AdGuard Home vs Pi-hole vs NextDNS: Welke DNS-adblocker moet je gebruiken?

Elke keer dat je een website bezoekt of een app verbinding maakt met een server, voert je apparaat eerst een DNS-opzoeking uit: het vertaalt een domeinnaam zoals analytics.example.com naar een IP-adres. Dit gebeurt voordat er daadwerkelijk data wordt verstuurd. Ad-blocking op DNS-niveau onderschept dit proces en controleert het opgevraagde domein aan de hand van een blocklist. Als het domein bekendstaat om advertenties, tracking-scripts of malware, geeft de DNS-resolver een leeg antwoord terug in plaats van het echte IP-adres. De verbinding komt simpelweg nooit tot stand.

Deze aanpak heeft meerdere voordelen ten opzichte van traditionele adblockers in de browser. Ten eerste werkt het op elk apparaat in je netwerk: telefoons, tablets, smart-tv's, gameconsoles en IoT-apparaten die geen browser-extensies ondersteunen. Ten tweede blokkeert het tracking en advertenties op netwerkniveau, waardoor ook verzoeken van apps worden tegengehouden, niet alleen van webbrowsers. Ten derde vermindert het bandbreedtegebruik, omdat geblokkeerde verzoeken nooit inhoud downloaden.

De meest gebruikte opzet is een eigen DNS-resolver draaien op je lokale netwerk, bijvoorbeeld op een Raspberry Pi, een NAS, een virtuele machine of een cloudserver. Vervolgens stel je je router in om deze resolver als primaire DNS-server te gebruiken, zodat blokkering automatisch geldt voor elk apparaat dat verbinding maakt met je netwerk.

Er zijn wel beperkingen. DNS-blokkering werkt op domeinnamen, niet op specifieke URL's of pagina-elementen. Als een app advertenties serveert vanaf hetzelfde domein als de kerninhoud, wat steeds vaker voorkomt, zeker bij YouTube en andere grote platforms, kan een DNS-blokker geen onderscheid maken tussen die twee. Het is per domein een alles-of-niets-aanpak. Daarnaast kan DNS-blokkering versleuteld verkeer niet inspecteren of begrijpen wat een applicatie eigenlijk naar een server stuurt. Het bepaalt alleen of de verbinding überhaupt wordt gemaakt, niet wat erdoorheen stroomt zodra die eenmaal bestaat. Die beperkingen worden belangrijk als we later in deze gids DNS-blokkering vergelijken met firewalls op applicatieniveau.

Pi-hole werd in 2014 gelanceerd en groeide al snel uit tot de DNS-adblocker bij uitstek voor de self-hostingcommunity. Genoemd naar de Raspberry Pi-hardware waarvoor het oorspronkelijk was ontworpen, draait Pi-hole een lokale DNS-server die verzoeken filtert op basis van door de community beheerde blocklists. Het installatieproces is in de loop der jaren sterk verfijnd: met één curl-opdracht installeer je op de meeste Linux-distributies alles, en het webgebaseerde beheerdashboard geeft een helder overzicht van DNS-verzoeken, geblokkeerde domeinen en clientactiviteit.

Het instellen van Pi-hole duurt meestal ongeveer vijftien minuten, als je al een Raspberry Pi of Linux-machine beschikbaar hebt. Na de installatie wijs je de DNS-instellingen van je router naar je Pi-hole-instantie, en elk apparaat op het netwerk is automatisch beschermd. De standaardblocklists vangen de meeste veelvoorkomende advertentie- en trackingdomeinen, en je kunt extra lijsten uit de community toevoegen om de dekking uit te breiden.

De sterke punten van Pi-hole zitten in de volwassenheid en de community. Het bestaat al lang genoeg dat bijna elk randgeval gedocumenteerd is, elk veelvoorkomend probleem een forumpost heeft, en het blocklist-ecosysteem enorm is. De querylog en het dashboard geven je gedetailleerd inzicht in wat elk apparaat op je netwerk doet, wat zowel verhelderend als een tikje verontrustend kan zijn als je ziet hoe vaak smarthome-apparaten naar huis bellen.

De afwegingen zijn het vermelden waard. Pi-hole vereist dat je de hardware waarop het draait onderhoudt, het OS up-to-date houdt, zorgt dat de Pi geen stroom of verbinding verliest, en af en toe problemen oplost wanneer een software-update iets verandert. DNS-over-HTTPS of DNS-over-TLS worden niet native ondersteund zonder extra configuratie via tools zoals cloudflared of Unbound. De interface voelt, hoewel functioneel, gedateerd aan in vergelijking met modernere alternatieven. En als je Pi-hole uitvalt, stopt de DNS-resolutie voor je hele netwerk, tenzij je een fallback hebt ingesteld. Voor een technisch ingestelde gebruiker die volledige controle wil en af en toe onderhoud geen probleem vindt, blijft Pi-hole een uitstekende keuze.

AdGuard Home kwam op als directe concurrent van Pi-hole, ontwikkeld door het team achter de AdGuard-browserextensie en VPN-producten. Hoewel het hetzelfde fundamentele doel dient, namelijk als lokale DNS-resolver werken die ongewenste domeinen blokkeert, wordt het geleverd met meerdere functies waarvoor Pi-hole extra configuratie of tools van derden nodig heeft.

Het belangrijkste verschil is de ingebouwde ondersteuning voor versleutelde DNS-protocollen. AdGuard Home verwerkt standaard DNS-over-HTTPS, DNS-over-TLS en DNS-over-QUIC, zonder dat je aparte software hoeft te installeren en configureren. Voor privacybewuste gebruikers betekent dit dat je DNS-verzoeken tussen je apparaten en je AdGuard Home-instantie worden versleuteld, waardoor je internetprovider of iedereen op het netwerk niet kan zien welke domeinen je opvraagt.

AdGuard Home bevat ook ingebouwde ouderlijke controle, handhaving van veilig browsen en een modernere webinterface dan Pi-hole. De filterengine ondersteunt complexere regels: je kunt regex-gebaseerde filters schrijven, AdGuard-syntaxis voor filtering gebruiken naast het standaard hosts-bestandsformaat, en de service gaat beter om met CNAME-cloaking dan Pi-hole standaard doet. CNAME-cloaking is een techniek waarbij trackers zich verbergen achter first-party DNS-records, en die is steeds gebruikelijker geworden nu adverteerders zich aanpassen aan blokkering op DNS-niveau.

Installeren is eenvoudig. AdGuard Home wordt gedistribueerd als één binary voor Linux, macOS, Windows en FreeBSD, en er is ook een goed onderhouden Docker-image. Net als bij Pi-hole stel je het in als DNS-server van je netwerk en beheer je het via een webdashboard. De installatiewizard begeleidt je door de eerste configuratie, inclusief het kiezen van upstream-DNS-servers en het inschakelen van versleuteld DNS.

De belangrijkste afweging is dat AdGuard Home wordt ontwikkeld door een commercieel bedrijf, en daar zitten voor- en nadelen aan. Aan de ene kant is de software goed onderhouden, ontvangt ze regelmatig updates en zijn er professionele ondersteuningsbronnen. Aan de andere kant geven sommige gebruikers in de self-hostingcommunity de voorkeur aan het volledig door de community gedreven ontwikkelmodel van Pi-hole. Beide zijn gratis en open source, maar de bestuursstructuren verschillen. Qua prestaties zijn de twee vergelijkbaar voor typisch thuisnetwerkgebruik.

NextDNS kiest een fundamenteel andere aanpak dan Pi-hole en AdGuard Home. In plaats van software op je lokale netwerk te draaien, werkt NextDNS als een cloud-DNS-dienst. Je maakt een account aan, stelt je blokkeerlijsten en instellingen in via een webdashboard en wijst daarna je apparaten naar de NextDNS-resolvers, door de DNS-instellingen op afzonderlijke apparaten te wijzigen, je router te configureren of hun lichte client-app te installeren. Er is geen hardware om te onderhouden, geen software om bij te werken en geen risico dat je lokale DNS-server offline gaat.

De configuratiemogelijkheden zijn uitgebreid. NextDNS ondersteunt dezelfde soorten blokkeerlijsten als Pi-hole en AdGuard Home, en biedt daarnaast samengestelde lijsten voor specifieke situaties: TikTok-trackers blokkeren, telemetrie voor bepaalde platforms uitschakelen of SafeSearch afdwingen in zoekmachines. Het analytics-dashboard toont querylogs met geografische informatie over waar DNS-queries naartoe resolveren, wat verrassende inzichten kan geven in waar je data allemaal belandt.

NextDNS ondersteunt standaard DNS-over-HTTPS en DNS-over-TLS, en omdat de resolvers wereldwijd verspreid zijn, is de latency meestal laag, ongeacht waar je bent. Dankzij het configuratieprofiel-systeem kun je eenvoudig verschillende instellingen toepassen op verschillende apparaten: striktere filtering op een tablet van je kind, lichtere filtering op je werklaptop, volledige blokkering op je persoonlijke apparaten.

De gratis versie laat 300.000 queries per maand toe, genoeg voor een enkele gebruiker, maar een huishouden met meerdere apparaten kan daar overheen gaan. Een betaald abonnement heft de querylimiet op.

De afweging bij NextDNS draait om vertrouwen. Je stuurt al je DNS-queries via een externe dienst, wat betekent dat NextDNS elk domein kan zien dat elk apparaat op je netwerk opvraagt. Ze hebben een duidelijk privacybeleid en de optie om alle logging uit te schakelen, maar dat vraagt een niveau van vertrouwen dat zelf hosten niet vereist. Voor gebruikers die de voordelen van DNS-blokkering willen zonder technische rompslomp, is NextDNS de meest toegankelijke optie. Wie alles liever lokaal houdt, is beter af met Pi-hole of AdGuard Home.

Blokkering op DNS-niveau en firewalls op applicatieniveau lossen overlappende, maar fundamenteel verschillende problemen op. Als je begrijpt waar ze elk in uitblinken, en waar ze tekortschieten, kun je een privacy-opstelling maken zonder gaten.

Een DNS-blokker zoals Pi-hole, AdGuard Home of NextDNS beschermt je hele netwerk. Elk apparaat dat je DNS-resolver gebruikt, profiteert van dezelfde blokkeerlijsten, inclusief apparaten die geen eigen beveiligingssoftware kunnen draaien: smart-tv's, IoT-sensoren, gameconsoles en gastapparaten. Die dekking over het hele netwerk is de grootste kracht. Maar DNS-blokkering werkt alleen op domeinnamen. Het kan niet zien welke specifieke app op je Mac een verbinding maakt. Het kan je browser niet onderscheiden van een achtergrondproces dat met hetzelfde domein contact zoekt. En het kan geen verbindingen blokkeren waarbij de app een hardcoded IP-adres gebruikt in plaats van een domeinnaam, en DNS dus volledig omzeilt.

Een app-firewall zoals NetMute werkt anders. Die draait op je Mac en bewaakt uitgaande verbindingen per applicatie. Als Zoom verbinding probeert te maken met een trackingserver, of als een nieuw geïnstalleerde app naar huis probeert te bellen via een analytics-endpoint, laat NetMute je precies zien welke app verantwoordelijk is en kun je die specifieke verbinding blokkeren. Die fijnmazigheid kan DNS-blokkering fundamenteel niet bieden. Je ziet het volledige plaatje: welke app, welke server, hoe vaak. Daarna maak jij de beslissing.

De ideale opstelling gebruikt beide. Een DNS-blokker vangt de grote lijnen op in je hele netwerk en blokkeert bekende advertentie- en trackingdomeinen nog voordat ze zelfs maar resolveren. Een app-firewall zoals NetMute zorgt voor de gedetailleerde controle op je Mac, blokkeert app-specifieke telemetrie, verbindingen die DNS omzeilen, en geeft je inzicht in wat je software achter de schermen doet.

NetMute is gratis te downloaden in de Mac App Store. Premium is een eenmalige in-app aankoop, geen abonnement, geen account. In combinatie met een van de DNS-blokkers uit deze gids krijg je een gelaagde privacy-opstelling die zowel netwerkbrede blokkering als controle per app dekt.