- Pi-hole 是一款网络级 DNS 过滤器，可从所有连接的设备中移除广告和遥测数据。
- 与 Unbound 的集成允许递归地在本地解析 DNS 查询，从而消除对外部提供商的依赖。
- 最佳配置需要静态 IP 地址和均衡黑名单的实施，以防止 Web 服务中断。
如果你曾觉得互联网就像一个充斥着侵入式广告和追踪器的丛林，甚至连你买什么牌子的麦片都知道，那你可能听说过 Pi-hole。这套系统并非那种安装后就束之高阁的普通浏览器程序；相反，它位于你家庭网络的核心，可以清理你所有设备（从智能电视到扫地机器人）的网络流量，而你无需对这些设备进行任何设置。
但请注意，安装拦截器只是冰山一角。对于追求专家级隐私的用户来说，真正的飞跃在于与 Unbound 结合使用。Pi-hole 就像守门人，决定谁能访问，谁不能访问；而 Unbound 则像向导，让你摆脱对 Google 或 Cloudflare 等巨头的依赖，从而能够自主独立地解析网址。接下来，我们将一步步讲解如何搭建这个数字堡垒。
Pi-hole究竟是什么？它为什么比广告拦截器更好？
简单来说，Pi-hole 的作用类似于 DNS 服务器。当你输入网址时，你的设备会询问“这个网站的 IP 地址是什么？” 通常情况下，这个查询会发送到你的互联网服务提供商或公共服务器，这些服务器会记录你的网络活动。Pi-hole 会介入；如果请求的目标地址是广告服务器，系统会返回该地址不存在的信息，从而阻止广告加载。
与浏览器扩展程序不同，Pi-hole 可以覆盖您家中的整个网络。无论是手机上的 Instagram 应用、三星智能电视产生的大量遥测数据，还是游戏机上的广告，所有这些都会经过同一个过滤器。此外，通过阻止数千种广告软件的下载，您将体验到更流畅的浏览体验并节省带宽。
缺失的一环：Unbound 提供全面隐私保护
许多人认为有了 Pi-hole 就万事大吉了，但其实不然：Pi-hole 可以过滤，但不能“转换”。要找到网站的 IP 地址，它仍然需要查询第三方（上游 DNS）。而 Unbound 则作为本地递归解析器来解决这个问题。Unbound 不依赖外部公司，而是直接查询互联网的根服务器。
这种架构是整个方案的最后一块拼图，因为它切断了与第三方日志的联系。您不再只是大型企业日志中的一个数字；您可以自行验证 DNS 响应。虽然首次访问网站可能需要几毫秒的时间，但 Unbound 会将该信息存储在本地缓存中，从而确保后续访问即时且完全私密。
所需硬件和部署选项
这个项目最棒的地方在于你不需要一台性能强大的电脑。由于它是一款非常轻量级的软件，你可以根据家里的电脑配置选择合适的设备：
- 树莓派： 这是经典方案。从价格低廉且高效的 Pi Zero 2W 到 Pi 4 或 5 都可以。你只需要一张 microSD 卡和一个稳定的电源。
- Docker 容器： 如果您已经拥有NAS（例如Synology、QNAP）或安装了Proxmox的迷你电脑，那么这是最佳选择。它允许您在NAS或迷你电脑上安装Pi-hole。 隔离且洁净的环境方便备份和更新。
- LXC 服务器： 对于在 Debian 中使用轻量级虚拟化的用户来说，这是理想之选，因为它可以完全控制操作系统。
分步安装指南
要让它正常运行，首先要确保设备具有静态 IP 地址，这样家里的其他设备才能始终知道在哪里找到 DNS 服务器。
安装 Pi-hole
如果您在 Raspberry Pi OS 上使用传统方法，只需使用以下命令运行官方脚本即可。 curl -sSL https://install.pi-hole.net | bash向导会要求您选择上游 DNS 服务器（如果您还没有 Unbound，可以使用 Cloudflare 或 Quad9）。这一点至关重要。 记下管理面板的密码 它出现在最后，因为它是管理阻止列表的关键。
配置 Unbound 以实现最大程度的隐私保护
要集成 Unbound，您必须安装该软件包并配置服务器配置文件。最重要的是将 Unbound 分配到不同的端口（通常为5335），以避免与 Pi-hole 冲突。您必须下载 root hints 并生成 root key，以确保 DNSSEC 验证的正确性和安全性。
Unbound 运行后，转到 Pi-hole 面板，在 DNS 部分，取消选中公共服务器并添加您的本地 IP 地址。 127.0.0.1#5335此时，你的关系网已经从一本打开的书变成了一本…… 个人数据强度.
如何让你的网络真正利用该系统
如果您的设备不知道应该使用该软件，那么安装软件是没用的。您有三种选择：
- 路由器配置（推荐）： 您需要更改路由器DHCP服务器中的DNS设置。这样，任何连接到Wi-Fi的设备都能使用正确的DNS设置。 将自动继承锁.
- 手动调节： 如果你的路由器是封闭式ISP路由器，不允许用户更改DNS，那么你需要在每台设备上单独配置Pi-hole的IP地址。这有点繁琐，但很有效。
- 硬件变化： 从长远来看，投资购买一台能够完全控制网络的独立路由器（例如华硕或TP-Link）是明智之举。 加大对国内基础设施的投资.
优化和维护：列表和常见问题
Pi-hole 的核心效用在于其屏蔽列表（Gravity）。然而，添加数百个列表可能会适得其反，甚至破坏合法网站。理想情况下，您应该使用维护良好且平衡的列表，例如 OISD 或 HaGeZi，它们可以过滤掉绝大多数干扰信息，同时尽可能减少误报。
某些网站，尤其是银行或支付网站，出现问题属于正常现象。要解决此问题，只需检查控制面板中的查询日志，并将域名添加到“白名单”即可。关于 YouTube，需要注意的是，Pi-hole 无法屏蔽其广告，因为广告与视频来自同一域名；为此，您仍然需要在浏览器中安装 uBlock Origin插件来补充屏蔽。
高级：安全性、TLS 和冗余
对于高级用户，可以使用 Let's Encrypt 证书在管理面板中实现 HTTPS，但这需要管理整个证书链以避免验证错误。如果家中有多人，强烈建议在路由器上配置辅助 DNS（例如 1.1.1.1）。这样，即使 Pi-hole 重启或出现故障，家中也不会断网，即使广告暂时重新出现。
在拥有多台服务器的更复杂的环境中，像 nebula-sync 这样的工具允许您在不同的实例之间复制配置和白名单，避免重复工作，并确保网络始终有可运行的备份。
构建这套生态系统将彻底改变您的网络浏览体验，让您重新掌控隐私，并从源头上消除不必要的广告。通过将 Pi-hole 的智能过滤功能与 Unbound 的递归自主机制相结合，您可以创建一个强大的系统，它不仅能加快页面加载速度，还能保护您的数字身份免受大型科技公司的大规模追踪。