Pi-hole sur Proxmox : ton premier service, ton réseau sans pubs

Dans l’article précédent, tu as installé Proxmox VE 9 sur ton mini-PC. Tu as un hyperviseur qui tourne, une interface web qui s’ouvre, et probablement une impression bizarre : “OK, et maintenant je fais quoi ?”. C’est exactement la question à laquelle cet article va répondre.

On va installer ton premier service utile. Pas un truc abstrait — un outil que tu vas voir fonctionner dès le premier jour, et qui va changer ton expérience web à la maison, je parle ici de Pi-hole. C’est un bloqueur de publicités et de trackers qui fonctionne au niveau de ton réseau, pas au niveau de ton navigateur. Concrètement : une fois en place, plus de pubs sur les appareils connectés à ton réseau. Le tout, sans avoir besoin d’installer la moindre extension.

On va le déployer dans un conteneur LXC sur Proxmox. C’est ton premier conteneur, donc on va prendre le temps. On utilisera l’interface graphique de Proxmox, pas de ligne de commande compliquée. Compte une bonne heure si c’est ta première fois.

Avant de démarrer : à ce stade, ton Proxmox tourne encore avec les réglages par défaut. C’est volontaire — on s’occupe de Pi-hole d’abord parce que c’est ce qui rend ton homelab utile au quotidien. Dans le prochain article, on reviendra sur Proxmox pour le configurer proprement : mises à jour, sauvegardes, double authentification. D’ici là, garde ton interface admin sur ton réseau local uniquement.

Pourquoi installer Pi-hole

Avant de se lancer, deux minutes pour comprendre ce que tu vas mettre en place. Pas pour faire de la théorie — pour que tu saches ce que Pi-hole fait, et surtout ce qu’il ne fait pas. C’est important, parce qu’un outil qu’on déploie sans en connaître ses limites finit toujours par décevoir.

Ce que fait Pi-hole. Quand un appareil de ton réseau veut se connecter à un site, il demande à un serveur DNS : “donne-moi l’adresse IP de ce nom de domaine”. Pi-hole se met au milieu de cette conversation. Si le nom demandé est sur sa liste noire — un domaine publicitaire, un tracker, un service de télémétrie — il répond “ce site n’existe pas”. L’appareil arrête de chercher, et la pub ne s’affiche pas. C’est aussi simple que ça.

Cette technique s’appelle un DNS sinkhole. L’avantage est énorme : ça fonctionne pour tous les appareils de ton réseau sans rien installer dessus. Un seul service à maintenir, un effet sur toute la maison.

Ce que Pi-hole ne fait pas. Pi-hole bloque au niveau du nom de domaine. Donc tout ce qui contourne le DNS lui échappe :

• Les publicités YouTube intégrées au flux vidéo (servies depuis le même domaine que la vidéo elle-même)

• Les pubs Instagram dans l’app (l’app peut ignorer le DNS du réseau)

• Tout ce qui passe par un VPN ou un DNS chiffré côté client

Pi-hole n’est pas une solution miracle. C’est une couche dans une défense plus large. Mais c’est la couche la plus simple à mettre en place et celle qui a l’effet le plus visible immédiatement.

Pourquoi en LXC plutôt qu’en VM. Pi-hole est un service sans état, ultra-léger : 30 Mo de RAM en idle, démarrage en deux secondes. Le mettre dans une machine virtuelle complète serait du gâchis. Un conteneur LXC fait exactement ce qu’il faut : isolation, snapshots Proxmox natifs, ressources minimales. C’est aussi l’occasion parfaite de découvrir les LXC, qui vont devenir ton outil principal pour la plupart des services qu’on déploiera ensuite.

Ce qu’il te faut avant de commencer

Trois choses à avoir sous la main avant de cliquer.

Proxmox VE 9 fonctionnel. Si tu n’as pas encore franchi cette étape, l’article précédent te guide. Cet article-ci suppose que tu peux ouvrir l’interface Proxmox dans ton navigateur, voir ton nœud, et que tout fonctionne.

Une adresse IP libre sur ton réseau local. Pi-hole a besoin d’une IP fixe, parce que tous tes appareils vont l’utiliser comme serveur DNS — si elle change, plus rien ne marche. Repère une adresse libre dans ta plage : par exemple, si ta box pousse des IP entre 192.168.1.100 et 192.168.1.200, tu peux prendre une adresse plus basse. Pour cet article, je vais utiliser 192.168.1.50 comme exemple, tu adapteras à ta config.

Accès à l’admin de ta box internet. À la fin de l’installation, on va dire à ta box d’utiliser Pi-hole comme DNS. Donc il te faut tes identifiants d’admin. Si tu ne les as jamais utilisés, ils sont en général sous la box, ou dans ton espace client opérateur.

Créer le conteneur LXC

On entre dans le concret. L’objectif de cette section : créer une machine légère, isolée, qui hébergera Pi-hole. On va passer par l’interface graphique de Proxmox, étape par étape. C’est un peu long la première fois, mais tu vas apprendre la mécanique des conteneurs LXC — un savoir-faire que tu réutiliseras pour la majorité des services qu’on déploiera ensuite.

À savoir : il existe une autre méthode. La communauté Proxmox maintient des scripts d’installation automatisée (community-scripts/ProxmoxVE sur GitHub) qui créent un conteneur Pi-hole prêt à l’emploi en une seule commande. C’est pratique quand on sait déjà ce qu’on fait. Pour cet article, on prend la voie longue : tu comprends chaque étape, tu sauras refaire seul, et le jour où tu utiliseras le script, ce sera en toute conscience.

Télécharger le template Debian 13

Un conteneur LXC se construit à partir d’un template — une image de base d’un système Linux minimal. Proxmox en propose une liste officielle qu’il télécharge à la demande. On va prendre Debian 13 “Trixie”, dernière version : légère, stable, bien supportée par Pi-hole.

Dans le panneau de gauche, sélectionne ton stockage local sous ton nœud. Clique sur l’onglet CT Templates, puis sur le bouton Templates. Dans la fenêtre qui s’ouvre, tape debian dans le champ de recherche, sélectionne debian-13-standard, et clique sur Download en bas à droite. Quelques dizaines de secondes plus tard, la template apparaît dans la liste de tes templates disponibles. Tu peux fermer la fenêtre.

Lancer la création du conteneur

En haut à droite de l’interface Proxmox, clique sur Create CT. Un assistant s’ouvre avec une série d’onglets que tu vas remplir l’un après l’autre.

Onglet General — identité du conteneur

CT ID : Proxmox propose un numéro automatique. Tu peux laisser tel quel ou en mettre un dont tu te souviendras facilement. Sur mes captures, tu verras 401 — c’est parce que mon serveur a déjà d’autres conteneurs en service. Chez toi ce sera probablement 100, 101 ou un nombre proche.

Hostname : Pi-Hole. C’est le nom du conteneur, court et descriptif.

Password / Confirm password : choisis un mot de passe solide pour l’utilisateur root du conteneur. Tu en auras besoin pour te connecter à la console.

Laisse Unprivileged container coché — c’est le mode par défaut, plus sûr. Clique Next.

Onglet Template — quel système on installe

Storage : local.

Template : sélectionne debian-13-standard dans le menu déroulant (celle qu’on vient de télécharger). Clique Next.

Onglet Disks — espace disque

Une seule chose à régler : la taille du disque. Pi-hole est ultra-léger, 5 Go suffisent largement pour le système et plusieurs années de logs. Le stockage local-lvm est correct par défaut. Clique Next.

Onglet CPU — puissance de calcul

Cores : 1. Un seul cœur virtuel suffit. Pi-hole n’a quasiment rien à calculer. Clique Next.

Onglet Memory — mémoire vive

Memory : 512 Mo. Swap : 512 Mo.

C’est généreux pour Pi-hole qui tourne avec une trentaine de mégaoctets en utilisation normale, mais la marge te permettra d’ajouter des blocklists volumineuses sans souci. Clique Next.

Onglet Network — c’est ici que ça compte

Cinq champs à régler avec attention. C’est la seule étape un peu dense de toute la création.

Name : eth0. C’est le nom de l’interface réseau dans le conteneur, on garde la convention standard.

Bridge : vmbr0. C’est le pont réseau de Proxmox, celui qui relie tes conteneurs à ton réseau physique. Si tu n’en as pas créé d’autre, c’est le bon.

VLAN Tag : laisse vide. Si tu as segmenté ton réseau avec des VLAN (réseau invité, IoT, etc.), c’est ici que tu indiquerais le numéro du VLAN sur lequel le conteneur doit vivre. Sur un réseau plat de box opérateur — cas le plus courant — laisse ce champ vide. On reviendra sur les VLAN dans un futur article dédié à OPNsense.

IPv4 : coche Static. Pi-hole a besoin d’une IP fixe, comme on l’a expliqué dans les prérequis.

IPv4/CIDR : 192.168.1.50/24. C’est l’IP libre que j’ai choisie. Verifie qu’elle soit libre sur ta box via son interface web. Le /24 indique le masque de sous-réseau standard d’un réseau domestique.

Gateway (IPv4) : 192.168.1.1. C’est l’IP de ta box internet. Adapte si ta box a une autre IP.

Pour IPv6, on laisse en DHCP par défaut. Clique Next.

Onglet DNS — quel serveur pour résoudre les noms

Laisse les valeurs par défaut. Le conteneur utilisera les serveurs DNS du nœud Proxmox pour le moment. C’est suffisant pour télécharger les paquets pendant l’installation de Pi-hole. Clique Next.

Onglet Confirm — récapitulatif

Vérifie le résumé. Si tout est correct, clique Finish. Si quelque chose cloche, Back et tu reviens à l’onglet concerné.

Création en cours

Proxmox lance la création. Une fenêtre de log s’ouvre. Quelques secondes plus tard, tu dois voir TASK OK en vert à la dernière ligne. C’est bon, ton conteneur existe.

Démarrer le conteneur

Dans le panneau de gauche, ton nouveau conteneur apparaît sous ton nœud. Clique dessus, puis sur le bouton Start en haut à droite. Quelques secondes plus tard, son statut passe au vert. Pi-hole n’est pas encore installé — pour l’instant, tu as juste un Debian 13 vide qui tourne, c’est la fondation.

Installer Pi-hole

Le conteneur tourne, il est vide. On va maintenant y installer Pi-hole. À partir d’ici, on passe en ligne de commande. Pas de panique : quelques commandes à taper, et un installeur interactif qui pose des questions en mode “suivant, suivant, terminer”. Comme un installeur Windows, version texte.

Se connecter à la console du conteneur

Dans Proxmox, sélectionne ton conteneur Pi-hole dans le panneau de gauche, puis clique sur Console dans le menu central. Une fenêtre noire s’ouvre avec une invite de connexion.

Une remarque sur mes captures : tu vas voir sur mon panneau de gauche d’autres conteneurs (Netdata, Affine, Jellyfin, etc.). C’est mon homelab personnel qui a déjà plusieurs services. Toi tu n’auras qu’un seul conteneur Pi-hole pour l’instant, et c’est très bien comme ça. Tu construiras ta liste au fil des articles.

Tape root puis appuie sur Entrée. Tape ton mot de passe (rien ne s’affiche pendant que tu tapes, c’est normal — c’est une sécurité standard sous Linux), Entrée. Tu es maintenant dans ton conteneur.

Mettre à jour le système et installer curl

Trois choses à faire avant de pouvoir installer Pi-hole : mettre à jour la liste des paquets, appliquer les mises à jour disponibles, et installer curl — un petit outil qui télécharge le contenu d’une URL et dont on aura besoin juste après. On enchaîne tout en une seule ligne :

apt update && apt upgrade -y && apt install curl -y

Cette commande chaîne trois opérations grâce aux &&, qui veulent dire “exécute la commande suivante seulement si la précédente a réussi” :

• apt update rafraîchit la liste des paquets disponibles depuis les dépôts Debian

• apt upgrade -y installe toutes les mises à jour, le -y répond automatiquement “oui” à la question de confirmation

• apt install curl -y installe curl, qui n’est pas présent par défaut dans la template Debian fournie par Proxmox — c’est volontaire, la template est minimaliste et c’est à toi d’ajouter les outils selon tes besoins

L’ensemble prend une à deux minutes selon ta connexion. Quand l’invite revient, tu es prêt pour la suite.

Lancer l’installeur officiel Pi-hole

Pi-hole fournit un script d’installation qu’on récupère et qu’on exécute en une seule commande :

curl -sSL https://install.pi-hole.net | bash

Ce que fait cette commande, en clair : curl télécharge le contenu du script depuis le site officiel pi-hole.net, et le | bash envoie ce contenu directement à l’interpréteur de commandes pour exécution. Tu ne télécharges pas un fichier sur le disque, tu exécutes le script à la volée.

Un mot sur la sécurité : faire confiance à un script qu’on exécute en root sans le lire, ce n’est pas un réflexe à généraliser. Dans le cas de Pi-hole, l’URL install.pi-hole.net est l’URL officielle du projet, recommandée par la documentation, et le script est open source consultable sur GitHub. C’est une exception justifiée, pas une habitude à prendre.

Répondre aux questions de l’installeur

L’installeur Pi-hole se lance et affiche une série d’écrans en mode texte sur fond bleu-gris. Tu navigues avec les flèches du clavier, Tab pour passer entre les boutons, Espace pour cocher une case, Entrée pour valider.

Écran d’accueil et donations : lis le message d’introduction, Entrée pour valider.

Lancement de l’installation : l’installeur confirme qu’il va transformer ce conteneur en serveur Pi-hole. Entrée.

Avertissement IP statique : l’installeur rappelle que Pi-hole a besoin d’une IP fixe. C’est déjà fait dans Proxmox lors de la création du conteneur. Entrée.

Choix du serveur DNS upstream : c’est l’étape importante. Pi-hole bloque les domaines indésirables, mais pour tous les autres, il doit interroger un serveur DNS extérieur. Sélectionne Quad9 (filtered, ECS, DNSSEC) avec les flèches, puis Espace pour cocher, puis Entrée.

Pourquoi Quad9 ? Fondation à but non lucratif basée en Suisse, politique no-log officielle, filtrage anti-malware natif inclus. Aligné avec une démarche de souveraineté technique européenne. Une alternative possible est NextDNS, un service français avec un dashboard personnel et des blocklists configurables — plus puissant mais plus complexe, on en reparlera dans un futur article.

Blocklist par défaut : l’installeur propose d’activer une blocklist initiale (StevenBlack unified hosts). Accepte avec Yes.

Interface web admin : laisse coché. C’est elle qui te permet de gérer Pi-hole depuis ton navigateur.

Serveur web (lighttpd) : laisse coché. Nécessaire pour que l’interface admin fonctionne.

Logs des requêtes : laisse activé. Tu auras besoin du journal pour vérifier que ça marche et diagnostiquer si quelque chose coince.

Fin de l’installation

Quelques minutes plus tard, l’installeur affiche un écran de récapitulatif. Note immédiatement deux informations :

• L’URL d’accès à l’interface admin : http://192.168.1.50/admin

• Le mot de passe admin généré aléatoirement

Ce mot de passe est affiché une seule fois. Si tu le perds, tu peux le redéfinir avec la commande pihole setpassword depuis la console du conteneur.

Pi-hole est installé. Il tourne. On va maintenant lui rendre visite dans le navigateur.

Premier accès à l’interface Pi-hole

Pi-hole est installé, il tourne en arrière-plan dans ton conteneur. Le moment satisfaisant : voir l’interface répondre dans ton navigateur.

Se connecter à l’interface admin

Ouvre ton navigateur et tape l’URL affichée à la fin de l’installation :

http://192.168.1.50/admin

Une page de connexion s’affiche avec le logo Pi-hole. Saisis le mot de passe que l’installeur t’a généré (celui que tu as noté à l’étape précédente), clique sur Log in.

Le dashboard, premier coup d’œil

Bienvenue dans l’interface Pi-hole. Tu vois quatre indicateurs en haut : nombre total de requêtes DNS, nombre de requêtes bloquées, pourcentage de blocage, et nombre de domaines sur les blocklists. Trois sont à zéro, c’est normal — aucun appareil n’utilise encore Pi-hole comme serveur DNS.

En revanche, tu vas probablement voir un message “Error (-2)” dans le cadre vert “Domains on Lists”, et des indicateurs rouges/orange sur Lists dans le menu de gauche. Pas de panique : c’est un état transitoire normal juste après l’installation. La base de blocage Gravity n’a pas encore fini de charger les blocklists. On va régler ça tout de suite.

Avant ça, deux ajustements rapides : changer le mot de passe pour un truc dont tu te souviendras, puis lancer la première mise à jour de Gravity.

Changer le mot de passe admin

Le mot de passe généré par l’installeur est solide mais imprononçable. Tu vas l’utiliser souvent dans les premiers jours, autant en choisir un dont tu te souviens. Depuis la console du conteneur (la même fenêtre Proxmox qu’à la section précédente) :

pihole setpassword

La commande te demande de taper ton nouveau mot de passe, puis de le confirmer. Rien ne s’affiche à l’écran pendant la saisie — c’est normal. Tu peux te reconnecter à l’interface web avec ce nouveau mot de passe.

Mettre à jour la base de blocage

Pi-hole utilise une base de données qu’il appelle Gravity : c’est le moteur qui agrège toutes les blocklists configurées en une seule grande liste de domaines à bloquer. L’installeur a chargé une première version, mais elle n’est pas encore complètement opérationnelle — d’où le message d’erreur sur le dashboard. On va la rafraîchir maintenant pour partir avec une base à jour.

Dans le menu de gauche, va dans Tools puis Update Gravity. Clique sur le gros bouton Update. Le traitement prend quelques dizaines de secondes.

Quand tu vois le message Success! en vert et le détail des étapes du traitement, ta base de blocage est à jour. Tu peux retourner sur le dashboard : le message d’erreur a disparu, et le compteur “Domains on Lists” affiche maintenant le nombre réel de domaines bloqués (environ 82 000 avec la blocklist StevenBlack par défaut).

Faire utiliser Pi-hole par ton réseau

Pi-hole tourne, il est prêt. Mais pour l’instant, aucun appareil de ton réseau ne sait qu’il existe. Quand ton téléphone veut joindre un site, il demande l’adresse au serveur DNS que ta box lui a indiqué — généralement le DNS de ton opérateur (Free, Orange, SFR, Bouygues), pas Pi-hole.

Il faut donc dire à ta box : “désormais, indique Pi-hole comme serveur DNS à tous les appareils qui se connectent”. Une seule modification à faire, et tout ton réseau passe par Pi-hole automatiquement.

Accéder à l’interface admin de ta box

Ouvre ton navigateur et tape l’adresse de ta box dans la barre d’URL :

• Freebox : http://mafreebox.freebox.fr ou http://192.168.1.254

• Livebox (Orange) : http://192.168.1.1

• SFR Box : http://192.168.1.1 ou http://192.168.0.1

• Bbox (Bouygues) : http://192.168.1.254 ou http://gestionbbox.lan

Connecte-toi avec tes identifiants admin. Si tu ne les as jamais utilisés, ils sont en général sous la box (étiquette) ou dans ton espace client opérateur.

Modifier le serveur DNS poussé par le DHCP

Cherche dans l’interface admin une section appelée DHCP, Réseau local, Configuration LAN, ou similaire. Le nom exact varie selon ta box. Dans cette section, tu vas trouver un ou deux champs Serveur DNS ou DNS primaire / DNS secondaire.

Remplace les valeurs actuelles par l’IP de ton Pi-hole :

• DNS primaire : 192.168.1.50

• DNS secondaire : laisse vide, ou mets une seconde fois 192.168.1.50

Surtout, ne mets pas un autre DNS en secondaire (8.8.8.8, 1.1.1.1, etc.). Si tu le fais, tes appareils alterneront entre Pi-hole et ce DNS de secours, et tu auras un filtrage à moitié actif — déroutant à diagnostiquer.

Enregistre la modification. Ta box va probablement redémarrer son service DHCP : pas de panique, ça dure quelques secondes.

Propager le changement aux appareils

Le changement de DNS dans ta box ne s’applique aux appareils qu’au renouvellement de leur bail DHCP — ce qui peut prendre plusieurs heures. Pour forcer la prise en compte immédiate, le plus simple est de couper-réactiver son Wi-Fi.

Sur ton ordinateur, tu peux aussi forcer le renouvellement en console :

sudo dhclient -r && sudo dhclient sous Linux,

ipconfig /release && ipconfig /renew sous Windows.

Vérifier que Pi-hole filtre bien

Le test de vérité. Deux méthodes complémentaires, l’une rapide depuis le terminal, l’autre visuelle dans ton navigateur.

Test rapide en ligne de commande

Ouvre un terminal sur n’importe quel appareil de ton réseau. Tape :

dig @192.168.1.50 doubleclick.net

Décodage de la commande : dig est l’outil standard pour faire une requête DNS manuelle. Le @192.168.1.50 force dig à interroger directement Pi-hole (et pas le DNS configuré sur ta machine). doubleclick.net est un domaine publicitaire géré par Google, présent dans toutes les blocklists sérieuses.

Dans la réponse, cherche la ligne ANSWER SECTION. Tu dois voir quelque chose comme :

doubleclick.net.    2    IN    A    0.0.0.0

Le 0.0.0.0 est la réponse “ce domaine n’existe pas” renvoyée par Pi-hole. Si tu vois ça, Pi-hole fonctionne et bloque correctement.

Si tu vois une vraie adresse IP à la place du 0.0.0.0, c’est que ta requête n’a pas été traitée par Pi-hole. Vérifie l’IP du conteneur (192.168.1.50 ou la tienne) et que le LXC est bien démarré.

Test visuel dans le navigateur

Visite un site connu pour ses publicités intrusives (un site d’actualités gratuit, par exemple). Les emplacements publicitaires apparaissent maintenant comme des espaces vides. Pas de “publicité bloquée par AdBlock”, pas d’extension à installer : juste le silence du DNS qui refuse de répondre.

Retourne sur le dashboard Pi-hole : http://192.168.1.50/admin. Sur ma capture, prise après quelques heures d’utilisation : 615 requêtes DNS traitées, 311 bloquées, plus de 50 % du trafic filtré. Trois appareils actifs sur le réseau. Le graphique d’activité commence à se remplir.

Ce chiffre de 50 % te paraît énorme ? Il est plutôt représentatif. Une bonne moitié des requêtes DNS d’un appareil moderne ne sert ni à charger un site, ni à utiliser une app — elle sert à alimenter des trackers, des régies pub, de la télémétrie. Pi-hole les coupe à la racine. Tu peux maintenant observer ce qui se passe réellement sur ton réseau.

Et maintenant ?

Pi-hole tourne, ton réseau est filtré, tes appareils respirent. Tu viens de déployer ton premier service dans un conteneur LXC sur Proxmox — mécanique que tu vas réutiliser pour la quasi-totalité des services qu’on installera dans les prochains articles.

La suite immédiate : configurer Proxmox proprement. Pour l’instant, ton hyperviseur tourne encore avec les réglages par défaut. Dans le prochain article, on revient à la base : mises à jour, sauvegardes automatiques, double authentification, et le réflexe que personne ne fait jamais — vérifier qu’une sauvegarde restaure vraiment. C’est moins spectaculaire que Pi-hole, mais c’est ce qui transforme un homelab amateur en homelab durable.

Pour aller plus loin avec Pi-hole. Ce qu’on a fait ici est la base. Pi-hole permet beaucoup plus : segmenter ton réseau en groupes (utiliser des blocklists différentes pour les enfants, le télétravail, les invités), ajouter des blocklists thématiques, gérer les exceptions, créer des règles regex personnalisées. On y reviendra dans un article dédié à la configuration avancée.

Si tu utilises OPNsense ou un routeur custom. Tu as remarqué qu’on s’est arrêté à la solution simple : changer le DNS dans la box opérateur. Un appareil malin peut contourner Pi-hole en codant en dur un DNS public comme 8.8.8.8. La réponse propre, c’est de forcer tout le trafic DNS du réseau vers Pi-hole avec une règle de redirection. Sujet d’un article futur sur OPNsense.

Pour l’instant, profite. Ouvre ton dashboard Pi-hole dans 24h et regarde la quantité de trackers qui essayaient discrètement de te suivre. C’est révélateur.