Toda la casa protegida
Móviles, teles, consolas y ordenadores, sin instalar nada en cada aparato.
La red de casa, más tranquila
Atrapa los anuncios antes de que entren en casa
Un bloqueador de anuncios, rastreadores y dominios maliciosos para toda la red, sin instalar nada en cada dispositivo.
Sin complicaciones
Empieza en 5 minutos
Cuatro pasos en tu Raspberry Pi o PC Linux. El instalador comprueba todo antes y te dice cómo arreglar lo que falte.
Descarga y comprueba
No cambia nada: revisa Docker, la arquitectura y los puertos. Si el 53 está ocupado, te da el comando exacto para liberarlo.
git clone https://github.com/BertMarti/SHIELD-DNS.git cd SHIELD-DNS && ./install.sh --comprobarInstala
Solo dos preguntas: la contraseña del panel (pulsa Enter y se genera una segura que verás una sola vez) y si quieres las listas recomendadas.
./install.shCambia el DNS del router
En el router, apartado DHCP o LAN, pon como DNS primario la IP de la máquina (ejemplo:
192.168.1.50) y deja el secundario vacío.Compruébalo
Desde otro equipo de casa, este dominio de anuncios debe responder
0.0.0.0:nslookup doubleclick.net 192.168.1.50
La idea sencilla
¿Qué es SHIELD-DNS?
Se instala una vez en una Raspberry Pi o un PC Linux y protege los dispositivos de toda la casa.
DNS independiente
Pi-hole v6 filtra y Unbound resuelve por su cuenta con DNSSEC, sin depender de Google ni del operador.
Lo puedes ver
El panel de Pi-hole enseña consultas, bloqueos y estadísticas para entender qué ocurre.
Gratis y autoalojado
El código tiene licencia MIT y tus datos se quedan en tu propia máquina.
El viaje de una consulta
Cómo funciona
SHIELD-DNS decide qué consultas salen a Internet y cuáles se quedan en la puerta.
Cualquier dispositivomóvil, tele o consola
Pi-holefiltra el DNS
Anuncio o rastreadorbloqueado · 0.0.0.0
Dominio permitidoUnbound + DNSSEC → Internet
Sin magia negra
Instalar, paso a paso
Los valores son ejemplos de una red ficticia: 192.168.1.50 es la máquina y 192.168.1.1 el router.
01
Comprueba los requisitos
Raspberry Pi o PC Linux con Docker, puerto 53 libre e IP fija en casa. Ejemplo: 192.168.1.50. Tras clonar, ./install.sh --comprobar lo revisa todo sin cambiar nada.
02
Prepara la máquina
sudo apt update && sudo apt install -y git openssl03
Clona e instala
mkdir -p ~/homelab && cd ~/homelab
git clone https://github.com/BertMarti/SHIELD-DNS.git
cd SHIELD-DNS
./install.sh04
Abre el panel
Visita https://192.168.1.50:8443/admin, acepta el aviso del certificado propio y consulta la contraseña con:
grep PIHOLE_PASSWORD .env05
Ponlo como DNS
En el router, dentro de DHCP/LAN, usa 192.168.1.50 como DNS. No pongas un DNS secundario externo, porque permitiría saltarse el bloqueo. También puedes configurarlo en un dispositivo concreto.
06
Comprueba que funciona
nslookup doubleclick.net 192.168.1.50
nslookup example.com 192.168.1.50La primera consulta debe dar 0.0.0.0 y la segunda una IP normal. Nunca abras el puerto 53 ni el panel en el router.
¿Quieres instalar todo el ecosistema?
curl -fsSL https://raw.githubusercontent.com/BertMarti/ARIA/main/instalar-todo.sh | bash
El día a día
Usar SHIELD-DNS
El panel te permite observar y corregir el bloqueo sin tocar cada dispositivo.
Ver lo que ocurre
Abre Dashboard o Query Log para ver consultas y bloqueos.
Permitir un dominio
Si algo se rompe, busca su consulta en Query Log y elige permitir.
Pausar un rato
En el panel puedes desactivar el bloqueo indefinidamente, 10 segundos, 30 segundos, 5 minutos o un tiempo personalizado.
Nombres locales
El instalador prepara aria.lan para resolver nombres dentro de casa.
El bloqueo por DNS no quita todos los anuncios: algunos anuncios de vídeo comparten dominio con el contenido. El DNS privado del móvil o un DNS IPv6 del operador también pueden saltárselo.
Todo en un mismo lugar
SHIELD-DNS con ARIA y HEIMDALL
ARIA convierte el filtro en una pieza fácil de consultar y HEIMDALL lo lleva contigo fuera de casa.
¿Qué añade ARIA?
- Estadísticas en el Centro de control y pausas de 5, 30 o 60 minutos.
- Preguntas en el chat como «¿cuántos anuncios has bloqueado hoy?» y
/bloqueoen Telegram. - Resumen diario, informe semanal y aviso si SHIELD-DNS deja de responder.
- Control parental por dispositivo con servicios y horarios.
- Es bloqueo DNS: no puede parar un DNS fijado a mano, todo el DNS cifrado ni una VPN.
ARIA
Asistente y panel central.
SHIELD-DNS
Pi-hole y Unbound para bloquear.
HEIMDALL
VPN WireGuard para salir protegido.
Cuando algo no encaja
Preguntas frecuentes
El puerto 53 está ocupado
Ejecuta ./install.sh --comprobar: te dice qué lo ocupa y el comando exacto para liberarlo. En Ubuntu y Debian suele ser systemd-resolved; el arreglo es desactivar su DNSStubListener, y el instalador te da las cuatro órdenes listas para copiar.
La casa se queda sin internet
Revisa los contenedores y sus logs. Mientras lo arreglas, devuelve temporalmente al router el DNS anterior.
No se bloquean anuncios
Confirma que el dispositivo recibe 192.168.1.50, desactiva DNS privado, revisa IPv6 y mira Query Log.
Una web o aplicación deja de funcionar
Busca el dominio en Query Log y permítelo desde el panel solo si confías en él.
He olvidado la contraseña
Está en el archivo .env. Consulta grep PIHOLE_PASSWORD .env.
¿Funciona en Windows?
No es recomendable: exponer DNS a toda la red suele dar problemas con Windows, WSL2 y Docker Desktop.
¿Es gratis?
Sí. Es autoalojado y tiene licencia MIT.
¿Cómo hago copias de seguridad?
Ejecuta ./backup.sh y guarda la copia fuera de la máquina.
