Bloquer les pubs sur tous vos appareils : 4 solutions sur VPS Linux

Installer AdGuard Home sur votre VPS Linux

Cette installation utilise l’image Docker officielle d’AdGuard Home. Si Docker n’est pas encore installé sur votre VPS, commencez par notre guide Installer Docker sur Linux.

Nous allons commencer avec une configuration volontairement privée : le DNS, l’assistant d’installation et le panneau d’administration ne seront accessibles que depuis le VPS. Cela permet de terminer la configuration sans exposer un résolveur DNS sur Internet.

Créez les dossiers persistants d’AdGuard Home :

mkdir -p /opt/adguardhome/work /opt/adguardhome/conf
cd /opt/adguardhome

Créez ensuite le fichier compose.yaml :

cat > compose.yaml <<'EOF'
services:
  adguardhome:
    container_name: adguardhome
    image: adguard/adguardhome:latest
    ports:
      - "127.0.0.1:53:53/tcp"
      - "127.0.0.1:53:53/udp"
      - "127.0.0.1:3000:3000/tcp"
      - "127.0.0.1:8081:80/tcp"
    volumes:
      - "./work:/opt/adguardhome/work"
      - "./conf:/opt/adguardhome/conf"
    restart: unless-stopped
EOF

Démarrez le conteneur :

docker compose up -d
docker compose ps

Au premier lancement, AdGuard Home ouvre son assistant sur le port 3000. Comme ce port est lié à 127.0.0.1, ouvrez un tunnel SSH depuis votre ordinateur :

ssh -L 3000:127.0.0.1:3000 root@IP_DU_VPS

Gardez cette connexion ouverte puis ouvrez http://127.0.0.1:3000/ dans votre navigateur.

Terminer l’assistant d’installation

L’assistant demande d’abord les interfaces et les ports à utiliser. Avec le fichier Compose ci-dessus, vous pouvez conserver :

• Interface Web administrateur : toutes les interfaces, port 80.
• Serveur DNS : toutes les interfaces, port 53.

Ces choix concernent l’intérieur du conteneur. Côté VPS, Docker continue de publier le DNS uniquement sur 127.0.0.1:53 et l’interface Web uniquement sur 127.0.0.1:8081.

Vous pouvez conserver les DNS amont proposés pour démarrer. Si vous préférez réutiliser les résolveurs déjà utilisés par le VPS, renseignez ensuite leurs adresses IP réelles dans Paramètres > Paramètres DNS > Serveurs DNS amont. N’utilisez pas 127.0.0.53 depuis le conteneur.

Créez ensuite votre nom d’utilisateur et un mot de passe d’administration fort, puis terminez l’assistant.

Après l’installation, le panneau principal écoute sur le port 80 du conteneur. Ouvrez donc un nouveau tunnel :

ssh -L 8081:127.0.0.1:8081 root@IP_DU_VPS

Vous pouvez maintenant ouvrir http://127.0.0.1:8081/ et vous connecter avec le compte créé pendant l’assistant.

Vérifier que le filtrage fonctionne

Si dig n’est pas encore disponible sur votre VPS, installez-le puis interrogez directement AdGuard Home :

apt update
apt install -y dnsutils
dig @127.0.0.1 pi-hole.net +short
dig @127.0.0.1 doubleclick.net +short

La première requête doit retourner une adresse IP normale. Avec les filtres activés par défaut, doubleclick.net est actuellement bloqué et retourne 0.0.0.0.

Vous pouvez confirmer le résultat dans Journal des requêtes. Le tableau de bord affiche aussi le nombre total de requêtes, le nombre de domaines bloqués et les clients les plus actifs.

Permettre à vos appareils d’utiliser AdGuard Home

Le fichier Compose garde volontairement le DNS sur 127.0.0.1 pendant l’installation. Une fois AdGuard Home validé, choisissez le mode d’accès qui correspond à vos appareils :

• DNS classique : publiez le port 53 sur l’IPv4 du VPS seulement après avoir limité le pare-feu aux adresses IP autorisées.
• DoH, DoT ou DoQ : configurez le chiffrement avec un nom de domaine et un certificat TLS. C’est généralement le choix le plus pratique pour les téléphones et les appareils qui changent souvent de réseau.
• Réseau privé : gardez le port 53 sur une adresse privée si vous utilisez WireGuard ou un autre VPN.

Le port 3000 n’est plus nécessaire après l’assistant. Vous pouvez donc retirer sa ligne du fichier Compose.

Et si vous préférez DoH, DoT ou DoQ ?

AdGuard Home peut aussi fournir nativement du DNS chiffré. En pratique, DoH passe par HTTPS, DoT utilise une connexion TLS dédiée et DoQ utilise QUIC. Ce mode est particulièrement pratique si vous voulez utiliser votre DNS hors de votre VPN, mais il demande un nom de domaine pointant vers le VPS et un certificat TLS valide.

Dans Paramètres > Paramètres de chiffrement, activez le chiffrement puis renseignez le nom de domaine, le certificat et sa clé privée. N’ouvrez les ports correspondants qu’une fois cette configuration terminée.

Les ports habituellement utilisés par AdGuard Home sont 443 pour DoH et 853 pour DoT/DoQ. Si vous choisissez ce mode, ajoutez seulement les publications dont vous avez besoin et conservez une politique d’accès adaptée. Un service DNS chiffré accessible publiquement reste un service Internet qu’il faut administrer comme tel.

Si vous ne voulez exposer aucun service DNS publiquement, VPN privé + port 53 privé reste une excellente option. Si vous préférez ne pas installer de VPN sur vos appareils, DoH ou DoT permettent d’utiliser AdGuard Home directement avec un DNS chiffré.

En cas de conflit sur le port 53

Sur une installation Ubuntu classique, cette configuration liée à 127.0.0.1 peut cohabiter avec systemd-resolved. Si Docker indique malgré tout que le port est déjà utilisé, vérifiez le service qui écoute avant de modifier votre système :

ss -lntup | grep ':53'

Ne désactivez pas un résolveur système au hasard. Identifiez d’abord l’adresse exacte sur laquelle il écoute et adaptez votre configuration si nécessaire.

Mettre AdGuard Home à jour

Les données sont conservées dans /opt/adguardhome/work et /opt/adguardhome/conf. Pour récupérer une nouvelle version de l’image officielle :

cd /opt/adguardhome
docker compose pull
docker compose up -d

Le fichier compose.yaml et les deux dossiers persistants suffisent à conserver votre installation lors de la recréation du conteneur. Pensez à sauvegarder le dossier /opt/adguardhome avant une modification importante.

Installer Technitium DNS Server sur votre VPS Linux

Cette installation utilise l’image Docker officielle de Technitium DNS Server. Si Docker n’est pas encore installé sur votre VPS, commencez par notre guide Installer Docker sur Linux.

Nous allons d’abord limiter le DNS et la console Web à 127.0.0.1. Vous pourrez ainsi terminer la configuration et vérifier le filtrage sans publier un résolveur DNS sur Internet.

Créez le dossier de Technitium et un mot de passe administrateur aléatoire :

mkdir -p /opt/technitium-dns/config /opt/technitium-dns/logs
cd /opt/technitium-dns
printf 'TECHNITIUM_PASSWORD=%s\n' "$(openssl rand -hex 18)" > .env
chmod 600 .env

Créez ensuite le fichier compose.yaml :

cat > compose.yaml <<'EOF'
services:
  dns-server:
    container_name: technitium-dns
    hostname: dns-server
    image: technitium/dns-server:latest
    ports:
      - "127.0.0.1:5380:5380/tcp"
      - "127.0.0.1:53:53/udp"
      - "127.0.0.1:53:53/tcp"
    environment:
      DNS_SERVER_DOMAIN: "dns.example"
      DNS_SERVER_ADMIN_PASSWORD: "${TECHNITIUM_PASSWORD}"
      DNS_SERVER_LOG_FOLDER_PATH: "/var/log/technitium/dns"
    volumes:
      - "./config:/etc/dns"
      - "./logs:/var/log/technitium/dns"
    restart: unless-stopped
    sysctls:
      net.ipv4.ip_local_port_range: "1024 65535"
EOF

dns.example sert ici uniquement d’identifiant au serveur. Si vous configurez plus tard DoH, DoT ou DoQ avec un vrai nom DNS, remplacez-le par le nom de domaine réellement utilisé.

Démarrez le conteneur :

docker compose up -d
docker compose ps

La console Web de Technitium écoute sur le port 5380. Le port DNS 53 reste pour l’instant accessible uniquement depuis le VPS.

Se connecter à la console Web

Depuis votre ordinateur, ouvrez un tunnel SSH :

ssh -L 5380:127.0.0.1:5380 root@IP_DU_VPS

Gardez cette connexion ouverte puis ouvrez http://127.0.0.1:5380/ dans votre navigateur. Le nom d’utilisateur initial est admin.

Pour afficher le mot de passe généré lors du premier démarrage :

cd /opt/technitium-dns
grep '^TECHNITIUM_PASSWORD=' .env | cut -d= -f2-

Connectez-vous avec ce mot de passe. La variable DNS_SERVER_ADMIN_PASSWORD sert uniquement à initialiser le compte quand aucune configuration Technitium n’existe encore. Si vous modifiez ensuite le mot de passe depuis la console Web, le fichier .env ne sera plus sa source de vérité.

Activer une liste anti-publicités

Dans la console Technitium, ouvrez Settings > Blocking. Le blocage est activé par défaut, mais aucune grande liste externe n’est chargée sur une installation neuve.

Dans Quick Add, choisissez Default, puis cliquez sur Save Settings. Technitium ajoute alors sa liste de blocage par défaut et la télécharge automatiquement. Vous pouvez ensuite ajouter d’autres listes si vous en avez réellement besoin, mais empiler des millions de domaines sans raison augmente inutilement la consommation mémoire.

Le type de blocage recommandé par défaut est NX Domain. Cela signifie qu’un domaine bloqué ne retourne pas forcément 0.0.0.0 : le serveur répond plutôt que le domaine n’existe pas.

Vérifier le filtrage DNS

Si dig n’est pas disponible, installez d’abord dnsutils :

apt update
apt install -y dnsutils

Testez ensuite un domaine normal puis un domaine publicitaire :

dig @127.0.0.1 pi-hole.net +short
dig @127.0.0.1 doubleclick.net +noall +answer +comments

La première commande doit retourner une adresse IP normale. Pour un domaine bloqué, cherchez status: NXDOMAIN et la mention EDE: 15 (Blocked) dans la seconde réponse. EDE signifie Extended DNS Error : ce code précise ici que la réponse a été bloquée par une règle DNS. Si les listes évoluent et que cet exemple n’est plus bloqué, testez un autre domaine publicitaire présent dans votre liste.

Le tableau de bord permet ensuite de suivre les requêtes, les réponses récursives, le cache, les domaines bloqués et les clients.

Permettre à vos appareils d’utiliser Technitium

Le fichier Compose garde volontairement le DNS sur 127.0.0.1 pendant l’installation. Après validation, choisissez l’un des trois accès décrits plus loin dans ce guide : DNS classique limité par pare-feu, DoH/DoT/DoQ, ou réseau privé.

Si vous rendez Technitium joignable en DNS classique, vérifiez aussi les ACL de récursion dans Settings > Recursion afin que seules les adresses ou réseaux autorisés puissent l’utiliser. Pour les téléphones et les appareils mobiles, DoH ou DoT est généralement plus pratique qu’une règle de pare-feu basée sur une adresse IP qui peut changer.

Et pour DoH, DoT ou DoQ ?

Technitium sait fournir nativement les trois protocoles. DoH fait passer le DNS dans HTTPS, DoT utilise une connexion TLS dédiée et DoQ utilise QUIC. Leur activation se fait dans Settings > Optional Protocols avec un vrai nom de domaine et un certificat TLS valide.

Dans Docker, les ports usuels sont 443/tcp et 443/udp pour DoH, puis 853/tcp et 853/udp pour DoT et DoQ. N’ajoutez pas ces publications tant que TLS et les règles d’accès ne sont pas configurés.

Si vous voulez ne rien exposer publiquement, VPN privé + port 53 privé reste très simple à sécuriser. Sinon, les protocoles DoH ou DoT natifs de Technitium permettent d’utiliser le serveur sans VPN.

En cas de conflit sur le port 53

Cette configuration liée à 127.0.0.1 peut cohabiter avec systemd-resolved lorsqu’il écoute seulement sur ses adresses DNS locales réservées. Si Docker signale malgré tout un conflit, vérifiez d’abord l’adresse réellement occupée :

ss -lntup | grep ':53'

Ne désactivez pas votre résolveur système sans avoir identifié précisément le conflit.

Mettre Technitium à jour

La configuration est persistée dans /opt/technitium-dns/config et les journaux dans /opt/technitium-dns/logs. Pour mettre à jour l’image officielle :

cd /opt/technitium-dns
docker compose pull
docker compose up -d

Sauvegardez le dossier /opt/technitium-dns avant une modification importante. La console Web propose également Backup Settings pour exporter la configuration DNS.

Installer Blocky sur votre VPS Linux

Blocky se configure principalement avec un fichier YAML. Cette installation utilise l’image Docker officielle publiée par le projet. Si Docker n’est pas encore installé, commencez par notre guide Installer Docker sur Linux.

Nous allons d’abord publier le DNS et l’API uniquement sur 127.0.0.1. Une fois l’installation validée, vous pourrez choisir entre DNS classique restreint, DoH/DoT ou réseau privé.

Créez le dossier de Blocky :

mkdir -p /opt/blocky
cd /opt/blocky

Créez ensuite le fichier config.yml :

cat > config.yml <<'EOF'
upstreams:
  groups:
    default:
      - 1.1.1.1
      - 9.9.9.9
blocking:
  denylists:
    ads:
      - https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts
  clientGroupsBlock:
    default:
      - ads
ports:
  dns: 53
  http: 4000
prometheus:
  enable: true
EOF

Les deux adresses de la section upstreams sont des exemples de résolveurs publics. Vous pouvez les remplacer par les résolveurs de votre choix, y compris par les adresses réelles des DNS déjà utilisés par votre VPS. La section denylists, qui contient les listes de blocage, utilise ici la liste StevenBlack, également utilisée dans la documentation officielle de Blocky.

Créez maintenant compose.yaml :

cat > compose.yaml <<'EOF'
services:
  blocky:
    container_name: blocky
    image: ghcr.io/0xerr0r/blocky:latest
    ports:
      - "127.0.0.1:53:53/tcp"
      - "127.0.0.1:53:53/udp"
      - "127.0.0.1:4000:4000/tcp"
    environment:
      TZ: "Europe/Paris"
    volumes:
      - "./config.yml:/app/config.yml:ro"
    restart: unless-stopped
EOF

Démarrez ensuite Blocky :

docker compose up -d
docker compose ps

Le conteneur doit passer à l’état healthy après le chargement des listes et la vérification des résolveurs amont.

Vérifier la configuration et le filtrage

Blocky possède une commande de validation intégrée. Utilisez-la pour repérer une erreur YAML avant de chercher plus loin :

docker exec blocky /app/blocky validate --config /app/config.yml

La sortie doit indiquer que la configuration est valide.

Si dig n’est pas encore installé, ajoutez dnsutils, puis testez une résolution normale et un domaine publicitaire :

apt update
apt install -y dnsutils
dig @127.0.0.1 pi-hole.net +short
dig @127.0.0.1 doubleclick.net +short

La première commande doit retourner une adresse IP normale. Avec la liste utilisée ici, doubleclick.net est actuellement bloqué et retourne 0.0.0.0.

Vous pouvez aussi vérifier l’état du blocage via l’API locale :

curl http://127.0.0.1:4000/api/blocking/status

Une installation active renvoie {"enabled":true}.

À quoi sert le port 4000 ?

Blocky n’intègre pas un grand tableau de bord d’administration comme Pi-hole, AdGuard Home ou Technitium. Le port 4000 sert principalement à son API REST et à ses métriques Prometheus.

Dans cette configuration, il reste donc volontairement limité à 127.0.0.1. Par exemple, vous pouvez vérifier que Prometheus reçoit bien des données avec :

curl http://127.0.0.1:4000/metrics | head

Il n’est pas nécessaire d’ouvrir ce port sur Internet pour utiliser Blocky comme DNS.

Permettre à vos appareils d’utiliser Blocky

Le fichier Compose garde volontairement le DNS sur 127.0.0.1 pendant l’installation. Une fois Blocky validé, vous pouvez publier le port 53 uniquement pour des IP autorisées, configurer son serveur DoH/DoT, ou conserver le DNS sur un réseau privé.

Blocky s’adresse surtout aux utilisateurs à l’aise avec la configuration. Si votre priorité est une mise en place simple sur plusieurs téléphones et PC, AdGuard Home reste plus adapté grâce à son interface et à ses protocoles chiffrés intégrés.

Et pour DoH ou DoT ?

Blocky sait également servir du DNS-over-HTTPS (DoH), où les requêtes DNS passent dans HTTPS, et du DNS-over-TLS (DoT), où elles utilisent une connexion TLS dédiée. Sur un VPS public, il faut toutefois être plus prudent que pour un simple port DNS privé : les services HTTP/HTTPS de Blocky donnent aussi accès à son API REST, une interface destinée aux outils et scripts, à ses métriques et à ses fonctions de diagnostic.

Si vous voulez proposer du DoH publiquement, gardez Blocky derrière un reverse proxy de confiance et n’exposez que le chemin DNS nécessaire, généralement /dns-query. Si vous préférez ne rien exposer publiquement, gardez simplement le DNS sur l’IP WireGuard privée.

Modifier la configuration et mettre Blocky à jour

Après une modification de config.yml, validez le fichier puis redémarrez le conteneur :

cd /opt/blocky
docker exec blocky /app/blocky validate --config /app/config.yml
docker compose restart

Pour mettre à jour l’image officielle :

cd /opt/blocky
docker compose pull
docker compose up -d

La configuration reste dans /opt/blocky/config.yml. Blocky recharge aussi périodiquement les listes distantes, donc vous n’avez pas besoin de retélécharger manuellement la liste de blocage à chaque mise à jour.

Installer Pi-hole sur votre VPS Linux

Cette installation utilise l’image Docker officielle de Pi-hole. Si Docker n’est pas encore installé sur votre VPS, commencez par notre guide Installer Docker sur Linux.

Nous allons d’abord faire écouter Pi-hole uniquement sur 127.0.0.1. Cette configuration permet de vérifier que tout fonctionne sans ouvrir un résolveur DNS sur Internet. Après validation, vous pourrez choisir entre DNS classique restreint, ajout d’un composant DoH/DoT ou réseau privé.

Commencez par créer le dossier de Pi-hole et un mot de passe d’administration aléatoire :

mkdir -p /opt/pihole/etc-pihole
cd /opt/pihole
printf 'PIHOLE_PASSWORD=%s\n' "$(openssl rand -hex 18)" > .env
chmod 600 .env

Créez ensuite le fichier compose.yaml :

cat > compose.yaml <<'EOF'
services:
  pihole:
    container_name: pihole
    image: pihole/pihole:latest
    ports:
      - "127.0.0.1:53:53/tcp"
      - "127.0.0.1:53:53/udp"
      - "127.0.0.1:8080:80/tcp"
    environment:
      TZ: "Europe/Paris"
      FTLCONF_webserver_api_password: "${PIHOLE_PASSWORD}"
      FTLCONF_dns_listeningMode: "ALL"
    volumes:
      - "./etc-pihole:/etc/pihole"
    restart: unless-stopped
EOF

Pi-hole demande FTLCONF_dns_listeningMode: "ALL" lorsqu’il fonctionne sur le réseau bridge par défaut de Docker, c’est-à-dire le réseau virtuel privé créé pour les conteneurs. Cela ne signifie pas que votre DNS devient public : dans cette configuration, Docker publie toujours les ports DNS uniquement sur 127.0.0.1 du VPS.

Démarrez Pi-hole :

docker compose up -d
docker compose ps

Au premier démarrage, l’image est téléchargée et Pi-hole initialise ses listes. Après quelques secondes, docker compose ps doit afficher le conteneur comme healthy.

Vous pouvez aussi vérifier directement l’état du DNS :

docker exec pihole pihole status

Les lignes importantes doivent indiquer que FTL, le moteur DNS de Pi-hole, écoute sur le port 53 et que le blocage est activé.

Ouvrir l’interface Web sans exposer son port d’administration

L’interface est volontairement liée à 127.0.0.1:8080. Depuis votre ordinateur, ouvrez un tunnel SSH vers le VPS :

ssh -L 8080:127.0.0.1:8080 root@IP_DU_VPS

Gardez cette connexion SSH ouverte, puis ouvrez http://127.0.0.1:8080/admin/ dans votre navigateur.

Pour afficher le mot de passe généré lors de l’installation :

cd /opt/pihole
grep '^PIHOLE_PASSWORD=' .env | cut -d= -f2-

Copiez ce mot de passe dans la page de connexion Pi-hole. Le tableau de bord permet ensuite de suivre les requêtes, les domaines bloqués, les clients et les listes de filtrage.

Vérifier que le blocage fonctionne

Si la commande dig n’est pas encore disponible sur votre VPS, installez-la puis faites deux requêtes directement vers Pi-hole :

apt update
apt install -y dnsutils
dig @127.0.0.1 pi-hole.net +short
dig @127.0.0.1 doubleclick.net +short

La première commande doit retourner une adresse IP normale. Avec les listes de blocage par défaut actuelles, doubleclick.net est bloqué et retourne 0.0.0.0. Si une liste évolue, vous pouvez toujours confirmer le résultat depuis Query Log dans l’interface Pi-hole.

Permettre à vos appareils d’utiliser Pi-hole

Le fichier Compose garde volontairement le DNS sur 127.0.0.1 pendant l’installation. Après validation, trois possibilités existent :

• DNS classique : publiez le port 53 sur l’IPv4 du VPS uniquement pour les adresses autorisées par votre pare-feu.
• DNS chiffré : ajoutez un composant DoH/DoT devant Pi-hole, puisqu’il ne fournit pas ces protocoles nativement.
• Réseau privé : gardez le DNS sur une adresse privée accessible via WireGuard ou un autre VPN.

C’est précisément cette couche supplémentaire pour le DNS chiffré qui rend Pi-hole moins intéressant que notre recommandation AdGuard Home sur un VPS.

Mettre Pi-hole à jour

Avec Docker, la mise à jour reste simple :

cd /opt/pihole
docker compose pull
docker compose up -d

Le dossier /opt/pihole/etc-pihole conserve la configuration et les données entre les recréations du conteneur. Le fichier /opt/pihole/.env contient le mot de passe d’administration : gardez-le protégé et ne le partagez pas.

Quelle adresse faut-il renseigner ?

Si vous utilisez du DNS classique, renseignez l’adresse IPv4 publique de votre VPS, par exemple 203.0.113.10. Le port 53 doit alors être joignable en UDP et en TCP, les deux transports utilisés par le DNS classique.

Attention : ne laissez pas pour autant le port 53 ouvert à tout Internet. Limitez-le avec votre pare-feu aux adresses ou réseaux autorisés. Sur une connexion fixe, vous pouvez par exemple autoriser uniquement votre adresse IP publique.

Les fichiers Compose de ce guide commencent volontairement sur 127.0.0.1. Si vous choisissez le DNS classique, remplacez uniquement les deux publications DNS par la vraie IPv4 publique de votre VPS, par exemple :

ports:
  - "203.0.113.10:53:53/tcp"
  - "203.0.113.10:53:53/udp"

Appliquez ensuite avec docker compose up -d, mais seulement après avoir configuré les restrictions du pare-feu.

Si votre adresse publique change souvent, cette restriction devient moins pratique. Sur un téléphone en 4G/5G, l’adresse source change également régulièrement : dans ce cas, DoH/DoT ou WireGuard sont plus adaptés.

Si vous utilisez DoH ou DoT, vous renseignerez généralement un nom comme dns.example.com au lieu de l’IP brute. Ce nom doit pointer vers le VPS et le service doit disposer d’un certificat TLS valide.

Enfin, si votre DNS reste volontairement privé sur une adresse telle que 10.66.66.1, vos appareils devront rejoindre ce réseau privé, par exemple avec WireGuard.

Windows 10 et Windows 11 : changer simplement le DNS

Sur Windows, aucun logiciel supplémentaire n’est nécessaire pour utiliser un DNS classique.

Ouvrez Paramètres > Réseau et Internet, sélectionnez votre connexion Wi-Fi ou Ethernet puis ouvrez ses propriétés. Selon la version de Windows, cherchez Attribution du serveur DNS ou Modifier les paramètres IP, puis choisissez Manuel et activez IPv4.

Dans DNS préféré, saisissez l’adresse de votre VPS :

203.0.113.10

Laissez le DNS secondaire vide, ou utilisez un deuxième DNS filtrant que vous contrôlez. Si vous indiquez un DNS public classique comme serveur secondaire, certaines requêtes peuvent contourner votre filtrage.

Sous Windows 11, vous pouvez aussi activer DNS sur HTTPS si votre serveur fournit du DoH. Windows 10 ne propose pas ce réglage DoH directement dans cette interface.

Vérifiez ensuite le serveur réellement utilisé :

nslookup pi-hole.net
nslookup doubleclick.net

La ligne Server doit correspondre à votre DNS. Selon la solution choisie, un domaine bloqué peut retourner 0.0.0.0 ou NXDOMAIN.

Android : utilisez le DNS privé natif quand DoT est disponible

Android possède un réglage DNS privé intégré qui fonctionne sur le Wi-Fi et le réseau mobile. Il utilise DoT, donc il faut que votre serveur propose DNS-over-TLS.

Ouvrez Paramètres > Réseau et Internet > DNS privé. Le chemin peut varier légèrement selon le fabricant. Sélectionnez Nom d’hôte du fournisseur DNS privé, puis saisissez uniquement le nom de votre serveur, par exemple :

dns.example.com

N’entrez pas https:// et n’entrez pas simplement l’adresse IP : Android attend ici le nom d’hôte du serveur DoT.

AdGuard Home et Technitium peuvent fournir DoT directement. Blocky peut également servir DoT lorsqu’il est configuré pour cela. Pi-hole nécessite un composant supplémentaire ou une autre méthode.

Si vous préférez utiliser DoH ou gérer votre DNS avec une application, Rethink DNS est une alternative open source. Son mode DNS peut envoyer les requêtes vers un résolveur DoH ou DoT choisi par l’utilisateur. Ajoutez l’URL DoH ou le nom d’hôte DoT de votre propre serveur.

Pour AdGuard Home, le réglage DNS privé natif d’Android reste néanmoins le chemin le plus simple dès que DoT est activé sur le VPS.

iPhone et iPad : changement natif sur le Wi-Fi

Pour un réseau Wi-Fi, iOS et iPadOS permettent de changer le DNS sans installer d’application.

Ouvrez Réglages > Wi-Fi, touchez le bouton d’information à côté du réseau connecté, puis Configurer le DNS > Manuel > Ajouter un serveur.

Saisissez ensuite l’adresse IPv4 de votre VPS, par exemple :

203.0.113.10

Supprimez les anciens serveurs DNS de cette configuration si vous voulez être certain que les requêtes utilisent votre DNS filtrant, puis enregistrez.

Ce réglage concerne le réseau Wi-Fi configuré. Pour appliquer un DNS chiffré aussi sur la 4G/5G et les autres réseaux, DNSecure est une application open source dédiée à DoH et DoT sur iOS et iPadOS.

Dans DNSecure, ajoutez votre propre serveur DoH ou DoT, activez Use This Server, puis sélectionnez DNSecure dans les réglages DNS d’iOS ou d’iPadOS. Le DNS chiffré s’applique alors au niveau du système, et pas seulement à Safari.

TV, consoles et autres appareils

Si l’appareil permet de saisir un serveur DNS manuellement, utilisez la même logique que sur Windows et indiquez l’IPv4 de votre VPS pour le DNS classique, avec le pare-feu correctement limité.

S’il ne propose pas de réglage DNS utile, votre box ou votre routeur peut parfois distribuer votre DNS à tous les appareils du réseau. Cherchez le réglage DNS du serveur DHCP, le service du routeur qui fournit automatiquement aux appareils leur adresse IP et leurs paramètres réseau. En DNS classique, gardez alors le port 53 du VPS limité à l’adresse IP publique de votre connexion domestique.

Et WireGuard dans tout ça ?

WireGuard reste utile si vous ne voulez aucun service DNS accessible publiquement. Dans ce cas, laissez le port 53 lié uniquement à l’adresse privée du VPS, par exemple 10.66.66.1, et connectez l’appareil au réseau WireGuard. Pour installer ce VPN, suivez notre guide Installer un VPN sur un VPS Linux : WireGuard vs OpenVPN.

La configuration client contient alors notamment :

[Interface]
DNS = 10.66.66.1

[Peer]
AllowedIPs = 10.66.66.0/24

La section [Interface] contient ici les réglages de l’appareil. La section [Peer] décrit le serveur WireGuard auquel il se connecte. AllowedIPs indique quelles adresses réseau doivent passer dans le tunnel.

Avec cette configuration, seul le réseau privé passe dans WireGuard : c’est un split tunnel. Votre navigation Internet continue normalement par votre connexion habituelle, tandis que le DNS rejoint le VPS dans le tunnel privé.

Si vous souhaitez au contraire faire passer tout le trafic Internet dans WireGuard, utilisez une configuration de VPN complet avec AllowedIPs = 0.0.0.0/0 et configurez aussi le routage et le NAT (Network Address Translation) sur le VPS, le mécanisme qui permet au trafic du tunnel de sortir via l’adresse publique du serveur. Ce n’est pas nécessaire pour simplement profiter du filtrage DNS.

Vérifier que le filtrage fonctionne

Après avoir changé le DNS, ouvrez quelques sites puis consultez l’interface ou les journaux de votre solution : Pi-hole, AdGuard Home et Technitium affichent les requêtes DNS, tandis que Blocky les expose dans ses journaux et ses métriques.

Si les requêtes n’arrivent pas, vérifiez d’abord que le service écoute bien sur l’adresse utilisée par l’appareil et que le pare-feu autorise le protocole concerné : port 53 pour le DNS classique, 853 pour DoT, ou le port HTTPS configuré pour DoH.