En este ejemplo ilustrativo, Linh ejecuta Pi-hole en Ubuntu Server 24.04 y desea cifrar las solicitudes DNS que Pi-hole envía a la red. Instale dnscrypt-proxy, vincúlelo a 127.0.0.1:5053, elija un resolvedor DNS-over-HTTPS (DoH), pruebe ese proxy local y, a continuación, configure Pi-hole para que lo utilice. Este tutorial asume que Pi-hole ya está instalado y funcionando; Linh es un ejemplo hipotético, no una instalación real ni un informe de prueba.
Pi-hole no utiliza DoH directamente con su resolvedor ascendente; normalmente reenvía DNS a una dirección IP y un puerto. Un proxy local actúa como puente entre ambos protocolos: Pi-hole envía DNS estándar a un oyente local privado, y el proxy envía solicitudes cifradas al resolvedor seleccionado. En este ejemplo, Linh utiliza dnscrypt-proxyel mismo servidor y mantiene su oyente en bucle invertido, de modo que otros dispositivos no pueden conectarse directamente a ese proxy.
Evite iniciar una nueva instalación con la cloudflared proxy-dnsreceta anterior. La página actual de Pi-hole sobre Cloudflare indica que esta función fue descontinuada por Cloudflare en noviembre de 2025 y que no se recomiendan las nuevas instalaciones que la utilicen. Las instrucciones de Pi-hole para dnscrypt-proxy ofrecen una alternativa con soporte. El listado de paquetes de Ubuntu Noble incluye actualmente dnscrypt-proxy; las versiones de los paquetes varían según la arquitectura y pueden cambiar a medida que se publican actualizaciones.
Actualiza las listas de paquetes de APT e instala el paquete del repositorio Noble:
sudo apt update
sudo apt install dnscrypt-proxyEl paquete se encuentra en el componente Universe de Ubuntu. Si APT no lo encuentra, compruebe que Universe esté habilitado y vuelva a ejecutar el comando sudo apt update. No descargue una compilación de terceros al azar para solucionar un problema de configuración del repositorio.
Antes de continuar, confirme que Ubuntu ha instalado la unidad de socket systemd utilizada por el procedimiento de Pi-hole:
systemctl list-unit-files dnscrypt-proxy.socketLa lista de archivos del paquete Ubuntu Noble incluye dnscrypt-proxy.socket, y las instrucciones de Pi-hole utilizan ese socket para proporcionar un oyente DNS local sin competir con el servicio del puerto 53 de Pi-hole.
El servicio DNS FTL de Pi-hole normalmente utiliza el puerto 53. Asigne a dnscrypt-proxy un puerto diferente y vincúlelo solo al propio servidor. Cree una anulación de systemd:
sudo systemctl edit dnscrypt-proxy.socketAgregue estas líneas al archivo de anulación vacío, guarde y salga:
[Socket]
ListenStream=
ListenDatagram=
ListenStream=127.0.0.1:5053
ListenDatagram=127.0.0.1:5053Las asignaciones en blanco borran los oyentes originales del puerto 53 de la unidad de socket antes de agregar las nuevas direcciones. 127.0.0.1Es importante mantener el oyente en: no lo cambie a 0.0.0.0para esta configuración del mismo host, ya que eso expondría el proxy en cada interfaz de red.
Abra el archivo de configuración del paquete:
sudo nano /etc/dnscrypt-proxy/dnscrypt-proxy.tomlEstablezca los siguientes valores, manteniendo intacto el resto de la configuración del paquete:
listen_addresses = []
server_names = ['cloudflare-security']Una listen_addresseslista vacía indica a dnscrypt-proxy que utilice la activación de sockets de systemd. El resolvedor de seguridad de Cloudflare, mencionado en la guía de dnscrypt-proxy de Pi-hole, es el ejemplo que se utiliza; aplica el filtrado de malware del resolvedor además de las listas de bloqueo de Pi-hole. Si prefiere otro proveedor o no desea filtrado de seguridad adicional, seleccione un resolvedor DoH actual de la lista pública de resolvedores y utilice su nombre de servidor exacto. Los nombres disponibles y las políticas de los resolvedores pueden cambiar, así que verifique la entrada actual en lugar de copiar un nombre obsoleto de una publicación antigua.
Reinicie el socket y el servicio para que los cambios en la configuración de anulación y TOML surtan efecto:
sudo systemctl restart dnscrypt-proxy.socket
sudo systemctl restart dnscrypt-proxy.serviceLuego, pruebe el oyente local antes de cambiar el upstream de Pi-hole:
dig @127.0.0.1 -p 5053 example.comUna respuesta DNS y un estado de salida cero indican que el proxy local respondió a la consulta. Para confirmar que el servidor ascendente seleccionado utiliza DoH, inspeccione los mensajes de servicio recientes y busque el resolvedor marcado OK (DoH):
sudo journalctl -u dnscrypt-proxy.service -n 50 --no-pagerdigno está instalado, instale dnsutilsel paquete de Ubuntu. Si la consulta agota el tiempo de espera o el registro no muestra un resolvedor DoH, inspeccione sudo systemctl status dnscrypt-proxy.socket dnscrypt-proxy.serviceel registro del servicio antes de continuar.
Solo después de que la prueba local funcione, reemplace la lista de servidores ascendentes de Pi-hole con el oyente local:
sudo pihole-FTL --config dns.upstreams '["127.0.0.1#5053"]'
sudo systemctl restart pihole-FTL.serviceEl valor utiliza el formato personalizado de Pi-hole: 127.0.0.1es el host local y #5053especifica el puerto DNS no estándar. También puede introducirlo 127.0.0.1#5053en Configuración > DNS > Servidores DNS personalizados en la interfaz de administración de Pi-hole. Desactive los servidores DNS públicos preestablecidos y guarde los cambios; de lo contrario, Pi-hole podría seguir enviando algunas solicitudes directamente a ellos sin usar DoH.
Consultar Pi-hole mismo, utilizando su dirección LAN en lugar de PIHOLE_IP:
dig @PIHOLE_IP example.comConfirme que la búsqueda se realiza correctamente, que el registro de consultas de Pi-hole muestra la solicitud del cliente y que el estado del servicio o los registros de dnscrypt-proxy indican que el servidor ascendente seleccionado es accesible. La ruta resultante debería ser: cliente a Pi-hole a través de su LAN, luego Pi-hole al proxy localhost y, finalmente, el proxy al resolvedor DoH. Esto cifra el tramo entre el servidor y el resolvedor; no cifra el tráfico DNS ordinario entre un cliente y Pi-hole en la LAN, no oculta las consultas al resolvedor elegido ni convierte Pi-hole en una VPN.
Para obtener detalles sobre los comandos y las versiones, consulte la guía de Pi-hole dnscrypt-proxy (con fecha del 16 de febrero de 2026), su aviso de descontinuación en cloudflared (con fecha del 12 de febrero de 2026), el registro del paquete Noble dnscrypt-proxy de Ubuntu y la lista pública actual de resolutores DoH y DNSCrypt . Si algún servicio está inactivo, no cambie Pi-hole al proxy hasta que la prueba de consulta local sea exitosa.
Configura dnscrypt-proxy como puente DoH local de Pi-hole en Ubuntu 24.04, con un oyente solo para localhost, selección de resolvedor y comprobaciones antes de cambiar el DNS.
Antes de solucionar problemas con las aplicaciones o el hardware, compruebe la configuración del panel táctil de Ubuntu, confirme que se utiliza Wayland y pruebe los gestos táctiles integrados de GNOME.
Cree y verifique una matriz de datos RAID 1 de dos discos para Debian 12, formatéela de forma segura y configúrela para que se ensamble y monte después del reinicio.
Configura el cifrado de clave aleatoria para una partición de intercambio existente en Debian 12, verifica la asignación activa de dm-crypt y comprende las ventajas y desventajas de la hibernación.
Restringir las cuentas SSH de Ubuntu 24.04 a carpetas SFTP designadas mediante chroot, permisos adecuados, reglas de coincidencia y pruebas seguras, sin otorgar acceso a la consola.
Descubre qué proceso posee el bloqueo del frontend dpkg de Ubuntu, deja que el trabajo de paquetes finalice y repara las instalaciones interrumpidas sin eliminar los archivos de bloqueo.
Configure instantáneas programadas del sistema Btrfs en Ubuntu Desktop con Timeshift, verifique la estructura de subvolúmenes de Ubuntu, elija la retención y comprenda qué no pueden proteger las instantáneas.
Planifica una migración más segura de Debian 12 a Testing: actualiza a través de Stable, realiza una copia de seguridad, limpia las fuentes APT, simula cambios en las dependencias y verifica qué ha cambiado.
Diagnostica de forma segura el modo de emergencia de Ubuntu Server. Lee los registros de arranque, comprueba los puntos de montaje raíz y fstab, repara una unidad defectuosa, gestiona los errores del sistema de archivos y verifica un reinicio correcto.
Configura un servidor VPN WireGuard en Debian 12 para un cliente remoto. Configura las claves, el reenvío de IPv4, la traducción de direcciones de red (NAT) con nftables, el acceso al firewall y las comprobaciones de conexión.
