AdGuard Home 私有 DNS 搭建指南

导读：在家庭和服务器网络环境中，弹窗广告、跨应用行为追踪以及运营商 DNS 劫持不仅严重消耗带宽，还会对家庭隐私构成长期威胁。特别是智能电视、手机平板中的内置信息流广告，往往无法通过浏览器插件彻底清除。
本文将带你使用 Docker 搭建专属的 AdGuard Home 私有 DNS 服务器，深度攻克 Linux 系统经典的 53 端口冲突难题，配置双栈上游分流、DoH/DoT 加密防追踪与精选过滤规则库，实现全屋全设备零插件去广告与毫秒级极速解析！

# 🎯 核心目标与收益

完成本教程后，你将获得以下物理级提升：

1. 全设备免疫广告：手机、平板、电脑、智能电视只要连接 Wi-Fi，无需安装任何客户端或插件，直接在 DNS 解析层阻断广告与追踪脚本；
2. 终结运营商 DNS 污染：全面开启 DNS-over-HTTPS (DoH) 与 DNS-over-TLS (DoT) 出站加密，彻底杜绝运营商 HTTP 劫持、弹窗跳转与域名污染；
3. 毫秒级极速缓存：内置高并发 DNS 缓存引擎，高频访问域名解析延迟压至 1~5ms，告别网页解析白屏等待；
4. 全景网络仪表盘：实时查看全屋设备的 DNS 请求总量、拦截率、上游查询延迟与 Top 风险域名排行榜。

# 🖥️ 基础环境与全局变量定义

在开始敲命令前，先明确操作涉及的变量。请根据你的实际网络拓扑替换对应值：

# ================= 全局参数定义 =================
SERVER_IP="192.168.1.100"      # 运行 AdGuard Home 的主机内网 IP (公网 VPS 请填公网 IP)
DATA_DIR="/opt/adguardhome"     # 配置文件与持久化数据根目录
WEB_PORT="3000"                # 初始配置 Web 访问端口
# ================================================

# 💻 第一步：彻底根治 53 端口冲突（关键避坑）

在 Ubuntu 和 Debian 系统上，系统默认的 systemd-resolved 会在本地 127.0.0.53:53 强行监听 53 端口。如果不预先处理，Docker 启动绑定 53 端口时必定会报经典致命错误：

Error response from daemon: driver failed programming external connectivity on endpoint adguardhome: 
Error starting userland proxy: listen tcp4 0.0.0.0:53: bind: address already in use

请按以下三步安全解绑，整个过程绝不导致服务器断网：

# 1. 检查 53 端口当前占用情况

🖥️ 【服务器窗口】

sudo lsof -i :53 || sudo ss -tulnp | grep :53

如果你看到进程名包含 systemd-resolve，说明冲突存在，继续往下操作。

# 2. 禁用 systemd-resolved 的 Stub 监听

🖥️ 【服务器窗口】

# 1. 创建或修补 resolved 配置目录
sudo mkdir -p /etc/systemd/resolved.conf.d

# 2. 写入禁用 53 端口本地监听规则
sudo tee /etc/systemd/resolved.conf.d/adguardhome.conf << 'EOF'
[Resolve]
DNS=127.0.0.1
DNSStubListener=no
EOF

# 3. 备份原有的 resolv.conf 软链接并指向真实解析文件
sudo rm -f /etc/resolv.conf
sudo ln -sf /run/systemd/resolve/resolv.conf /etc/resolv.conf

# 4. 重启 systemd-resolved 使配置生效
sudo systemctl restart systemd-resolved

# 3. 验证 53 端口释放结果

🖥️ 【服务器窗口】

sudo ss -tulnp | grep :53

此时终端应该*没有任何输出，说明 53 端口已完全空闲，可以开始部署！*

# 💻 第二步：目录规划与 Docker Compose 生产编排

AdGuard Home 需要持久化存储两个核心目录：

• conf/：配置文件 AdGuardHome.yaml（包含管理员账号、上游 DNS、过滤规则等）；
• work/：运行时数据库、统计日志、查询缓存与过滤规则缓存。

# 1. 创建规范目录结构

🖥️ 【服务器窗口】

sudo mkdir -p /opt/adguardhome/conf /opt/adguardhome/work
cd /opt/adguardhome

# 2. 编写 docker-compose.yml

在网络模式选型上，DNS 服务对 UDP 转发吞吐要求极高，标准 Bridge 桥接模式会有多层 NAT 开销，推荐采用显式端口映射模式或直接使用 Host 模式。这里提供通用且兼顾隔离性的标准端口编排：

🖥️ 【服务器窗口】

sudo tee /opt/adguardhome/docker-compose.yml << 'EOF'
version: '3.8'

services:
  adguardhome:
    image: adguard/adguardhome:latest
    container_name: adguardhome
    restart: always
    volumes:
      - ./work:/opt/adguardhome/work
      - ./conf:/opt/adguardhome/conf
    ports:
      # 核心 DNS 解析端口 (TCP & UDP 必须双开)
      - "53:53/tcp"
      - "53:53/udp"
      # 初始化安装向导端口 (初次配置用，后续可关闭)
      - "3000:3000/tcp"
      # Web 管理后台端口 (初始化后可在后台改回 80 或维持 8080)
      - "8080:80/tcp"
      # 加密 DNS 协议端口 (DoH / DoT / DoQ 可选)
      - "853:853/tcp"   # DNS-over-TLS
      - "784:784/udp"   # DNS-over-QUIC
    environment:
      - TZ=Asia/Shanghai
    logging:
      driver: "json-file"
      options:
        max-size: "20m"
        max-file: "3"
EOF

# 3. 点火拉取并启动容器

🖥️ 【服务器窗口】

sudo docker compose up -d

# 4. 现场检查容器存活状态

🖥️ 【服务器窗口】

sudo docker compose ps

核验输出：adguardhome 状态必须显示为 Up 或 running，且 53 端口成功映射。

# 💻 第三步：初始向导配置与管理账号绑定

打开你自己的电脑或移动端浏览器，进入初始化向导。

💻 【你自己的电脑】

http://<你的服务器IP>:3000

(例如：http://192.168.1.100:3000)

1. 欢迎界面：点击页面右下角 「开始配置」；
2. 网络接口配置：
   • 网页管理界面：保持监听接口为「所有接口（All interfaces）」，端口建议设定为 80（容器内端口，外部映射为 8080）；
   • DNS 服务器：保持监听接口为「所有接口（All interfaces）」，端口锁定为 53；
   • 点击 「下一步」；
3. 身份认证设置：
   • 输入管理员用户名（如 admin）和高强度密码；
   • 点击 「下一步」 ➔ 「打开仪表盘」；
4. 正式登入后台：
   • 访问地址将变更为：http://<你的服务器IP>:8080，输入刚才创建的凭据即可登入管理控制台。

# 💻 第四步：上游 DNS 黄金调优法则（防污染+防测速变慢）

很多新手搭建完私有 DNS 发现网页打开速度变慢，甚至视频解析卡顿，90% 的原因在于上游 DNS 填错或查询并发策略未开启。

进入后台：「设置」 ➔ 「DNS 设置」，进行以下黄金配置：

# 1. 上游 DNS 服务器（Upstream DNS）推荐配方

在输入框中填入国内外优质双栈加密 DoH / DoT 上游，实现兼顾国内极速解析与海外纯净防污染：

# --- 国内极速公共 DNS (低延迟/CDN 就近解析) ---
https://dns.alidns.com/dns-query
https://doh.pub/dns-query

# --- 海外纯净防污染 DNS (DoT / DoH 加密) ---
tls://dns.google
https://cloudflare-dns.com/dns-query

# --- 备用高速 IP 上游 ---
223.5.5.5
119.29.29.29

# 2. 解析模式与高级选项开关

• 上游 DNS 查询方式：务必勾选 「并行查询（Parallel requests）」！
  • 原理：AdGuard Home 会同时向上述所有服务器发送请求，哪一个最快返回就采纳哪一个，从物理层面将解析延迟降到极限。
• Bootstrap DNS 服务器（引导 DNS）：
  • 由于上游填的是 https:// 域名形式的 DoH，AdGuard Home 需要先知道这些 DoH 域名的 IP 地址。
  • 在引导 DNS 框填入纯 IP：
    TEXT 复制

    223.5.5.5:53
    119.29.29.29:53
    1.1.1.1:53

• EDNS 客户端子网（ECS）：
  • 建议关闭（取消勾选）！
  • 避坑：开启 ECS 会将你的公网 IP 段附加在请求头中发送给上游服务器，极大地泄露了家庭宽带隐私；关闭后上游服务器仅能看到你的 AdGuard 服务器出口。
• DNS 缓存配置：
  • 缓存大小：输入 67108864（即 64MB，足够缓存数百万条请求）；
  • 覆盖最小 TTL 值：建议设为 60 秒（防止某些域名 TTL 设为 0 导致频繁向上游穿透）；
  • 覆盖最大 TTL 值：建议设为 86400 秒（1 天）。

点击页面底部的 「保存」 与 「测试上游 DNS」，确认全部显示绿色可用勾选。

# 💻 第五步：精选广告过滤规则库配置（杜绝误杀）

规则库绝非“越多越好”。盲目堆砌上百条过滤规则不仅消耗数倍内存，还会导致国内各大银行网银、微信小程序、电商客服图片被误杀！

进入后台：「过滤器」 ➔ 「DNS 黑名单」 ➔ 「添加阻止列表」，推荐导入以下精选平衡配方：

建议每 24 小时自动更新一次规则。添加完毕后，AdGuard Home 会自动完成编译并载入内存。

# 🔍 验证测试：阶梯核实验收

不要凭感觉判断“去广告有没有生效”，直接拿出物理命令检验！

# 1. 基础解析联通性测试

💻 【你自己的电脑】

# 测试标准正常域名是否毫秒解析
nslookup baidu.com <你的服务器IP>

验证输出：应当在数毫秒内正确返回百度的公网 IP。

# 2. 广告拦截阻断物理测试

💻 【你自己的电脑】

# 测试广告追踪典型域名
nslookup adservice.google.com <你的服务器IP>

验证输出：

Server:     <你的服务器IP>
Address:    <你的服务器IP>#53

Name:   adservice.google.com
Address: 0.0.0.0

只要返回的 IP 地址是 0.0.0.0，说明 AdGuard Home 已经成功在 DNS 层实施了强力阻断！

# 3. 查验后台仪表盘

刷新 AdGuard Home Web 控制台首页，你可以清晰地看到：

• DNS 查询次数：已有计数递增；
• 已阻止的 DNS 查询：出现清晰的百分比（一般稳定在 10% ~ 25% 之间）；
• 处理时间：平均响应延迟应当保持在 10ms 以内。

# 📱 第六步：家庭与多端全设备接入指南

# 方案 A：全屋路由器一键接管（最爽体验，全家无感）

1. 登录家庭主路由后台（如 OpenWrt、华硕、小米路由器后台）；
2. 找到 「内网设置」/「LAN 口设置」/「DHCP 服务器」；
3. 将 首选 DNS（Primary DNS） 修改为你的 AdGuard Home 服务器 IP（例如 192.168.1.100），备用 DNS 可暂时留空或填纯备用；
4. 保存并应用设置。家庭所有设备重新断开并连接 Wi-Fi 后，全部自动受到保护！

# 方案 B：电脑单机手动绑定（适合公司电脑或租房环境）

• Windows：打开「网络和 Internet 设置」 ➔ 「以太网 / WLAN 属性」 ➔ 「DNS 服务器分配」选手动 ➔ IPv4 DNS 填入 <你的服务器IP>；
• macOS：打开「系统设置」 ➔ 「网络」 ➔ 「高级」 ➔ 「DNS」 ➔ 点击加号添加 <你的服务器IP> 并拖拽至第一行。

# 🚨 翻车急救站（常见避坑 FAQ）

# Q1：改完 systemd-resolved 之后，服务器自己连不上网了？

• 根因：/etc/resolv.conf 临时指向了尚未启动的 127.0.0.1。
• 自愈方案：
  BASH 复制

  sudo bash -c 'echo "nameserver 223.5.5.5" > /etc/resolv.conf'

  立即恢复服务器外网连接，等 AdGuard Home 容器正常运行后，再将配置改回。

# Q2：云服务器公网 VPS 搭建，手机 4G/5G 填入无法解析？

• 根因：云厂商安全组防火墙漏放了 UDP 协议的 53 端口。
• 自愈方案：进入腾讯云/阿里云/AWS 控制台安全组规则，确保放行：
  • 53/UDP（核心，绝不可漏）
  • 53/TCP
  • 8080/TCP（Web 控制台）

# Q3：某个重要政府/公司内网网站打不开了，被误杀了怎么办？

• 自愈方案：
  1. 打开 AdGuard Home 控制台，进入 「查询日志」；
  2. 搜索被拦截的域名，条目会显示为红色；
  3. 直接点击该条目右侧的 「加入白名单（Unblock）」，一秒恢复通行！

# 📋 毕业打钩自检清单

• systemd-resolved 已禁用本地 53 监听，ss -tulnp | grep :53 干净无占用
• Docker 容器成功启动，docker compose ps 状态为 Up
• 初始化向导完成，管理账号与安全密码已绑定
• 上游 DNS 配置完成，开启「并行查询」，Bootstrap DNS 与 64M 缓存就位
• 导入 anti-AD 等精选中文过滤规则库
• 终端敲 nslookup adservice.google.com 物理实测返回 0.0.0.0
• 路由器 DHCP 或单机设备成功指向私有 DNS，Dashboard 开始实时统计拦截数据