AdGuard Home

AdGuard Home - это DNS-сервер с фильтрацией на уровне всей сети. Вместо того чтобы ставить блокировщик рекламы в каждый браузер и на каждый телефон, вы поднимаете один DNS, прописываете его на роутере или на устройстве, и он режет обращения к рекламным и трекерным доменам еще до того, как они загрузятся. Работает для всего, что ходит через этот DNS: телевизор, умные лампочки, приложения на телефоне.

Второй сценарий - личный шифрованный DNS. AdGuard Home умеет принимать запросы по DNS-over-HTTPS, DNS-over-TLS и DNS-over-QUIC. Если поднять его на VPS с валидным TLS, получаете свой приватный резолвер: телефон в любой сети (кафе, мобильный интернет, чужой Wi-Fi) ходит через ваш зашифрованный DNS с вашими списками фильтрации, а провайдер видит только шифрованный трафик до вашего сервера.

Главный размен честный: облачный сервис вы включили и забыли, а self-hosted требует, чтобы вы сами следили за сервером, продлевали сертификат и не оставили открытый резолвер. Взамен - никаких лимитов, свои списки и логи только у вас.

Написан на Go, поставляется одним бинарником без внешних зависимостей - ни базы данных, ни рантайма ставить не нужно. Внутри: собственный DNS-резолвер с апстримом наверх (по умолчанию можно указать любой публичный DoH/DoT), движок фильтрации по спискам, веб-интерфейс для настройки и журнала запросов.

Все состояние - один YAML-файл AdGuardHome.yaml плюс папка с данными (статистика, журнал). В Docker удобнее всего запускать в host-режиме сети: DNS слушает порты напрямую, а веб-панель и шифрованные протоколы садятся на свои порты хоста. Для DoH/DoT/DoQ нужен валидный TLS-сертификат - его выпускаем через Let's Encrypt.

1. Создать VM и указать домен

   Тариф CPU2-RAM2-DISK20, Ubuntu 24.04, приложение Docker. Заведите A-запись домена (например dns.example.com) на IP сервера - он нужен для TLS-сертификата и для шифрованного DNS.

2. Выпустить TLS-сертификат

   DoH/DoT/DoQ работают только с валидным сертификатом. Берем его у Let's Encrypt (порт 80 должен быть свободен):

   apt install -y certbot
   certbot certonly --standalone -d dns.example.com

3. Запустить AdGuard Home

   docker run -d --name adguardhome --restart unless-stopped \
     --network host \
     -v /opt/adguardhome/work:/opt/adguardhome/work \
     -v /opt/adguardhome/conf:/opt/adguardhome/conf \
     -v /etc/letsencrypt:/etc/letsencrypt:ro \
     adguard/adguardhome:v0.107.79

   Первый запуск открывает мастер настройки на порту 3000. Задайте логин, пароль и укажите апстрим (мы взяли Quad9 по DoH: https://dns10.quad9.net/dns-query).

4. Включить шифрование и закрыть открытый резолвер

   В разделе Encryption укажите домен и пути к сертификату Let's Encrypt - поднимутся DoH на 443, DoT и DoQ на 853. Затем отключите прием обычного DNS на порту 53 снаружи (в конфиге serve_plain_dns: false) и оставьте открытыми только 443 и 853. Проверка ниже.

https://dns.example.com

https://dns.example.com → Encryption

Проверено на версии v0.107.79, август 2026. На новых версиях результаты могут отличаться.

Минимальный набор для облака: закрыть обычный DNS на 53 снаружи, оставить открытыми только 443 (DoH) и 853 (DoT/DoQ), веб-панель (порт 3000) не выставлять в интернет, админку - под паролем. AdGuard хранит хэш пароля (bcrypt) и умеет блокировать перебор (лимит попыток входа). Апстрим стоит держать по DoH/DoT, чтобы и путь наверх был шифрованным.

Обновление - подмена образа на новую версию:

docker pull adguard/adguardhome:latest
docker stop adguardhome && docker rm adguardhome
# запустить docker run с новым образом (том с данными сохраняется)

Бэкап - это папка с конфигом и данными:

tar czf adguard-backup.tar.gz /opt/adguardhome/conf /opt/adguardhome/work

• VPN - связка с личным VPN: DNS-фильтрация применяется ко всему туннелю, реклама режется в любой сети.
• Reverse proxy - Caddy или Nginx, если хотите отдать веб-панель по отдельному поддомену за TLS.
• Мониторинг - Uptime Kuma для проверки, что DoH-эндпоинт жив, плюс алерт на приближение срока сертификата.

На телефоне уже работает приложение AdGuard, и оно режет рекламу и трекеры своими встроенными фильтрами прямо на устройстве - еще до того, как запрос уйдет на любой DNS. В тесте на adblock-tester.com приложение само набрало 68 из 100. А наш удаленный DNS-сервер за то же окно получил 118 запросов с телефона и заблокировал из них всего 9 (реклама ad.mail.ru, ads.adfox.ru) - около 8%. Почти всю чистку на телефоне делает приложение, а не сервер.

Свой DNS-сервер реально оправдан в другом: одна настройка в домашнем роутере фильтрует сразу все устройства сети - телефоны, телевизор, гостевой Wi-Fi - без приложения на каждом. Но это сценарий для тех, кто готов возиться с роутером, а не «поставил на телефон и забыл». Если коротко: продукт про контроль DNS и фильтрацию на уровне сети, а не про «меньше рекламы на моем телефоне».