LammerOnline

Установка AdGuard Home в контейнере на MikroTik RouterOS 7 Пошаговая инструкция по установке и настройке AdGuard Home непосредственно на MikroTik с использованием Container 1. Введение
AdGuard Home — локальный DNS-сервер, который позволяет блокировать рекламу, трекеры, вредоносные и нежелательные домены сразу для всей домашней сети.
Если ваш MikroTik поддерживает Container, отдельный сервер, Raspberry Pi или виртуальная машина для AdGuard Home не нужны — его можно запустить непосредственно на роутере.
Схема работы будет примерно такой: В результате все устройства домашней сети смогут использовать единый DNS-фильтр.

2. Что потребуется
Перед установкой необходимо:

• MikroTik с RouterOS 7;
• архитектура устройства, поддерживающая Container;
• установленный пакет container;
• USB-накопитель, SSD или другое хранилище;
• доступ MikroTik к интернету;
• доступ к терминалу RouterOS через WinBox, WebFig или SSH.

Важно:
Не рекомендуется хранить контейнер AdGuard Home во внутренней Flash-памяти роутера. AdGuard ведёт статистику, журналы DNS-запросов и периодически записывает данные на диск.
Лучше использовать USB-накопитель или SSD.
Проверить архитектуру и версию RouterOS: В списке пакетов должен присутствовать: 3. Включаем Container Mode
На актуальных версиях RouterOS разрешаем использование контейнеров: RouterOS запросит физическое подтверждение изменения Device Mode.
Следуйте сообщению в терминале — в зависимости от модели потребуется нажать кнопку Reset/Mode либо выполнить другое физическое подтверждение.
После этого проверяем: Должно быть: 4. Проверяем накопитель
Посмотрим доступные диски: В этом гайде будем считать, что USB-накопитель в RouterOS называется: ВАЖНО: на вашем MikroTik имя накопителя может отличаться.
Например: Во всех командах ниже замените usb1 на имя своего накопителя.
Для контейнеров желательно использовать файловую систему ext4.
[warning]Форматирование полностью удалит данные с выбранного накопителя. Не форматируйте диск, пока не убедитесь, что выбрали правильное устройство.[/warning]

5. Настраиваем Container Registry
Укажем Docker Hub как источник образов: Создавать tmpdir вручную на современных версиях RouterOS обычно не требуется, но каталог должен находиться на накопителе с достаточным свободным местом.
Проверяем: 6. Создаём виртуальный интерфейс для AdGuard Home
Контейнеру потребуется собственный VETH-интерфейс.
В этом примере используем отдельную сеть: MikroTik: AdGuard Home: Создаём VETH: Теперь создаём отдельный bridge: Назначаем адресу bridge IP: Проверяем: 7. Даём контейнеру доступ в интернет
Если стандартное правило masquerade уже распространяется на эту сеть, дополнительное правило может не понадобиться.
В противном случае добавляем: После запуска контейнера можно будет проверить его доступ к сети.

8. Создаём постоянное хранилище AdGuard Home
AdGuard Home использует два важных каталога: В них находятся конфигурация, база, статистика и рабочие данные.
Чтобы они не исчезали при пересоздании контейнера, подключим их через RouterOS Mount.
Создаём Mount для конфигурации: Создаём Mount для рабочих данных: Проверяем: Должны появиться: 9. Скачиваем контейнер AdGuard Home
Используем официальный Docker-образ: Добавляем контейнер: Примечание:
Скачивание и распаковка образа на MikroTik могут занять некоторое время. Особенно долго это происходит на слабых моделях и медленных USB-накопителях.
Следить за процессом можно командами: После завершения установки контейнер должен появиться в: 10. Запускаем AdGuard Home
Посмотрим номер контейнера: Если AdGuard имеет номер 0: Либо можно запускать контейнер через его имя/идентификатор, отображаемый RouterOS.
Проверяем: Контейнер должен перейти в состояние: Посмотреть сообщения контейнера: 11. Открываем мастер настройки AdGuard Home
При первом запуске AdGuard Home запускает мастер первоначальной настройки на TCP-порту: Поэтому открываем с компьютера: Важно:
Никакой Docker-style проброс портов в данном варианте не нужен.
Контейнер имеет собственный IP: Поэтому клиенты локальной сети обращаются непосредственно к этому адресу, если правила Firewall разрешают такой трафик.

12. Настраиваем мастер AdGuard Home
В мастере первоначальной настройки выбираем интерфейс прослушивания.
Для DNS можно использовать: DNS-порт: Для Web-интерфейса можно оставить стандартные параметры или выбрать удобный порт.
Создаём:

• имя администратора;
• надёжный пароль.

После завершения мастер перезапустит Web-интерфейс.

13. Настраиваем Upstream DNS
Открываем:
Settings → DNS settings
В качестве обычных DNS, например: Либо можно использовать DNS-over-HTTPS.
Например Cloudflare: После сохранения желательно выполнить проверку Upstream DNS Servers непосредственно из интерфейса AdGuard Home.

14. Настраиваем MikroTik DHCP
Теперь необходимо сообщить клиентам локальной сети, что DNS-сервер находится по адресу: Сначала смотрим DHCP Networks: Например, если наша LAN: можно выполнить: Замените: на адрес своей локальной сети.
После этого клиентам потребуется обновить DHCP lease.
Самый простой вариант — отключить и снова включить Wi-Fi/сетевой интерфейс.
В Windows можно выполнить: Проверяем: В качестве DNS должен отображаться: 15. Вариант: MikroTik сам использует AdGuard Home
При необходимости можно указать AdGuard Home в качестве DNS для самого MikroTik: Однако здесь важно не создать DNS-петлю.
Например, если AdGuard использует MikroTik как Upstream DNS, а MikroTik одновременно использует AdGuard, получится: Поэтому Upstream DNS в AdGuard Home должен быть внешним DNS-сервером.
Например: 16. Принудительное перенаправление DNS через AdGuard
Этот пункт необязательный.
Некоторые устройства могут игнорировать DNS, полученный через DHCP, и использовать, например: Обычные DNS-запросы TCP/UDP 53 можно принудительно перенаправить на AdGuard.
Например, для LAN: добавляем: Замените: на свою LAN-подсеть.
Обратите внимание:
Эти правила перехватывают обычный DNS на порту 53, но не блокируют автоматически DNS-over-HTTPS (DoH) и DNS-over-TLS (DoT).

17. Firewall
Если используется стандартный строгий Firewall MikroTik, необходимо убедиться, что LAN-клиентам разрешено обращаться к сети контейнеров.
Нам как минимум нужен доступ: и для администрирования: Конкретные правила зависят от существующей конфигурации Firewall, поэтому бездумно вставлять универсальные ACCEPT-правила не рекомендуется.
Очень важно:
Не открывайте DNS AdGuard Home в интернет.
Публично доступный UDP/TCP 53 может превратить ваш роутер в открытый DNS resolver.

18. Проверяем работу DNS
На Windows: Если всё работает, получим IP-адрес Google.
Также можно проверить обычный запрос: DNS Server должен соответствовать AdGuard Home либо выбранной вами схеме DNS.
После этого открываем Web-интерфейс AdGuard Home.
В разделе:
Query Log
должны появляться DNS-запросы клиентов.

19. Добавляем фильтры
Переходим:
Filters → DNS blocklists
AdGuard Home уже имеет базовые возможности фильтрации.
Не стоит сразу добавлять десятки огромных списков.
Для MikroTik особенно важно помнить, что AdGuard работает непосредственно на роутере и использует его:

• RAM;
• CPU;
• дисковое пространство.

Лучше начать с 1–3 качественных списков и посмотреть нагрузку.

20. Ограничиваем размер Query Log и статистики
Если контейнер работает с USB-флешки, желательно не хранить чрезмерное количество статистики.
В настройках AdGuard Home можно уменьшить период хранения:
Settings → General settings
Это снизит объём записей и расход места.
Для постоянной работы контейнеров предпочтительнее хороший USB SSD, чем дешёвая флешка.

21. Обновление AdGuard Home
Контейнеры на MikroTik отличаются от обычного Docker.
Для обновления безопаснее сохранить каталоги: а затем загрузить свежий образ и пересоздать контейнер, снова подключив существующие Mount.
Именно поэтому конфигурацию и рабочие данные мы вынесли из: в отдельные каталоги.
Таким образом: 22. Полезные команды
Посмотреть контейнеры: Посмотреть подробную информацию: Запустить контейнер: Остановить: Посмотреть VETH: Проверить Mount: Посмотреть логи: Следить за логом в реальном времени: Проверить адреса: Проверить маршруты: Проверить DNS MikroTik: 23. Типичные проблемы
Проблема №1: контейнер не скачивается
Проверяем: У MikroTik должен быть рабочий интернет и DNS.
---
Проблема №2: AdGuard запущен, но 172.18.0.2 недоступен
Проверяем: VETH должен находиться в bridge-containers.
---
Проблема №3: AdGuard работает, но клиенты не имеют интернета
Сначала проверяем DNS: Затем смотрим: ---
Проблема №4: ошибка при добавлении mounts
Mount должны быть сначала созданы: После этого их имена передаются контейнеру: ---
Проблема №5: после обновления/пересоздания пропали настройки
Проверьте, что конфигурация действительно вынесена через Mount: Если данные хранились только внутри root-dir контейнера, при его удалении они также могут быть потеряны.
24. Итоговая схема
В результате получаем: DNS-запрос проходит: 25. Краткий результат
После выполнения настройки мы получаем:

• AdGuard Home непосредственно на MikroTik;
• отдельный IP контейнера;
• DNS-фильтрацию для всей локальной сети;
• блокировку рекламы и трекеров;
• Web-интерфейс AdGuard Home;
• сохранение конфигурации вне root контейнера;
• автоматический запуск AdGuard после перезагрузки MikroTik;
• возможность принудительно направлять обычный DNS клиентов через AdGuard.

Главное преимущество такой схемы — для сетевой DNS-фильтрации не требуется отдельный компьютер или сервер. Всё работает непосредственно на MikroTik.
Готово! AdGuard Home работает в Container на MikroTik RouterOS 7.