Pi-hole

Pi-hole — 一个网络级广告拦截器，通过DNS过滤屏蔽全网设备广告和追踪器。

---

如果你跟我一样，受够了家里智能电视的开机广告、手机App里无处不在的追踪请求，或者只是想给全家人一个更干净的网上体验，那Pi-hole绝对值得你花一晚上折腾一下。这东西本质上就是一个“网络吸尘器”，装在树莓派或者任何一台长期开机的Linux服务器上，就能把整个局域网里的广告和追踪域名在DNS层面直接掐死。

这东西到底干嘛的？解决什么破事？

简单说，Pi-hole是一个网络级别的DNS广告过滤器。你家里的手机、电脑、智能电视、甚至冰箱（如果它联网的话），上网前都会先问DNS服务器“xxx.com的IP是多少？”。Pi-hole就蹲在这个关口，手里拿着一张“黑名单”——里面全是广告域名、追踪域名、恶意软件域名。一旦有设备问“ads.example.com怎么走？”，Pi-hole直接回答“找不到路，滚。”于是广告图片加载不出来，追踪脚本直接404。

它解决的核心问题就三个：

1. 全屋无死角广告屏蔽——不用在每个设备上装AdGuard或uBlock Origin，一次配置，所有设备受益。
2. 减少带宽浪费——很多App在后台疯狂请求广告和统计接口，Pi-hole直接掐掉，省流量也省电。
3. 提升隐私——那些偷偷收集你浏览习惯的追踪域名，在DNS阶段就被拦了，根本连不上。

我自己家里装了之后，电视开机快了3秒，手机里那些免费游戏的弹窗广告直接变白板，甚至有些App因为广告加载失败，反而变得清爽流畅。

下载方式

Pi-hole本质是一套开源脚本，没有传统意义上的“安装包”。你只需要去它的官网拿安装命令就行：

Pi-hole 官网

官网上有个大大的“One-Step Automated Install”按钮，点进去就是一行curl命令。如果你喜欢看文档，也可以直接访问它的 GitHub仓库，里面有详细说明。

安装方法

安装Pi-hole非常简单，但前提是你得有一台长期运行的Linux设备。树莓派是经典选择，但任何Debian/Ubuntu系的机器都行，甚至可以在Docker里跑。我拿树莓派4B举例：

第一步：准备系统
装好树莓派OS（32位或64位都可以），确保网络连接正常。建议用有线连接，稳定。

第二步：固定IP地址
Pi-hole需要作为DNS服务器，所以你的设备必须有一个静态IP。可以在路由器里设置DHCP静态分配，也可以在树莓派系统里手动改/etc/dhcpcd.conf。我推荐路由器里做，省事。

第三步：运行安装脚本
SSH进树莓派，执行：

curl -sSL https://install.pi-hole.net | bash

然后就是交互式安装：选择网络接口（一般是eth0或wlan0）、选择上游DNS提供商（推荐Cloudflare或Quad9，别用运营商的）、选择是否安装FTL（必须装，这是核心引擎）、设置Web界面密码（记好了）。

整个过程大概5分钟，结束后会显示一个Web管理地址，一般是http://你的树莓派IP/admin。

第四步：配置路由器
这是最关键的一步。进入路由器后台，找到“DHCP设置”，把“DNS服务器”手动改成树莓派的IP地址。这样所有连上你家WiFi的设备，都会自动把Pi-hole作为DNS服务器。如果你路由器不支持改DNS，也可以单独在每台设备上设置，但那就失去“全屋覆盖”的意义了。

Docker安装法（适合不想污染宿主机的人）：
如果你的Linux机器已经装了Docker，跑这个命令更快：

docker run -d \
    --name pihole \
    -p 53:53/tcp -p 53:53/udp \
    -p 80:80 \
    -e TZ="Asia/Shanghai" \
    -e WEBPASSWORD="你的密码" \
    -v "$(pwd)/etc-pihole:/etc/pihole" \
    -v "$(pwd)/etc-dnsmasq.d:/etc/dnsmasq.d" \
    --restart=unless-stopped \
    pihole/pihole:latest

注意：端口53可能会被系统自带的systemd-resolved占用，需要先停掉它。

基础使用教程

装好之后，打开浏览器访问http://树莓派IP/admin，输入密码，你就进入了Pi-hole的仪表盘。

看一眼仪表盘：

• Total queries：总查询次数，数字越大说明你家设备越“话多”。
• Queries blocked：被拦截的查询数，这个数字越大说明效果越好。
• Top Clients：哪个设备最“喜欢”发广告请求，通常是智能电视或者手机。
• Top Domains：被请求最多的域名，如果看到ads.doubleclick.net之类的，说明拦截生效了。

日常操作：

1. 临时禁用：如果你发现某个网站因为广告拦截打不开（比如某些论坛的验证码），可以在仪表盘里点击“Disable for 5 minutes”或“Disable Indefinitely”。记得事后重新启用。
2. 白名单/黑名单：在“Domain Management”里，你可以手动添加域名。比如你想让某个广告域名通过，就加到白名单；想额外屏蔽某个追踪域名，就加黑名单。
3. 查看日志：在“Query Log”里可以看到每一条DNS请求的详细记录，包括来源设备、请求时间、是否被拦截。这是排查问题的最好工具。

一个实用技巧：
刚装上Pi-hole的24小时内，别急着加太多黑名单。先观察日志，看看哪些域名被频繁请求但没被拦截。比如你发现app-measurement.com（Google Analytics的追踪域名）天天被请求，就可以手动把它加入黑名单。

进阶技巧

如果你觉得默认的拦截列表不够猛，或者想玩点花的，这里有几个进阶玩法：

1. 使用更强大的黑名单
Pi-hole默认只带了一个基础列表，但你可以订阅第三方列表。在“Group Management” -> “Adlists”里添加这些URL：

• OISD Full（覆盖最广，但可能误杀）：https://big.oisd.nl/
• EasyList（针对英语网站广告）：https://easylist.to/easylist/easylist.txt
• NoTracking（专注反追踪）：https://raw.githubusercontent.com/notracking/hosts-blocklists/master/hostnames.txt

加完之后，在“Tools” -> “Update Gravity”里更新一下，Pi-hole就会下载并整合这些列表。注意：列表越全，内存占用越高，树莓派2B以下的老设备可能会卡。

2. 配合Unbound搭建递归DNS
默认情况下，Pi-hole会把解析请求转发给上游DNS（比如8.8.8.8），这意味着你的查询记录还是会被Google看到。如果你比较在意隐私，可以在同一台机器上装Unbound，让Pi-hole直接向根DNS服务器递归查询。

安装Unbound：

sudo apt install unbound

然后配置Unbound（/etc/unbound/unbound.conf），让Pi-hole的“Upstream DNS”指向127.0.0.1#5353（自定义端口）。这样你的DNS查询完全自给自足，连运营商都不知道你搜了什么。

3. 用Pi-hole监控网络异常
如果某天你发现“Total queries”突然暴涨，或者某个设备频繁请求奇怪的域名，那可能是中了恶意软件。Pi-hole的日志可以帮你定位问题设备。我上次就是用这个功能发现家里一台旧安卓手机在疯狂请求coin-hive.com（挖矿域名），直接把它断网了。

4. 开启DHCP服务器
如果你的路由器DHCP功能太弱（比如不能指定DNS），可以让Pi-hole自己当DHCP服务器。在“Settings” -> “DHCP”里启用，然后关掉路由器的DHCP。注意：别同时开两个DHCP，否则网络会乱套。

5. 自定义条件转发
有些局域网设备（比如NAS、打印机）需要内部域名解析，可以在“Local DNS”里添加/你的NAS名称/192.168.1.100这样的记录，这样其他设备就能通过域名访问NAS，不用记IP。

最后说两句

Pi-hole不是万能的。它只能拦截DNS层面的请求，对于HSTS预加载的域名、或者直接硬编码IP的广告（很少见），它无能为力。而且有些网站会检测到广告被屏蔽后故意报错，这时候你得临时禁用或者加白名单。

但总的来说，花一晚上装一个Pi-hole，换来全家设备清净无广告，绝对物超所值。尤其是家里有老人和小孩的，他们不会装AdGuard，也不会改hosts，Pi-hole直接在网络层帮他们过滤掉那些烦人的弹窗和诱导点击。

如果你手头正好有一台吃灰的树莓派，别让它再积灰了，装个Pi-hole吧。