Casos en los que es adecuado ponerlo en un VPS:

• Ya tienes una red privada WireGuard, Tailscale o Headscale;
• Quieres que móviles, ordenadores y dispositivos domésticos remotos usen el mismo DNS;
• Necesitas gestionar de forma centralizada el filtrado de anuncios, los dominios maliciosos y los dominios de servicios locales;
• El número de dispositivos no es grande y las consultas provienen principalmente de personas y familias;
• Puedes aceptar mantener el VPS, el DNS, las copias de seguridad y las políticas de acceso.

Casos en los que no se recomienda exponerlo directamente a Internet para que lo use cualquiera:

• No hay VPN ni restricción por IP de origen;
• Planeas abrir 1.2.3.4:53 a toda la red;
• No entiendes la recursión DNS, la caché, el reenvío ni los ataques de amplificación;
• Necesitas auditoría empresarial, políticas de identidad o DNS Anycast a gran escala;
• Solo quieres bloquear anuncios del navegador pero no quieres mantener un servicio de red.

Si solo son unos pocos dispositivos en casa, una Raspberry Pi, un NAS o un router también pueden ejecutar AdGuard Home. La ventaja del VPS es la disponibilidad remota, la estabilidad de red y la facilidad de combinarlo con WireGuard/Headscale; la desventaja es que el DNS de todos los dispositivos depende de esta máquina, por lo que hay que preparar un DNS de respaldo y un plan de recuperación.

AdGuard Home es adecuado para una «política DNS unificada». No sustituye automáticamente a los bloqueadores de contenido del navegador ni puede garantizar que desaparezcan los anuncios de YouTube, los servicios de streaming o todas las apps. El DNS solo puede bloquear peticiones identificables a nivel de dominio.

Supongamos que el VPS ya ha establecido una red privada mediante WireGuard:

VPS 公网 IPv4
        │
        ├── WireGuard wg0: 10.66.66.1
        │       │
        │       ├── 手机: 10.66.66.2 ── DNS 53 ──┐
        │       ├── 笔记本: 10.66.66.3 ─────────┤
        │       └── 家庭服务器: 10.66.66.4 ────┤
        │                                       ▼
        └──────────── Docker AdGuard Home ── 上游 DoH/DoT DNS

Lo clave aquí es:

• Los clientes se conectan al VPS mediante WireGuard cifrado;
• El puerto 53 de AdGuard Home solo se enlaza a 10.66.66.1, no a la IPv4 pública;
• AdGuard Home puede usar DoH o DoT para el DNS ascendente;
• Los clientes no necesitan exponer el panel de administración a Internet.

Si aún no tienes WireGuard, puedes consultar primero el tutorial de montaje de WireGuard VPN en VPS. Si tienes muchos dispositivos y necesitas etiquetas y políticas unificadas, consulta el tutorial de montaje de Headscale en VPS.

AdGuard Home es muy ligero; para escenarios domésticos con poco volumen de consultas puedes empezar con las siguientes configuraciones:

Este artículo solo necesita estos puertos:

• 53/tcp y 53/udp: consultas DNS, enlazados solo a la IP privada de la VPN;
• 3000/tcp: asistente de instalación inicial, enlazado solo al propio VPS;
• 80/tcp: puerto opcional de administración web de AdGuard, enlazado solo a localhost o al interior de un proxy inverso;
• 443/tcp, 853/tcp: solo se abren cuando se configura explícitamente DoH/DoT y se restringe el acceso.

Primero comprueba si el sistema ya ocupa el puerto 53:

sudo ss -lntup | grep -E ':(53|3000|80|443|853)\b' || true

Muchos hosts Ubuntu ejecutan systemd-resolved, que normalmente escucha en 127.0.0.53:53. Mientras AdGuard Home se enlace a la dirección privada de WireGuard 10.66.66.1, normalmente no habrá conflicto; no desactives systemd-resolved a ciegas solo porque veas un tutorial de DNS.

Si realmente quieres que AdGuard Home escuche en 0.0.0.0:53, primero debes entender el resolver local, los puertos de Docker y las reglas del firewall; de lo contrario, puedes hacer que el propio VPS no pueda resolver nombres de dominio o incluso exponer un servicio recursivo público.

Primero confirma que Docker y Compose están disponibles:

docker version
docker compose version

Si no tienes Docker, puedes consultar la guía práctica de despliegue con Docker. Crea el directorio de datos de AdGuard Home:

sudo mkdir -p /opt/adguardhome/work
sudo mkdir -p /opt/adguardhome/conf
sudo chown -R "$USER":"$USER" /opt/adguardhome
sudo chmod 750 /opt/adguardhome

Confirma que la dirección privada de WireGuard existe realmente:

ip -4 addr show wg0

El ejemplo siguiente usa 10.66.66.1. Si la dirección de tu interfaz es diferente, sustituye todos los 10.66.66.1 del Compose por la dirección real. No copies una IP que no exista en el host, o Docker fallará al enlazar los puertos.

Crea /opt/adguardhome/compose.yaml:

services:
  adguardhome:
    image: adguard/adguardhome:v0.107.78
    container_name: adguardhome
    restart: unless-stopped
    ports:
      # 只在 WireGuard 私网 IP 提供 DNS，不绑定公网 IP
      - "10.66.66.1:53:53/tcp"
      - "10.66.66.1:53:53/udp"
      # 首次安装和管理页面只通过 SSH 隧道访问
      - "127.0.0.1:3000:3000/tcp"
      - "127.0.0.1:8080:80/tcp"
    volumes:
      - /opt/adguardhome/work:/opt/adguardhome/work
      - /opt/adguardhome/conf:/opt/adguardhome/conf

El ejemplo oficial de Docker también enumera puertos opcionales como DHCP, 443, 853 y 5443. Este artículo no mapea estos puertos, porque el DNS normal dentro de la VPN ya está cifrado por WireGuard y el DoH/DoT público no es un requisito por defecto.

Comprueba el archivo Compose:

cd /opt/adguardhome
docker compose config --quiet

Inicia el contenedor:

docker compose up -d
docker compose ps
docker compose logs --tail=150 adguardhome

Comprueba localmente la página de instalación inicial:

curl -I http://127.0.0.1:3000

Si aparece bind: cannot assign requested address, comprueba primero si wg0 está activo y si la dirección es realmente 10.66.66.1. Si aparece un error de puerto ya en uso, revisa de nuevo la salida de ss; no cambies directamente a un puerto público para resolverlo.

Crea un túnel en tu propio ordenador:

ssh -L 3000:127.0.0.1:3000 your_user@your_vps_ip

Abre en el navegador:

http://127.0.0.1:3000

El asistente de inicialización te pedirá configurar la cuenta de administrador, el puerto de administración web y el puerto de escucha DNS. Recomendaciones:

• Usa una contraseña larga e independiente para el administrador, sin reutilizarla del VPS, el correo o la VPN;
• Mantén el puerto de administración web en el 80 dentro del contenedor y accede a él en el host mediante 127.0.0.1:8080 o un túnel SSH;
• Elige todas las interfaces del contenedor para la escucha DNS y deja que el mapeo de puertos del host lo restrinja a 10.66.66.1;
• No actives el servicio DHCP que no necesites, a menos que sepas claramente que el VPS está en una red de capa 2 que necesita repartir direcciones;
• Anota la dirección de administración web que configures y no confundas la página de administración con el puerto DNS.

Tras completar el asistente, la página de administración está en el puerto local 8080 del host:

ssh -L 8080:127.0.0.1:8080 your_user@your_vps_ip

Luego visita http://127.0.0.1:8080. Si prefieres usar el primer túnel del 3000, también puedes acceder por el puerto real que muestre el asistente.

Configura los servidores ascendentes en Settings → DNS settings. Puedes elegir DoH o DoT, por ejemplo:

https://dns.cloudflare.com/dns-query
https://dns.google/dns-query
tls://1dot1dot1dot1.cloudflare-dns.com

Luego rellena Bootstrap DNS, por ejemplo:

1.1.1.1
9.9.9.9

Bootstrap DNS solo se encarga de resolver los nombres de dominio ascendentes a IP; no significa que todos los clientes vayan a saltarse AdGuard Home. Tras configurarlo, usa Test upstreams para probar la latencia y la disponibilidad.

Algunas recomendaciones prácticas:

• Elige primero 2 ascendentes estables; no acumules una docena de direcciones;
• Confirma tú mismo la política de privacidad, el periodo de retención de registros y la región del servicio ascendente;
• Cuando necesites estabilidad, mantén un ascendente de respaldo de otro proveedor;
• No cambies DNSSEC, caché y concurrencia todo a la vez, para poder localizar problemas;
• Si falla el DoH/DoT ascendente, revisa primero la hora del VPS, la verificación de certificados y el Bootstrap DNS.

El DNS del cliente a AdGuard Home también puede usar DoH/DoT, pero si el cliente ya está dentro del túnel WireGuard, las peticiones DNS normales ya están cifradas por la VPN, lo que es más sencillo de configurar y normalmente tiene menor latencia.

En Filters → DNS blocklists, activa las listas predeterminadas y luego añade reglas gradualmente según los falsos positivos reales. No es mejor tener más listas de filtros:

• Varias listas se solapan mucho, lo que aumenta el uso de memoria y el tiempo de actualización;
• Las listas demasiado agresivas pueden romper inicios de sesión, pagos y captchas;
• Elimina a tiempo las URL de listas que dejen de funcionar;
• Tras las actualizaciones, revisa la tasa de aciertos y los falsos positivos; no optimices solo mirando el «número de bloqueos».

Si un sitio no permite iniciar sesión, busca primero el dominio bloqueado en Query log y luego añade una única regla de permiso. No desactives todos los filtros solo para recuperar una página.

Operaciones comunes con reglas:

• Permitir un dominio: añade @@||example.com^;
• Bloquear un dominio: añade ||ads.example.com^;
• Aplicar solo a un cliente: usa reglas o ajustes asociados al cliente;
• Verificación temporal: pausa el filtrado un breve periodo, confirma y luego reanuda.

La sintaxis de las reglas y las listas de terceros cambian; lee la descripción de la fuente antes de añadirlas. No copies un «paquete de reglas universal» de origen desconocido directamente a todos los dispositivos.

En Filters o Clients, asigna nombres y grupos a los dispositivos, por ejemplo:

• Móviles de los miembros de la familia;
• Televisores y consolas de juegos;
• Servidores domésticos;
• Dispositivos de trabajo;
• Invitados temporales.

Los nombres de cliente facilitan la resolución de falsos positivos más que mirar solo las IP, pero los registros de consultas pueden contener dominios visitados, horas e información del dispositivo. Recomendaciones:

• Acorta la retención de los registros de consultas y las estadísticas;
• No expongas los registros a quien no los necesite;
• Antes de hacer copia de la configuración, evalúa si los registros contienen datos privados;
• Al compartir con miembros de la familia, explica de antemano el alcance del registro;
• No uses los registros de consultas para inferir todo el comportamiento de una persona.

Las reescrituras DNS permiten que los servicios de la red privada usen nombres de dominio estables, por ejemplo:

grafana.home.example.com  →  10.66.66.10
nas.home.example.com      →  10.66.66.20

Así los clientes pueden usar el mismo conjunto de nombres de dominio tanto en casa como a través de la VPN. Nota: las reescrituras DNS solo cambian el resultado de la resolución y no proporcionan automáticamente certificados HTTPS. Los dominios internos siguen necesitando certificados de confianza, configuración de la aplicación o una cadena de confianza en el cliente.

Si el dominio está alojado en Cloudflare, no cambies sin cuidado los registros de gestión a direcciones públicas solo para la resolución de red privada. Puedes usar un subdominio interno separado o restringir las reglas de reescritura a clientes concretos.

Primero distingue dos tipos de cifrado:

1. DoH/DoT de AdGuard Home al DNS ascendente: protege las consultas entre el VPS y el resolver ascendente;
2. DoH/DoT del cliente a AdGuard Home: permite que el navegador o el móvil accedan a tu DNS mediante un protocolo cifrado.

El primero normalmente merece la pena activarlo. El segundo solo debe considerarse cuando los clientes no pueden usar VPN, la red secuestra el puerto 53 o realmente necesitas DNS HTTPS/TLS.

Si quieres ofrecer DoH/DoT a los clientes:

• Solicita un dominio dedicado y un certificado válido;
• Ofrece acceso solo a dispositivos controlados; no hagas un servicio recursivo público;
• Usa NPM, Caddy, Cloudflare Access o VPN para restringir el origen;
• Configura políticas de conexiones, tráfico y registros para /dns-query y el puerto 853;
• Prueba certificados, SNI, IPv6 y el comportamiento real en redes móviles;
• Cierra las entradas públicas de las API de administración y páginas web que no necesites.

Para escenarios domésticos personales, WireGuard + DNS normal ya es suficiente. No abras 53, 443, 853, 3000 y 5443 todos a la vez solo para «soportar DoH».

En el cliente, revisa por separado el DNS del sistema, el DNS de la VPN y la configuración de DNS seguro del navegador. Puedes probar desde la línea de comandos así:

dig @10.66.66.1 example.com
resolvectl status

Deberías ver que el cliente envía las peticiones a 10.66.66.1, no directamente al router, al DNS del operador o al DoH integrado del navegador.

Si el navegador tiene activado su propio Secure DNS, puede saltarse el DNS del sistema. O bien desactivas el DoH independiente del navegador para que todas las peticiones pasen por AdGuard Home, o bien configuras explícitamente el navegador para usar tu propio DoH y aceptas que su política difiera del DNS del sistema.

El contenido clave de AdGuard Home está en dos directorios:

• /opt/adguardhome/conf: configuración, usuarios, escucha y ajustes de filtrado;
• /opt/adguardhome/work: datos de ejecución, caché de filtros, estadísticas y registros de consultas.

Pausa el contenedor antes de la copia para reducir inconsistencias durante la escritura:

cd /opt/adguardhome
docker compose stop
sudo tar -czf adguardhome-$(date +%F).tar.gz work conf compose.yaml
docker compose start

Copia el archivo comprimido a otra máquina o almacenamiento de objetos y restringe los permisos:

chmod 600 adguardhome-*.tar.gz

Si no necesitas restaurar los registros de consultas, puedes hacer copia solo de conf y del archivo Compose. Antes de restaurar, detén el contenedor, confirma la propiedad de los directorios y la compatibilidad de versiones, y luego descomprime y sobrescribe.

Antes de actualizar, anota la versión actual y haz copia de seguridad:

cd /opt/adguardhome
docker inspect adguardhome --format '{{.Config.Image}}'
docker compose config > compose.before-upgrade.yaml

Luego cambia la versión de la imagen:

image: adguard/adguardhome:v0.107.78

Descarga y reconstruye:

docker compose pull
docker compose up -d
docker compose logs --tail=150 adguardhome

Tras actualizar, prueba:

• Si los clientes VPN pueden resolver nombres de dominio;
• Si las reglas de filtrado se actualizan correctamente;
• Si las reescrituras DNS locales siguen funcionando;
• Si el DoH/DoT ascendente tiene errores;
• Si los registros de consultas y el inicio de sesión del administrador funcionan correctamente.

Si aparece una regresión, detén primero el contenedor, restaura la copia de seguridad y luego vuelve a fijar la imagen a la versión anterior. No reviertas solo la imagen ignorando los cambios de formato de configuración.

• No expongas el DNS recursivo 53 a Internet, a menos que ya tengas control estricto de origen y monitorización de abusos;
• Enlaza el 53 solo a WireGuard, Tailscale u otras direcciones privadas;
• Los puertos de administración como 3000 y 8080 escuchan solo en loopback o en la VPN;
• No actives DHCP, DoT, DoH ni puertos de diagnóstico que no necesites;
• La contraseña de administrador es independiente, suficientemente larga y no se escribe en repositorios públicos;
• Configura tiempos de retención razonables para los registros de consultas y las estadísticas;
• Usa solo fuentes de confianza para las listas de filtros y revisa periódicamente los falsos positivos;
• Restringe los permisos de los directorios de configuración y de los archivos de copia de seguridad;
• Fija la versión antes de actualizar y prueba la recuperación;
• Configura comprobaciones de estado y una ruta de resolución de respaldo para el servicio DNS;
• No trates AdGuard Home como firewall, antivirus ni sistema completo de control parental;
• Gestiona solo dispositivos y redes que tengas derecho a gestionar.

Para escenarios personales y domésticos, puedes empezar con un VPS de 1 núcleo y 1GB, una red privada WireGuard y AdGuard Home v0.107.78. Primero conecta solo un móvil de prueba, confirma el comportamiento de la VPN, el DNS, los filtros, el DoH ascendente y IPv6, y luego cambia los demás dispositivos.

No tomes el «número de bloqueos» como único objetivo. Una solución AdGuard Home realmente estable es: DNS abierto solo a redes controladas, un número moderado de reglas, registros de consultas controlables, una ruta de resolución de respaldo y los pasos de configuración y recuperación por escrito.

• Documentación oficial de Docker de AdGuard Home
• AdGuard Home v0.107.78 Release
• Repositorio GitHub de AdGuard Home
• Documentación oficial de WireGuard