Guía Completa para Instalar y Configurar AdGuard Home

Los anuncios y rastreadores no aparecen únicamente en el navegador. También están presentes en aplicaciones móviles, televisores inteligentes y numerosos dispositivos conectados que no permiten instalar un bloqueador convencional. Una forma de reducir este tráfico consiste en instalar AdGuard Home como servidor DNS de la red doméstica.

AdGuard Home analiza las solicitudes de dominios realizadas por los dispositivos y bloquea aquellas que coinciden con sus listas de filtrado. De esta forma, permite detener numerosos anuncios, sistemas de seguimiento y dominios maliciosos antes de que lleguen al equipo que ha efectuado la consulta.

No obstante, el filtrado DNS tiene sus límites. No puede eliminar anuncios servidos desde el mismo dominio que el contenido principal, como sucede con parte de la publicidad de YouTube y otras plataformas. Aun así, ofrece una protección centralizada muy útil y evita instalar extensiones o aplicaciones en cada dispositivo.

Existen varias formas de ponerlo en funcionamiento. Puedes utilizar un router ASUS compatible con AI Board, crear un contenedor LXC en Proxmox o desplegar la imagen oficial mediante Docker. En todos los casos necesitarás reservar una dirección IP local para el servidor y configurar posteriormente el router para que los dispositivos de la red lo utilicen como DNS.

Qué debes preparar antes de instalar AdGuard Home

Antes de elegir un método de instalación, comprueba que el equipo que alojará AdGuard Home pueda permanecer encendido mientras necesites conexión. Si el servidor se apaga o deja de responder, los dispositivos que dependan de él podrían quedarse sin resolución DNS y dar la impresión de que no tienen acceso a internet.

El servidor debe disponer de una dirección IP local fija. Puedes configurarla en el propio sistema operativo o, preferiblemente, crear una reserva DHCP desde el router. Así evitarás que su dirección cambie después de un reinicio y deje de coincidir con la configurada en el resto de la red.

También debes comprobar que el puerto 53 mediante TCP y UDP esté disponible. Es el puerto utilizado por las consultas DNS convencionales y no puede estar ocupado por otro servidor. El puerto 3000 se utiliza normalmente durante el asistente inicial, mientras que el puerto del panel de administración puede elegirse durante la configuración.

Los requisitos principales son los siguientes:

• Un equipo, router o contenedor que pueda funcionar de manera permanente.
• Una dirección IP local fija o reservada.
• El puerto 53 TCP y UDP disponible.
• Acceso a la configuración DHCP y DNS del router.
• Espacio persistente para guardar los datos y la configuración.
• Una copia de la configuración actual del router antes de modificarla.

No expongas el puerto 53 ni el panel de administración directamente a internet. Para una instalación doméstica, tanto el DNS como la interfaz web deben quedar restringidos a la red local.

Instalación en routers ASUS compatibles con AI Board

Algunos routers ASUS equipados con AI Board permiten instalar AdGuard Home desde su propia interfaz. Esta posibilidad no está disponible en todos los routers de la marca, por lo que debes comprobar previamente que tu modelo incluya dicha plataforma.

Entra en la interfaz web del router, abre el apartado correspondiente a AI Board y localiza la tarjeta de AdGuard Home. Inicia la instalación y anota el nombre de host que aparezca, por ejemplo, aiboard-anpu.local. Ese nombre permitirá acceder al asistente sin tener que buscar inicialmente la dirección IP asignada.

Cuando termine la instalación, abre en el navegador:

http://nombre-del-host:3000

Durante el asistente debes seleccionar la dirección y el puerto del panel de administración. También tendrás que elegir la interfaz utilizada por el servidor DNS, que normalmente será eth0, y crear un usuario administrador con una contraseña segura.

Al finalizar, anota la dirección IP asignada a AdGuard Home. Esa es la dirección que posteriormente tendrás que introducir en la configuración DNS o DHCP del router. Conviene reservarla para impedir que cambie.

Instalar AdGuard Home de esta manera no activa automáticamente su servidor DHCP. En la mayoría de las redes resulta más sencillo mantener el DHCP del router y hacer que este anuncie la dirección de AdGuard Home como servidor DNS.

Despliegue de AdGuard Home en Proxmox mediante LXC

Si ya utilizas Proxmox, puedes ejecutar AdGuard Home dentro de un contenedor LXC independiente. Esta opción consume pocos recursos, facilita las copias de seguridad y permite mantener el servicio separado de otras aplicaciones.

Una de las vías más rápidas consiste en utilizar los Proxmox VE Helper-Scripts de la comunidad. Sin embargo, estos scripts no forman parte oficialmente de Proxmox ni de AdGuard Home. Antes de ejecutar uno con permisos de administrador, revisa su procedencia, comprueba su contenido y crea una copia de seguridad del nodo o una instantánea de los servicios importantes.

Durante la creación del contenedor debes asignarle una dirección IP fija, suficiente espacio de almacenamiento y recursos modestos. Para una red doméstica pequeña, AdGuard Home no necesita una gran cantidad de memoria ni capacidad de procesamiento.

Una vez terminado el despliegue, abre la dirección indicada por el instalador mediante el puerto 3000:

http://IP_DEL_CONTENEDOR:3000

Selecciona la interfaz de red del contenedor, configura el panel de administración y crea las credenciales. Después, verifica desde otro ordenador que la IP del contenedor responde correctamente a las consultas DNS antes de cambiar la configuración de toda la red.

AdGuard Home también puede actuar como servidor DHCP, pero no debes mantener simultáneamente dos servidores DHCP activos en la misma red. Si quieres utilizar esta función, desactiva primero el DHCP del router y define correctamente el rango de direcciones, la puerta de enlace y los servidores DNS.

Cómo instalar AdGuard Home con Docker Compose

Docker permite actualizar o reemplazar el contenedor sin perder la configuración, siempre que los directorios de trabajo se almacenen en volúmenes persistentes. La imagen oficial utiliza /opt/adguardhome/work para los datos y /opt/adguardhome/conf para los archivos de configuración.

Puedes comenzar con un archivo compose.yaml como este:

services:
  adguardhome:
    image: adguard/adguardhome:latest
    container_name: adguardhome
    restart: unless-stopped
    volumes:
      - ./work:/opt/adguardhome/work
      - ./conf:/opt/adguardhome/conf
    ports:
      - "53:53/tcp"
      - "53:53/udp"
      - "80:80/tcp"
      - "3000:3000/tcp"

Guarda el archivo y levanta el contenedor mediante:

docker compose up -d

Después, abre el asistente desde otro dispositivo de la red:

http://IP_DEL_SERVIDOR:3000

El puerto definitivo del panel dependerá de lo que selecciones durante el asistente y del mapeo establecido en Docker. Si el puerto 80 ya está ocupado por otra aplicación, puedes mapearlo de otra manera, por ejemplo con 8080:80, y acceder posteriormente mediante el puerto 8080.

Cómo solucionar el conflicto con el puerto 53

En Ubuntu, Debian y otras distribuciones, systemd-resolved puede utilizar la dirección 127.0.0.53:53. Si ocurre, Docker mostrará un error parecido a bind: address already in use.

Puedes comprobar qué proceso ocupa el puerto con:

sudo ss -lntup | grep ':53'

No es necesario desactivar completamente systemd-resolved. El procedimiento recomendado consiste en deshabilitar su DNSStubListener. Para ello, crea el archivo /etc/systemd/resolved.conf.d/adguardhome.conf con este contenido:

[Resolve]
DNS=127.0.0.1
DNSStubListener=no

Después, activa el archivo de resolución administrado por el sistema y reinicia el servicio:

sudo mv /etc/resolv.conf /etc/resolv.conf.backup
sudo ln -s /run/systemd/resolve/resolv.conf /etc/resolv.conf
sudo systemctl reload-or-restart systemd-resolved

Realiza este cambio cuando el contenedor esté preparado para arrancar, ya que el propio equipo utilizará posteriormente AdGuard Home a través de 127.0.0.1. Si algo falla, puedes restaurar la copia de /etc/resolv.conf creada en el primer comando.

Si quieres utilizar AdGuard Home como servidor DHCP dentro de Docker, el mapeo convencional de puertos puede no ser suficiente. En Linux suele ser necesario ejecutar el contenedor con network_mode: host. En ese modo no se utiliza la sección ports, ya que el contenedor comparte directamente la red del anfitrión.

Configuración inicial de los servidores DNS upstream

Los servidores upstream son los encargados de resolver las consultas que AdGuard Home no bloquea. Puedes configurarlos desde Ajustes > Configuración DNS.

Es importante distinguir entre un DNS convencional y uno cifrado. Escribir solamente 1.1.1.1 o 9.9.9.9 configura una conexión DNS tradicional, no una consulta cifrada. Para utilizar DNS-over-HTTPS puedes introducir, por ejemplo:

https://cloudflare-dns.com/dns-query
https://dns.quad9.net/dns-query

Para DNS-over-TLS se emplean direcciones con este formato:

tls://cloudflare-dns.com
tls://dns.quad9.net

DoH y DoT impiden que las consultas viajen en texto plano entre AdGuard Home y el proveedor upstream. Sin embargo, esto no proporciona anonimato completo: el proveedor DNS elegido seguirá procesando las solicitudes y el operador de internet todavía puede deducir parte de la actividad observando las conexiones realizadas.

También puedes configurar varios upstream y habilitar las opciones de comprobación paralela o equilibrio de carga. Antes de aplicar los cambios, utiliza la herramienta de prueba incluida en el panel para confirmar que todos responden correctamente.

Cómo configurar los filtros sin bloquear páginas legítimas

AdGuard Home incluye filtros básicos que permiten empezar a bloquear anuncios y rastreadores sin añadir nada más. Lo recomendable es utilizar inicialmente la configuración predeterminada, revisar el registro de consultas y añadir otras listas solamente si detectas dominios que no están siendo bloqueados.

Puedes incorporar listas conocidas como OISD o Steven Black, pero acumular muchas listas no garantiza una mayor protección. Varias de ellas contienen dominios duplicados y una configuración demasiado agresiva puede provocar falsos positivos, impedir el funcionamiento de aplicaciones o bloquear elementos necesarios para iniciar sesión.

Cuando una página legítima deje de funcionar, abre el registro de consultas y comprueba qué dominio ha sido bloqueado. Puedes permitirlo desde el propio registro o crear una excepción personalizada con esta sintaxis:

@@||dominio.com^

Conviene crear excepciones únicamente para los dominios necesarios, en lugar de desactivar temporalmente todo el filtrado. También puedes definir reglas diferentes para determinados clientes, bloquear servicios concretos o aplicar controles parentales a dispositivos específicos.

AdGuard Home puede bloquear dominios relacionados con malware, phishing o telemetría, pero no sustituye a un antivirus ni analiza el contenido de los archivos descargados.

Cómo hacer que toda la red utilice AdGuard Home

Cuando hayas comprobado que el servidor resuelve dominios correctamente, entra en la administración del router y busca la configuración de LAN, DHCP o DNS para clientes. Introduce como DNS principal la dirección IP local de AdGuard Home.

No debes confundir esta opción con el DNS de la conexión WAN del router. Lo importante es que el servidor DHCP anuncie la dirección de AdGuard Home a los dispositivos conectados.

Después de guardar los cambios, renueva la concesión DHCP o desconecta y vuelve a conectar cada dispositivo. Puedes comprobar desde el panel de AdGuard Home si comienzan a aparecer consultas procedentes de la red.

No configures un DNS público como servidor secundario si quieres que todo el tráfico pase por el filtro. Muchos sistemas no utilizan el segundo DNS únicamente cuando falla el primero, sino que pueden repartir las consultas entre ambos y evitar AdGuard Home. Si necesitas redundancia, lo adecuado es instalar una segunda instancia de AdGuard Home en otro equipo.

También debes revisar la configuración IPv6. Algunos routers anuncian automáticamente servidores DNS mediante IPv6 y los dispositivos pueden utilizarlos con preferencia sobre el servidor IPv4 configurado. Introduce también la dirección IPv6 de AdGuard Home o desactiva temporalmente ese anuncio si tu red no está preparada.

En Android, navegadores y otros sistemas también pueden existir funciones de DNS privado o DNS-over-HTTPS que ignoren el DNS entregado por el router. Si un dispositivo no aparece en el registro de consultas, revisa estas opciones.

Para probar AdGuard Home únicamente en un ordenador Linux, no es recomendable modificar directamente /etc/resolv.conf, ya que NetworkManager o systemd-resolved pueden sobrescribirlo. Configura la dirección DNS desde los ajustes de la conexión para que el cambio sea persistente.

Copias de seguridad, actualizaciones y seguridad

Una vez terminada la configuración, guarda una copia de los datos importantes. En Docker debes respaldar los directorios asociados con:

• /opt/adguardhome/work, donde se almacenan los datos de funcionamiento.
• /opt/adguardhome/conf, donde se encuentra la configuración, incluido AdGuardHome.yaml.

Detén el contenedor antes de editar manualmente AdGuardHome.yaml, ya que AdGuard Home puede sobrescribir los cambios realizados mientras está funcionando.

Para actualizar una instalación con Docker Compose, entra en el directorio que contiene el archivo y ejecuta:

docker compose pull
docker compose up -d

Comprueba después que el contenedor esté activo y que pueda resolver consultas antes de eliminar cualquier copia anterior.

El panel de administración debe utilizar una contraseña exclusiva y no debe quedar abierto a internet. Limita mediante el cortafuegos el acceso a los puertos DNS y de administración, permitiéndolo únicamente desde la red local o mediante una VPN.

Finalmente, recuerda que AdGuard Home se convierte en una pieza esencial de la conexión. Conviene supervisar su estado, conservar copias periódicas y documentar cómo restaurar temporalmente el DNS automático del router si el servidor deja de funcionar.

Instalar AdGuard Home permite controlar las consultas DNS de toda la red, reducir numerosos anuncios y rastreadores y detectar qué dominios solicitan los dispositivos conectados. La clave está en elegir el método de instalación adecuado, reservar una IP fija, configurar correctamente los upstream cifrados y evitar que IPv6 o un DNS secundario permitan saltarse el filtrado. Con estas precauciones, puede convertirse en una solución estable y flexible para mejorar la privacidad de la red doméstica.