AdGuard Home en alta disponibilidad: Dos nodos con sincronización

Este post forma parte de la serie Home Lab En mi post anterior te expliqué cómo instalar AdGuard Home. Pero un solo nodo tiene un problema evidente: es un punto único de fallo. Si se cae, se acabó el bloqueo de anuncios en toda la red. La solución es sencilla: dos nodos.

La idea

Dos servidores AdGuard Home funcionando a la vez. Si el primero se cae, el segundo sigue atendiendo. Como están en nodos distintos (LXC diferentes, Raspberrys distintas), aunque uno falle, el otro no se entera y sigue bloqueando. Es redundancia básica, pero marca la diferencia.

Por qué uso .53 y .54

El truco está en las IPs. Uso .53 para el primero y .54 para el segundo, porque el puerto DNS es el 53. Así siempre recuerdo cuáles son mis servidores DNS de un vistazo:

Primer nodo: 192.168.1.53
Segundo nodo: 192.168.1.54 Fácil de recordar y fácil de configurar en el router.

Cómo se configura

En el router

Configura dos servidores DNS:

DNS primario: 192.168.1.53
DNS secundario: 192.168.1.54 Cuando el router necesita resolver un dominio, prueba con el primero. Si no responde, tira del segundo. Así de simple.

En el segundo nodo

Instala AdGuard Home igual que hiciste con el primero:

curl -s -S -L https://raw.githubusercontent.com/AdguardTeam/AdGuardHome/master/scripts/install.sh | sh -s -- -v

Ya tienes dos bloqueadores funcionando. En paralelo.

Para sincronizar las listas

Si quieres que ambos nodos tengan exactamente las mismas listas y configuración, usa AdGuardHome-Sync. Copia la configuración del primero al segundo de forma automática, así no tienes que mantener las dos instancias por separado. AdGuardHome-Sync funciona como un servicio que se ejecuta en el nodo de control (o en cualquier máquina de la red) y se encarga de replicar la configuración del nodo principal al secundario cada vez que detecta cambios. Esto incluye las listas de bloqueo, las reglas personalizadas, los clientes configurados y los reenvíos DNS. Lo configuras una vez y te olvidas. El archivo de configuración básico de AdGuardHome-Sync es así:

origin:
  url: http://192.168.1.53
  username: admin
  password: tu_contraseña
replicas:
  - url: http://192.168.1.54
    username: admin
    password: tu_contraseña
cron: "0 * * * *"

Con esto, cada hora se comprueba si el nodo principal tiene cambios y se aplican en el secundario. Si añades una nueva lista de bloqueo al primero, en la siguiente sincronización la tienes también en el segundo. Sin acordarte de hacerlo manualmente, sin que los dos nodos estén configurados de forma diferente sin que te enteres.

Configuración del router: el detalle que marca la diferencia

La clave de que esto funcione bien no está solo en los dos nodos, sino en cómo los configuras en el router. El router envía primero las peticiones DNS al servidor primario (.53). Si este no responde en un tiempo razonable (normalmente menos de dos segundos), tira del secundario (.54). El tiempo de failover depende del router. Los Mikrotik y los routers con OpenWrt lo gestionan mejor que la mayoría de los routers domésticos. Si tienes un router de operadora, puede que el tiempo de espera antes de probar el secundario sea de 5 a 10 segundos, lo que nota el usuario final. Con un Mikrotik o similar, el failover es prácticamente imperceptible. En OpenWrt, la configuración queda así en /etc/config/network:

config dnsmasq
    option domain 'lan'
    list server '192.168.1.53'
    list server '192.168.1.54'

Lo que pasa cuando cae uno

Aquí es donde se ve el valor real de la configuración. Cuando el nodo primario se cae (actualizaciones, reinicio del host, fallo de hardware), todos los dispositivos de la red siguen resolviendo DNS sin problemas. El router redirige automáticamente al secundario y nadie nota nada. He tenido actualizaciones del host de Proxmox que apagan todos los contenedores durante el reinicio. Sin el segundo nodo, eso significaría que durante esos minutos los anuncios pasan y algunos servicios que dependen de resolución DNS fallan. Con los dos nodos, el .54 sigue activo en su propio host y la red no nota el reinicio. El único caso en el que ambos fallan a la vez es si se va la luz a todo el sistema o si el switch de red cae. Para eso hay poco que hacer en un Home Lab doméstico, a menos que tengas SAI para todo.

Monitorización: saber cuándo algo falla

Tener dos nodos está muy bien, pero si uno se cae y no te enteras durante tres semanas, básicamente estás con un solo nodo sin saberlo. La redundancia tiene sentido solo si monitorizas que los dos están activos.

Con Uptime Kuma

Uptime Kuma es la herramienta que uso para esto. Es un monitor de disponibilidad self-hosted que comprueba cada pocos minutos si tus servicios responden y te avisa por Telegram (o email, o cualquier otro canal) cuando algo falla. Configuro dos monitores: uno para el .53 y otro para el .54. Cada cinco minutos Uptime Kuma hace una petición al puerto 80 de cada uno (la interfaz web de AdGuard Home) y comprueba que responden. Si uno no responde en dos checks seguidos, me llega un mensaje a Telegram con el nombre del monitor que ha fallado. Así puedo tener el segundo nodo como redundancia activa y saber en tiempo real si alguno necesita atención.

Con el panel de AdGuard Home

AdGuard Home tiene su propio panel de estadísticas. Puedes ver cuántas peticiones ha gestionado cada nodo, cuántas ha bloqueado y en qué proporción. Si el nodo secundario lleva días sin recibir peticiones, algo está mal (o el primario funciona tan bien que nunca cae, que también puede ser).

Por qué dos nodos importa

Con un solo nodo, cuando se cae, todo el tráfico DNS de tu red falla. Nadie puede resolver nombres. Los anuncios pasan. Y dependiendo de cómo tengas configurados tus dispositivos, puede que directamente no cargue nada. Con dos nodos:

Si uno falla, el otro sigue bloqueando sin que te enteres
Estás protegido contra fallos de hardware
Estás protegido contra cortes de luz que afecten a un solo equipo
Puedes reiniciar uno para actualizarlo mientras el otro sigue atendiendo peticiones Esto último es especialmente útil cuando actualizas el host de Proxmox. El reinicio deja los contenedores sin servicio durante unos minutos. Con un solo nodo DNS, esos minutos se notan en toda la red. Con dos nodos en hosts distintos, el que no se reinicia absorbe todo el tráfico DNS sin que ningún dispositivo note nada.

Tabla comparativa

Aspecto	Un nodo	Dos nodos	Pi-hole	NextDNS
Coste	Gratis	Gratis	Gratis	€0-20/mes
Redundancia	No	Sí	Limitada	Parcial
DoH/DoT	Sí	Sí	No	Sí
DHCP	Sí	Sí	Sí	No

Cuál elegir

Un solo nodo

Si no te importa perder el bloqueo cuando se cae y prefieres mantener la configuración simple, con uno tienes de sobra.

Dos nodos

Si quieres redundancia de verdad y no quieres depender de que un solo equipo esté siempre encendido y funcionando.

NextDNS

Si no quieres mantener nada y te conformas con que sea un servicio en la nube.

Compártelo si te ha resultado útil. ¿Tienes ya AdGuard Home con un solo nodo y te planteas el salto a dos? Cuéntame cómo lo tienes montado. Y… hasta aquí por hoy!