Servidores y Redes
Pi-hole: Guía definitiva de instalación y análisis del sumidero DNS para tu red
Descubre cómo desplegar Pi-hole mediante Docker para bloquear rastreadores en toda tu red local, sus ventajas frente al IoT y sus limitaciones reales.
Navegar por internet hoy en día implica ceder ancho de banda, batería y privacidad a decenas de rastreadores invisibles. Mientras que en un ordenador de sobremesa la solución pasa por instalar una extensión como uBlock Origin, dispositivos como las Smart TVs, los teléfonos móviles o los aparatos del ecosistema IoT (Internet de las Cosas) no permiten modificar su navegador ni instalar bloqueadores.
La respuesta técnica a nivel de infraestructura para solucionar este problema es Pi-hole. Funciona como un sumidero DNS (DNS sinkhole): se sitúa entre tus dispositivos y el exterior, traduciendo las peticiones de red. Si tu Smart TV intenta conectarse a un servidor de telemetría o publicidad conocido, Pi-hole intercepta la petición y responde que ese dominio "no existe", evitando que el anuncio o el rastreador se carguen en primer lugar.
A continuación, analizamos cómo instalarlo, cómo configurarlo adecuadamente y cuáles son sus verdaderas limitaciones operativas.
Cada consulta se resuelve o se corta dentro de tu propia red, antes de llegar a internet.
Cómo descargar e instalar Pi-hole
Aunque históricamente el proyecto nació para ejecutarse en una placa Raspberry Pi (de ahí su nombre), hoy en día la forma más eficiente, limpia y fácil de mantener para instalarlo es a través de Docker.
Despliegue con Docker Compose
Para levantar el servicio, basta con crear un archivo docker-compose.yml en tu servidor. Aquí tienes la configuración base recomendada:
services: pihole: container_name: pihole image: pihole/pihole:latest ports: - "53:53/tcp" - "53:53/udp" - "80:80/tcp" - "443:443/tcp" environment: TZ: 'Europe/Madrid' FTLCONF_webserver_api_password: 'tu_contraseña_segura' volumes: - './etc-pihole:/etc/pihole' cap_add: - NET_ADMIN - SYS_TIME - SYS_NICE restart: unless-stopped
Nota: desde Pi-hole v6, la variable
WEBPASSWORDquedó obsoleta en favor deFTLCONF_webserver_api_password. Si migras undocker-compose.ymlantiguo, actualiza también ese nombre o el contenedor arrancará con una contraseña aleatoria que no conocerás.
Configuración de la red: el paso crítico
Tener Pi-hole corriendo en un contenedor no sirve de nada si tus dispositivos no lo utilizan. Para que toda tu casa quede bajo su paraguas, debes acceder al panel de administración de tu router (normalmente en 192.168.1.1 o 192.168.0.1) y buscar los ajustes del servidor DHCP.
Allí, debes cambiar el servidor DNS primario para que apunte a la IP estática de tu servidor doméstico donde corre Docker. De esta forma, cada vez que tu teléfono o tu consola se conecten al WiFi, el router les dirá que consulten a Pi-hole antes de salir a internet.
Por su parte, Pi-hole necesita un servicio al que consultar los dominios legítimos que no están bloqueados (Upstream DNS). Desde su panel de control web (Settings > DNS), es muy recomendable configurar un proveedor rápido y enfocado en la privacidad, como los servidores de Cloudflare (1.1.1.1 y 1.0.0.1).
Un solo cambio en el router basta para que toda la red pase por Pi-hole.
Luces: el silencio del tráfico parásito
Una vez configurado, los resultados son inmediatos. El panel de Pi-hole te mostrará gráficos en tiempo real con todas las peticiones bloqueadas.
El impacto más notable se da en el hardware del hogar inteligente: bombillas, aspiradores y cámaras que realizan miles de peticiones de telemetría a servidores remotos cada día son silenciados por completo sin perder su funcionalidad local. Además, las aplicaciones móviles gratuitas que suelen mostrar banners en la parte inferior o superior de la interfaz dejarán esos espacios en blanco o los reestructurarán, al ser incapaces de descargar el recurso publicitario.
Para potenciar este efecto, puedes ir a Adlists en el panel de Pi-hole y añadir listas comunitarias mantenidas por terceros (como OISD), pasando de los casi 100.000 dominios bloqueados por defecto a varios millones.
Sombras: lo que Pi-hole no puede bloquear
Es fundamental ajustar las expectativas. Pi-hole opera estrictamente a nivel de resolución de nombres (DNS). No inspecciona el contenido de los paquetes ni puede descifrar el tráfico HTTPS. Esto genera dos escenarios problemáticos:
La publicidad inyectada (YouTube y Twitch). Estas plataformas ya no separan sus servidores de vídeo de sus servidores de anuncios: ambos fluyen a través del mismo dominio y la misma CDN. Si Pi-hole bloquea el dominio, te quedas sin anuncio, pero también sin vídeo. Para estas plataformas dependes exclusivamente de bloqueadores a nivel de navegador o de aplicaciones modificadas.
Los enlaces patrocinados en buscadores. Cuando buscas algo en Google, los primeros resultados suelen estar patrocinados. Si haces clic, la redirección pasa por un dominio de seguimiento de Google Ads que está en la lista negra de Pi-hole, y el enlace dará error de carga. Esto obliga a educar a los usuarios de tu red para que ignoren los resultados patrocinados y hagan clic directamente en los orgánicos, algo que puede generar frustración en los perfiles menos técnicos.
Veredicto
Pi-hole es una pieza de software excepcional y una de las implementaciones más agradecidas que puedes hacer en tu servidor local. Aunque no soluciona el problema de plataformas de vídeo como YouTube, limpia agresivamente el ruido de fondo, detiene el rastreo masivo del IoT y protege todos los dispositivos de la red simultáneamente, convirtiéndose en un pilar indispensable para recuperar el control de tu infraestructura doméstica.