OpenWrt + MosDNS + AdGuard Home 全网去广告搭建教程

1. 〇 · 教程说明与最终效果
2. 一 · 前置条件与网络架构
3. 第 1 步 · 确认 MosDNS 就绪
4. 第 2 步 · MosDNS 黑名单拦截广告域名
5. 第 3 步 · 安装并启用 AdGuard Home
6. 第 4 步 · AGH 上游指向 MosDNS + 配置规则库
7. 第 5 步 · nft 劫持全网 53 端口到 AGH
8. 第 6 步 · 守护脚本与开机自启
9. 第 7 步 · 统计持久化与每周自动清零
10. 第 8 步 · 修改 AGH 面板密码
11. 第 9 步 · 给 LuCI 挂真证书上 HTTPS（可选）
12. 避坑 · 为什么这张证书不能直接给 AGH 原生 TLS 用
13. 验收 · 最终验收清单
14. 回滚 · 回滚手册
15. FAQ · 常见问题
16. 附录 · 本次改动文件清单（真机现状）

opkg update
opkg install luci-app-mosdns luci-i18n-mosdns-zh-cn

uci set mosdns.config.cache='1'
uci set mosdns.config.lazy_cache_ttl='259200'
uci set mosdns.config.stats_dump_file='1'
uci set mosdns.config.stats_dump_interval='120'
uci commit mosdns
/etc/init.d/mosdns restart

cat > /usr/bin/mosdns-patch.sh <<'EOF'
#!/bin/sh
# luci-app-mosdns 劫持补丁自动恢复：优先级 -110 + TCP/UDP 双协议劫持
INIT=/etc/init.d/mosdns
changed=0

# 补丁 1：nft 钩子优先级排在 passwall 之前
grep -q 'priority -110' "$INIT" || {
    sed -i 's/priority -95/priority -110/' "$INIT" && changed=1
}

# 补丁 2：劫持规则同时匹配 TCP 和 UDP
grep -q 'meta l4proto { tcp, udp } th dport 53' "$INIT" || {
    sed -i 's/meta nfproto { ipv4, ipv6 } udp dport 53 counter redirect/meta nfproto { ipv4, ipv6 } meta l4proto { tcp, udp } th dport 53 counter redirect/' "$INIT" && changed=1
}

if [ "$changed" -eq 1 ]; then
    logger -t mosdns-patch "检测到补丁丢失，已自动恢复并重启 mosdns"
    /etc/init.d/mosdns restart
fi
EOF
chmod +x /usr/bin/mosdns-patch.sh
/usr/bin/mosdns-patch.sh

# 端口在监听
netstat -lnp | grep -E '5335|9091'
# 期望两行：mosdns ... :::5335 和 mosdns ... 127.0.0.1:9091

# 劫持规则已带 -110 和 tcp,udp
nft list chain inet fw4 dstnat 2>/dev/null | grep -n 'dport 53' || nft list ruleset | grep 'dport 53'

# 真实解析测试
nslookup www.baidu.com 192.168.11.253

cp /etc/mosdns/rule/blocklist.txt /etc/mosdns/rule/blocklist.txt.bak.$(date +%Y%m%d)

cat >> /etc/mosdns/rule/blocklist.txt <<'EOF'
# Pangle/CSJ adblock 2026-09-28
domain:pangle.io
domain:pangolin-sdk-toutiao.com
domain:csjbi.com
domain:ad.oceanengine.com
domain:analytics.oceanengine.com
domain:lad.oceanengine.com
domain:pglstatp-toutiao.com
domain:dsp.toutiao.com
domain:isplusurl.com
EOF

/etc/init.d/mosdns restart

cat >> /etc/mosdns/rule/blocklist.txt <<'EOF'
# Huya ad/tracking block 2026-09-28
domain:e-ad-monitor.huya.com
domain:e-stat.huya.com
domain:metric.huya.com
domain:ylog.huya.com
domain:udblog.huya.com
domain:statwup.huya.com
domain:stat.wup.huya.com
domain:l.web.huya.com
domain:df.huya.com
EOF

/etc/init.d/mosdns restart

nslookup ad.oceanengine.com 192.168.11.253
# 期望：Address 返回 0.0.0.0

nslookup e-ad-monitor.huya.com 192.168.11.253
# 期望：0.0.0.0

nslookup www.huya.com 192.168.11.253
# 期望：正常 IP（功能域没被误伤）

nslookup udblgn.huya.com 192.168.11.253
# 期望：正常 IP（登录域没被误伤）

# 某域名被误拦：往白名单加一行（白名单优先于黑名单，立即生效）
echo 'domain:被误拦的域名.com' >> /etc/mosdns/rule/whitelist.txt
/etc/init.d/mosdns restart

# 整体回滚：用备份覆盖
cp /etc/mosdns/rule/blocklist.txt.bak.20260928 /etc/mosdns/rule/blocklist.txt
/etc/init.d/mosdns restart

opkg update
opkg install luci-app-adguardhome luci-i18n-adguardhome-zh-cn

uci set AdGuardHome.AdGuardHome.enabled='1'
uci commit AdGuardHome
/etc/init.d/AdGuardHome enable
/etc/init.d/AdGuardHome start

# 验证进程与端口
pidof AdGuardHome
netstat -lnp | grep 5553

netstat -lnp | grep -E '5553|3000'
# 期望：AdGuardHome 监听 :::5553 和 :::3000

nslookup www.baidu.com 192.168.11.253:5553
# 直接问 AGH，此时它还没有上游规则，能答即算活着

127.0.0.1:5335

dns:
  bind_hosts:
    - 0.0.0.0
  port: 5553
  anonymize_client_ip: false
  ratelimit: 0
  refuse_any: false
  upstream_dns:
    - 127.0.0.1:5335
  bootstrap_dns:
    - 223.5.5.5
    - 119.29.29.29
  fallback_dns: []
  upstream_mode: load_balance

nslookup www.baidu.com 192.168.11.253:5553
# AGH → MosDNS 链路通了，返回真实 IP

# AGH 面板（:3000）的"查询日志"应能看到这条查询，客户端 IP 显示为 127.0.0.1
# （因为查询是本机发的）；等第 5 步劫持生效后就能看到真实设备 IP

nft add table inet agh_redir
nft add chain inet agh_redir prerouting '{ type nat hook prerouting priority -115; policy accept; }'
nft add rule inet agh_redir prerouting 'meta nfproto { ipv4, ipv6 } meta l4proto { tcp, udp } th dport 53 counter redirect to :5553 comment "AGH HIJACK"'

# 1) 表已存在
nft list table inet agh_redir

# 2) 局域网 PC 上（DNS 填 253）随便查个域名
nslookup www.baidu.com 192.168.11.253

# 3) 回到 253 看计数器在涨
nft list chain inet agh_redir prerouting
# packets 数字应在增长

# 4) AGH 面板（:3000）查询日志里出现刚才的查询，
#    且客户端 IP 显示为发起设备的真实 IP（如 192.168.11.200）

cat > /usr/bin/agh_redir.sh <<'EOF'
#!/bin/sh
# AGH 守护：进程存活 + 劫持 nft 表重建
PID=$(pidof AdGuardHome)
if [ -z "$PID" ]; then
    logger -t agh-guard "AdGuardHome 进程丢失，自动重启"
    /etc/init.d/AdGuardHome restart >/dev/null 2>&1
    sleep 5
fi
nft list table inet agh_redir >/dev/null 2>&1 || {
    nft add table inet agh_redir
    nft add chain inet agh_redir prerouting '{ type nat hook prerouting priority -115; }'
    nft add rule inet agh_redir prerouting 'meta nfproto { ipv4, ipv6 } meta l4proto { tcp, udp } th dport 53 counter redirect to :5553 comment "AGH HIJACK"'
    logger -t agh-guard "agh_redir nft 表丢失，已重建"
}
EOF
chmod +x /usr/bin/agh_redir.sh

grep -q agh_redir /etc/crontabs/root || echo '*/5 * * * * /usr/bin/agh_redir.sh' >> /etc/crontabs/root
/etc/init.d/cron restart

sed -i '/^exit 0/i /usr/bin/agh_redir.sh >/dev/null 2>&1' /etc/rc.local
# 同时确认 mosdns 补丁脚本也在开机链上（第 1 步装过就不用动）：
grep mosdns-patch /etc/rc.local || sed -i '/^exit 0/i /usr/bin/mosdns-patch.sh' /etc/rc.local

reboot
# 等 2~3 分钟重连后：
logread | grep agh-guard
# 期望看到：agh_redir nft 表丢失，已重建

nft list table inet agh_redir
pidof AdGuardHome
nslookup www.baidu.com 127.0.0.1

cat > /root/stats_weekly_reset.sh <<'EOF'
#!/bin/sh
# 每周清空一次 MosDNS 统计（累计计数 + 查询日志 + Top 榜单）
# 原理：必须先停进程再删 dump，否则会被 120 秒周期写回。
# 注意：本文件名不要含 "mosdns.uc" —— /etc/init.d/mosdns 的 delcron/setcron
# 每次重启都会 sed -i '/mosdns.uc/d' /etc/crontabs/root，会误删 cron 行。
LOG_TAG="stats-weekly"
DUMP=/etc/mosdns/stats.dump

before=$(wget -q -O - "http://127.0.0.1:9091/plugins/stats_collector/api/v1/stats" 2>/dev/null \
         | sed -n 's/.*"total_queries":\([0-9]*\).*/\1/p')
[ -z "$before" ] && before=0

/etc/init.d/mosdns stop >/dev/null 2>&1
sleep 2
rm -f "$DUMP"
/etc/init.d/mosdns start >/dev/null 2>&1
sleep 3

after=$(wget -q -O - "http://127.0.0.1:9091/plugins/stats_collector/api/v1/stats" 2>/dev/null \
        | sed -n 's/.*"total_queries":\([0-9]*\).*/\1/p')
[ -z "$after" ] && after=0

logger -t "$LOG_TAG" "MosDNS 统计已清空（周清）：清空前 total=$before，清空后 total=$after"
echo "$(date '+%Y-%m-%d %H:%M:%S') 清空前=$before 清空后=$after" >> /root/stats_reset.log
EOF
chmod +x /root/stats_weekly_reset.sh

# 每周日凌晨 4 点执行
grep -q stats_weekly /etc/crontabs/root || echo '0 4 * * 0 /root/stats_weekly_reset.sh' >> /etc/crontabs/root
/etc/init.d/cron restart

/etc/init.d/mosdns stop; sleep 2
rm -f /etc/mosdns/stats.dump
/etc/init.d/mosdns start
# 验证：curl http://127.0.0.1:9091/plugins/stats_collector/api/v1/stats
# total_queries 应回到 0

python -m pip install bcrypt
python -c "import bcrypt; print(bcrypt.hashpw('你的新密码'.encode(), bcrypt.gensalt()).decode())"
# 输出形如：$2b$10$xxxxxxxx...

cp /etc/AdGuardHome.yaml /etc/AdGuardHome.yaml.bak.$(date +%Y%m%d)

# 把下面两个占位符替换成真实值再执行
HASH='$2y$10$把上一步输出的$2b$改成$2y$粘贴到这里'

python3 - "$HASH" <<'PYEOF'
import sys, re
h = sys.argv[1]
p = '/etc/AdGuardHome.yaml'
s = open(p, encoding='utf-8').read()
s = re.sub(r'(^\s*- name: admin\s*\n\s*password: ).*$', r'\g<1>' + h.replace('$','\\$'), s, count=1, flags=re.M)
open(p, 'w', encoding='utf-8').write(s)
print('password updated')
PYEOF

/etc/init.d/AdGuardHome restart

curl -s -o /dev/null -w '%{http_code}\n' -u admin:旧密码 http://192.168.11.253:3000/login
# 期望 401

curl -s -o /dev/null -w '%{http_code}\n' -u admin:新密码 http://192.168.11.253:3000/login
# 期望 200

scp C:\路径\full.pem root@192.168.11.253:/etc/certs/997wan-full.pem
scp C:\路径\private.key root@192.168.11.253:/etc/certs/997wan.key

chmod 600 /etc/certs/997wan.key

# 备份原配置
uci show uhttpd.main > /root/uhttpd.bak.$(date +%Y%m%d)

# 监听 443（IPv4 + IPv6），挂新证书
uci set uhttpd.main.listen_https='0.0.0.0:443'
uci add_list uhttpd.main.listen_https='[::]:443'
uci set uhttpd.main.cert='/etc/certs/997wan-full.pem'
uci set uhttpd.main.key='/etc/certs/997wan.key'
uci commit uhttpd
/etc/init.d/uhttpd restart

# 命令行验证：把域名解析指到 253，访问时不带 -k（-k 会掩盖证书问题）
curl --resolve a.997wan.com:443:192.168.11.253 https://a.997wan.com/ -o /dev/null -w '%{http_code}\n'
# 期望：200（无证书告警输出）

# 浏览器验证：本机 hosts 加一行
#   192.168.11.253  a.997wan.com
# 然后访问 https://a.997wan.com/ → 地址栏直接是锁图标，零警告

uci set uhttpd.main.cert='/etc/uhttpd.crt'
uci set uhttpd.main.key='/etc/uhttpd.key'
uci commit uhttpd
/etc/init.d/uhttpd restart