Adblocking interno con Tailscale: ¿Qué resolvers funcionan con apps que muestran anuncios?

Tailscale ha vuelto a ponerse al frente de la conversación sobre bloqueos de anuncios cuando un usuario de /r/selfhosted compartió su experiencia usando la antigua dirección de ControlD para filtrar DNS dentro de la red de Tailscale.

El mensaje original plantea una pregunta concreta: si se cambia a un resolver diferente – Technitium, PiHole, AdGuard Home o NextDNS – ¿podrán bloquear los anuncios que aparecen dentro de las propias aplicaciones, como los de Google AdMob?

¿Cómo funciona el bloqueado de DNS en Tailscale?

Tailscale expande la capa de VPN a un contenedor de DNS que se aplica a todo el tráfico interno. Cuando la resolución de nombres se dirige a un servidor con listas negras de dominios, cualquier solicitud de un cliente que intente acceder a un anuncio termina en una respuesta bloqueada o redirigida a un sitio neutro.

Para que esto funcione con los anuncios incrustados en apps, el resolver debe:

1. Tener una lista actualizada de dominios de anuncios.
2. Responder con un registro NXDOMAIN o a una dirección local (por ejemplo 0.0.0.0).
3. Operar en modo “proxy” para que las apps que usan HTTP/HTTPS se vean obligadas a usar la resolución interna.

ControlD ya cumplía con esos requisitos, pero su servicio gratuito está limitado y la comunidad busca alternativas de código abierto.

Evaluando las opciones

• Technitium DNS: open source, permite listas negras personalizadas y soporte para DNS over HTTPS. Su interfaz de administración facilita la incorporación de listas de bloqueo.
• PiHole: muy popular en entornos domésticos y empresariales. Su motor de bloqueo es sólido y se integra con Tailscale mediante la configuración de Tailscale DNS para usar la IP local del PiHole.
• AdGuard Home: similar a PiHole, con un enfoque más centrado en la privacidad y filtros más extensos. También soporta DNS over TLS y una API de gestión.
• NextDNS: servicio basado en la nube con opciones de configuración avanzada. Permite crear perfiles específicos para dispositivos y bloquea anuncios a nivel de DNS.

La diferencia clave entre estos resolvers es la facilidad de actualización de listas y la velocidad de respuesta. PiHole y AdGuard Home ofrecen actualizaciones automáticas mediante pihole -up o la API de AdGuard Home, mientras que Technitium requiere un script manual.

Implementación práctica

1. Instala el resolver de tu preferencia en un contenedor Docker o en un servidor físico.
2. Asegúrate de que el servicio escuche en la IP interna de tu red Tailscale.
3. En la consola de Tailscale, navega a DNS > Custom y agrega la dirección IP del resolver.
4. Verifica con nslookup o dig desde un cliente Tailscale que los dominios de anuncios devuelvan NXDOMAIN.

Si todo está configurado, las apps que consulten AdMob o cualquier otro proveedor de anuncios se verán forzadas a resolver esos dominios a través del bloqueador. El resultado es una experiencia libre de anuncios incluso dentro de aplicaciones que normalmente evitan filtros de navegador.

Consideraciones finales

• Compatibilidad: Todos los resolvers mencionados son compatibles con Tailscale, siempre y cuando se exponga su IP interna.
• Rendimiento: PiHole y AdGuard Home suelen responder más rápido que los servicios basados en la nube, porque los paquetes no viajan a través de un túnel externo.
• Mantenimiento: PiHole y AdGuard Home requieren actualizaciones periódicas de listas para mantener la efectividad.
• Privacidad: Los resolvers locales no exponen tus consultas a terceros, lo que puede ser un requisito de cumplimiento en entornos corporativos.

En conclusión, cambiar a Technitium, PiHole, AdGuard Home o NextDNS no solo es viable, sino recomendable si buscas un control granular y sin dependencias externas. La elección depende del balance entre facilidad de administración, velocidad y políticas de privacidad de tu organización.

El mensaje original en Reddit