Изначально я думал, что изменение DNS на другой связано с фильтрацией контента, поэтому отключил её перед всеми этими действиями — так что тут нет никакой науки в том, чтобы поменять две переменные и считать дело сделанным. Тем не менее: мне удалось решить проблему, используя постоянный скрипт автозагрузки от boostchicken из его репозитория UDM-Utlis для добавления правил iptables. Он находится в udm-utilities/on-boot-script на GitHub (https://github.com/boostchicken/udm-utilities/tree/master/on-boot-script).

Я использую его в папке boot.

#!/bin/bash

# нужно проверить интерфейс Ethernet  
#  - eth1 — ну почему бы и нет  
#  - eth8 — мой WAN1  
#  - eth9 — мой WAN2  
# captive DNS  
iptables -t nat -I PREROUTING -i eth1 -p tcp --dport 53 -j DNAT --to 192.168.1.79 # вставьте сюда желаемый DNS-адрес  
iptables -t nat -I PREROUTING -i eth1 -p udp --dport 53 -j DNAT --to 192.168.1.79  
iptables -t nat -I PREROUTING -i eth8 -p tcp --dport 53 -j DNAT --to 192.168.1.79  
iptables -t nat -I PREROUTING -i eth8 -p udp --dport 53 -j DNAT --to 192.168.1.79  
iptables -t nat -I PREROUTING -i eth9 -p tcp --dport 53 -j DNAT --to 192.168.1.79  
iptables -t nat -I PREROUTING -i eth9 -p udp --dport 53 -j DNAT --to 192.168.1.79  
exit 0

После того как установите утилиту согласно простым инструкциям в репозитории, положите <your_name_here.sh> в /mnt/data/on_boot.d. Потом сделайте полный перезапуск и проверьте. Делайте бэкапы.

Также нужно будет настроить соответствующие правила файрвола, чтобы разрешить 192.gue.sta.ddr/24 доступ к нужному VLAN на порт 53, и учесть другие стандартные меры безопасности.

Я не специалист по безопасности и не эксперт по сетям, а обычный пользователь, который умеет гуглить. Но я знаю, что у меня ничего не сломалось, и гостевая сеть начала использовать мой PiHole — именно того я и хотел.

Используйте на свой страх и риск — бывают разные штуки.

**редактирование** Забыл добавить, что у меня UDM-Pro.

Спасибо за пост. Мы обновили прошивки, и это сломало гостевой портал Unifi. Откат до версии 4.0.15 решил проблему сразу.

Могу подтвердить, что решение, предложенное @riahc3 — настроить статический IP-адрес и DNS для AP на контроллере (вместо использования резервирования DHCP, как мы обычно делаем) — действительно устраняет эту проблему. Я буду использовать это на своих контроллерах, где нужен гостевой доступ, в качестве временного обходного пути, пока Ubiquiti не выпустит новую версию прошивки для AP, чтобы решить эту проблему.