مُحلّل لأجهزتك، مش مضخّم مفتوح.

اختار الدور

مُحلِّل تكراري مثل Unbound وواجهة تصفية مثل AdGuard Home بيحلّوا مشاكل مرتبطة لكن مختلفة. قرر إذا كانت الخدمة بتعمل التكرار بنفسها ولا بتحوّل لمزوّد أعلى، وافهم مين الطرف اللي هيشوف الاستعلامات بعد كده.

خليها خاصة

مُحلّل عام مفتوح بدون قيود ممكن يُستغل في هجمات الانعكاس. اربطه بشبكة خاصة أو اسمح بس للمصادر المصرّح بها، بما فيها IPv6. لو بتستخدم DNS المشفّر، اعمل مصادقة أو قيّد الوصول بشكل مناسب بدل ما تفترض إن HTTPS بيخليه خاص.

حدّد سياسة تسجيل

قد تكشف استعلامات DNS نشاط التصفح والتطبيقات الحساس. عطّل الاحتفاظ غير الضروري، واحمِ السجلات التي تحتفظ بها، واشرح النطاق للمستخدمين. النقل المشفر يحمي المسار؛ لكنه لا يمنع المُحلِّل نفسه من رؤية الاستعلامات.

اختبر أكتر من اسم

تحقق من سلوك DNSSEC لو مفعّل، ونتائج IPv4 وIPv6، واستثناءات الفلترة والاستعادة لما يفشل مصدر أعلى. خلّي طريقة آمنة تصلح بيها الوصول من غير ما تعتمد حصريًا على الـ resolver اللي بتصلحه.

أثبت إن الغرباء مش قادرين يستعلموا عنها

اربط الـ resolver بالواجهة المقصودة، وحدد نطاقات العملاء المسموح بيها، وقيّد الجدار الناري. تحقق من الإعداد قبل إعادة التشغيل. استعلم منه من عميل مصرح له، وبعدين كرر من برا الشبكة الموثوقة: الطلب ده المفروض يترفض أو ينتهي وقته. افحص IPv6 لوحده. الـ resolver اللي بيقبل استعلامات عشوائية من الإنترنت ممكن يبقى مصدر إساءة.

• شغّل مدقق الإعدادات قبل تطبيق التغييرات
• اختبر عميلًا مسموحًا به وعميلًا مرفوضًا
• خلي تشخيصات الاستعلام المفصّلة مؤقتة

unbound-checkconf

الوثائق الرسمية: إعداد التحكم في الوصول لـ Unbound

اجعل ادعاءات DNS المشفّرة دقيقة

DNS-over-HTTPS أو DNS-over-TLS يشفر مسار نقل معين. لا يزال المُحلِّل يستقبل الاستعلام، ويمكن لمُحلِّل إعادة التوجيه تمريره إلى مشغل آخر. راجع اختيار المصدر الأعلى والاحتفاظ. إذا كشفت نقطة نهاية مُحلِّل مشفرة، اجعل سياسة الوصول إليها مدروسة مثل منفذ DNS العادي.

اختار سلسلة الـ resolver قبل ما تفتح بورت

التصميم الخاص المفيد هو عميل VPN بيستعلم من AdGuard Home، وAdGuard بيحوّل لـ Unbound على الـ loopback. بعدها Unbound بيعمل التكرار؛ وAdGuard بيضيف التصفية وواجهة إدارة. أو استخدم Unbound لوحده لحزمة أصغر. ادّي كل مستمع عنوان/منفذ مميز وارسم اتجاه التحويل: إرجاع Unbound لـ AdGuard بيعمل حلقة. قرر أي عملاء خاصين ممكن يستخدموا الخدمة قبل ما تنشر أي حاجة.

• سيب منافذ TCP وUDP الواردة العامة 53 مقفولة إلا لو فيه سياسة محددة للعملاء المصرح لهم.
• ادي واجهة الفلترة ومستمع DNS قواعد وصول منفصلة.
• تحقق من ملكية المنفذ قبل التثبيت؛ فقد يكون محلل النظام الحالي مرتبطًا بالفعل بالعنوان المقصود.

الوثائق الرسمية: إعداد AdGuard Home

نقطة بداية Unbound على واجهة loopback

على نظام مثبّت عليه Unbound بالفعل، يوضح المقطع التالي خادمًا خلفيًا يمكن الوصول إليه فقط على المضيف. ادمجه مع إعداد التوزيعة بدلاً من الكتابة فوق إعدادات الحزمة أو إدارة مرساة الثقة. المنفذ العالي يتيح لواجهة DNS أخرى استخدام المنفذ 53. تحقق من الملف الفعّال الكامل، ثم أعد التحميل عبر مدير الخدمة المثبّت. يحتاج العميل البعيد إلى نفق أو واجهة أمامية مُدارة بشكل منفصل؛ هذا المقطع لا ينشئ عن قصد أي مُحلّل عام.

server:
  interface: 127.0.0.1
  port: 5335
  access-control: 127.0.0.0/8 allow
  access-control: 0.0.0.0/0 refuse
  access-control: ::0/0 refuse

# Validate the complete installed configuration:
unbound-checkconf

الوثائق الرسمية: مرجع إعدادات Unbound

شغّل قائمة فحص القبول من شبكتين

استعلم من الخادم الخلفي محليًا أولًا، ثم عبر مسار العميل العادي. تحقق من سجلات A/AAAA العادية، ومن اسم غير موجود عمدًا، ومن التحقق من DNSSEC باستخدام نطاق اختبار موثّق. كرر من جهاز خارج الشبكة الفرعية المسموح بها: يجب ألا يتلقى الاستعلامات التكرارية. راجع ما إذا كان المتصفح يستخدم محلّلًا مشفرًا خاصًا به ويتجاوز DNS المُعدّ للجهاز. احتفظ بمحلّل مستقل مؤقت متاح أثناء التغيير حتى لا يؤدي خطأ في DNS إلى قطع مسار الإدارة لديك.

• تشخيص محلي: dig @127.0.0.1 -p 5335 example.org A
• افحص إمكانية الوصول عبر UDP وTCP، بالإضافة لمستمعي IPv6.
• أكد استثناءات الفلترة وسجّل بس التشخيصات المطلوبة فعلاً.

شخّص المهلات والحلقات وفشل التحقق

انتهاء مهلة الواجهة الأمامية مع عمل الخلفية المحلية يشير إلى عنوان الواجهة أو الجدار الناري أو هدف إعادة التوجيه. الاستعلامات الذاتية المتكررة تشير إلى حلقة. فشل DNSSEC الواسع قد يتعلق بوقت النظام غير الصحيح أو صيانة مرساة الثقة؛ أصلح السبب بدلًا من ترك التحقق معطلًا. إذا فشلت الردود الكبيرة فقط، افحص الرجوع إلى TCP ومسار الشبكة. اجعل تسجيل الاستعلامات مؤقتًا، واختبر إعادة التشغيل واستعادة الإعدادات قبل جعل المُحلِّل اعتمادًا لكل جهاز.