•2025年10月
systems

WireGuard 与 Pi-Hole 集成：VPN 广告阻挡与 Unbound DNS 配置

通过 WireGuard 构建安全 VPN 隧道，结合 Pi-Hole 实现广告阻挡和 Unbound 提供递归 DNS 缓存，实现本地解析和隐私网络，无需依赖云服务。

在现代网络环境中，隐私和安全日益重要。WireGuard 作为一种高效的 VPN 协议，可以与 Pi-Hole（广告阻挡工具）和 Unbound（递归 DNS 解析器）无缝集成，形成一个本地化的网络解决方案。这种组合允许用户通过 VPN 隧道访问一个运行在本地服务器上的 adblock 和 DNS 服务，从而避免云端服务的潜在隐私泄露和依赖性。相比传统的 VPN 配置，这种集成强调了本地控制和高效性能，能够显著减少广告干扰并加速 DNS 解析。

WireGuard 的核心优势在于其简洁的代码库和快速的加密机制，使用 ChaCha20-Poly1305 进行认证加密，远优于 OpenVPN 的复杂性。在集成中，WireGuard 充当隧道入口，将客户端流量路由到服务器上的 Pi-Hole 和 Unbound。Pi-Hole 通过拦截已知的广告和跟踪域名来阻挡恶意流量，而 Unbound 则作为本地 DNS 缓存服务器，从根服务器递归查询域名，避免了公共 DNS（如 Google 的 8.8.8.8）可能带来的数据收集风险。这种设置特别适合家庭或小型办公室网络，用户可以完全掌控数据流向。

要实现这一集成，首先需要在服务器端（推荐使用 Raspberry Pi 或 Ubuntu 服务器）安装必要的组件。开始时，更新系统包：sudo apt update && sudo apt upgrade -y。然后安装 WireGuard：sudo apt install wireguard -y。生成密钥对，使用 wg genkey | tee private.key | wg pubkey > public.key 命令创建服务器私钥和公钥。客户端同样生成一对密钥。配置 WireGuard 接口文件 /etc/wireguard/wg0.conf：

[Interface] Address = 10.0.0.1/24 PrivateKey = <服务器私钥> ListenPort = 51820

[Peer] PublicKey = <客户端公钥> AllowedIPs = 10.0.0.2/32

启动服务：sudo wg-quick up wg0 并启用开机自启：sudo systemctl enable wg-quick@wg0。防火墙规则至关重要，使用 UFW：sudo ufw allow 51820/udp 以允许 WireGuard 流量，同时确保 Pi-Hole 的 DNS 端口 53（TCP/UDP）仅限于 VPN 子网访问：sudo ufw allow from 10.0.0.0/24 to any port 53。

接下来，安装 Pi-Hole。作为广告阻挡的核心，Pi-Hole 需要静态 IP。运行安装脚本：curl -sSL https://install.pi-hole.net | bash。安装过程中，选择上游 DNS 为 Unbound 的本地地址（127.0.0.1#5335），以实现递归解析。Pi-Hole 的 web 界面默认在端口 80，可通过 lighttpd 配置访问。自定义阻挡列表是关键参数：默认使用 StevenBlack 的 hosts 文件，但可以添加更多来源如 OISD 或 Firebog，以覆盖 100 万+ 广告域名。更新频率设置为每周一次，通过 cron 任务：0 2 * * 0 pihole -g。

Unbound 的配置聚焦于隐私和性能。作为递归 DNS，它从根服务器开始解析，避免了转发到外部提供商。安装：sudo apt install unbound -y。编辑 /etc/unbound/unbound.conf：

server: interface: 127.0.0.1 port: 5335 do-ip4: yes do-ip6: no do-udp: yes do-tcp: yes access-control: 127.0.0.0/8 allow access-control: 10.0.0.0/24 allow cache-min-ttl: 300 cache-max-ttl: 86400 msg-cache-size: 50m num-threads: 2

forward-zone: 无需转发，因为是递归模式。启用 DNSSEC 验证：添加 val-permissive-mode: yes 以处理签名不完整的情况。重启服务：sudo systemctl restart unbound。在 Pi-Hole 中，将上游 DNS 设置为 127.0.0.1#5335，确保所有查询先经过 Unbound。

集成环节在于路由配置。在 WireGuard 的服务器端，启用 IP 转发：编辑 /etc/sysctl.conf 添加 net.ipv4.ip_forward=1，然后 sudo sysctl -p。客户端配置文件中，指定 DNS 为 Pi-Hole 的 IP（10.0.0.1）：

[Interface] Address = 10.0.0.2/24 PrivateKey = <客户端私钥> DNS = 10.0.0.1

AllowedIPs = 0.0.0.0/0 # 全流量隧道

PostUp = iptables -A FORWARD -i %i -j ACCEPT; iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE PostDown = iptables -D FORWARD -i %i -j ACCEPT; iptables -t nat -D POSTROUTING -o eth0 -j MASQUERADE

这确保客户端流量通过 VPN 到达 Pi-Hole，进行 adblock 和 DNS 解析。测试集成：使用 nslookup example.com 10.0.0.1 检查解析；访问广告密集网站观察阻挡效果。

可落地参数和清单包括：

  • 密钥管理：使用 Curve25519 算法生成密钥，每 90 天轮换一次以防泄露。存储私钥在 /etc/wireguard/ 下，权限 600。

  • 端口与地址：WireGuard UDP 51820；Pi-Hole DNS 53；Unbound 5335。VPN 子网 10.0.0.0/24，避免与本地 LAN 冲突。

  • 性能阈值：Unbound 缓存大小 50MB，线程数根据 CPU 核心调整（单核 Pi 使用 1）。Pi-Hole 查询日志保留 7 天，超出自动清理。

  • 监控点：使用 Prometheus + Grafana 监控 WireGuard 握手（wg show 输出）、Pi-Hole 查询率（/admin/api.php?summary）、Unbound 缓存命中率（unbound-control stats）。设置警报：如果握手失败率 >5%，检查防火墙。

  • 回滚策略：配置前备份 /etc/wireguard/ 和 Pi-Hole 数据库（pihole -a -t）。若集成失败，临时切换到公共 DNS 并禁用 VPN：sudo wg-quick down wg0。

潜在风险包括 DNS 解析延迟，如果 Unbound 缓存未命中，可能增加 100-200ms RTT。缓解方法：预热常见域名，通过 hosts 文件静态解析。另一个限制是 IPv6 支持不完善，建议禁用以简化配置。总体上，这种集成在不依赖云的情况下提供了 robust 的隐私网络，适用于注重数据主权的用户。

在实际部署中，考虑硬件：Raspberry Pi 4（4GB RAM）足以处理 10-20 并发 VPN 用户，CPU 使用率 <30%。扩展性通过 Docker 容器化实现，但初次设置保持原生安装以便调试。最终，这种 WireGuard + Pi-Hole + Unbound 的组合不仅是技术栈，更是隐私工程的典范，帮助用户构建自给自足的网络环境。

（字数统计：约 1050 字）