端到 AdGuard Home 的 DNS 也可以使用 DoH/DoT，但如果客户端已经在 WireGuard 隧道里，普通 DNS 请求本身也被 VPN 加密，配置更简单、延迟通常更低。

在 Filters → DNS blocklists 中启用默认列表，再根据实际误拦截逐步增加规则。过滤列表不是越多越好：

• 多个列表高度重复，会增加内存和更新时间；
• 过于激进的列表可能破坏登录、支付和验证码；
• 列表 URL 失效时要及时移除；
• 更新后检查命中率和误拦截，不要只看“拦截数量”做优化。

遇到某个站点无法登录，先在 Query log 找到被拦截的域名，再添加单条允许规则。不要为了让一个页面恢复，就关闭所有过滤器。

常见规则操作：

• 允许某个域名：添加 @@||example.com^；
• 拦截某个域名：添加 ||ads.example.com^；
• 只对某个客户端生效：使用客户端关联的规则或设置；
• 需要临时验证：先暂停过滤一小段时间，确认后再恢复。

规则语法和第三方列表会变化，添加前先阅读来源说明。不要把来路不明的“万能规则包”直接复制到所有设备。

在 Filters 或 Clients 中为设备设置名称和分组，例如：

• 家庭成员手机；
• 电视和游戏机；
• 家庭服务器；
• 工作设备；
• 临时访客。

客户端名称比单纯看 IP 更容易排查误拦截，但查询日志可能包含访问过的域名、时间和设备信息。建议：

• 缩短查询日志和统计保留时间；
• 不把日志公开给不需要的人；
• 备份配置前先评估日志是否包含隐私数据；
• 家庭成员共享时提前说明记录范围；
• 不用查询日志推断一个人的全部行为。

DNS rewrites 可以让私网服务使用稳定域名，例如：

grafana.home.example.com  →  10.66.66.10
nas.home.example.com      →  10.66.66.20

这样客户端无论在家里还是通过 VPN，都能使用同一套域名。注意：DNS 重写只改变解析结果，不会自动提供 HTTPS 证书。内网域名仍需要可信证书、应用配置或客户端信任链。

如果域名托管在 Cloudflare，不要为了私网解析把管理记录随意改成公网地址。可以使用单独的内网子域名，或者把重写规则限制在指定客户端。

先区分两种加密：

1. AdGuard Home 到上游 DNS 的 DoH/DoT：保护 VPS 到上游解析器之间的查询；
2. 客户端到 AdGuard Home 的 DoH/DoT：让浏览器或手机以加密协议访问你的 DNS。

第一种通常值得开启。第二种只有在客户端无法使用 VPN、网络会劫持 53 端口，或你确实需要 HTTPS/TLS DNS 时才考虑。

如果要提供客户端 DoH/DoT：

• 申请一个专用域名和有效证书；
• 只为受控设备提供访问，不做公开递归服务；
• 使用 NPM、Caddy、Cloudflare Access 或 VPN 限制来源；
• 对 /dns-query 和 853 端口设置连接数、流量和日志策略；
• 测试证书、SNI、IPv6 和移动网络的实际行为；
• 关闭不需要的管理 API 和 Web 页面公网入口。

对个人家庭场景，WireGuard + 普通 DNS 已经足够。不要为了“支持 DoH”把 53、443、853、3000、5443 一次全开放。

在客户端分别查看系统 DNS、VPN DNS 和浏览器的安全 DNS 设置。命令行可以这样测试：

dig @10.66.66.1 example.com
resolvectl status

你应该看到客户端把请求发到 10.66.66.1，而不是直接发往路由器、运营商 DNS 或浏览器内置 DoH。

如果浏览器开启了自己的 Secure DNS，它可能绕过系统 DNS。要么关闭浏览器独立 DoH，让所有请求走 AdGuard Home；要么明确配置浏览器使用你自己的 DoH，并接受它与系统 DNS 的策略不同。

AdGuard Home 的关键内容在两个目录：

• /opt/adguardhome/conf：配置、用户、监听和过滤设置；
• /opt/adguardhome/work：运行数据、过滤器缓存、统计和查询日志。

备份前暂停容器，减少写入过程中的不一致：

cd /opt/adguardhome
docker compose stop
sudo tar -czf adguardhome-$(date +%F).tar.gz work conf compose.yaml
docker compose start

把压缩包复制到另一台机器或对象存储，并限制权限：

chmod 600 adguardhome-*.tar.gz

如果不需要恢复查询日志，可以只备份 conf 和 Compose 文件。恢复前先停止容器，确认目录归属和版本兼容，再解压覆盖。

升级前记录当前版本并备份：

cd /opt/adguardhome
docker inspect adguardhome --format '{{.Config.Image}}'
docker compose config > compose.before-upgrade.yaml

然后修改镜像版本：

image: adguard/adguardhome:v0.107.78

拉取并重建：

docker compose pull
docker compose up -d
docker compose logs --tail=150 adguardhome

升级后测试：

• VPN 客户端能否解析域名；
• 过滤规则是否正常更新；
• 本地 DNS rewrites 是否仍生效；
• 上游 DoH/DoT 是否有错误；
• 查询日志和管理员登录是否正常。

如果出现回归，先停止容器，恢复备份，再把镜像改回之前的固定版本。不要只回退镜像而忽略配置格式变化。

• 公网不开放递归 DNS 53，除非已经有严格来源控制和滥用监控；
• 53 只绑定 WireGuard、Tailscale 或其他私网地址；
• 3000、8080 等管理端口只监听回环地址或 VPN；
• 不启用不需要的 DHCP、DoT、DoH 和诊断端口；
• 管理员密码独立、足够长，不写进公开仓库；
• 查询日志和统计数据设置合理保留时间；
• 过滤列表只使用可信来源，定期检查误拦截；
• 配置目录和备份文件限制权限；
• 升级前固定版本并测试恢复；
• 为 DNS 服务配置健康检查和备用解析路径；
• 不把 AdGuard Home 当作防火墙、杀毒软件或完整家长控制系统；
• 只管理自己有权管理的设备和网络。

个人和家庭场景可以从 1 核 1GB VPS、WireGuard 私网和 AdGuard Home v0.107.78 开始。先只接入一台测试手机，确认 VPN、DNS、过滤器、上游 DoH 和 IPv6 行为，再把其他设备切换过来。

不要把“拦截数量”当成唯一目标。真正稳定的 AdGuard Home 方案是：DNS 只对受控网络开放，规则数量适中，查询日志可控，有备用解析路径，配置和恢复步骤都写下来。

• AdGuard Home 官方 Docker 文档
• AdGuard Home v0.107.78 Release
• AdGuard Home GitHub 仓库
• WireGuard 官方文档