Neste exemplo ilustrativo, Linh executa o Pi-hole no Ubuntu Server 24.04 e deseja criptografar as solicitações DNS que o Pi-hole envia para servidores externos. Instale o proxy reverso dnscrypt-proxy, associe-o ao 127.0.0.1:5053servidor de destino, escolha um resolvedor DNS sobre HTTPS (DoH), teste esse proxy local e, em seguida, configure o Pi-hole para usá-lo. Este passo a passo pressupõe que o Pi-hole já esteja instalado e funcionando; o caso de Linh é um exemplo hipotético, não uma instalação real ou um relatório de teste.
O Pi-hole não utiliza DoH diretamente com seu servidor DNS; normalmente, ele encaminha o DNS para um endereço IP e porta. Um proxy local faz a ponte entre os dois protocolos: o Pi-hole envia o DNS padrão para um servidor local privado, e o proxy envia solicitações criptografadas para o servidor DNS selecionado. Neste exemplo, Linh utiliza dnscrypt-proxyo mesmo servidor e mantém seu servidor em loopback, impedindo que outros dispositivos se conectem diretamente a esse proxy.
Evite iniciar uma nova instalação com a cloudflared proxy-dnsreceita antiga. A página atual do Pi-hole sobre o Cloudflare informa que esse recurso foi descontinuado pelo Cloudflare em novembro de 2025 e que novas instalações que o utilizam não são recomendadas. As instruções do Pi-hole para o dnscrypt-proxy oferecem uma alternativa com suporte. A lista de pacotes do Ubuntu Noble atualmente inclui o dnscrypt-proxy dnscrypt-proxy; as versões dos pacotes variam de acordo com a arquitetura e podem mudar conforme as atualizações são publicadas.
Atualize as listas de pacotes do APT e instale o pacote do repositório Noble:
sudo apt update
sudo apt install dnscrypt-proxyO pacote está no componente Universe do Ubuntu. Se o APT não conseguir localizá-lo, verifique se o Universe está habilitado e execute o comando novamente sudo apt update. Não baixe uma versão aleatória de terceiros para contornar um problema de configuração do repositório.
Antes de prosseguir, confirme se o Ubuntu instalou a unidade de socket systemd usada pelo procedimento Pi-hole:
systemctl list-unit-files dnscrypt-proxy.socketA lista de arquivos do pacote Ubuntu Noble inclui dnscrypt-proxy.socket, e as instruções do Pi-hole usam esse socket para fornecer um ouvinte DNS local sem competir com o serviço da porta 53 do próprio Pi-hole.
O serviço DNS FTL do Pi-hole normalmente utiliza a porta 53. Atribua uma porta diferente ao dnscrypt-proxy e configure-o para se conectar apenas ao próprio servidor. Crie uma configuração adicional no systemd:
sudo systemctl edit dnscrypt-proxy.socketAdicione estas linhas ao arquivo de sobrescrita vazio, salve e saia:
[Socket]
ListenStream=
ListenDatagram=
ListenStream=127.0.0.1:5053
ListenDatagram=127.0.0.1:5053As atribuições em branco limpam os listeners originais da porta 53 da unidade de socket antes que os novos endereços sejam adicionados. Manter o listener em `/var/www/html` 127.0.0.1é importante: não o altere para `/ 0.0.0.0var/www/html` nesta configuração de mesmo host, pois isso exporia o proxy em todas as interfaces de rede.
Abra o arquivo de configuração do pacote:
sudo nano /etc/dnscrypt-proxy/dnscrypt-proxy.tomlDefina os seguintes valores, mantendo o restante da configuração original intacto:
listen_addresses = []
server_names = ['cloudflare-security']Uma listen_addresseslista vazia instrui o dnscrypt-proxy a usar a ativação de socket do systemd. O resolvedor Cloudflare Security, mencionado no guia do dnscrypt-proxy do Pi-hole, é o exemplo utilizado; ele aplica a filtragem de malware do resolvedor, além das listas de bloqueio do próprio Pi-hole. Se você preferir outro provedor ou nenhuma filtragem de segurança adicional, escolha um resolvedor DoH atual na lista pública de resolvedores e use o nome exato do servidor. Os nomes e políticas de resolução disponíveis podem mudar, portanto, verifique a entrada atual em vez de copiar um nome desatualizado de uma publicação antiga.
Reinicie o socket e o serviço para que as configurações de substituição e TOML entrem em vigor:
sudo systemctl restart dnscrypt-proxy.socket
sudo systemctl restart dnscrypt-proxy.serviceEm seguida, teste o ouvinte local antes de alterar o servidor upstream do Pi-hole:
dig @127.0.0.1 -p 5053 example.comUma resposta DNS e um código de saída zero indicam que o proxy local respondeu à consulta. Para confirmar se o servidor upstream selecionado utiliza DoH, inspecione as mensagens de serviço recentes e procure pelo resolvedor marcado com um ponto e vírgula (:) OK (DoH).
sudo journalctl -u dnscrypt-proxy.service -n 50 --no-pagerdignão esteja instalado, instale dnsutilso pacote do Ubuntu. Se a consulta expirar ou o log não mostrar um resolvedor DoH, inspecione sudo systemctl status dnscrypt-proxy.socket dnscrypt-proxy.serviceo registro de serviços antes de prosseguir.
Somente após o teste local funcionar, substitua a lista de ouvintes upstream do Pi-hole pelo ouvinte local:
sudo pihole-FTL --config dns.upstreams '["127.0.0.1#5053"]'
sudo systemctl restart pihole-FTL.serviceO valor utiliza o formato personalizado de upstream do Pi-hole: 127.0.0.1é o host local e #5053especifica a porta DNS não padrão. Você também pode inserir 127.0.0.1#5053em Configurações > DNS > Servidores DNS upstream personalizados na interface de administração do Pi-hole. Desmarque os upstreams públicos predefinidos e salve, caso contrário, o Pi-hole poderá continuar enviando algumas solicitações diretamente para eles sem usar DoH.
Consultar o próprio Pi-hole, usando seu endereço LAN em vez de PIHOLE_IP:
dig @PIHOLE_IP example.comConfirme se a pesquisa foi bem-sucedida, se o registro de consultas do Pi-hole mostra a solicitação do cliente e se o status ou os registros do serviço dnscrypt-proxy mostram que o servidor upstream selecionado está acessível. O caminho resultante deve ser: cliente para Pi-hole na sua rede local (LAN), depois Pi-hole para o proxy local e, em seguida, proxy para o resolvedor DoH. Isso criptografa o trecho do servidor para o resolvedor; não criptografa o tráfego DNS comum entre um cliente e o Pi-hole na LAN, não oculta as consultas do resolvedor escolhido nem transforma o Pi-hole em uma VPN.
Para obter detalhes sobre comandos e versões, consulte o guia do dnscrypt-proxy do Pi-hole (datado de 16 de fevereiro de 2026), o aviso de descontinuação do Cloudflare (datado de 12 de fevereiro de 2026), o registro do pacote dnscrypt-proxy do Noble no Ubuntu e a lista pública atual de resolvedores DoH e DNSCrypt . Se algum serviço estiver inativo, não alterne o Pi-hole para o proxy até que o teste de consulta local seja bem-sucedido.
Configure o dnscrypt-proxy como ponte DoH local do Pi-hole no Ubuntu 24.04, com um ouvinte somente para localhost, seleção de resolvedor e verificações antes de trocar o DNS.
Verifique as configurações do touchpad do Ubuntu, confirme o Wayland e teste os gestos de deslizar integrados do GNOME antes de solucionar problemas com aplicativos ou hardware.
Crie e verifique um array de dados RAID 1 de dois discos no Debian 12, formate-o com segurança e configure-o para ser montado após a reinicialização.
Configure a criptografia de chave aleatória para uma partição de swap Debian 12 existente, verifique o mapeamento dm-crypt ativo e compreenda as vantagens e desvantagens da hibernação.
Restrinja as contas SSH do Ubuntu 24.04 a pastas SFTP designadas com chroot, permissões adequadas, regras de correspondência e testes de segurança — sem conceder acesso ao shell.
Descubra qual processo possui o bloqueio do frontend dpkg do Ubuntu, deixe o processamento do pacote terminar e repare instalações interrompidas sem excluir os arquivos de bloqueio.
Configure snapshots agendados do sistema Btrfs no Ubuntu Desktop com o Timeshift, verifique o layout dos subvolumes do Ubuntu, escolha o período de retenção e entenda o que os snapshots não podem proteger.
Planeje uma migração mais segura do Debian 12 para o ambiente de testes: atualize através da versão estável, faça backup, limpe as fontes do APT, simule as alterações de dependências e verifique o que mudou.
Diagnostique o modo de emergência do Ubuntu Server com segurança. Leia os logs de inicialização, verifique as montagens do root e do fstab, repare uma unidade com falha, lide com erros do sistema de arquivos e verifique se a reinicialização foi bem-sucedida.
Configure um servidor VPN WireGuard em Debian 12 para um cliente remoto. Configure chaves, encaminhamento IPv4, NAT com nftables, acesso ao firewall e verificações de conexão.
