手机 App 开屏广告、电视盒子劫持、全屋设备去广告——这些"网络层"的需求，一台跑着 AdGuard Home 的云服务器（或家里常开主机）就能解决。它是开源界的"网络层广告卫士"，这篇从部署到全家设备指配讲透。DNS 记录基础见DNS 记录完全指南。
一、AdGuard Home 是什么：DNS 层的瑞士军刀
简单说：它是一个 DNS 服务器，但干三份活：
- 广告/追踪拦截：解析请求命中黑名单（广告域名）→ 直接返回空/黑洞地址，广告从加载源头消失
- 防 DNS 劫持：用可信上游（DoH/DoT）替代运营商的明文 DNS，弹窗广告、钓鱼跳转无从下手
- 内网解析：给家里/内网设备配自定义域名（
nas.home→192.168.1.10），比记 IP 舒服一万倍
和浏览器插件的分工：插件只挡浏览器内的广告；AdGuard 挡的是全设备全应用——电视盒子、游戏机、智能家电的广告一样拦。两者互补，不冲突。
二、部署：Docker 一条命令
docker run -d --name adguardhome \
--restart unless-stopped \
-p 53:53/tcp -p 53:53/udp \ # DNS 端口
-p 127.0.0.1:3000:3000 \ # 管理界面只听本地，对外走反代
-v /data/adguard/work:/opt/adguardhome/work \
-v /data/adguard/conf:/opt/adguardhome/conf \
adguard/adguardhome注意点：
- 53 端口不能占：宿主机跑了 systemd-resolved 会冲突——要么停掉它（
systemctl stop systemd-resolved && systemctl disable systemd-resolved），要么改映射端口 - 管理界面绑 127.0.0.1：DNS 端口必须对外（不然设备解析不了），管理界面不要
- 云服务器上部署前确认安全组放行 53/UDP + 53/TCP
首次访问 http://服务器IP:3000，走初始化向导：设管理员账号、选监听接口（全勾）。
三、配置：上游 DNS 与拦截清单
1. 上游 DNS（决定解析速度和隐私）
设置 → DNS 设置 → 上游服务器。推荐组合：
# 国内直接解析 + 国外加密解析
223.5.5.5 # 阿里 DoT 明文入口（快）
119.29.29.29 # 腾讯
https://dns.alidns.com/dns-query # 加密上游（防劫持）
https://doh.pub/dns-query # 腾讯 DoH加速原理：并发请求多个上游，谁快用谁。国内环境建议"国内明文 + 国内 DoH"混搭——纯 DoH 偶尔握手慢，纯明文不防劫持。
2. 拦截清单（去广告的弹药）
设置 → DNS 拦截列表 → 添加黑名单。中文环境推荐这几个订阅：
| 列表 | 特点 |
|---|---|
| Anti-AD | 中文区精准，误杀少 |
| EasyList 中国 | 国内广告站点覆盖 |
| AdGuard DNS filter | 官方综合清单 |
| 秋风广告规则 | 国内视频/App 广告 |
宁精勿滥：列表不是越多越好——误杀变多、查询变慢。先从 Anti-AD + AdGuard 官方两个开始，遇到误杀再按域名加白名单。
3. 查询日志与统计
仪表盘能看到：拦截量、Top 拦截域名、Top 请求设备——第一次看到"电视盒子一晚请求几万次广告域名"时，大部分人都会惊到。日志默认保留，敏感环境可关。
四、设备指配：让全家用上
三种方式，按场景选：
方式 1：路由器 DHCP 改 DNS（最彻底）
路由器管理界面 → DHCP 设置 → DNS 服务器填 服务器IP。全家设备（连 WiFi 的）自动全部走 AdGuard，零配置。这是推荐姿势——但要确认路由器允许改 DHCP DNS（部分光猫/运营商定制路由锁死）。
方式 2：设备手动指定（精细控制）
手机/电脑/电视的 WiFi 设置里，DNS 从"自动"改为手动，填 服务器IP。适合只想给部分设备用的场景。
方式 3：个别设备域名指向（内网解析）
设置 → DNS 重写，加一条：
域名: nas.home → 192.168.1.10 # 家里 NAS
域名: router.home → 192.168.1.1之后全家设备直接 http://nas.home 访问 NAS，IP 变了只改一处重写。内网解析是 AdGuard 最被低估的功能——比每台设备配 hosts 干净一万倍。
五、安全与暴露：DNS 开放的风险
DNS 端口（53）必须对外才能给全家设备用，这就带来一个经典陷阱：开放的 DNS 解析器会被当成 DDoS 放大器滥用（伪造源地址的小查询触发大响应）。自建公共 DNS 的底线：
- 限制访问 IP：AdGuard 的"访问设置"里加白名单——只允许你家宽带出口 IP 段查询；外出时手机可以单独走 DoH
- 别宣传你的 DNS 地址：公开的 IP 被扫到就是被滥用
- 速率限制：设置里开启，防单 IP 刷爆
要外网也能用的进阶姿势：开 DoH/DoT（加密 DNS over HTTPS/TLS），用自己的域名 + 证书，手机填 https://dns.yourdomain.com/dns-query。证书配置见SSL 证书完全指南。HTTPS 反代套路见Nginx 反向代理实战。
NAT 型服务器注意：53 端口的 TCP/UDP 都要映射，且确认商家允许映射 53（部分商家封常见端口）；不能映射 53 的话可以映射高端口 + DoH，客户端填 IP:端口。
六、常见问题排查
| 症状 | 原因 | 解决 | |
|---|---|---|---|
| 设备解析不了 | 设备 DNS 没指过来 / 53 被占 | 手动指定试；`ss -tlnp \ | grep 53` 查占用 |
| 部分网站打不开 | 黑名单误杀 | 查询日志找到域名 → 加白名单 | |
| 解析变慢 | 上游慢/列表太大 | 换国内上游；精简黑名单 | |
| 路由器改不了 DHCP DNS | 运营商定制路由 | 方式 2 手动指定，或换路由 | |
| AdGuard 自己挂了全家断网 | 单点故障 | 路由器 DNS 填两个地址（AdGuard + 运营商）兜底 | |
| 电视广告没拦住 | 广告域名走了硬编码 IP | 这类只能插件/hosts 补充，AdGuard 已尽力 |
网络层排查工具见Linux 网络排查工具大全。
七、和 NAT 型服务器的搭配思考
AdGuard 是"吃稳定不吃公网 IP"的典型：它要的是 7×24 在线 + 一点点带宽，不挑带宽大小、不挑有没有独立 IP。这正是 NAT 型的甜区：
- 家里没有常开主机：云上 NAT 型服务器当全家 DNS，比买一台常开功耗的主机省心
- 价格敏感：NAT 型比独立 IP 便宜一半以上，跑 DNS 这种轻量服务性能过剩
- 组合玩法：一台 NAT 机同时跑 AdGuard（DNS）+ Umami 统计 + Uptime 监控，自托管工具箱一站齐
结语
AdGuard Home 把"网络层的控制权"还给了你：广告在 DNS 层被拦截、劫持在上游加密前被根除、内网服务靠自定义解析变亲切。半小时部署，全家设备清净——这是自托管里最"看得见回报"的项目之一。
需要一台 7×24 在线的自托管服务器，可以看看财富云计算：NAT 型云服务器低配就够、稳定在线、SSD 系统盘，价格比独立 IP 机型省一半以上——跑 DNS、监控、工具服务这类"吃稳定不吃公网 IP"的场景，NAT 型刚好对症。
延伸阅读
- Homepage 个人仪表盘：把散落各处的服务收进一个首页
- SSL 证书完全指南：免费证书、自动续期与不过期监控
- 数据备份体系完全手册：从随手拷到 3-2-1，让数据永远丢不了
- 压测与容量规划：上线前就知道你的服务器能扛多少人
- Hugo 静态博客搭建：秒开的博客，部署只要一个目录
- 安全应急响应完全手册：服务器被入侵后，按这个流程走
- 游戏服运营完全手册：从开服到停服，把一台服务器运营成百年老店
- Loki 日志体系搭建：轻量级日志聚合，Grafana 里查遍所有服务器
[...]netsh advfirewall firewall add rule name="GameRange" dir=in action=allow protocol=UDP localport=26901-26903完整的 Windows 环境准备（远程桌面连接、运行库安装、SteamCMD 用法、开机自启、8 个常见坑）见：《Windows 云服务器开服通用前置教程》→ htt[...]
2026-10-19 回复