--- canonical: https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/ language: id generated: 2026-10-21T13:32:38.539Z --- [Beranda](https://koalavps.com/id/) / [Jelajahi](https://koalavps.com/id/resources/) / Catatan lapangan KoalaVPS Catatan lapangan KoalaVPS # Resolver untuk perangkat Anda, bukan amplifier terbuka. Resolver DNS privat dapat memberi Anda kendali atas resolusi dan pemfilteran saat akses sengaja dibatasi. [Temukan VPS Anda](https://koalavps.com/id/vps/) ## DALAM DOKUMEN INI [Pilih peran](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-1)[Jaga tetap privat](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-2)[Tetapkan kebijakan pencatatan log](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-3)[Uji lebih dari satu nama](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-4)[Buktikan orang asing tidak dapat melakukan kueri ke sana](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-5)[Jaga klaim DNS terenkripsi tetap tepat](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-6)[Pilih rantai resolver sebelum membuka port](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-7)[Titik awal Unbound loopback](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-8)[Jalankan daftar periksa penerimaan dari dua jaringan](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-9)[Diagnosis timeout, loop, dan kegagalan validasi](https://koalavps.com/id/guides-self-host-dns-resolver-on-a-vps/#section-10)[Basis pengetahuan](https://koalavps.com/id/resources/) ## Pilih peran Resolver rekursif seperti Unbound dan antarmuka penyaringan seperti AdGuard Home memecahkan masalah yang terkait tetapi berbeda. Putuskan apakah layanan melakukan rekursi sendiri atau meneruskan ke upstream dan pahami pihak mana yang kemudian melihat kueri. ## Jaga tetap privat Resolver publik tanpa pembatasan dapat disalahgunakan untuk serangan refleksi. Ikat ke jaringan privat atau izinkan hanya sumber yang sah, termasuk IPv6. Jika menggunakan DNS terenkripsi, autentikasi atau batasi akses dengan tepat alih-alih menganggap HTTPS membuatnya privat. ## Tetapkan kebijakan pencatatan log Kueri DNS dapat mengungkap aktivitas penjelajahan dan aplikasi yang sensitif. Nonaktifkan retensi yang tidak perlu, lindungi catatan yang Anda simpan, dan jelaskan cakupannya kepada pengguna. Transportasi terenkripsi melindungi suatu jalur; ini tidak mencegah resolver itu sendiri melihat kueri. ## Uji lebih dari satu nama Verifikasi perilaku DNSSEC jika diaktifkan, hasil IPv4 dan IPv6, pengecualian penyaringan, dan pemulihan saat upstream gagal. Pertahankan cara aman untuk memperbaiki akses tanpa bergantung sepenuhnya pada resolver yang sedang Anda perbaiki. ## Buktikan orang asing tidak dapat melakukan kueri ke sana Ikat resolver ke antarmuka yang dimaksud, tentukan rentang klien yang diizinkan, dan batasi firewall. Validasi konfigurasi sebelum memulai ulang. Kueri dari klien yang berwenang, lalu ulangi dari luar jaringan tepercaya: permintaan itu harus ditolak atau timeout. Periksa IPv6 secara terpisah. Resolver yang menerima kueri internet sembarang dapat menjadi sumber penyalahgunaan. - Jalankan validator konfigurasi sebelum menerapkan perubahan - Uji klien yang diizinkan dan klien yang ditolak - Jaga diagnostik kueri verbose tetap sementara ``` unbound-checkconf ``` Dokumentasi resmi: [Konfigurasi kontrol akses tanpa batas](https://unbound.docs.nlnetlabs.nl/en/latest/manpages/unbound.conf.html) ## Jaga klaim DNS terenkripsi tetap tepat DNS-over-HTTPS atau DNS-over-TLS mengenkripsi jalur transport tertentu. Resolver tetap menerima kueri, dan resolver penerus dapat meneruskannya ke operator lain. Tinjau pilihan upstream dan retensi. Jika Anda mengekspos endpoint resolver terenkripsi, buat kebijakan aksesnya sama disengaja seperti port DNS biasa. ## Pilih rantai resolver sebelum membuka port Desain privat yang berguna adalah klien VPN yang melakukan kueri ke AdGuard Home, dengan AdGuard meneruskan ke Unbound pada loopback. Unbound kemudian melakukan rekursi; AdGuard menambahkan pemfilteran dan antarmuka manajemen. Alternatifnya, gunakan hanya Unbound untuk tumpukan yang lebih kecil. Beri setiap pendengar alamat/port yang berbeda dan gambarkan arah penerusan: mengirim Unbound kembali ke AdGuard akan membuat loop. Tentukan klien privat mana yang boleh menggunakan layanan sebelum memublikasikan apa pun. - Biarkan TCP dan UDP masuk publik 53 tertutup kecuali ada kebijakan klien resmi yang spesifik. - Berikan aturan akses terpisah untuk antarmuka penyaringan dan pendengar DNS. - Periksa kepemilikan port sebelum instalasi; resolver sistem yang ada mungkin sudah mengikat alamat yang dimaksud. Dokumentasi resmi: [Penyiapan AdGuard Home](https://github.com/AdguardTeam/AdGuardHome/wiki/Getting-Started) ## Titik awal Unbound loopback Pada sistem dengan Unbound yang sudah terpasang, fragmen berikut menggambarkan backend yang hanya dapat dijangkau di host. Integrasikan dengan konfigurasi distribusi alih-alih menimpa pengaturan paket atau manajemen trust-anchor. Port tinggi memungkinkan frontend DNS lain menggunakan port 53. Validasi file efektif lengkap, lalu muat ulang melalui manajer layanan yang terpasang. Klien jarak jauh memerlukan tunnel atau frontend yang dikendalikan secara terpisah; fragmen ini sengaja tidak membuat resolver publik. ``` server: interface: 127.0.0.1 port: 5335 access-control: 127.0.0.0/8 allow access-control: 0.0.0.0/0 refuse access-control: ::0/0 refuse # Validate the complete installed configuration: unbound-checkconf ``` Dokumentasi resmi: [Referensi konfigurasi Unbound](https://unbound.docs.nlnetlabs.nl/en/latest/manpages/unbound.conf.html) ## Jalankan daftar periksa penerimaan dari dua jaringan Kueri backend terlebih dahulu secara lokal, lalu jalur klien normal. Periksa record A/AAAA biasa, nama yang sengaja tidak ada, dan validasi DNSSEC menggunakan domain uji yang terdokumentasi. Ulangi dari mesin di luar subnet yang diizinkan: mesin tersebut tidak boleh menerima rekursi. Tinjau apakah browser menggunakan resolver terenkripsi miliknya sendiri dan melewati DNS perangkat yang dikonfigurasi. Sediakan resolver independen sementara selama perubahan agar kesalahan DNS tidak menghilangkan jalur administrasi Anda. - Diagnostik lokal: dig @127.0.0.1 -p 5335 example.org A - Periksa keterjangkauan UDP dan TCP, serta listener IPv6. - Konfirmasi pengecualian penyaringan dan catat hanya diagnostik yang benar-benar diperlukan. ## Diagnosis timeout, loop, dan kegagalan validasi Timeout frontend dengan backend lokal yang berfungsi menunjukkan alamat frontend, firewall, atau target penerusan. Kueri mandiri berulang menunjukkan adanya loop. Kegagalan DNSSEC yang meluas dapat melibatkan waktu sistem yang salah atau pemeliharaan trust-anchor; perbaiki penyebabnya alih-alih membiarkan validasi dinonaktifkan. Jika hanya balasan besar yang gagal, selidiki fallback TCP dan jalur jaringan. Jaga pencatatan kueri tetap sementara, dan uji restart serta pemulihan konfigurasi sebelum menjadikan resolver sebagai dependensi bagi setiap perangkat. TERUS JELAJAHI ## Lanjutkan membaca. [Jaringan ### Jaringan harus dapat menjelaskan dirinya sendiri. Pahami pilihan wilayah Nordik, perbedaan antara kecepatan port dan throughput nyata, serta bukti apa yang harus dipublikasikan ole…](https://koalavps.com/id/network/)[Hukum ### Kebijakan privasi — lebih sedikit catatan, alasan yang jelas. Pahami catatan akun, pembayaran dan teknis, mengapa catatan tersebut mungkin diperlukan dan pertanyaan apa yang harus diajukan ten…](https://koalavps.com/id/privacy/)[Panduan ### Tunnel privat dengan tujuan yang jelas. WireGuard dapat menghubungkan perangkat Anda ke server atau jaringan privat. Manfaatnya bergantung pada perutean yang benar, DNS d…](https://koalavps.com/id/guides-wireguard-vpn-on-a-vps/) KONFIGURASIKAN INFRASTRUKTUR ANDA ## Ambil kendali. Deploy sesuai ketentuan Anda. Tanpa dokumen identitas. Akses administrator penuh. Penagihan berbasis kripto. [Pilih konfigurasi](https://koalavps.com/id/vps/)