--- canonical: https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/ language: fr generated: 2026-10-21T13:31:42.451Z --- [Accueil](https://koalavps.com/fr/) / [Explorer](https://koalavps.com/fr/resources/) / Les notes du champ KoalaVPS Les notes du champ KoalaVPS # Un résolveur pour vos appareils, pas un amplificateur ouvert. Un résolveur DNS privé peut vous donner le contrôle de la résolution et du filtrage lorsque l'accès est délibérément restreint. [Trouvez votre VPS](https://koalavps.com/fr/vps/) ## DANS CE DOCUMENT [Choisissez le rôle](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-1)[Gardez-le privé](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-2)[Définissez une politique de journalisation](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-3)[Testez plus d'un nom](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-4)[Prouvez que des tiers ne peuvent pas l’interroger](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-5)[Gardez les affirmations sur le DNS chiffré précises](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-6)[Choisissez la chaîne de résolveurs avant d'ouvrir un port](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-7)[Un point de départ Unbound en boucle locale](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-8)[Exécutez une liste de contrôle d'acceptation depuis deux réseaux](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-9)[Diagnostiquer les délais d’attente, les boucles et les échecs de validation](https://koalavps.com/fr/guides-self-host-dns-resolver-on-a-vps/#section-10)[Base de connaissances](https://koalavps.com/fr/resources/) ## Choisissez le rôle Un résolveur récursif comme Unbound et une interface de filtrage comme AdGuard Home résolvent des problèmes connexes mais distincts. Décidez si le service effectue lui-même la récursion ou transmet à un amont, et comprenez quelle partie voit alors les requêtes. ## Gardez-le privé Un résolveur public non restreint peut être abusé pour des attaques par réflexion. Liez-le à un réseau privé ou n’autorisez que des sources autorisées, y compris IPv6. Si vous utilisez DNS chiffré, authentifiez ou restreignez autrement l’accès de manière appropriée au lieu de supposer que HTTPS le rend privé. ## Définissez une politique de journalisation Les requêtes DNS peuvent révéler une activité de navigation et applicative sensible. Désactivez la conservation inutile, protégez les enregistrements que vous conservez et expliquez la portée aux utilisateurs. Le transport chiffré protège un chemin ; il n'empêche pas le résolveur lui-même de voir les requêtes. ## Testez plus d'un nom Vérifiez le comportement de DNSSEC lorsqu'il est activé, les résultats IPv4 et IPv6, le filtrage des exceptions et la reprise lorsqu'un amont échoue. Conservez un moyen sûr de corriger l'accès sans dépendre exclusivement du résolveur que vous réparez. ## Prouvez que des tiers ne peuvent pas l’interroger Liez le résolveur à l'interface prévue, définissez les plages de clients autorisées et restreignez le pare-feu. Validez la configuration avant de redémarrer. Interrogez-le depuis un client autorisé, puis répétez depuis l'extérieur du réseau de confiance : cette requête doit être refusée ou expirer. Vérifiez IPv6 séparément. Un résolveur qui accepte des requêtes Internet arbitraires peut devenir une source d'abus. - Exécutez le validateur de configuration avant d'appliquer les modifications - Testez un client autorisé et un client refusé - Conserver temporairement les diagnostics de requête détaillés ``` unbound-checkconf ``` Documentation officielle : [Configuration du contrôle d'accès Unbound](https://unbound.docs.nlnetlabs.nl/en/latest/manpages/unbound.conf.html) ## Gardez les affirmations sur le DNS chiffré précises DNS-sur-HTTPS ou DNS-sur-TLS chiffre un chemin de transport donné. Le résolveur reçoit tout de même la requête, et un résolveur de transfert peut la transmettre à un autre opérateur. Examinez le choix du résolveur amont et la conservation. Si vous exposez un point de terminaison de résolveur chiffré, rendez sa politique d'accès aussi réfléchie que le port DNS ordinaire. ## Choisissez la chaîne de résolveurs avant d'ouvrir un port Une conception privée utile consiste en un client VPN interrogeant AdGuard Home, AdGuard transmettant à Unbound sur la boucle locale. Unbound effectue alors la récursion ; AdGuard ajoute le filtrage et une interface de gestion. Vous pouvez aussi n'utiliser qu'Unbound pour une pile plus légère. Donnez à chaque écouteur une adresse et un port distincts et tracez le sens du transfert : renvoyer Unbound vers AdGuard crée une boucle. Décidez quels clients privés peuvent utiliser le service avant de publier quoi que ce soit. - Gardez les ports TCP et UDP 53 entrants publics fermés, sauf s'il existe une politique spécifique de clients autorisés. - Appliquez des règles d'accès distinctes à l'interface de filtrage et à l'écouteur DNS. - Vérifiez la propriété du port avant l'installation ; un résolveur système existant peut déjà occuper l'adresse prévue. Documentation officielle : [Configuration d'AdGuard Home](https://github.com/AdguardTeam/AdGuardHome/wiki/Getting-Started) ## Un point de départ Unbound en boucle locale Sur un système où Unbound est déjà installé, le fragment suivant illustre un backend joignable uniquement sur l'hôte. Intégrez-le à la configuration de la distribution plutôt que d'écraser les paramètres du paquet ou la gestion des ancres de confiance. Le port élevé permet à un autre frontend DNS d'utiliser le port 53. Validez le fichier effectif complet, puis rechargez via le gestionnaire de services installé. Un client distant nécessite un tunnel ou un frontend contrôlé séparément ; ce fragment ne crée volontairement aucun résolveur public. ``` server: interface: 127.0.0.1 port: 5335 access-control: 127.0.0.0/8 allow access-control: 0.0.0.0/0 refuse access-control: ::0/0 refuse # Validate the complete installed configuration: unbound-checkconf ``` Documentation officielle : [Référence de configuration Unbound](https://unbound.docs.nlnetlabs.nl/en/latest/manpages/unbound.conf.html) ## Exécutez une liste de contrôle d'acceptation depuis deux réseaux Interrogez d'abord le backend localement, puis via le chemin client normal. Vérifiez les enregistrements A/AAAA ordinaires, un nom volontairement inexistant et la validation DNSSEC à l'aide d'un domaine de test documenté. Répétez depuis une machine hors du sous-réseau autorisé : elle ne doit pas recevoir de récursion. Vérifiez si un navigateur utilise son propre résolveur chiffré et contourne le DNS configuré de l'appareil. Gardez un résolveur indépendant temporaire disponible pendant le changement afin qu'une erreur DNS ne supprime pas votre voie d'administration. - Diagnostic local : dig @127.0.0.1 -p 5335 example.org A - Inspectez l'accessibilité en UDP et en TCP, ainsi que les écouteurs IPv6. - Confirmez les exceptions de filtrage et n'enregistrez que les diagnostics réellement nécessaires. ## Diagnostiquer les délais d’attente, les boucles et les échecs de validation Un délai d'attente du frontend avec un backend local fonctionnel suggère un problème d'adresse frontend, de pare-feu ou de cible de redirection. Des requêtes répétées auto-dirigées suggèrent une boucle. Des échecs DNSSEC généralisés peuvent impliquer une heure système incorrecte ou une maintenance des ancres de confiance ; corrigez la cause plutôt que de laisser la validation désactivée. Si seules les réponses volumineuses échouent, examinez le repli TCP et le chemin réseau. Gardez la journalisation des requêtes temporaire, et testez un redémarrage et une restauration de configuration avant de faire du résolveur une dépendance pour chaque appareil. CONTINUEZ L'EXPLORATION ## Continuer la lecture. [Réseau ### Un réseau doit pouvoir s'expliquer. Comprenez les choix de la région nordique, la différence entre une vitesse de port et le débit réel, et les preuves qu'un réseau d…](https://koalavps.com/fr/network/)[Mentions légales ### Politique de confidentialité — moins de données, des raisons claires. Comprenez les enregistrements de compte, de paiement et techniques, pourquoi ils peuvent être nécessaires et quelles questions pos…](https://koalavps.com/fr/privacy/)[Guides ### Un tunnel privé avec un objectif clair. WireGuard peut connecter vos appareils à un serveur ou à un réseau privé. Ses avantages dépendent d'un routage correct, de DNS et …](https://koalavps.com/fr/guides-wireguard-vpn-on-a-vps/) CONFIGUREZ VOTRE INFRASTRUCTURE ## Prenez le contrôle. Déployez selon vos conditions. Aucun justificatif d'identité. Accès administrateur complet. Facturation native en crypto. [Sélectionnez une configuration](https://koalavps.com/fr/vps/)