Guia 1 de 2 · Windows 10 e 11

AdGuard Home no Windows

O “Pi-hole do Windows”: um bloqueador de DNS que roda como serviço do próprio Windows. Uns 20 minutos, sem comprar nada.

No fim deste guia o seu PC pergunta tudo pra um bloqueador que roda nele mesmo, com as listas que pegam os domínios do ataque do vídeo. Você vai ter um painel pra ver o que foi bloqueado e um jeito de desfazer tudo em um minuto.

Antes de começar

Windows 10 ou 11, 64 bits, com uma conta de administrador.
Se você usa VPN (Surfshark e afins), desligue durante a instalação. Com ela ligada, o Windows usa o DNS da VPN e o teste não mostra nada.
Leia o botão de pânico antes. Saber desfazer é o que deixa a gente mexer com calma.

00Uma decisão: só este PC, ou a casa toda?

Modo A, só este PC (recomendado). Só o próprio computador usa o bloqueador, e o painel fica acessível só nele. Não tem configuração de roteador. É o que o guia faz por padrão.

Modo B, a casa toda. O roteador manda todos os aparelhos perguntarem pro seu PC. Funciona. Só que se o PC desligar, dormir ou reiniciar pra atualizar, a casa inteira fica sem internet. Se é isso que você quer, o Raspberry Pi é a ferramenta certa. O Modo B está no fim, num bloco fechado, pra quem tiver um PC que nunca desliga.

01Instalar

Passo 1

Baixar

Na página de versões do AdGuard Home no GitHub, baixe o arquivo AdGuardHome_windows_amd64.zip. Se o seu notebook for ARM (Snapdragon), pegue o windows_arm64.

github.com/AdguardTeam/AdGuardHome/releases/latest (a versão testada aqui é a v0.107.79)

Passo 2

Extrair pra uma pasta fixa

Extraia o zip e deixe a pasta em C:\AdGuardHome, com o AdGuardHome.exe direto dentro dela. Não deixe em Downloads nem na Área de Trabalho: o serviço roda a partir dessa pasta, e as configurações ficam salvas ali.

Passo 3

Instalar como serviço do Windows

Clique com o botão direito no menu Iniciar e escolha a opção do Terminal ou do PowerShell que tem Admin ou Administrador no nome. Se não achar, pesquise “PowerShell” no menu Iniciar, clique com o botão direito e escolha Executar como administrador. Todos os comandos deste guia são pro PowerShell. Depois cole:

cd C:\AdGuardHome
.\AdGuardHome.exe -s install

Isso registra o AdGuard Home como serviço: ele liga sozinho junto com o Windows, mesmo sem ninguém logado. Pra conferir se está rodando:

.\AdGuardHome.exe -s status

Se o Windows perguntar se o programa pode acessar a rede, clique em Cancelar. No Modo A ninguém da rede precisa falar com ele, e o próprio PC continua conseguindo. O Modo B explica como liberar depois.

02Configurar pelo assistente

Passo 4

Abrir o assistente

No navegador, abra http://127.0.0.1:3000 e clique em Começar. A tela já vem em português.

Passo 5

Onde ele escuta

A segunda tela tem duas partes: Interface web de administrador (o painel) e Servidor DNS (o bloqueador).

Painel: troque Todas interfaces pela opção que termina em 127.0.0.1. Assim só este PC abre o painel.
Servidor DNS: deixe em Todas interfaces. Parece contraintuitivo, mas é o que faz ele responder também no endereço IPv6 do próprio PC (::1), que o passo 9 usa. Escolhendo só o 127.0.0.1, o IPv6 fica sem resposta e o Windows pergunta pro roteador por fora.

Deixe as portas como estão (80 e 53) e clique em Próximo.

Tela 2 de 5 do assistente do AdGuard Home: interface web na porta 80 e servidor DNS na porta 53 — Passo 2/5 do assistente. Os endereços aqui são de uma máquina de teste. No seu PC a lista mostra as suas placas de rede.

Se aparecer erro dizendo que a porta 80 está em uso, troque a porta do painel pra 8080. Erro na porta 53 tem solução nos problemas comuns.

Passo 6

Usuário e senha do painel

Crie um usuário e uma senha. Anote: é com eles que você entra no painel depois. Na tela de dispositivos, só clique em Próximo (a configuração do Windows está no passo 9). No fim, clique em Abrir painel.

Tela de autenticação do assistente com usuário e senha — Passo 3/5: usuário e senha do painel.

Daqui pra frente, o painel fica em http://127.0.0.1 (ou http://127.0.0.1:8080, se você trocou a porta).

Passo 7

Ligar as listas certas

No painel, vá em Filtros → Listas de bloqueio de DNS → Adicionar lista de bloqueio → Escolha na lista. Marque estas duas e clique em Salvar:

Em Geral: HaGeZi's Pro Blocklist
Em Segurança: HaGeZi's Threat Intelligence Feeds

Catálogo de listas com HaGeZi's Pro Blocklist marcada na seção Geral — Seção Geral: HaGeZi's Pro Blocklist marcada.

Seção Segurança com HaGeZi's Threat Intelligence Feeds marcada — Seção Segurança: só a Threat Intelligence Feeds. A “Encrypted DNS/VPN/TOR/Proxy Bypass”, logo acima dela, fica desmarcada.

Não marque a “Encrypted DNS/VPN/TOR/Proxy Bypass”

Ela bloqueia os serviços de VPN. Eu liguei essa lista no meu Pi-hole e o Tailscale parou de funcionar pra todo mundo da casa. As duas acima já bastam.

Pode deixar a AdGuard DNS filter, que já vem ligada. Ela não atrapalha, só não é suficiente sozinha. Depois de salvar, a tabela fica assim:

Tabela de listas ativas: AdGuard DNS filter, HaGeZi's Pro Blocklist e HaGeZi's Threat Intelligence Feeds marcadas — Três listas ativas, quase 2 milhões de regras somadas. Elas se atualizam sozinhas uma vez por dia.

Passo 8

Conferir o “DNS seguro” do navegador

Chrome, Edge e Firefox têm uma opção de DNS próprio que passa por cima do Windows. Se ela estiver apontando pra um provedor, o bloqueador não vê nada desse navegador.

Chrome e Edge: em Configurações, procure por DNS seguro. Deixe desligado ou com o provedor de serviços atual.
Firefox: em Configurações, procure por DNS via HTTPS. Deixe em Desativado ou na proteção padrão. A proteção maior ou máxima passa por cima do bloqueador.

03Ligar no Windows

Passo 9

Mandar o Windows perguntar pro bloqueador

Abra Configurações → Rede e Internet → Wi-Fi (ou Ethernet) e entre na conexão que você usa. Em Atribuição de servidor DNS, clique em Editar e escolha Manual.

Ligue o IPv4. Em DNS preferencial, coloque 127.0.0.1.
Ligue o IPv6. Em DNS preferencial, coloque ::1 (é o “127.0.0.1” do IPv6).
Deixe o DNS alternativo vazio, e qualquer opção de criptografia desligada. Clique em Salvar.

Se o PC usa Wi-Fi e cabo em momentos diferentes, faça nos dois.

Por que deixar o alternativo vazio

Com um 8.8.8.8 de alternativo, o Windows às vezes pergunta pra ele em vez do bloqueador, e o anúncio passa. O preço de deixar vazio: se o AdGuard Home parar, este PC fica sem internet até você religar o serviço ou usar o botão de pânico.

Passo 10

Testar

No Terminal (não precisa ser admin), cole:

nslookup doubleclick.net
nslookup logger.controlium.net
nslookup g1.globo.com

Os dois primeiros têm que voltar 0.0.0.0. O terceiro volta um endereço normal. Depois navegue um pouco num site com anúncio e abra Registro de consultas no painel:

Registro de consultas mostrando domínios de anúncio bloqueados pela HaGeZi's Pro Blocklist e sites normais processados — Em vermelho, o que foi bloqueado e por qual lista. Repare no `logger.controlium.net`, que é um servidor do ataque. No seu PC, o cliente aparece como 127.0.0.1.

O Painel mostra o resumo: quantas consultas, quantas bloqueadas e quais domínios mais aparecem.

Painel do AdGuard Home com consultas de DNS e bloqueios — O painel depois de alguns minutos de uso.

04Manutenção

Quase nenhuma. As listas se atualizam sozinhas uma vez por dia. Quando sair versão nova do AdGuard Home, aparece um aviso no topo do painel com o botão Atualizar agora, que faz tudo e guarda um backup da versão anterior. O servidor que responde o que não está bloqueado já vem configurado com o Quad9, com criptografia.

Se um site ou app quebrar, abra o Registro de consultas, ache a linha bloqueada daquele momento e clique em Desbloquear. Pra uma pausa rápida, o botão Desativar proteção no topo do painel desliga o bloqueio por um tempo.

Botão de pânico: voltar como era

Se a internet do PC parar e você não quiser investigar agora:

Configurações → Rede e Internet → sua conexão → Atribuição de servidor DNS → Editar → Automático (DHCP) → Salvar.
Pronto: o PC volta a usar o DNS da operadora. O AdGuard Home continua instalado, só não está sendo usado.

05Problemas comuns

Fiquei sem internet depois do passo 9

Quase sempre é o serviço parado. No Terminal (Admin):

cd C:\AdGuardHome
.\AdGuardHome.exe -s status
.\AdGuardHome.exe -s start

Se não subir, use o botão de pânico e veja o erro no Visualizador de Eventos do Windows (os logs do serviço vão pra lá).

O assistente diz que a porta 53 está em uso

Algum outro programa já é servidor de DNS no seu PC. Pra descobrir qual, no Terminal (Admin):

netstat -ano | findstr ":53 "
tasklist /fi "PID eq 1234"

Troque 1234 pelo número da última coluna do primeiro comando. Os suspeitos de sempre são o Hotspot móvel ou o Compartilhamento de Internet do Windows, o Docker Desktop ou WSL e programas de VPN. Feche ou desligue o culpado e tente de novo.

Nada aparece como bloqueado

Uma VPN está ligada: ela traz o próprio DNS.
O “DNS seguro” do navegador está apontando pra um provedor (passo 8).
O DNS alternativo ficou preenchido, ou você configurou o Wi-Fi e está no cabo (passo 9).
O Windows guardou respostas antigas. Rode ipconfig /flushdns e teste de novo.

Um site ou app parou de funcionar

Abra o Registro de consultas logo depois de tentar usar o site e filtre por Bloqueado. Na linha do domínio do site, clique em Desbloquear. Se não achar, use Desativar proteção por 1 minuto pra confirmar que é o bloqueador.

Esqueci a senha do painel

O jeito mais simples é refazer o assistente, que leva 5 minutos. No PowerShell como administrador:

cd C:\AdGuardHome
.\AdGuardHome.exe -s stop
Rename-Item AdGuardHome.yaml AdGuardHome.yaml.antigo
.\AdGuardHome.exe -s start

Abra de novo http://127.0.0.1:3000 e refaça a partir do passo 4. As listas você liga de novo no passo 7.

Desinstalar

Faça o botão de pânico primeiro (DNS de volta pra automático).
No Terminal (Admin): cd C:\AdGuardHome e depois .\AdGuardHome.exe -s uninstall.
Apague a pasta C:\AdGuardHome.

06Modo B: a casa toda pelo PC

Só se o PC fica ligado 24 horas. Leia tudo antes.

Aqui o roteador passa a mandar todos os aparelhos perguntarem pro seu PC. Precisa de três coisas:

O PC nunca dorme. Em Configurações → Sistema → Energia, a suspensão com o PC na tomada fica em Nunca. Atualização do Windows que reinicia de madrugada derruba a casa por alguns minutos.
O PC tem endereço fixo. No roteador, procure por reserva de DHCP (às vezes aparece como “IP fixo” ou “DHCP estático”) e reserve um endereço pro PC. Anote, por exemplo 192.168.1.50.
O firewall deixa a rede perguntar. O servidor DNS já escuta todas as interfaces desde o passo 5. Pesquise “Firewall” no menu Iniciar, abra a opção de permitir um aplicativo pelo firewall e marque o AdGuard Home em Privada (se ele não estiver na lista, adicione o C:\AdGuardHome\AdGuardHome.exe). Confira também que a rede de casa está como Rede privada nas propriedades da conexão.

Depois, no roteador, coloque o endereço do PC como DNS primário na configuração de DHCP ou LAN. Se você deixar um DNS secundário público, a casa não cai quando o PC desliga, mas parte dos anúncios escapa. Sem secundário, bloqueia tudo, mas a casa depende do PC. A escolha é sua, e é por isso que o Raspberry Pi existe.

Roteador de operadora que não deixa trocar o DNS, IPv6 escapando, celular que não pega: está tudo no guia do Raspberry. O lado do roteador é igual nos dois.

Fontes

AdGuard Home: getting started (instalação no Windows, comandos -s, atualização)
AdGuard Home no GitHub: versões
HaGeZi DNS blocklists