AdGuard filtra por nombre de dominio, no por contenido.

¿Por qué en la red de la VPN?

En la Guía 06 creamos para wg-easy una red de Docker con rango fijo (172.30.0.0/24). Si AdGuard entra en esa misma red con una IP fija (172.30.0.3), wg-easy puede entregarle las consultas de tus dispositivos directamente, sin publicar ningún puerto DNS en el servidor.

El asistente de instalación de AdGuard, como el de WordPress, lo completa el primero que llegue.

2.1 · DNS y certificado

En el DNS de IONOS, un registro A: adguard → TU_IP. El certificado se pide por el puerto 80, que sigue abierto a todo el mundo; solo el panel (el 443) quedará cerrado.

sudo tee /etc/nginx/sites-available/adguard.TU_DOMINIO > /dev/null <<'EOF'
server {
    listen 80;
    listen [::]:80;
    server_name adguard.TU_DOMINIO;

    location ^~ /.well-known/acme-challenge/ {
        root /var/www/letsencrypt;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}
EOF
sudo ln -s /etc/nginx/sites-available/adguard.TU_DOMINIO /etc/nginx/sites-enabled/
sudo nginx -t && sudo systemctl reload nginx
sudo certbot certonly --webroot -w /var/www/letsencrypt -d adguard.TU_DOMINIO --dry-run
sudo certbot certonly --webroot -w /var/www/letsencrypt -d adguard.TU_DOMINIO --cert-name adguard.TU_DOMINIO

2.2 · El sitio completo

Ya con el certificado, el sitio definitivo. Todavía no recargues Nginx: el contenedor aún no existe (lo harás en el paso 5).

sudo tee /etc/nginx/sites-available/adguard.TU_DOMINIO > /dev/null <<'EOF'
# HTTP: Let's Encrypt y redirección a HTTPS
server {
    listen 80;
    listen [::]:80;
    server_name adguard.TU_DOMINIO;

    location ^~ /.well-known/acme-challenge/ {
        root /var/www/letsencrypt;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

# HTTPS: panel de AdGuard Home (contenedor en 127.0.0.1:8083), solo desde la VPN
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name adguard.TU_DOMINIO;

    ssl_certificate     /etc/letsencrypt/live/adguard.TU_DOMINIO/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/adguard.TU_DOMINIO/privkey.pem;
    include snippets/tls.conf;
    include snippets/solo-vpn.conf;

    add_header Strict-Transport-Security "max-age=86400" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header X-Frame-Options "DENY" always;

    location / {
        proxy_pass http://127.0.0.1:8083;
        include snippets/proxy.conf;
    }

    access_log /var/log/nginx/adguard.access.log;
    error_log  /var/log/nginx/adguard.error.log;
}
EOF

Como siempre, una carpeta por aplicación y una versión fija.

mkdir -p /opt/apps/adguard/datos/work /opt/apps/adguard/datos/conf
cd /opt/apps/adguard
docker network ls | grep vpn

a1b2c3d4e5f6   vpn_vpn   bridge   local

Para la versión, en hub.docker.com/r/adguard/adguardhome → Tags: busca la más reciente con formato v0.107.x (con la v delante, sin beta ni edge). Apúntala como TU_VERSION_ADGUARD.

Corto, pero con una pieza nueva: en vez de crear su propia red, AdGuard se une a una red que ya existe, la de wg-easy.

Créalo con nano /opt/apps/adguard/compose.yaml:

services:
  adguard:
    image: adguard/adguardhome:TU_VERSION_ADGUARD
    container_name: adguard
    restart: unless-stopped
    volumes:
      - ./datos/work:/opt/adguardhome/work
      - ./datos/conf:/opt/adguardhome/conf
    ports:
      - "127.0.0.1:8083:3000"
    networks:
      vpn:
        ipv4_address: 172.30.0.3

networks:
  vpn:
    name: vpn_vpn
    external: true

Arrancamos, activamos el sitio de Nginx y comprobamos que el panel solo se abre desde la VPN.

cd /opt/apps/adguard
docker compose pull
docker compose up -d
docker compose ps
docker network inspect vpn_vpn --format '{{range .Containers}}{{.Name}} {{.IPv4Address}}{{"\n"}}{{end}}'
sudo nginx -t && sudo systemctl reload nginx

NAME      IMAGE                                   STATUS        PORTS
adguard   adguard/adguardhome:TU_VERSION_ADGUARD  Up 5 seconds  53/tcp, 53/udp, ..., 127.0.0.1:8083->3000/tcp

wg-easy 172.30.0.2/24
adguard 172.30.0.3/24

Cinco pantallas.

Con la VPN activada, en https://adguard.TU_DOMINIO:

1. Bienvenido → Empezar.
2. Interfaz web de administración: interfaz «Todas las interfaces», puerto 3000. Servidor DNS: «Todas las interfaces», puerto 53. Es importante que el panel siga en el 3000: es el que publicamos en el compose. Si eliges el 80, Nginx dejará de encontrarlo.
3. Autenticación: usuario TU_USUARIO_ADGUARD (no admin) y una contraseña larga, generada con tu gestor. Guárdalas.
4. Configura tus dispositivos: esta pantalla explica cómo poner AdGuard como DNS en un router o un móvil. No hace falta: lo hará wg-easy (paso 10). Siguiente.
5. Todo listo → Abrir el panel. Entra con tu usuario.

AdGuard reenvía a Internet las consultas que no bloquea.

En el panel: Configuración → Configuración DNS. En Servidores DNS de subida, borra lo que haya y escribe:

https://dns.quad9.net/dns-query
https://cloudflare-dns.com/dns-query

• Debajo, en el modo, elige Solicitudes paralelas: pregunta a los dos a la vez y usa la respuesta que llegue antes.
• Pulsa Probar servidores DNS de subida: deben salir los dos en verde.
• En Servidores DNS de arranque (bootstrap) deja los que vienen: solo sirven para averiguar la IP de los dos anteriores.
• Guarda (Aplicar).

AdGuard trae activada su propia lista.

1. Filtros → Listas de bloqueo DNS.
2. Comprueba que AdGuard DNS filter está activada.
3. Añadir lista de bloqueo → Elegir de la lista.
4. Marca OISD Blocklist Big (en el apartado «General») y guarda.
5. Pulsa Buscar actualizaciones. Arriba se verá el número de reglas de cada lista.

Tres ajustes de Configuración pensados para un servidor pequeño y para tu privacidad.

El DNS que usa cada dispositivo va escrito en su configuración de la VPN.

En el panel de wg-easy (https://vpn.TU_DOMINIO, con la VPN activada):

1. En el panel de administración, en la configuración que se aplica a los clientes nuevos, cambia DNS a 172.30.0.3 (quita 1.1.1.1 y 9.9.9.9). Guarda.
2. Abre cada cliente que ya tengas (pc-casa, movil...): si tiene su propio campo DNS, cámbialo también a 172.30.0.3 y guarda.

El cambio de DNS está en el servidor, pero cada dispositivo tiene guardada su configuración antigua.

Comprueba en el PC que la configuración nueva lleva el DNS correcto: en WireGuard, selecciona el túnel y mira la línea DNS servers; debe decir 172.30.0.3.

Con la VPN activada, preguntamos por un dominio de anuncios conocido y por uno normal.

nslookup doubleclick.net
nslookup www.wikipedia.org

Servidor:  UnKnown
Address:  172.30.0.3

Nombre:  doubleclick.net
Addresses:  ::
          0.0.0.0

Servidor:  UnKnown
Address:  172.30.0.3

Respuesta no autoritativa:
Nombre:  dyna.wikimedia.org
Addresses:  ...

Ahora navega un poco por una web de noticias con anuncios, con y sin VPN, y compara. Después, en el panel de AdGuard, mira el Panel de control: verás las consultas y el porcentaje bloqueado, y en el Registro de consultas, cada dominio bloqueado en rojo.

A veces una web o una app deja de funcionar bien porque usa un dominio que está en una lista (un enlace de un correo de ofertas, una app de banco, un vídeo incrustado).

1. Reproduce el fallo con la VPN activada.
2. En AdGuard, Registro de consultas: busca las líneas en rojo de ese momento. Cerca del nombre de la web verás el dominio bloqueado.
3. Pasa el ratón por la línea y pulsa Desbloquear. AdGuard crea una regla de excepción.
4. Vuelve a probar. Las excepciones se ven y se borran en Filtros → Reglas personalizadas, con este formato:

@@||ejemplo-que-necesito.com^

Repaso, reinicio y la instantánea que cierra la temporada de la VPN.

docker compose -f /opt/apps/vpn/compose.yaml ps
docker compose -f /opt/apps/adguard/compose.yaml ps
docker network inspect vpn_vpn --format '{{range .Containers}}{{.Name}} {{.IPv4Address}}{{"\n"}}{{end}}'
sudo ss -tulpn | grep -E ':(53|8083) '
sudo nginx -t

Reinicia el servidor y, al volver, conecta la VPN y repite el nslookup: AdGuard debe haber arrancado solo, después de wg-easy. Después, en IONOS, crea la instantánea 07-adguard.