AdGuard через VPN на VPS: свой DNS filtering без открытого DNS в интернет

AdGuard Home на VPS нужен тем, кто хочет фильтровать DNS-запросы на своих устройствах: блокировать рекламу, трекеры, подозрительные домены, отдельные категории сайтов и видеть, какие устройства делают DNS-запросы. Но ставить AdGuard Home на публичный VPS и просто открывать порт 53 для всего интернета — плохая идея.

Правильная схема для личного, семейного или небольшого командного использования — AdGuard через VPN. Устройства сначала подключаются к вашему VPS по VPN, а уже внутри VPN используют AdGuard Home как DNS-сервер. Внешний интернет не должен иметь доступ к вашему DNS resolver.

Эта статья объясняет, как работает AdGuard Home через VPN, какой VPS нужен, почему нельзя делать публичный DNS, как подключать несколько устройств и что проверить после настройки.

Что такое AdGuard Home

AdGuard Home — это DNS-сервер с веб-интерфейсом, который фильтрует DNS-запросы. Когда устройство открывает сайт или приложение обращается к домену, DNS-запрос проходит через AdGuard Home. Если домен находится в списке блокировки, AdGuard Home не дает устройству подключиться к нему.

Так можно блокировать рекламу, трекеры, телеметрию, вредоносные домены и отдельные нежелательные категории на уровне DNS. Это удобно, потому что фильтрация работает не только в браузере, а на уровне всего устройства или всей сети.

Но DNS-фильтрация не заменяет антивирус, firewall, безопасные пароли и нормальную настройку устройств. AdGuard Home помогает отсеивать часть нежелательных доменов, но не делает небезопасное устройство безопасным.

Зачем запускать AdGuard Home на VPS

AdGuard Home часто ставят дома на мини-сервер, роутер или NAS. Но VPS удобен, если устройства часто находятся вне дома: телефон, ноутбук, планшет, рабочий компьютер, поездки, отели, аэропорты, мобильные сети и публичный Wi-Fi.

VPS дает постоянный публичный IP, стабильную точку подключения и возможность использовать один DNS filtering для разных устройств в разных сетях.

AdGuard Home на VPS подходит, если:

• вы хотите один DNS-фильтр для телефона, ноутбука и планшета;
• вы уже используете личный VPN на VPS;
• вам нужна DNS-фильтрация вне домашней сети;
• вы хотите управлять правилами через веб-интерфейс;
• нужно подключить семью или небольшую команду;
• нужны разные правила для разных устройств;
• вы хотите видеть статистику DNS-запросов;
• нужно быстро отключать или менять фильтры без настройки каждого устройства вручную.

Если вам нужен только рекламный блокировщик в браузере, VPS не нужен. Если нужна DNS-фильтрация на уровне устройств и сетей, VPS становится удобной основой.

Почему AdGuard лучше пускать через VPN

AdGuard Home принимает DNS-запросы. Если открыть его DNS-порт в интернет, любой человек или бот сможет отправлять запросы на ваш VPS. Это превращает личный DNS в публичный resolver.

Публичный DNS resolver на VPS — плохая практика. Его могут использовать для мусорного трафика, DNS amplification, сканирования, нагрузки и abuse. Провайдер будет видеть жалобы на ваш сервер, даже если вы сами ничего плохого не делали.

Правильная схема:

• порт 53 закрыт с публичного интернета;
• AdGuard Home доступен только через VPN-интерфейс;
• админка AdGuard Home доступна только через VPN или доверенный IP;
• устройства получают DNS внутри VPN-профиля;
• посторонние IP не могут использовать ваш DNS.

Суть простая: AdGuard Home должен быть private DNS, а не open resolver.

Как выглядит правильная схема AdGuard через VPN

В правильной схеме VPS выполняет две роли: VPN-сервер и DNS-фильтр.

• Пользователь подключается к VPS через WireGuard, AmneziaWG, OpenVPN или другой VPN-протокол.
• Устройство получает внутренний VPN-IP.
• В VPN-профиле указан DNS-сервер: внутренний IP AdGuard Home.
• Все DNS-запросы устройства идут в AdGuard Home через VPN-туннель.
• AdGuard Home применяет фильтры и отправляет разрешенные запросы upstream DNS-серверам.
• Публичный интернет не имеет доступа к DNS-порту VPS.

Например, WireGuard-сеть может быть 10.8.0.0/24, а VPS внутри VPN — 10.8.0.1. Тогда устройства используют DNS 10.8.0.1, а не публичный IP сервера.

Это важная разница. DNS через публичный IP — риск. DNS через VPN-IP — нормальная private-схема.

Какая конфигурация VPS нужна для AdGuard Home

AdGuard Home сам по себе не требует мощного сервера. Для личного DNS filtering или семейного использования важнее стабильная сеть, нормальный uptime, публичный IPv4 и чистая Linux-система.

Минимальный вариант для личного использования:

• 1 vCPU;
• 1 GB RAM;
• 10-20 GB SSD/NVMe;
• 1 публичный IPv4;
• Ubuntu 22.04/24.04 или Debian 12;
• возможность быстро переустановить ОС;
• доступ по SSH.

Комфортный вариант для семьи или нескольких активных устройств:

• 2 vCPU;
• 2 GB RAM;
• 20-40 GB SSD/NVMe;
• 1 публичный IPv4;
• локация ближе к пользователям;
• нормальный лимит трафика;
• резервная копия или snapshot перед крупными изменениями.

Если на этом же VPS будет работать VPN, AdGuard Home, Unbound, мониторинг и еще несколько сервисов, не берите самый минимальный тариф. DNS легкий, но общий сервер быстро становится нестабильным, если на него навесить слишком много задач.

AdGuard Home через VPN или AdGuard Home дома

AdGuard Home дома удобен, если все устройства находятся в одной домашней сети. Например, он установлен на роутере, мини-ПК или NAS, а роутер раздает его как DNS всем устройствам.

AdGuard Home на VPS удобнее, если устройства часто работают вне дома. Телефон в мобильной сети, ноутбук в кафе, планшет в поездке — все могут подключаться к одному VPN и использовать один DNS-фильтр.

Практическое различие:

• для фильтрации только дома проще локальный AdGuard Home;
• для фильтрации в поездках удобнее AdGuard Home на VPS через VPN;
• для семьи с несколькими сетями VPS часто удобнее;
• для офиса с постоянным роутером может быть удобнее локальная установка;
• для смешанного сценария можно использовать оба варианта.

Если цель — DNS filtering на всех устройствах вне зависимости от сети, VPS через VPN обычно практичнее.

AdGuard Home или Unbound: что ставить

AdGuard Home и Unbound решают разные задачи.

AdGuard Home нужен для фильтрации, статистики, правил, клиентов и удобного веб-интерфейса. Он хорошо подходит для DNS filtering.

Unbound нужен как recursive caching DNS resolver. Его можно использовать как upstream для AdGuard Home, чтобы не отправлять все запросы напрямую публичным DNS-провайдерам.

Для большинства пользователей есть три схемы:

• только AdGuard Home с публичными upstream DNS;
• AdGuard Home + Unbound на том же VPS;
• AdGuard Home через VPN, а upstream DNS — выбранные DoH/DoT/обычные DNS-серверы.

Начинать лучше проще: AdGuard Home через VPN с нормальными upstream DNS. Если потом нужен собственный recursive resolver, можно добавить Unbound.

Какой upstream DNS выбрать для AdGuard Home

Upstream DNS — это сервер, куда AdGuard Home отправляет разрешенные запросы после фильтрации. Варианты:

• Cloudflare;
• Google Public DNS;
• Quad9;
• AdGuard DNS;
• NextDNS;
• свой Unbound на этом же VPS;
• DNS провайдера, если он подходит по скорости и политике.

Нет универсального лучшего варианта. Нужно смотреть по задержке, стабильности, политике фильтрации и вашим требованиям. Если нужен максимальный контроль, можно использовать Unbound. Если нужна простота, можно начать с популярных публичных upstream DNS.

Не используйте случайные DNS-серверы из непонятных списков. DNS видит домены, к которым обращаются ваши устройства. Это чувствительная информация.

Какие устройства можно подключить

AdGuard Home через VPN можно использовать почти на любых устройствах, где есть VPN-клиент или возможность получать DNS через VPN-подключение.

• iPhone и iPad;
• Android-смартфоны и планшеты;
• Windows-ноутбуки и ПК;
• macOS;
• Linux;
• роутеры с VPN-клиентом;
• некоторые Smart TV и приставки через роутер.

Для телефона и ноутбука проще использовать отдельный VPN-профиль на каждое устройство. Для телевизора или приставки часто удобнее подключить к VPN весь роутер или отдельный travel-router.

Почему каждому устройству нужен отдельный VPN-профиль

Не раздавайте один VPN-профиль всем устройствам. Это частая ошибка.

Проблемы одного общего профиля:

• сложно понять, какое устройство делает DNS-запросы;
• сложно отключить только один потерянный телефон;
• могут возникать конфликты подключений;
• при утечке профиля придется менять доступ всем;
• в статистике AdGuard Home будет каша;
• невозможно нормально настроить разные правила для разных клиентов.

Правильная схема — отдельный VPN-профиль на каждое устройство и понятные имена клиентов в AdGuard Home: iphone-mom, android-dad, macbook-work, ipad-child.

Так DNS filtering становится управляемым, а не превращается в общий черный ящик.

Per-client filtering: зачем нужны разные правила

Одна из сильных сторон AdGuard Home — возможность управлять клиентами отдельно. Разным устройствам можно задавать разные правила, upstream DNS и исключения.

Практические сценарии:

• для детского планшета включить более строгую фильтрацию;
• для рабочего ноутбука не блокировать аналитику, которая нужна для задач;
• для телевизора блокировать телеметрию и рекламные домены;
• для телефона оставить мягкий режим, чтобы не ломать банковские приложения;
• для тестового устройства включать экспериментальные списки блокировки.

Не включайте одинаково жесткую фильтрацию всем. Это удобнее на старте, но потом начнут ломаться приложения, оплата, авторизация, push-уведомления и часть сервисов.

Какие фильтры включать в AdGuard Home

Ошибка новичков — сразу включить 20-30 blocklist и радоваться большому количеству заблокированных доменов. Это неправильная метрика. Цель DNS filtering — не максимальное число блокировок, а нормальная работа устройств без мусора и поломок.

Начинайте с базового набора:

• основной AdGuard DNS filter;
• фильтр трекеров;
• фильтр вредоносных доменов;
• отдельные списки только при понятной необходимости;
• свои allowlist-исключения для нужных сервисов.

Если после включения фильтров перестали работать приложения, вход через соцсети, банковские сервисы, платежи, push-уведомления или Smart TV, не отключайте весь AdGuard. Сначала посмотрите query log и добавьте нужный домен в allowlist.

Что лучше: блокировать через DNS или через браузерное расширение

DNS filtering и браузерный adblock решают разные задачи.

DNS filtering работает на уровне доменов. Он может блокировать трекеры и рекламу во многих приложениях, на телефоне, телевизоре и ноутбуке. Но DNS не видит конкретные элементы страницы и не может так же точно чистить визуальную рекламу внутри сайта.

Браузерное расширение работает точнее внутри браузера, но не фильтрует трафик всего устройства. Оно не поможет с телеметрией приложений, Smart TV или системными запросами.

Лучший практический вариант для многих пользователей — AdGuard Home для DNS filtering плюс браузерная защита там, где она нужна. Не стоит ждать от DNS-фильтра идеальной очистки всех сайтов.

Как настроить DNS через WireGuard

Если используется WireGuard, DNS обычно задается в клиентском профиле.

Пример фрагмента клиентского конфига:

[Interface]

PrivateKey = CLIENT_PRIVATE_KEY

Address = 10.8.0.2/32

DNS = 10.8.0.1

Здесь 10.8.0.1 — внутренний VPN-IP сервера, на котором работает AdGuard Home.

Важный момент: не указывайте публичный IP VPS как DNS, если порт 53 закрыт снаружи. Клиенты внутри VPN должны использовать внутренний адрес сервера в VPN-сети.

Как закрыть AdGuard Home от публичного интернета

Ни DNS, ни веб-панель AdGuard Home не должны быть открыты всем подряд.

Базовая логика firewall:

• SSH открыт только там, где нужно;
• VPN-порт открыт публично;
• DNS-порт 53 открыт только на VPN-интерфейсе;
• панель AdGuard Home открыта только через VPN;
• публичный доступ к портам 53, 80, 3000, 8080 для AdGuard закрыт, если он не нужен.

Пример для UFW, если WireGuard-интерфейс называется wg0:

ufw default deny incoming

ufw allow OpenSSH

ufw allow 51820/udp

ufw allow in on wg0 to any port 53 proto udp

ufw allow in on wg0 to any port 53 proto tcp

ufw allow in on wg0 to any port 3000 proto tcp

ufw enable

Если панель AdGuard Home перенесена на другой порт, замените 3000 на свой порт. После первичной настройки лучше держать панель только внутри VPN.

Как проверить, что DNS не открыт всем

После настройки нужно проверить не только то, что AdGuard работает, но и то, что он не стал публичным resolver.

С VPS проверьте, что сервис слушает порты:

ss -tulpn

С VPN-клиента проверьте DNS-запрос:

dig @10.8.0.1 example.com

С внешнего сервера, который не подключен к вашему VPN, проверьте публичный IP VPS:

dig @PUBLIC_VPS_IP example.com

Правильный результат: через VPN запрос работает, через публичный IP с чужого сервера — нет.

Если внешний запрос получает нормальный DNS-ответ, у вас open resolver. Это нужно исправить сразу: закрыть порт 53 firewall-ом, ограничить интерфейс прослушивания или разрешить доступ только через VPN.

Что делать, если DNS работает, но реклама не блокируется

Сначала проверьте, действительно ли устройство использует AdGuard Home как DNS.

• Откройте query log в AdGuard Home.
• Сделайте запрос с нужного устройства.
• Проверьте, появился ли запрос в логах.
• Проверьте, не использует ли устройство другой DNS.
• Проверьте, не включен ли в браузере Secure DNS/DoH поверх вашей схемы.
• Проверьте, не задан ли DNS вручную в системе.
• Проверьте, идет ли трафик через VPN.

Если запросов устройства нет в логах AdGuard Home, проблема не в фильтрах. Устройство просто не использует ваш DNS.

Если запросы есть, но домены не блокируются, проверьте включенные filter lists, custom filtering rules и allowlist. Возможно, домен разрешен исключением или нужный список не включен.

Что делать, если после фильтрации ломаются приложения

Это нормальная рабочая ситуация при DNS filtering. Некоторые приложения зависят от доменов аналитики, push-уведомлений, авторизации, платежей или CDN. Если заблокировать лишнее, приложение может открываться, но часть функций перестанет работать.

Порядок действий:

• откройте query log;
• повторите действие в приложении;
• найдите заблокированные домены в этот момент;
• временно разрешите подозрительный домен;
• проверьте приложение снова;
• оставьте только точечное исключение, а не отключайте всю фильтрацию.

Не лечите каждую проблему полным отключением AdGuard. Так вы теряете смысл DNS filtering. Нормальная настройка — это фильтры плюс аккуратный allowlist.

Что делать, если интернет работает без VPN, но не работает с VPN и AdGuard

Проверяйте по слоям.

• Сначала проверьте, подключается ли VPN.
• Проверьте, пингуется ли внутренний IP VPS.
• Проверьте DNS-запрос к AdGuard Home через VPN.
• Проверьте, есть ли запросы в AdGuard query log.
• Проверьте upstream DNS в настройках AdGuard Home.
• Проверьте firewall на VPS.
• Проверьте, не конфликтует ли AdGuard Home с другим DNS-сервисом на порту 53.
• Проверьте, не указан ли неправильный DNS в VPN-профиле.

Типичная ошибка: VPN поднимается, но в профиле указан неправильный DNS. Вторая частая ошибка: AdGuard Home слушает только 127.0.0.1, а клиенты пытаются обращаться к нему по VPN-IP. Третья ошибка: firewall блокирует DNS на интерфейсе VPN.

Что делать, если скорость стала ниже

DNS filtering обычно не должен сильно снижать скорость интернета. Но он может добавлять задержки при первом обращении к доменам или при неправильном upstream DNS.

Проверьте:

• ping до VPS;
• скорость без VPN;
• скорость через VPN без AdGuard DNS;
• скорость через VPN с AdGuard DNS;
• время DNS-ответа через dig;
• нагрузку CPU и RAM на VPS;
• количество включенных фильтров;
• скорость выбранных upstream DNS;
• логи ошибок AdGuard Home.

Если проблема только в DNS-ответах, поменяйте upstream DNS или добавьте Unbound. Если проблема во всей скорости интернета через VPN, причина чаще в локации VPS, маршрутах, протоколе, канале или нагрузке сервера.

Как связать AdGuard Home и Unbound

Если вы хотите не только фильтрацию, но и свой recursive resolver, можно поставить Unbound на тот же VPS и использовать его как upstream для AdGuard Home.

Схема:

• AdGuard Home принимает DNS-запросы от VPN-клиентов;
• AdGuard Home применяет фильтры;
• разрешенные запросы отправляются в Unbound;
• Unbound выполняет рекурсивное разрешение и кэширует ответы;
• клиент получает ответ через AdGuard Home.

Обычно в такой схеме AdGuard Home слушает порт 53, а Unbound слушает локальный порт, например 127.0.0.1:5335. В upstream DNS AdGuard Home указывается:

127.0.0.1:5335

Не пытайтесь заставить AdGuard Home и Unbound одновременно слушать один и тот же порт 53 на одном интерфейсе. Один из сервисов не запустится или будет конфликт.

Нужен ли DNS-over-HTTPS или DNS-over-TLS

Если DNS идет внутри VPN, отдельный DoH или DoT обычно не обязателен. VPN уже шифрует трафик между устройством и VPS.

DoH/DoT имеет смысл, если вы хотите подключать DNS без VPN или строите отдельную схему защищенного DNS endpoint. Но это сложнее: нужен домен, TLS-сертификат, reverse proxy или встроенная настройка, ограничение доступа и понимание рисков публичного endpoint.

Для большинства пользователей правильнее начать с простой схемы: VPN плюс AdGuard Home внутри VPN. Она понятнее, безопаснее и проще в диагностике.

Как не сломать банковские приложения, оплату и рабочие сервисы

DNS filtering может блокировать не только рекламу. Иногда под блокировку попадают домены, которые нужны для авторизации, платежей, push-уведомлений, CDN, аналитики или защиты от мошенничества.

Чтобы не создать себе проблему:

• не включайте слишком много filter lists сразу;
• не используйте агрессивные списки без проверки;
• сначала включите мягкую фильтрацию;
• проверяйте банковские приложения, оплату и рабочие сервисы;
• используйте query log для точечной диагностики;
• создавайте allowlist только для нужных доменов;
• делайте разные правила для разных устройств.

DNS filtering должен помогать, а не ломать повседневные задачи. Если после настройки всем в семье приходится постоянно отключать VPN, значит фильтрация настроена слишком грубо.

Как хранить логи DNS-запросов

Логи AdGuard Home полезны для диагностики, но это чувствительная информация. В них видно, какие домены запрашивают ваши устройства. Для личного или семейного использования не нужно хранить такие логи бесконечно.

Практичный вариант:

• на этапе настройки оставить query log включенным;
• посмотреть, какие устройства и домены вызывают проблемы;
• создать нужные allowlist-исключения;
• уменьшить срок хранения логов;
• не давать доступ к панели посторонним;
• не публиковать скриншоты логов без очистки данных.

Если AdGuard Home используется для команды, нужно заранее определить, кто имеет доступ к логам и как долго они хранятся. DNS-логи — это не безобидная техническая мелочь.

Нужно ли ставить AdGuard Home на тот же VPS, где уже есть сайты

Можно, но для новичка лучше не надо. Если на VPS уже работает сайт, панель управления, база данных, почта, Docker, firewall-правила и reverse proxy, добавление AdGuard Home может создать конфликты по портам и правилам сети.

Для первой настройки лучше отдельный чистый VPS. Это проще по диагностике:

• понятно, какой сервис занимает порт 53;
• проще настроить firewall;
• меньше риска сломать сайт;
• проще переустановить сервер;
• проще понять расход трафика;
• проще изолировать VPN и DNS.

Если вы опытный администратор, можно объединять сервисы. Если нет — отдельный VPS под VPN + AdGuard Home быстрее и безопаснее.

Как проверить готовую настройку

После установки пройдите короткий чек-лист.

• VPN подключается с телефона и ноутбука.
• В VPN-профиле указан DNS внутреннего VPN-IP.
• AdGuard Home видит DNS-запросы клиентов.
• Фильтры реально блокируют тестовые рекламные или трекерные домены.
• Обычные сайты открываются без ошибок.
• Банковские приложения и оплата работают.
• Query log показывает понятные имена клиентов.
• Порт 53 закрыт с публичного интернета.
• Админка AdGuard Home недоступна без VPN.
• После перезагрузки VPS VPN и AdGuard Home поднимаются автоматически.

Если хотя бы один пункт не выполнен, не считайте настройку завершенной. Особенно если публичный DNS доступен извне — это нужно исправить сразу.

Частые ошибки при AdGuard через VPN

Ошибка 1. Открыть порт 53 всем.

Так private DNS превращается в open resolver. Это риск abuse-жалоб и лишней нагрузки.

Ошибка 2. Открыть веб-панель AdGuard Home публично.

Панель управления должна быть доступна только через VPN или доверенные IP. Не оставляйте ее в открытом интернете.

Ошибка 3. Указать публичный IP VPS как DNS вместо VPN-IP.

Если DNS должен работать только через VPN, клиентам нужно выдавать внутренний VPN-IP сервера.

Ошибка 4. Использовать один VPN-профиль на все устройства.

Это ломает учет клиентов и усложняет отзыв доступа. Каждому устройству нужен отдельный профиль.

Ошибка 5. Включить слишком агрессивные списки блокировки.

Большое число блокировок не означает качество. Важнее, чтобы сайты и приложения работали нормально.

Ошибка 6. Не проверить DoH в браузере.

Некоторые браузеры могут использовать свой Secure DNS и обходить системный DNS. Тогда запросы не будут попадать в AdGuard Home.

Ошибка 7. Не смотреть query log.

Без логов вы не поймете, блокирует ли AdGuard нужные домены и почему ломается конкретное приложение.

Когда AdGuard Home через VPN не подходит

Эта схема не всегда лучший выбор.

• Если вам нужен только adblock в браузере, проще поставить расширение.
• Если вы не хотите управлять VPS вообще, лучше использовать готовый DNS-сервис.
• Если нужен DNS для большой компании, потребуется более серьезная архитектура.
• Если нужен публичный DNS endpoint для многих пользователей, нужен отдельный проект с защитой, лимитами и мониторингом.
• Если семья не готова включать VPN на устройствах, часть трафика будет идти мимо AdGuard.

AdGuard через VPN хорош тогда, когда вы хотите свой DNS filtering, свой VPS, свои правила и доступ только для своих устройств.

Какой VPS выбрать в HSTQ для AdGuard через VPN

Для AdGuard Home через VPN в HSTQ подойдет VPS/VDS с публичным IPv4, чистой Ubuntu или Debian и стабильной сетью. Для одного пользователя можно начать с базового VPS. Для семьи, нескольких устройств или связки VPN + AdGuard Home + Unbound лучше брать тариф с запасом по RAM.

При выборе смотрите не только на цену. Для DNS filtering важны стабильность VPS, нормальная локация, низкая задержка до пользователей, возможность переустановить ОС и помощь с первичной настройкой.

Посмотреть VPS/VDS можно здесь: https://cp.hstq.net/store/vps-vds-nmve.

Если нужна помощь с настройкой, лучше сразу указать сценарий: сколько устройств будет подключено, какая нужна локация, какой VPN используется, нужен ли только AdGuard Home или связка AdGuard Home + Unbound, нужно ли подключить телефоны, ноутбуки, роутер или семейные устройства.

Правильная схема для большинства пользователей простая: VPS, VPN, AdGuard Home внутри VPN, отдельный профиль на каждое устройство, закрытый публичный порт 53 и доступ к панели только через VPN. Так DNS filtering работает стабильно и не превращает ваш сервер в открытую DNS-точку для всего интернета.