Guía

Usar Pi-hole a distancia sin publicar el DNS

Accede a Pi-hole mediante VPN. Mantén privados el DNS recursivo y la administración y revisa rutas DNS, IPv4 e IPv6.

Fuente revisada:

Un resolutor DNS recursivo público puede utilizarse de forma abusiva. No expongas globalmente el puerto 53, ni UDP ni TCP, a Internet.

Usa VPN

Configura una VPN hacia casa y asigna al cliente la dirección privada de Pi-hole como servidor DNS. Comprueba rutas y cortafuegos. No es obligatorio enviar todo el tráfico de Internet por el túnel.

Administración

La interfaz web debe permanecer en LAN o VPN. Un nombre .app privado puede obtener un certificado HTTPS mediante DNS-01. Permite consultas DNS únicamente desde las redes necesarias.

Verificación

Con datos móviles y VPN activa, comprueba resolución y filtrado. Revisa también IPv6: cerrar una redirección IPv4 no protege automáticamente una dirección IPv6 global.

Ejemplos de configuración

Adapta valores, interfaces y puertos. Los ejemplos pueden corresponder a versiones diferentes: no ejecutes juntas alternativas incompatibles. Nunca publiques tokens reales ni claves privadas.

[Interface]
Address = 10.8.0.2/32
PrivateKey = <phone private key>
DNS = 192.168.1.2

[Peer]
PublicKey = <server public key>
Endpoint = home.yourname.uk.app:51820
AllowedIPs = 0.0.0.0/0, ::/0
PersistentKeepalive = 25
sudo pihole-FTL --config dns.listeningMode        # shows the current value, should be LOCAL
sudo pihole-FTL --config dns.listeningMode LOCAL  # set it back if needed
~/.acme.sh/acme.sh --install-cert -d pihole.yourname.uk.app --ecc \
  --fullchain-file /etc/pihole/fullchain.pem --key-file /etc/pihole/key.pem \
  --reloadcmd "cat /etc/pihole/fullchain.pem /etc/pihole/key.pem > /etc/pihole/tls.pem && chown pihole:pihole /etc/pihole/tls.pem && chmod 600 /etc/pihole/tls.pem && systemctl restart pihole-FTL"

sudo pihole-FTL --config webserver.domain pihole.yourname.uk.app

Comprobaciones finales

Prueba con datos móviles fuera de tu Wi-Fi. Verifica por separado DNS, puerto previsto, certificado HTTPS válido e inicio de sesión. Mantén privados los paneles administrativos, instala actualizaciones y prueba restaurar una copia. Revisa los cortafuegos IPv6 e IPv4. Un test de puerto correcto no es una auditoría de seguridad.

Esta edición localizada resume la guía original. Los comandos mantienen su sintaxis original. Consulta la documentación enlazada del fabricante para tu versión exacta.

Fuentes y documentación

Colaboradores