Este es el tercer manual de una lista que debes poner en marcha en el siguiente orden.

• WireGuard en Raspberry PI, VPN casera, segura y gratuita.
• Pi-hole en Raspberry Pi: Instalación paso a paso.
• Configura tu propio servidor DNS recursivo con Pi-hole y Unbound
• El manual definitivo para navegar 100% seguro con WireGuard, Pi-hole y Unbound.

En el mundo actual, donde la privacidad en línea es cada vez más valiosa, confiar en servidores DNS de terceros puede ser un riesgo. Por eso, en esta guía te mostraré cómo convertir tu Pi-hole en una solución DNS completa y autónoma, instalando y configurando Unbound como servidor DNS recursivo local.

El problema: ¿en quién confiar?

Pi-hole incluye su propio servidor DNS (FTLDNS) que, después de aplicar las listas de bloqueo, reenvía las consultas de los clientes a los servidores DNS upstream configurados.

Sin embargo, esto plantea un problema de privacidad: cuando confías tus consultas DNS a un proveedor externo, estás delegando información sobre qué sitios visitas. Y aunque muchos proveedores prometen ser «privados y gratuitos», ¿cómo puedes saber realmente que cumplen su palabra?.

Además, los servidores DNS de grandes proveedores son objetivos muy atractivos para los atacantes. Si logran envenenar la caché de uno de ellos, millones de usuarios podrían ser redirigidos a sitios de phishing sin saberlo.

Cuando ejecutas tu propio servidor DNS recursivo (pequeño y local), la probabilidad de verse afectado por este tipo de ataques se reduce drásticamente.

¿Qué es un servidor DNS recursivo?

La primera distinción importante es entre un servidor autoritativo y uno recursivo:

• Un servidor autoritativo conoce la respuesta correcta para un dominio porque es el que lo gestiona (por ejemplo, el servidor autoritativo de pi-hole.net sabe cuál es su IP real).
• Un servidor recursivo, en cambio, resuelve cualquier consulta que recibe recorriendo la jerarquía del sistema DNS: pregunta a los servidores raíz, luego a los de nivel superior (TLD), y finalmente a los autoritativos, hasta obtener la respuesta.

¿Qué ofrece esta guía?

En pocos pasos, configuraremos tu propio servidor DNS recursivo en el mismo dispositivo donde ya tienes Pi-hole. No necesitas hardware adicional. La guía asume un sistema basado en Debian/Ubuntu relativamente reciente y utiliza los paquetes oficiales para simplificar el proceso.

Antes de empezar: prueba de acceso a los servidores raíz

Es fundamental verificar que tu ISP o router no esté interceptando o redirigiendo el tráfico DNS en el puerto 53. Si lo hace, Unbound no podrá comunicarse directamente con los servidores raíz y fallará de formas difíciles de diagnosticar.

Ejecuta estas pruebas en el sistema donde instalarás Unbound:

1. Prueba de reachabilidad UDP

Consulta directamente el servidor raíz a.root-servers.net (198.41.0.4) sin solicitar recursión:

dig @198.41.0.4 . NS +norec +time=3

Revisa la línea flags: en la respuesta. Si estás hablando directamente con un servidor raíz, verás aa (Authoritative Answer) y no verás ra (Recursion Available), ya que los servidores raíz no ofrecen recursión.

Ejemplo de respuesta correcta:

;; flags: qr aa; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 27

Si tu tráfico está siendo interceptado, aparecerá ra y probablemente faltará aa.

2. Prueba de reachabilidad TCP

Unbound también depende de TCP/53 para respuestas DNSSEC grandes y para reintentos:

dig @198.41.0.4 . NS +norec +tcp +time=3

Si esta prueba falla (timeout) pero la anterior funcionó, puede que tu red esté bloqueando tráfico DNS sobre TCP, lo que causará fallos crípticos en Unbound.

3. Confirmación de identidad vía CHAOS

Los servidores raíz responden a consultas de clase CHAOS con identificadores únicos. La mayoría de los proxies de ISP no manejan este tipo de consultas:

dig @198.41.0.4 version.bind CH TXT +time=3

Si te conectas directamente al servidor raíz, la respuesta será un registro TXT con «ATLAS»:

version.bind. 0 CH TXT "ATLAS"

Si el tráfico está siendo interceptado, obtendrás otra cadena, timeout o SERVFAIL.

Si alguna de estas pruebas falla, no es recomendable continuar con la instalación hasta investigar y resolver la causa (redirección del ISP, bloqueo de TCP DNS, filtros de seguridad en el router, etc.).

Configurando Pi-hole como servidor DNS recursivo

Vamos a utilizar Unbound, un servidor DNS recursivo seguro y de código abierto desarrollado por NLnet Labs, VeriSign, Nominet y Kirei.

1. Instalación de Unbound

sudo apt install unbound

Si instalas desde el gestor de paquetes, el archivo root.hints se instalará automáticamente con la dependencia dns-root-data y se actualizará con el gestor de paquetes.

Opcional: Si no instalas desde un gestor de paquetes, puedes descargar manualmente la lista de servidores raíz (actualízala cada seis meses aproximadamente):

wget https://www.internic.net/domain/named.root -qO- | sudo tee /var/lib/unbound/root.hints

Si haces esto, tendrás que descomentar la línea root-hints: en el archivo de configuración.

2. Configuración de Unbound

Crea o edita el archivo /etc/unbound/unbound.conf.d/pi-hole.conf con el siguiente contenido:

server:
    # Si no se especifica logfile, se usa syslog
    # logfile: "/var/log/unbound/unbound.log"
    verbosity: 0
    interface: 127.0.0.1
    port: 5335
    do-ip4: yes
    do-udp: yes
    do-tcp: yes
    # Puedes cambiarlo a no si no tienes conectividad IPv6
    do-ip6: yes
    # Déjalo en no a menos que tengas IPv6 nativo
    prefer-ip6: no
    # Usa esto solo si descargaste manualmente la lista de servidores raíz
    # root-hints: "/var/lib/unbound/root.hints"
    # Confía en la información de glue solo si está dentro de la autoridad del servidor
    harden-glue: yes
    # Requiere datos DNSSEC para zonas con trust-anchors; si faltan, la zona se marca como BOGUS
    harden-dnssec-stripped: yes
    # No uses randomización de mayúsculas (puede causar problemas con DNSSEC)
    use-caps-for-id: no
    # Reduce el tamaño del buffer de reensamblaje EDNS (recomendado por DNS Flag Day 2020)
    edns-buffer-size: 1232
    # Precarga entradas de caché próximas a expirar (solo para dominios consultados frecuentemente)
    prefetch: yes
    # Un hilo suele ser suficiente; aumenta solo en máquinas potentes
    num-threads: 1
    # Asegura que el buffer del kernel sea lo suficientemente grande para no perder mensajes
    so-rcvbuf: 1m
    # Protege la privacidad de rangos IP privados
    private-address: 192.168.0.0/16
    private-address: 169.254.0.0/16
    private-address: 172.16.0.0/12
    private-address: 10.0.0.0/8
    private-address: fd00::/8
    private-address: fe80::/10
    # Evita consultas inversas a rangos IP no públicos (RFC6303)
    private-address: 192.0.2.0/24
    private-address: 198.51.100.0/24
    private-address: 203.0.113.0/24
    private-address: 255.255.255.255/32
    private-address: 2001:db8::/32

Nota: En algunas distribuciones basadas en Red Hat (incluyendo CentOS hasta v10), la ruta del archivo puede ser /etc/unbound/conf.d/pi-hole.conf.

3. Iniciar y probar Unbound

Reinicia el servidor:

sudo service unbound restart

Comprueba que funciona:

~ $ dig pi-hole.net @127.0.0.1 -p 5335

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> pi-hole.net @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 20038
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;pi-hole.net.			IN	A

;; ANSWER SECTION:
pi-hole.net.		300	IN	A	162.244.93.14

;; Query time: 36 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1) (UDP)
;; WHEN: Fri Jun 26 22:02:55 CEST 2026
;; MSG SIZE  rcvd: 56

La primera consulta puede ser algo lenta, pero las siguientes (incluso para otros dominios bajo el mismo TLD) deberían ser bastante rápidas.

4. Prueba de validación DNSSEC

Para verificar que DNSSEC funciona correctamente pasa este comando:

~ $ dig fail01.dnssec.works @127.0.0.1 -p 5335 #copia este comando

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> fail01.dnssec.works @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 28659
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;fail01.dnssec.works.		IN	A

;; Query time: 1008 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1) (UDP)
;; WHEN: Fri Jun 26 21:58:14 CEST 2026
;; MSG SIZE  rcvd: 48

Debería devolver SERVFAIL y sin dirección IP.

y luego verifica con este otro:

~ $ dig +ad dnssec.works @127.0.0.1 -p 5335 #Copia este comando

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> +ad dnssec.works @127.0.0.1 -p 5335
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 62528
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;dnssec.works.			IN	A

;; ANSWER SECTION:
dnssec.works.		3600	IN	A	46.23.92.212

;; Query time: 152 msec
;; SERVER: 127.0.0.1#5335(127.0.0.1) (UDP)
;; WHEN: Fri Jun 26 21:59:03 CEST 2026
;; MSG SIZE  rcvd: 57

Debería devolver NOERROR, una dirección IP y la bandera ad (Authentic Data) en la sección flags:, indicando que la respuesta ha sido autenticada y validada mediante DNSSEC.

5. Configurar Pi-hole

Ve a la interfaz web de Pi-hole: Settings > DNS.

En la sección Custom DNS servers, especifica:

127.0.0.1#5335

Asegúrate de desmarcar todos los demás servidores upstream.

No olvides hacer clic en Save & Apply.

6. Deshabilitar entrada de resolvconf (requerido para Debian Bullseye+)

En Debian Bullseye y versiones posteriores, se instala automáticamente el paquete openresolv con una configuración que puede causar comportamientos inesperados en Pi-hole y Unbound.

El servicio unbound-resolvconf.service escribe nameserver 127.0.0.1 (sin el puerto 5335) en /etc/resolv.conf, lo que afecta a los servicios locales.

Paso 1: Deshabilitar el servicio

Comprueba si está activo:

systemctl is-active unbound-resolvconf.service

Si responde que inactivo, ve al punto 7, de lo contrario deshabilítalo.

Deshabilítalo así:

sudo systemctl disable --now unbound-resolvconf.service

Paso 2: Deshabilitar el archivo de configuración

sudo sed -Ei 's/^unbound_conf=/#unbound_conf=/' /etc/resolvconf.conf
sudo rm /etc/unbound/unbound.conf.d/resolvconf_resolvers.conf

Reinicia Unbound:

sudo service unbound restart

7. (Opcional) Añadir logs a Unbound

Advertencia: No se recomienda aumentar la verbosidad para uso diario, ya que Unbound genera muchos logs. Puede ser útil para depuración.

Niveles de verbosidad:

• 0: Solo errores
• 1: Información operativa
• 2: Información operativa detallada
• 3: Información a nivel de consulta
• 4: Información a nivel de algoritmo
• 5: Registro de identificación de cliente para fallos de caché

Edita el archivo con:

sudo nanno /etc/unbound/unbound.conf.d/pi-hole.conf 

y añade en la sección server:

server:
    logfile: "/var/log/unbound/unbound.log"
    log-time-ascii: yes
    verbosity: 1

Crea el directorio y archivo de log, y establece permisos:

sudo mkdir -p /var/log/unbound
sudo touch /var/log/unbound/unbound.log
sudo chown unbound /var/log/unbound/unbound.log

Una nota importante sobre AppArmor en Raspberry Pi OS

Es muy probable que AppArmor no esté activo en tu Raspberry Pi. (ni falta que hace)

Raspberry Pi OS no lo habilita por defecto, y muchos usuarios tienen que activarlo manualmente.

sudo aa-status 

Si al ejecutar el comando anterior, ves un error como comando no encontrado, No such file or directory, apparmor module is loaded, apparmor filesystem is not mounted, significa que AppArmor no está instalado o no está activo.

En ese caso, el paso de la guía para añadir una excepción en AppArmor no es necesario y puedes ignorarlo con tranquilidad.

Solo en el caso de que estuviese activo, sigue estos pasos:

Añadir una excepción en AppArmor

En sistemas modernos Debian/Ubuntu, añade una excepción en AppArmor:

Crea o edita /etc/apparmor.d/local/usr.sbin.unbound y añade:

/var/log/unbound/unbound.log rw,

Recarga AppArmor:

sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.unbound
sudo service apparmor restart

Reinicia Unbound:

sudo service unbound restart

8. Verificar que Pi-hole está usando Unbound

Realiza una consulta DNS:

dig en.wikipedia.org @127.0.0.1

Luego revisa el log de Pi-hole:

sudo tail /var/log/pihole/pihole.log

Deberías ver líneas como:

Nov 24 11:57:47 dnsmasq[973]: query[A] en.wikipedia.org from 127.0.0.1
Nov 24 11:57:47 dnsmasq[973]: forwarded en.wikipedia.org to 127.0.0.1#5335
Nov 24 11:57:47 dnsmasq[973]: reply en.wikipedia.org is <IP>

Si ves que las respuestas vienen de 127.0.0.1#5335, ¡enhorabuena! Pi-hole está usando Unbound como upstream.

Para otros clientes de la red

La configuración de la Raspberry solo afecta a la propia Raspberry. Para que el resto de dispositivos (móviles, portátiles, etc.) usen tu Pi-hole, configura tu router DHCP para que entregue 192.168.1.18 como único servidor DNS (y no entregue ningún secundario). Así, toda la red estará protegida.

Desinstalar Unbound

Si en algún momento quieres revertir los cambios:

sudo apt remove unbound

Recuerda volver a configurar otro servidor DNS upstream en Pi-hole.

Conclusión

Has configurado exitosamente tu propio servidor DNS recursivo con Pi-hole y Unbound. Ahora:

• Tu privacidad mejora: ninguna entidad externa registra todas tus consultas DNS.
• Tu seguridad aumenta: al ser un servidor pequeño y local, es un objetivo mucho menos atractivo para ataques de envenenamiento de caché.
• Tienes control total: decides cómo se resuelven tus consultas DNS, sin depender de terceros.

Comprobaciones, errores y soluciones

Advertencia so-rcvbuf en Unbound

La configuración establece so-rcvbuf: 1m para manejar altas tasas de consultas. Puedes ver esta advertencia:

so-rcvbuf 1048576 was not granted. Got 425984.

¿Dónde se puede ver esta advertencia? En dos sitios principales:

1. En los logs de Unbound

Esta es la forma más común de encontrar la advertencia. Unbound la escribe en sus propios registros cuando no puede establecer el tamaño de búfer que ha solicitado en su configuración (so-rcvbuf: 1m).

Puedes comprobar los logs de Unbound con el siguiente comando:

sudo journalctl -u unbound | grep "so-rcvbuf"

Si la advertencia está presente, verás un mensaje similar a este:

unbound[110586:0] warning: so-rcvbuf 1048576 was not granted. Got 425984.[reference:0]

Este mensaje indica que Unbound pidió un búfer de recepción de 1048576 bytes (1 MB), pero el sistema solo le concedió 425984 bytes.

2. Al iniciar Unbound manualmente (en primer plano)

Si ejecutas Unbound en primer plano (por ejemplo, para depuración), la advertencia aparecerá directamente en la terminal:

sudo unbound -d

¿Qué significa esta advertencia?

• No es un error crítico: Unbound seguirá funcionando, pero podría tener un rendimiento ligeramente inferior en momentos de mucho tráfico.
• Es un problema de límites del sistema: Unbound está pidiendo un búfer de red más grande para manejar mejor picos de tráfico, pero el límite del kernel (net.core.rmem_max) es más bajo.

Para solucionarlo, tendrías que aumentar el límite del kernel de forma permanente, por ejemplo, creando un archivo en /etc/sysctl.d/ (especialmente importante en sistemas más nuevos como Debian 13, donde /etc/sysctl.conf ya no se usa por defecto).

¿Como se soluciona?

1. Comprueba el límite actual:

   sudo sysctl net.core.rmem_max

2. Aumenta temporalmente:

   sudo sysctl -w net.core.rmem_max=1048576

3. Hazlo permanente. Edita
   sudo nano /etc/sysctl.d/99-unbound.conf
   y añade:

   net.core.rmem_max=1048576

4. Aplica los cambios:

• En sistemas actualizados (ej. Debian 13): sudo systemctl restart systemd-sysctl

4. Reinicia Unbound:

   sudo service unbound restart

Error en la prueba de DNSSEC

Durante la configuración de Pi-hole + Unbound como servidor DNS recursivo con validación DNSSEC, nos encontramos con un problema aparente, al realizar consultas con la bandera +dnssec, el sistema mostraba timeouts y terminaba resolviendo a través del router (fallback) en lugar de nuestro propio Pi-hole.

Síntoma

Desde el cliente, al ejecutar:

dig +dnssec sigfail.verteiltesysteme.net

obteníamos:

;; communications error to 192.168.1.18#53: timed out
...
;; SERVER: 192.168.1.1#53  (el router)

La consulta funcionaba sin +dnssec (respuesta inmediata desde Pi-hole), pero al pedir validación DNSSEC, el cliente se quedaba sin respuesta de Pi-hole y recurría al router, que sí devolvía SERVFAIL (porque también valida DNSSEC). Esto enmascaraba el problema real: Pi-hole no estaba respondiendo a tiempo.

Causa raíz

Presencia del router como DNS secundario en /etc/resolv.conf:
Al tener nameserver 192.168.1.1 como fallback, el sistema operativo, al no obtener respuesta de Pi-hole en el primer intento, acude al router, que responde rápidamente. Esto hacía que pareciera que «funcionaba» (porque se veía el SERVFAIL correcto), pero en realidad no estábamos usando nuestro propio Unbound para validar DNSSEC, sino el router.

Solución, eliminar el router como DNS secundario

Para asegurar que todas las consultas pasen por nuestro Pi-hole, es buena práctica dejar únicamente la IP de Pi-hole en /etc/resolv.conf (o configurar el DHCP del router para que entregue solo esa IP). Así, si Pi-hole falla, el sistema no tendrá un fallback y el error será evidente, pero en condiciones normales todas las consultas usarán nuestro propio resolver.

A continuación expongo 3 formas de hacer esto:

1. De forma gráfica.

Solo tienes que hacer clic derecho sobre el icono de red en la esquina superior derecha de la pantalla (el que parece dos monitores o unas barras de WiFi) y seleccionar «Wireless & Wired Network Settings» o una opción similar. Allí se abrirá una ventana para configurar tu conexión de red.

Para asegurarte de que los cambios son permanentes y no se sobrescriben, lo más fiable es usar el editor gráfico de conexiones de NetworkManager. Para ello, en lugar de la opción anterior, haz clic en «Advanced Options» y luego en «Edit Connections…». Se abrirá la ventana «Network Connections».

Aquí verás una lista de tus conexiones (por ejemplo, «Wired connection 1» para Ethernet o tu red WiFi). Selecciona la que estés usando y haz clic en el botón «Edit» (o «Configurar»). En la nueva ventana, ve a la pestaña «IPv4 Settings» (o «Ajustes IPv4»).

En esta pestaña, cambia el «Method» (Método) de Automatic (DHCP) a «Manual». Ahora se habilitarán los campos para que introduzcas tu configuración:

• Address (Dirección): La IP fija de tu Raspberry Pi (ej. 192.168.1.18).
• Netmask (Máscara de red): Normalmente 255.255.255.0.
• Gateway (Puerta de enlace): La IP de tu router (ej. 192.168.1.1).
• DNS servers (Servidores DNS): Aquí es donde pones 127.0.0.1.

Finalmente, haz clic en «Save» (Guardar) y luego cierra las ventanas. Para que los cambios surtan efecto, puedes reiniciar la interfaz de red o, simplemente, reiniciar la Raspberry Pi.

Luego reiniciamos Pi-hole:

sudo systemctl restart pihole-FTL

2. Desde la terminal.(usando nmcli)

1. Identifica tu conexión de red

sudo nmcli connection show

Anota el nombre de tu conexión activa (ej. eth0, Wired connection 1).

2. Ignora los DNS entregados por DHCP

sudo nmcli connection modify "eth0" ipv4.ignore-auto-dns yes

3. Asigna 127.0.0.1 como único DNS

sudo nmcli connection modify "eth0" ipv4.dns "127.0.0.1"

4. Aplica los cambios

sudo nmcli connection up "eth0"

5. Verifica que se ha aplicado

cat /etc/resolv.conf

Debe mostrar únicamente:

nameserver 127.0.0.1

3. Alternativa: nmtui (Interfaz gráfica en terminal)

Si no tienes el escritorio completo pero sí una interfaz de texto, puedes usar nmtui:

1. Ejecuta sudo nmtui edit "Wired connection 1" (cambia el nombre de la conexión si es necesario).
2. Navega con las flechas del teclado hasta «IPv4 CONFIGURATION» y cámbialo de <Automatic> a <Manual>.
3. Selecciona <Show> para ver los campos y rellénalos con tu IP, puerta de enlace y el DNS 127.0.0.1.
4. Guarda los cambios y reinicia NetworkManager con sudo systemctl restart NetworkManager.

Es un método igual de válido, pero a través de la línea de comandos y con una interfaz más amigable que nmcli puro.

Verificación final

Tras aplicar los cambios:

~ $ dig +dnssec sigfail.verteiltesysteme.net

; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> +dnssec sigfail.verteiltesysteme.net
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 42460
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags: do; udp: 1232
;; QUESTION SECTION:
;sigfail.verteiltesysteme.net.	IN	A

;; Query time: 772 msec
;; SERVER: 127.0.0.1#53(127.0.0.1) (UDP)
;; WHEN: Fri Jun 26 20:10:10 CEST 2026
;; MSG SIZE  rcvd: 57

Resultado correcto:

• Sin mensajes de timeout.
• SERVER: 192.168.1.18#53 (nuestro Pi-hole).
• status: SERVFAIL con EDE: 6 (DNSSEC Bogus).

Y para un dominio válido:

dig +dnssec +time=10 dnssec.works

• status: NOERROR
• flags: qr rd ra ad (bandera ad = Authentic Data, validación DNSSEC correcta).

Conclusión

Conclusión sobre el fichero resolv.conf:

• Nunca pongas un DNS externo (ni el router) como secundario en la máquina que ejecuta Pi-hole.
• La mejor práctica es fijar 127.0.0.1 como único nameserver.
• Usa nmcli (o systemd-resolved si lo prefieres) para que los cambios sean permanentes.
• Verifica que ningún otro servicio sobrescriba el fichero.

Esta simple corrección cierra la puerta a fugas de privacidad y garantiza que todas las consultas de tu servidor pasen por tu propio filtro y resolver DNSSEC.

¡Disfruta de una navegación más privada y segura!

Este es segundo manual de una lista que debes poner en marcha en el siguiente orden.

1. WireGuard en Raspberry PI, VPN casera, segura y gratuita.
2. Pi-hole en Raspberry Pi: Instalación paso a paso.
3. Configura tu propio servidor DNS recursivo con Pi-hole y Unbound
4. El manual definitivo para navegar 100% seguro con WireGuard, Pi-hole y Unbound.

Si estás harto de anuncios invasivos, rastreadores y páginas que cargan lentamente, Pi-hole es la solución definitiva. Se trata de un bloqueador de anuncios a nivel de red que instalarás en tu Raspberry Pi y protegerá todos los dispositivos de tu hogar (móviles, tablets, smart TVs, consolas…) sin necesidad de instalar nada en ellos.

En este tutorial te cuento mi experiencia real instalando Pi-hole usando el método oficial de clonado del repositorio (no el típico curl | bash).

Requisitos previos

• Una Raspberry Pi (cualquier modelo, incluso una Zero)
• Conexión a Internet (por cable Ethernet o Wi-Fi).
• Acceso al panel de administración de tu router en mi caso un Asus RT-AC86U (para el paso final).

Paso 1: Actualizar el sistema y preparar el terreno

Primero nos asegurarnos de tener todo actualizado:

sudo apt update && sudo apt upgrade -y

Instala git, la herramienta que usaremos para clonar el repositorio:

sudo apt install git -y

Paso 2: Configurar una IP estática (¡obligatorio!)

Tu Raspberry Pi debe tener siempre la misma dirección IP para que los dispositivos de tu red sepan dónde está Pi-hole. Tienes dos opciones:

Opción A (recomendada): Reserva DHCP en el router

Dispongo de un router Asus, a continuación te detallo los pasos que debes seguir para asignar una IP fija.

Accede a la interfaz web de tu router, busca la sección «LAN» – «Servidor DHCP» y asigna una IP fija a tu Raspberry Pi usando su dirección MAC.

Opción B (desde la terminal): Configurar IP estática en la Raspberry

Si prefieres hacerlo por comandos, usa nmcli (sustituye "Wired connection 1" por el nombre de tu conexión, que verás con nmcli con show):

sudo nmcli con mod "Wired connection 1" ipv4.method manual ipv4.addr 192.168.1.100/24 ipv4.gateway 192.168.1.1 ipv4.dns 8.8.8.8
sudo nmcli device reapply eth0

Reinicia para aplicar los cambios:

sudo reboot

Luego reconéctate con la nueva IP.

Paso 3: Clonar el repositorio de Pi-hole

Usaremos el método 2 de la documentación oficial, que descarga el código completo para poder revisarlo antes de instalarlo:

git clone --depth 1 https://github.com/pi-hole/pi-hole.git Pi-hole

El parámetro --depth 1 acelera la descarga al solo obtener la última versión.

Paso 4: Ejecutar el instalador

Entramos en la carpeta del instalador y lo lanzamos con permisos de superusuario:

cd Pi-hole/automated\ install/
sudo bash basic-install.sh

El asistente te hará unas preguntas. Estas fueron mis respuestas:

Comenzamos por la primera pantalla donde nos dice que ¡Este instalador transformará tu dispositivo en un bloqueador de anuncios para toda la red!

Pi-hole es gratuito pero funciona gracias a tus donaciones. Te dan una dirección web para acceder a la zona de ofrendas a los dioses.

En esta ventana nos dice que Pi-hole es un servidor y necesita de una Dirección IP estática para funcionar correctamente. Como esto ya lo hicimos en un punto anterior, damos a Continue.

Dependiendo de si usas la interfaz de wifi (wlan0) o de cable (eth0) elige la que estes usando para conectar tu raspberry a internet. En mi caso usaré eth0 ya que estoy conectado por cable de red a mi router.

Aquí selecciona un proveedor de DNS, si tienes uno propio selecciona Custom. En mi caso como no tengo ninguno propio usaré Cloudflare.

Pi-hole se basa en listas de terceros para bloquear anuncios. Puedes usar la sugerencia a continuación o agregar la tuya propia después de la instalación.

Aquí seleccionamos yes, ya que la lista que trae por defecto es suficiente para empezar a bloquear anuncios.

Las listas de Steven Black (disponibles en GitHub – StevenBlack/hosts) son archivos que consolidan y extienden listados de fuentes confiables para bloquear anuncios, rastreadores y sitios maliciosos. Funcionan a nivel de sistema evitando que tu equipo resuelva las direcciones de dominios no deseados.

Pregunta si quieres activar el registro de consultas (log), ¡pues claro que sí, no seas ridiculo!.

Esa pantalla te pregunta qué nivel de detalle quieres ver en las estadísticas de Pi-hole y, sobre todo, qué información quieres que se almacene en los registros (logs).

Yo elegiré la opcion 0 Show everything, ya que muestra y guarda todos los detalles. Verás todas las consultas, los dominios, las IPs de los clientes, etc.. Es la opción perfecta para empezar, ya que te permite entender cómo funciona Pi-hole y ver qué dispositivos están haciendo más consultas. Si estás en un entorno doméstico y quieres máximo control y visibilidad, esta es tu opción.

Pantalla de resumen de la instalación, donde te dice cual es la dirección IP de tu servidor Pi-hole, distintos modos de como acceder a través del navegador y tu da una contraseña temporal para el acceso.

Paso 5: Acceder al panel de administración

Abre tu navegador y ve a:

http://localhost/admin

Inicia sesión con la contraseña temporal.

Si lo deseas puedes cambiar la contraseña por una más segura de tu elección:

pihole -a -p

Paso 6: Configurar el router para usar Pi-hole

Como dije anteriormente, sigo sobre los pasos de un router Asus, las instrucciones del tuyo pueden ser algo diferentes. Investiga como hacerlo.

Ahora, el paso clave para que toda tu red se beneficie:

1. Entra en la configuración de tu router.
2. Busca la sección de LAN y dentro busca Servidor DHCP.
3. Pon como servidor DNS primario la IP estática de tu Raspberry Pi. Así todos los dispositivos que se conecten automáticamente usarán Pi-hole.
4. Guarda los cambios y reinicia el router si es necesario.

Paso 7: forzar la actualización de listas.

En la instalación, las listas de Steven Black fueron añadidas pero no descargadas ni instaladas.

Desde la terminal, podemos hacerlo de forma rápida con un comando de este modo:

sudo pihole -g

Este comando descarga e instala las listas de bloqueo.

Paso 8: Verificar que el bloqueo funciona.

Para probar, ejecuta desde la terminal de tu Raspberry:

nslookup ad.doubleclick.net 127.0.0.1

Resultado esperado:

raspberry@terrapi:~ $ nslookup ad.doubleclick.net 127.0.0.1
Server:		127.0.0.1
Address:	127.0.0.1#53

Name:	ad.doubleclick.net
Address: 0.0.0.0
Name:	ad.doubleclick.net
Address: ::

Si ves 0.0.0.0 o ( ::), ¡enhorabuena! Pi-hole está bloqueando.

Otra forma gráfica de saber si tu Pi-hole está funcionando correctamente, es pinchando en el siguiente enlace.

https://blockads.fivefilters.org/?pihole

Si todo va bien deberás obtener una pantalla como esta en tu dispositivo.

Otros ajustes.

## Cambia el puerto del servidor.

A partir de la versión 6, Pi-hole dejó de usar lighttpd y ahora incluye su propio servidor web integrado. Para cambiar el puerto del panel de administración en las versiones modernas de Pi-hole, tienes que hacerlo así:

El método correcto para Pi-hole v6 o superior

La configuración del puerto se encuentra en el archivo /etc/pihole/pihole.toml. Para cambiarlo:

1. Abre el archivo de configuración con el siguiente comando:
   sudo nano /etc/pihole/pihole.toml
2. Dentro del archivo, busca la sección [webserver].
   Verás una línea que define el puerto, similar a esta: port = "80o,443os,[::]:80o,[::]:443os" Esta línea configura los puertos para IPv4 e IPv6, tanto HTTP como HTTPS.
3. Modifica el número de puerto que deseas cambiar. Por ejemplo, para que el panel web use el puerto 8080, la línea quedaría así: port = "8080o,443os,[::]:8080o,[::]:443os"
4. Guarda los cambios (Ctrl+O, Enter) y cierra el editor (Ctrl+X).
5. Para que los cambios surtan efecto, reinicia el servicio de Pi-hole:
   sudo systemctl restart pihole-FTL
   o usa el comando:
   sudo pihole restartdns

A partir de ahora, accederás al panel de administración a través de http://<IP_de_tu_Raspberry>:8080/admin.

## Actualiza tu Pi-hole

A continuación veremos el comando necesario para actualizar todos los componentes de Pi-hole a su última versión.

¿Qué hace exactamente?

Al ejecutarlo, el script revisa los repositorios oficiales de los tres componentes principales de Pi-hole:

• Pi-hole Core: El núcleo del software.
• Web Interface: El panel de administración.
• FTL (FTL Engine): El motor DNS que procesa las consultas.

Si detecta una nueva versión disponible, la descarga y la instala automáticamente.

¿Cómo se usa?

Puedes usar cualquiera de estos dos comandos en la terminal:

sudo pihole updatePihole

o su forma abreviada:

sudo pihole -up

Ambos comandos hacen exactamente lo mismo.

Puntos importantes

• Permisos de root: Dependiendo de tu configuración, es posible que necesites ejecutarlo con sudo.
• No actualiza las listas de bloqueo: Este comando solo actualiza el software de Pi-hole. Para actualizar las listas de dominios bloqueados, debes usar pihole -g (o pihole updateGravity).

## Añadir nuevas listas

Las listas de OISD (que significan «Oh, I See, Domains!») son unas listas de bloqueo de dominios muy populares y reconocidas en la comunidad de Pi-hole.

Su filosofía principal es priorizar la funcionalidad para que todo siga funcionando correctamente, evitando los molestos «falsos positivos» que rompen páginas web. De hecho, su lema es que la lista «pasa la prueba de la novia» , lo que significa que es tan fiable que una persona no técnica ni siquiera notará que está activa, más allá de que los anuncios desaparecen.

Añadir las listas de OISD a Pi-hole es muy sencillo. Solo tienes que añadirlas como cualquier otra lista de bloqueo. Te explico cómo hacerlo en tu versión 6.

Existen cuatro listas diferentes, pero lo normal es usar solo una de cada categoría, ya que son acumulativas:

• https://big.oisd.nl: Es la lista completa. Bloquea anuncios, rastreadores, malware, phishing y telemetría. (No incluye contenido NSFW).
• https://small.oisd.nl: Es una versión más ligera que se centra principalmente en anuncios. Está incluida en la lista big.
• https://nsfw.oisd.nl: Bloquea sitios para adultos (pornografía, shock, etc.).
• https://nsfw-small.oisd.nl: Versión más ligera de la lista NSFW. Está incluida en la lista nsfw.

Método 1: Añadir las listas desde la interfaz web (Recomendado)

1. Abre el panel de administración de Pi-hole: http://<IP_de_tu_Raspberry>/admin
2. En el menú lateral, ve a «Group Management» y luego haz clic en «Adlists».
3. En el campo «Address», pega la URL de la lista que quieras usar (por ejemplo, https://big.oisd.nl).
4. Haz clic en el botón «Add».
5. Actualiza la lista de bloqueo: Ve a «Tools» y haz clic en «Update Gravity», o ejecuta el comando pihole -g en la terminal.

Método 2: Añadir las listas desde la terminal (CLI)

Si prefieres usar la terminal, puedes añadir las listas con el siguiente comando (reemplaza "https://big.oisd.nl" por la URL que prefieras):

pihole -a adlist add "https://big.oisd.nl"

Después, actualiza Gravity para que los cambios surtan efecto:

pihole -g

Un par de detalles importantes

• Versión de Pi-hole: Asegúrate de que tu Pi-hole está actualizado. Estas listas requieren FTL v5.22, Web v5.19 y Core v5.16.1 o superior. Como tienes la versión 6, estás sobradamente cubierto.
• Número de dominios: Justo después de añadir la lista, es posible que Pi-hole muestre 0 dominios en el contador. Es un problema visual conocido. No te preocupes, la lista se ha añadido correctamente y los dominios se cargarán al actualizar Gravity.

Con estos pasos, ya tendrás una de las listas de bloqueo más completas y con menos falsos positivos de toda la comunidad Pi-hole.

## Lista de permitidos (allowlist)

En Pi-hole v6, el concepto de «lista blanca» (whitelist) ha pasado a llamarse oficialmente «lista de permitidos» (allowlist).

Dominios habituales en la lista blanca. Pincha aquí

Tienes varias formas de añadir dominios a esta lista, tanto desde la interfaz web como desde la terminal.

Te explico cada una:

Método 1: Desde la terminal (CLI) – El más rápido

La forma más directa es usar el nuevo comando pihole allow.

Añadir un solo dominio:

pihole allow dominio.com

Añadir varios dominios a la vez:

pihole allow dominio1.com dominio2.com dominio3.com

Eliminar un dominio de la lista de permitidos:

pihole allow remove dominio.com

Ejemplo práctico con algunos de los dominios que menciona el hilo de Discourse:

pihole allow clients4.google.com clients2.google.com s.youtube.com video-stats.l.google.com

Nota: El comando pihole allow es el equivalente moderno al antiguo pihole -w de versiones anteriores.

Método 2: Desde la interfaz web (GUI) – El más visual

1. Abre el panel de administración de Pi-hole: http://<IP_de_tu_Raspberry>/admin
2. En el menú lateral, haz clic en «Lists» (Listas).
3. Verás dos secciones: «Allowlist» (Lista de permitidos) y «Denylist» (Lista de denegados).
4. En la sección Allowlist, escribe el dominio que quieras permitir en el campo de texto.
5. Haz clic en «Add Allowlist» (Añadir a la lista de permitidos).

Puedes añadir varios dominios separados por espacios o cada uno en una línea nueva.

Método 3: Importar una lista completa (recomendado para muchos dominios)

Pi-hole v6 permite suscribirte a listas de permitidos públicas, igual que ya se hacía con las listas de bloqueo.

1. Ve a «Lists» en el panel web.
2. En la sección «Allowlist», encontrarás un campo para añadir una URL de lista de permitidos.
3. Introduce la URL de la lista (por ejemplo, la del repositorio comunitario).
4. Haz clic en «Add Allowlist».
5. Ejecuta pihole -g (o pihole gravity) para que Pi-hole procese la nueva lista.

Importante: Los dominios se asignan al grupo «Default»

Por defecto, cuando añades un dominio a la lista de permitidos, este se asocia al grupo «Default» (por defecto). Si quieres que se aplique a otros grupos, tendrás que ir a Group Management > Domains dentro de la interfaz web y asignarlos manualmente.

Resumen rápido

Ahora ya sabes dónde y cómo añadir esos dominios comunes a tu lista de permitidos en Pi-hole v6. ¡A disfrutar de una navegación sin bloqueos falsos!

Conclusión

Instalar Pi-hole en una Raspberry Pi ha sido una experiencia mucho más gratificante de lo que esperaba. No solo he conseguido eliminar anuncios y rastreadores en toda mi red doméstica, sino que también he aprendido conceptos fundamentales de redes como el DNS, las IP estáticas y la gestión de servidores.

Lo que empezó como un simple proyecto técnico se convirtió en una oportunidad para entender cómo funciona Internet a nivel local y, de paso, mejorar la privacidad y velocidad de navegación de todos los dispositivos de mi casa.

¿Dudas? Déjalas en los comentarios y te ayudaré encantado. ¡Feliz bloqueo!

Ver más

Sigue aumentando tu nivel de protección con el siguiente tutorial Configura tu propio servidor DNS recursivo con Pi-hole y Unbound

No explicaré aquí como instalar los certificados, ya que lo hice en el primer artículo de este blog Instala WordPress en tu raspberry Pi 4 .

Así, que dando por puesto que ya están instalados en nuestro sistema, ya sea a través de WordPress u otro medio, los reutilizaremos para usarlos con Pi-hole

1. Configuración de puertos.

Entra en Pi-hole desde su interfaz gráfica, ve a Settings, All Settings y Webserver and API y busca el apartado webserver.port y cambia al puerto que necesites configurar.

Originalmente los puertos vienen así:

80o,443os,[::]:80o,[::]:443os

El primer bloque (en azul) corresponde a las direcciones IPV4 y el segundo a IPV6.

A continuación te dejo un ejemplo de puerto HTTP y HTTPS tanto para IPV4 como para IPV6.

7070o,7443os,[::]:7070o,[::]:7443os

Nota: no olvides abrir esos mismos puertos en tu router.

2. Localiza tus certificados.

Lo primero sera buscar la ruta al directorio de tu certificado.

sudo ls -l /etc/letsencrypt/live/

La salida nos mostrará la ruta y con ella el directorio que tendrá el mismo nombre que nuestro dominio.

drwxr-xr-x 2 root root 4096 ago  8 19:00 mi.dominio.org
-rw-r--r-- 1 root root  740 feb 24  2024 README

Por lo que, la ruta completa para tus archivos de certificado será:

sudo ls /etc/letsencrypt/live/mi.dominio.org/

Y el resultado de este último comando, listará los siguientes archivos de certificado.

cert.pem  chain.pem  fullchain.pem  privkey.pem  README

3. Copia tus certificados

Como ya sabemos, los certificados de Let’s Encrypt se guardan en el directorio /etc/letsencrypt/live/mi.dominio.org/.

Tan solo necesitaremos dos archivos del directorio, que son:

• fullchain.pem, que combina los archivos cert.pem seguido de chain.pem, justo en ese orden.
• privkey.pem, que es la clave privada del certificado (nunca la compartas)

Asegúrate de sustituir mi.dominio.org por el nombre de dominio real.

a. – Copia el certificado fullchain.pem a /tmp/

sudo cp /etc/letsencrypt/live/mi.dominio.org/fullchain.pem /tmp/

b. – Copia la clave privada a /tmp/

sudo cp /etc/letsencrypt/live/mi.dominio.org/privkey.pem /tmp/

4. Combina los certificados.

El servidor web interno de Pi-hole v6 requiere que el certificado y la clave privada estén combinados en un solo archivo PEM llamado tls.pem dentro de la carpeta /etc/pihole/.

Situémonos en el directorio /tmp

cd /tmp/

Si listamos el contenido de /tmp, veremos los 2 certificados copiados anteriormente.

me@linuxete:/tmp
$ ls -l
total 32
-rw-r--r-- 1 root root 2872 sep  8 19:57 fullchain.pem
-rw------- 1 root root  241 sep  8 19:58 privkey.pem

Ahora combinaremos los dos archivos que acabamos de copiar, a un único archivo tls.pem:

sudo bash -c "cat fullchain.pem privkey.pem > /tmp/tls.pem"

Verifica que el archivo tls.pem se ha creado correctamente.

me@linuxete:/tmp
$ ls -l
total 16
-rw-r--r-- 1 root root 2872 sep  8 19:57 fullchain.pem
-rw------- 1 root root  241 sep  8 19:58 privkey.pem
-rw-r--r-- 1 root root 3113 sep  8 20:01 tls.pem

5. Permisos de usuario y grupo.

Echa un vistazo al usuario y grupo tiene archivo tls.pem de Pi-hole

me@linuxete:~
$ ls -l /etc/pihole/tls.pem
-rw------- 1 pihole pihole 3113 sep  8 08:18 /etc/pihole/tls.pem

Tanto el usuario como el grupo pertenecen a pihole. Además los permisos están establecidos en 600

Fíjate, que nuestro nuevo archivo (el que se encuentra en /tmp) tiene como usuario a root y los permisos con 644

Vuelve otra vez a directorio /tmp para cambiar eso.

cd /tmp

sudo chown pihole:pihole tls.pem

sudo chmod 600 tls.pem

Ahora ya lo tenemos preparado.

me@linuxete:/tmp
$ ls -l
total 16
-rw-r--r-- 1 root root 2872 sep  8 19:57 fullchain.pem
-rw------- 1 root root  241 sep  8 19:58 privkey.pem
-rw------- 1 pihole pihole 3113 sep  8 20:01 tls.pem

6. Sustituye al viejo tls

Antes de sustituir tu antiguo archivo tls, considera hacer una copia de seguridad.

sudo mv /etc/pihole/tls.pem /etc/pihole/tls.pem.bak

Tan solo nos queda mover el nuevo tls.pem para sustituir al antiguo.

sudo mv /tmp/tls.pem /etc/pihole/tls.pem

7. Reinicia el servicio Pi-hole

Reinicia el servicio de Pi-hole para que cargue el nuevo certificado.

sudo service pihole-FTL restart

Ahora, cuando accedas a la interfaz de administración de Pi-hole en https://tudominio.com:7443/admin, deberías ver que la conexión es segura y que el certificado es válido.

Solución errores y advertencias.

Advertencia, CERTIFICATE_DOMAIN_MISMATCH

La advertencia que ves ahora es solo un mensaje interno del sistema de diagnóstico de Pi-hole que te informa que la configuración predeterminada de su certificado no coincide con su dominio interno (pi.hole).

Si quieres eliminar esa advertencia en la página de diagnóstico, debes decirle a Pi-hole que utilice tu dominio (tu_dominio.org) en lugar de pi.hole como su nombre de host local.

Modo gráfico.

Para solucionar a través de la interfaz web, ve al menú izquierdo de tu pi-hole, abajo verás Settings y dentro verás All settings, en el apartado Webserver and API settings, en el campo Value, cambia pi.hole por tu dominio.

Guarda los cambios y reinicia el equipo.

Modo comandos de terminal

Conéctate a tu Raspberry Pi por SSH o usa la terminal local.

Edita el archivo de configuración TOML

sudo nano /etc/pihole/pihole.toml

Localiza la sección [webserver] y modifica la variable domain: Busca la sección [webserver] (si no existe, créala al final del archivo) y asegúrate de que la línea domain contenga tu dominio:

[webserver] 
# ... otras configuraciones del webserver ... 
domain = "pi.hole"
 # ..

y sustituirla por la de tu dominio.

[webserver] 
# ... otras configuraciones del webserver ... 
domain = "tu_dominio.com"
 # ..

Guarda y cierra el archivo (Ctrl+X, luego Y, luego Enter).

Reinicia Pi-hole FTL para cargar la nueva configuración TOML:

sudo service pihole-FTL restart

Al cambiar domain = "tu_dominio.com" en el archivo pihole.toml, estás estableciendo el nombre de host principal que Pi-hole utiliza para sus comprobaciones internas de HTTPS. Esto debería eliminar el error CERTIFICATE_DOMAIN_MISMATCH de la página de diagnóstico.

Nota, este documento está obsoleto, tienes una nueva versión aquí

¿Tu operadora te está impidiendo acceder a ciertas páginas que necesitas visitar? ¿Quieres ver el fútbol gratis pero solo con fines didácticos? ¿Tienes por ahí una Raspberry guardada a la que no sabes qué uso darle? Si es así, sácala porque esto se va a poner más caliente que la siderúrgica gay de los Simpsons.

El otro día, visitando la web de meneame.net, ví un artículo sobre, «LaLiga recibe la peor noticia. Cloudflare ha reactivado ECH a lo grande y eso hace las webs imbloqueables«, y claro, me puse triste por Laliga y me fuí a llorar a un ricón.

La vuelta de ECH (Encrypted Client Hello) es una muy mala noticia para las operadoras, administración y entidades de gestión de derechos, ya que les hace inviable meter el hocico en el tráfico generado por los usuarios. A las operadoras les complica la gestión de los recursos de su red y al resto de entidades les deja sin posibilidad de hacer efectivas las órdenes de bloqueo, que en su mayoría están respaldadas por órganos judiciales.

DNS over HTTPS es una mejora importante en términos de privacidad ya que los gobiernos y/o ISP no podrán aplicar restricciones ni filtrar el contenido que visitan los ciudadanos. Por este motivo algunos gobiernos, como el británico, están haciendo todo lo posible para que no se adopte este protocolo.

A partir de aquí haz un minuto de silencio por tu operadora, entidad de gestión de derechos de autor, gobierno corrupto de tu país (sea cual se al tuyo) etc etc

Pi-hole.

Obviamente tendremos que tener instalado y configurado Pi-hole en nuestra Raspberry Pi.

Para configurar Pi-Hole puedes seguir las instrucciones que encontrarás en el siguiente enlace: Que hacer déspues de instalar pi-hole

Instalar y configurar DNS OVER HTTPS en Raspberry.

Si activamos DNS OVER HTTPS en un navegador, como por ejemplo Firefox o Chrome, únicamente tendremos DNS over HTTPS en el navegador, pero si queremos disponer de DNS sobre HTTPS en la totalidad de nuestras peticiones, recomiendo instalar el cliente DNS de Cloudflare en una Raspberry Pi. De este modo la Raspberry Pi actuará como cliente DNS de la totalidad de equipos que configuremos en nuestra red local.

Instalar el demonio Cloudflared en la Raspberry Pi

Cloudflared será el encargado de resolver la totalidad de peticiones DNS sobre HTTPS. El cliente está disponible para Windows, MacOS y Linux. En nuestro caso, será Linux y lo instalaremos en una Raspberry Pi del siguiente modo.

Ve a la web de desarrolladores de Cloudflare y elige el tipo de paquete y arquitectura que vas a usar en la instalación. Cloudflare Docs

Si no tienes claro que paquete usar y la arquitectura de tu Raspberry Pi, te recomiendo añadir el repositorio e instalar desde ahí, así la instalación escogerá el paquete adecuado para tu equipo.

Instalación desde repositorio

Aquí te dejo las instrucciones para Debian 12 Bookworm.

Cloudflare Package Repository

Abre una terminal y ve ejecutando las siguientes líneas.

Nota: En el primer apartado (# Add cloudflare gpg key) no veo necesario crear la carpeta keyrings y aplicarle los permisos 0755 ya que la carpeta ya está creada en el sistema y tiene esos mismos permisos. Compruébalo antes y si es así, empieza por donde dice curl – …… (te resalto en negrita las líneas que he usado yo)

Debian Bookworm

# Add cloudflare gpg key
sudo mkdir -p --mode=0755 /usr/share/keyrings
curl -fsSL https://pkg.cloudflare.com/cloudflare-main.gpg | sudo tee /usr/share/keyrings/cloudflare-main.gpg >/dev/null

# Add this repo to your apt repositories
echo 'deb [signed-by=/usr/share/keyrings/cloudflare-main.gpg] https://pkg.cloudflare.com/cloudflared bookworm main' | sudo tee /etc/apt/sources.list.d/cloudflared.list

# install cloudflared
sudo apt-get update && sudo apt-get install cloudflared

Una vez que está instalado sin errores, comprueba la versión que tienes instalada.

cloudflared -v

En mi caso el resultado obtenido ha sido el siguiente:

cloudflared version 2024.9.1 (built 2024-09-10-1730 UTC)

Crear un usuario para Cloudflared

Crearemos un usuario con nombre cloudflared. El usuario no tendrá partición home ni tendrá acceso a la Shell de Linux. Para ello ejecutaremos el siguiente comando en la terminal:

sudo useradd -s /usr/sbin/nologin -r -M cloudflared

Configurar el demonio Cloudflared DNS

El siguiente paso consistirá en generar el archivo de configuración de Cloudflared. Para ello ejecutamos el siguiente comando en la terminal:

sudo nano /etc/default/cloudflared

Una vez se abra el editor de textos nano pegaremos el siguiente código:

# Commandline args for cloudflared
CLOUDFLARED_OPTS=--port 5053 --upstream https://1.1.1.1/dns-query --upstream https://1.0.0.1/dns-query

Seguidamente tendremos que guardar los cambios realizados y cerrar el fichero. En el fichero de configuración hemos definido que tendremos un proxy local escuchando en el puerto 5053. Todas las peticiones DNS se dirigirán al puerto 5053 y serán resueltas por los servidores DNS de Cloudflare mediante protocolo DNS over HTTPS.

Finalmente cambiaremos de usuario y grupo al archivo binario y al archivo de configuración de Cloudflared. Para ello ejecutaremos los siguientes comandos en la terminal:

sudo chown cloudflared:cloudflared /etc/default/cloudflared

sudo chown cloudflared:cloudflared /usr/local/bin/cloudflared

Crear un servicio de Systemd para Cloudflare

Para gestionar el servicio Cloudflare deberemos crear un servicio de systemd. Para ello ejecutaremos el siguiente comando en la terminal:

sudo nano /lib/systemd/system/cloudflared.service

Cuando se abra el editor de texto nano pegaremos el siguiente código:

[Unit]
Description=cloudflared DNS over HTTPS proxy
After=syslog.target network-online.target

[Service]
Type=simple
User=cloudflared
EnvironmentFile=/etc/default/cloudflared
ExecStart=/usr/local/bin/cloudflared proxy-dns $CLOUDFLARED_OPTS
Restart=on-failure
RestartSec=10
KillMode=process

[Install]
WantedBy=multi-user.target

A continuación guardaremos los cambios y cerraremos el fichero.

Seguidamente ejecutaremos el siguiente comando para que Cloudflare se inicie de forma automática cada vez reiniciemos la Raspberry Pi.

sudo systemctl enable cloudflared

Finalmente arrancaremos el servicio ejecutando el siguiente comando en la terminal:

sudo systemctl start cloudflared

Para comprobar que el servicio se haya levantado de forma correcta puedes ejecutar el siguiente comando:

sudo systemctl status cloudflared

Verificar que Cloudflare está funcionando correctamente

Para comprobar que Cloudflare funciona de forma adecuada ejecutaremos el siguiente comando en la terminal:

dig @127.0.0.1 -p 5053 google.com

Si obtienes un resultado parecido al siguiente, puedes estar seguro que todo lo realizado hasta el momento funciona correctamente.

Configurar Pi-Hole para que pueda usar DNS over HTTPS

Para que Pi-hole pueda utilizar el cliente DNS over HTTPS de Cloudflare deberemos realizar lo siguiente:

1. Accedemos al panel de administración de Pi-hole.
2. Clicamos en la Opción Settings.
3. A continuación clicamos en la pestaña DNS.
4. Destildamos absolutamente todos los DNS que tengamos activados.
5. Tildamos el campo Custom 1 (IPv4) y en el mismo campo pegamos 127.0.0.1#5053

Finalmente presionamos en el botón SAVE para que se hagan efectivos los cambios.

CONCLUSIONES Y FUNCIONAMIENTO

Para ver si todo está correcto entra en esta página de cloudflare.

https://www.cloudflare.com/es-es/ssl/encrypted-sni/#results

Te llevará a la web de comprobación de resultados

Pincha sobre Comprobar mi navegador y el resultado tiene que dar como la siguiente imagen.

Los cuatro apartados DNS seguro, DNSSEC, TLS 1.3 y Secure SNI están marcados como favorables.

El funcionamiento de DNS over HTTPS supone una mejora importante en términos de seguridad ya que la totalidad de peticiones DNS están cifradas, por lo que nadie, excepto Cloudflare, tendrá acceso a tu historial de navegación. Y ahora dirás, -¡claro, es que Cloudflare si puede ver mis datos de navegación!- a lo que yo te responderé -¡claro y antes esto era el coño de la Bernarda, en el que cualquiera ( tu operadora, gobierno, entidades de gestión etc) si podían verlos!-

Cloudflare promete que no guardará ningún historial durante más de 24 horas y que no asociará la dirección IP a un origen. A pesar de esto, todo el mundo sabe que del dicho al hecho, hay un buen trecho. Fíjate en Telegram, que tampoco iba a ceder nuestros datos, y cuando a Pável Dúrov (El multimillonario que afirma no poseer propiedades de lujo, aviones o yates) pero que le gusta viajar más que a un tonto un lápiz, a visto que se quedaba en tierra ……………. ¡a cantado la traviata!

Misceláneas

Este documento se ha realizado a través de los siguientes articulos

https://www.flopy.es/dns-sobre-https-doh/

https://geekland.eu/dns-over-https-doh-pi-hole/

Te recomiendo estos articulos

https://bandaancha.eu/articulos/laliga-recibe-peor-noticia-cloudflare-11098

https://bandaancha.eu/articulos/como-activar-ech-chrome-acceder-webs-10689

Nota, existe una nueva versión de esta entrada que incluye la instalación de Pi-hole 6.0. Pincha aquí.

Pi-hole es una aplicación para bloqueo de anuncios y rastreadores en Internet a nivel de red en Linux que actúa como un sumidero de DNS​ (y opcionalmente como un servidor DHCP), destinado para su uso en una red privada.​ Fue diseñado para su uso en dispositivos embebidos con capacidad de red, como el Raspberry Pi,​ pero también se puede utilizar en otras máquinas que ejecuten distribuciones Linux e implementaciones en la nube.

Pi-hole tiene la capacidad de bloquear anuncios tradicionales de sitios web, así como anuncios en lugares no convencionales, como televisores inteligentes y sistemas operativos para dispositivos móviles.

La instalación de Pi-hole es muy sencilla, basta con seguir las instrucciones de su página web. También hay infinidad de videos en youtube que enseñan cómo hacerlo.

Así, que lo que explicaré a continuación será….

Que hacer antes de instalar Pi-hole

Antes de instalar pihole, sería interesante crear el grupo pihole y añadir nuestro usuario a ese grupo.

Crea el grupo pihole desde la terminal así:

sudo groupadd pihole 

Añade tu usuario al grupo pihole así:

sudo usermod -a -G pihole tu_usuario

‘Que hacer despues de instalar Pi-hole‘.

Fijar una IP para tu Raspberry

Para esto tendremos que entrar al router, necesitamos el nombre de usuario y la contraseña de acceso. Se suele entrar con a través de las IPs http://192.168.1.1 o http://192.168.0.1

Dado que hay muchos modelos y marcas de router, tendrás que buscar información de como hacerlo en tu caso.

Se trata de entrar en la LAN de tu router, ir al servidor DCHP y fijar una IP para Pi-hole. También tienes que asignar la ip local del servidor dns de tu raspberry.

Voy a explicar como hacerlo en un router Asus, el resto de fabricantes tendrán la configuración en otros menús, pero serán parecidas a este.

Abre tu navegador y escribe la ip de tu router, en mi caso http://192.168.1.1 escribe el nombre de usuario y contraseña para el acceso. Busca el la pestaña que hace referencia a la ‘LAN‘, que es tu red local.

Una vez dentro de la LAN, ve a ‘Servidor DHCP’

Donde dice, ‘Dirección IP asignada manualmente según la lista DHCP (Límite máximo : 64)‘ haz click en el menú desplegable ‘Nombre del cliente‘ despliega la lista y busca el equipo que tiene instalado Pi-hole.

En mi caso, elijo Raspberry Pi 4. Selecciónala y dale a ‘Aplicar‘ para que la IP de tu Pi-hole no cambie y siempre sea la misma.

Fíjate en la dirección IP de tu Pi-hole, en mi caso 192.168.1.228 porque deberás de copiarla y en ‘Configuración del servidor DNS y WINS‘ en ‘Servidor DNS‘ pegarla. No olvides darle a ‘Aplicar‘ para guardar los cambios.

Ahora todos los equipos conectados a nuestra red local pasarán por resolver sus peticiones DNS a través de nuestro Pi-hole.

Cambiar la contraseña de administrador de la GUI web de Pi-hole

Una vez tengas instalado Pi-Hole, sería recomendable cambiar la contraseña , para hacerlo, ejecuta este comando:

pihole -a -p

Esto te pedirá que ingreses una contraseña y luego la confirmes.

Cambia el puerto de Pi-hole

Si ejecutas otro servidor web en tu raspberry pi,como es mi caso, como nginx, apache etc., deberás cambiar el puerto predeterminado «80» para el administrador web de tu pi-hole. Esto lo aplicaremos al servidor web «lighthttpd» que se instala predeterminado con pi-hole.

Abre tu terminal y edita el archivo de configuración de lighttpd.conf con el siguiente comando:

sudo nano /etc/lighttpd/lighttpd.conf

busca donde hace referencia al puerto 80 del servidor.

Cambia el 80 por el puerto que desees y no haga conflicto con otras aplicaciones. En mi caso usaré el puerto 8060

Reinicia el servidor con el siguiente comando.

sudo systemctl restart lighttpd

Si quieres controlar tu Pi-hole desde la calle, osea desde fuera de tu red, no olvides abrir el puerto en tu router y acceder desde la IP_Pública:puerto/admin.

Inicia sesión en la GUI de Pi-hole

¡Ahora estas listos para iniciar sesión en la GUI por primera vez! Si no has cambiado el puerto al servidor, ve a tu navegador e ingresa la dirección IP/admin en este formato:

http://192.168.1.28/admin

(Sustituye la dirección IP por la tuya).

Si has cambiado el puerto 80 a uno personalizado, tendrás que indicarlo en la dirección usando este formato «dirección IP:puerto/admin»

http://192.168.1.28:8060/admin

Ingresa la contraseña de administrador que creaste en el paso anterior y haz clic en «Log in». Al iniciar sesión, se nos presenta el «Dashboard» (panel) Pi-hole.

Acabamos de empezar a usar Pi-hole, por lo que todavía, no tenemos un montón de estadísticas útiles… esas comenzarán a completarse tan pronto comiencen nuestros dispositivos de la red local a hacer consultas DNS.

En el lado izquierdo del tablero se encuentran nuestras opciones de menú. Los 4 bloques de colores en la parte superior son algunas estadísticas

• El cuadro azul es el número total de consultas que Pi-hole ha procesado. 
• El cuadro rojo muestra cuántas de esas consultas coincidieron la lista de bloqueo y fueron bloqueadas.
• El cuadro amarillo es un porcentaje de solicitudes bloqueadas (el cuadro rojo se multiplica por 100 y se divide por el cuadro azul). 
• Finalmente el cuadro verde es la cantidad de dominios que están en las listas de bloqueo. 

Dado que por ahora solo tenemos una lista de bloqueo, podemos ver que tenemos alrededor de 158.000 dominios que serán bloqueados por este Pi-hole.

Seguimos por el menú de la izquierda con las opciones más importantes.

Query Log (Registro de consultas) : muestra el historial de búsquedas de DNS de Pi-hole en orden descendente (las búsquedas más recientes se encuentran en la parte superior). Puedes ver todos los estados de los dominios, tanto los aprobados como los bloqueados. Para los dominios aprobados, hay un botón para incluirlos en la lista negra y, para los dominios bloqueados, hay un botón para incluirlos en la lista blanca.

Long-Term Data (Datos a largo plazo) : al igual que el Registro de consultas, esta sección te brinda una visión más profunda del historial de DNS de Pi-hole y te permite filtrar esos datos con gran detalle.

Groups and Clients (Grupos y Clientes) : Puedes usar esta sección si deseas bloquear las consultas de DNS para todos los dispositivos, excepto para los dispositivos en un grupo específico. Tambien puedes bloquear SÓLO las consultas de DNS para dispositivos en un grupo específico, puedes obtener información muy detallada sobre qué clientes y grupos usan qué listas de bloqueo.

Domains (Dominios) : esta sección te permite agregar dominios específicamente a una lista negra o blanca. Por ejemplo, si hay tiendas específicas donde le gusta comprar en línea y esas tiendas están bloqueadas, puede incluirlas en la lista blanca aquí.

Adlists (Listas de anuncios) : de forma predeterminada, tenemos la lista de bloqueo predeterminada que está bien mantenida y bloquea muchos sitios sin alterar la funcionalidad normal de Internet. Dicho esto, puedes obtener MUCHO detalle sobre lo que está bloqueando (sitios maliciosos, contenido para adultos, sitios de publicidad, sitios de seguimiento y telemetría). Existen listas de bloqueo públicas específicas para cada uno de estos tipos de contenido, pero ten en cuenta que cuanto más sitios agregues a tus listas de bloqueo, mayores serán las posibilidades de romper algo. Entonces tu familia se quejará de que «Internet» no funciona y tendrás que lidiar con ello. El truco consiste en encontrar el punto medio que bloquee mucho sin afectar la experiencia del usuario.

Ya que estamos analizando varias listas de bloqueo, sigue adelante y agrega algunas de la página de The Oisd . Copia el enlace https://big.oisd.nl en «Adlist» (Listas de anuncios) y pégalo en el campo «Address:» (Dirección) y luego haz clic en «Add» (Agregar).

Repite esto para tantas listas de bloqueo como desees; para este tutorial, tambień copiaré y pegaré la lista https://nsfw.oisd.nl

Oisd está compuesto por 3 listas que se actualizan aproximadamente cada 24 horas.

• oisd small -> Se centra principalmente en el bloqueo de anuncios
• oisd big ->Bloquea anuncios, anuncios de aplicaciones (móviles), phishing, malvertising, malware, spyware, ransomware, cryptojacking, estafas, … Telemetría/Analítica/Seguimiento (Cuando no sea necesario para el correcto funcionamiento)
• oisd nsfw -> Bloquea sitios porno/para adultos

Nota: «oisd big» incluye todas las entradas de «oisd small». Por lo tanto, no es necesario utilizar ambas listas simultáneamente.

Una vez completado, debemos decirle a Pi-hole que importe estas listas.

Ve a Tools -> Update Gravity y luego haz clic en el botón ‘Update’ (Actualizar). Esto revisará todas las listas de bloqueo y agregará las URL bloqueadas a la base de datos de Pi-hole. Una vez completado, verás un cartel verde que dice «Success!» (Éxito ) en la parte superior de la pantalla.

Ahora haz clic en Panel de control en el menú de la izquierda. ¿Notas algo diferente? Nuestros ‘Dominios en listas de anuncios’ aumentaron de aproximadamente 158.000 a 583.835 dominios bloqueados.

¡Volvamos a nuestro recorrido por el menú de la izquierda!

Disable Blocking (Deshabilitar el bloqueo) : esto te permite evitar que Pi-hole bloquee cualquier dominio durante varios períodos de tiempo (o indefinidamente). Muy útil para solucionar problemas: si algo no funciona en tu red o en tu navegación por Internet, intenta desactivar el bloqueo durante 5 minutos y observa si se soluciona.  Si, sí lo soluciona, entonces sabrás que probablemente habrá algunos dominios que tendrás que incluir en la lista blanca.

Dominios habituales en la lista blanca. Pincha aquí

DNS local : esto te permite crear tus propias entradas de DNS locales.

Herramientas – sí… herramientas. Échales un vistazo.

Settings

Por último, pero no menos importante, tenemos nuestra Configuración. Esto exige su propia sección en este tutorial.

Comenzaremos con la pestaña ‘Sistema‘, que nos muestra información diversa sobre Pi-hole: versiones de software, utilización de recursos, etc. También tenemos la opción de controlar DNS y el servidor mismo usando los botones en la parte inferior.

Pestaña DNS: nos muestra qué proveedores ascendentes utilizamos para consultas DNS sin caché. Cómo elegí OpenDNS durante el asistente de configuración, podemos ver que OpenDNS es mi fuente de búsqueda principal y secundaria. También puedes jugar con las casillas de verificación primaria y secundaria aquí para tener diferentes fuentes de consulta de DNS, por ejemplo, OpenDNS+Cloudflare. ( No elijas Google, ya que en cada petición DNS muere un gatito)

Otra cosa a destacar en la pestaña DNS: en el lado derecho está la sección ‘Interface settings’ (Configuración de interfaz). De forma predeterminada, Pi-hole está configurado para responder SÓLO a consultas DNS desde su LAN local. Si solo dispones de una red en casa como es mi caso y seguramente el tuyo, déjalo de forma predeterminada..Esta opción, sólo permite consultas de dispositivos que estén como máximo a un salto de distancia (dispositivos locales). En caso, de que dispongas de otras subredes como LAN, invitados dispositivos IoT, etc y quiereas que todos puedan usar Pi-hole, cambia esa configuración para permitir solicitudes de otras subredes. Entonces, elige ‘Respond only on interface eth0’ (Responder solo en la interfaz eth0) que básicamente permite cualquier solicitud de DNS que ingrese al puerto de red.

Pestaña DHCP: el Pi-hole se puede utilizar como servidor DHCP si lo deseas, pero dejaremos hacer esto a nuestro router.

Pestaña Web interface: .Permite cambiar la apariencia de la GUI de administración, múltiples temas claros y oscuros.

Pestaña API esta pestaña le permite filtrar algunos dominios específicos que no deseas que se muestren en las estadísticas del panel.

Pestaña Privacidad te permite cambiar qué dominios se muestran u ocultan (esta era una opción en el asistente de configuración inicial) si desea cambiar esta configuración… aquí lo tiene.

Pestaña Teletransportador te permite hacer una copia de seguridad y restaurar la configuración de tu Pi-hole. Esto es increíblemente útil para mantener sincronizadas las configuraciones en múltiples Pi-holes. Una vez que tengas listas blancas/negras, listas de bloqueo y grupos en su lugar, puedes simplemente hacer una copia de seguridad de todos esos datos y restaurarlos en su segundo servidor Pi-hole.

El terminar la configuración te aconsejo que ejecutes una actualización de Pi-hole con:

pihole updatePihole

Test de funcionamiento.

Para saber si tu pi-hole está funcionando correctamente, pincha en el siguiente enlace.

https://blockads.fivefilters.org/?pihole

Si todo va bien deberás obtener una pantalla como esta en tu dispositivo

Miscelánea

Si estás interesado en profundizar en las listas de bloqueo que puedes agregar a Pi-hole, aquí tienes algunos buenos recursos:

The Best Pi-hole Blocklists - Avoidthehack.com - Este artículo hace un excelente trabajo al explicar los diferentes tipos de listas de bloqueo, y luego enumera una serie de recursos para listas en diferentes categorías de bloqueo.

The Firebog (colección de listas de bloqueo) - Este recurso de listas de bloqueo hace un excelente trabajo proporcionando fuentes de listas de bloqueo en múltiples categorías como Sospechoso, Publicidad, Seguimiento y Telemetría, y Malicioso. Además, desglosa esas listas en enlaces verdes y enlaces azules: los enlaces verdes son los que tienen menos probabilidades de interferir con la actividad normal en Internet. Una buena regla general es añadir solo las listas en verde e ir probando añadiendo un par de listas azules a ver cómo se comportan en tu Pi-hole.

Una cosa más: en Pi-hole.net hay una lista de los dominios que suelen estar en la lista blanca. Si tienes problemas con un sitio web o servicio concreto (por ejemplo, Spotify o la funcionalidad de Xbox), comprueba si en esa página hay recursos para incluir ese servicio en la lista blanca; puede ahorrarte muchos quebraderos de cabeza.

Desbloqueo rápido de Pi-hole

¡iniciar sesión en la GUI de administración de Pi-hole para deshabilitar el bloqueo puede ser engorroso!. Para acortar el tiempo que lleva desactivar el bloqueo, puedes realizar algunas secuencias de comandos. Todo comienza con esta URL:

http://192.168.1.228/admin/api.php?disable=300&auth=PWHASH

Analicemos esto: la dirección IP es la dirección IP de tu Pi-hole ( usa la tuya para esto). ‘disable=300’ significa deshabilitar durante 300 segundos (5 minutos), y auth=PWHASH es el valor hash de WEBPASSWORD que se puedes encontrar en el archivo /etc/pihole/setupVars.conf. Puedes verlo si inicias sesión en tu Pi-hole con SSH y ejecutas el comando:

cat /etc/pihole/setupVars.conf |grep WEBPASSWORD

Esto te mostrará su contraseña hash: copia y pega todo después de = y agrégalo al final de la URL anterior.

Si ahora agregamos esa contraseña hash al final de la cadena URL anterior y luego la introduce en un navegador, esto se autenticará en su Pi-hole y deshabilitará el bloqueo durante 5 minutos. 

Documentación para Pi-hole

Documentación de Pi-hole toda la documentación, instalación, guías, etc .. Aquí

Comandos para Pi-hole donde encontrarás los necesarios para administrar el programa a través de la interfaz de línea de comandos. Aquí

Y esto sería todo para tener Pi-hole en marcha.