Резолвер для ваших устройств, а не открытый усилитель.

Выберите роль

Рекурсивный резолвер, такой как Unbound, и интерфейс фильтрации, такой как AdGuard Home, решают связанные, но разные задачи. Решите, выполняет ли сервис рекурсию сам или пересылает запросы вышестоящему серверу, и поймите, какая сторона тогда видит запросы.

Держите это в тайне

Неограниченный публичный резолвер может использоваться для отражённых атак. Привяжите его к частной сети или разрешите только авторизованные источники, включая IPv6. При использовании зашифрованного DNS настройте аутентификацию или иным образом ограничьте доступ, а не полагайтесь на то, что HTTPS делает его приватным.

Задайте политику журналирования

Запросы DNS могут раскрывать конфиденциальную активность просмотра и приложений. Отключите ненужное хранение, защищайте сохраняемые записи и объясните пользователям область действия. Шифрованный транспорт защищает путь; он не мешает самому резолверу видеть запросы.

Проверьте более одного имени

Проверьте поведение DNSSEC там, где он включён, результаты IPv4 и IPv6, исключения фильтрации и восстановление при сбое вышестоящего сервера. Сохраните безопасный способ исправить доступ, не полагаясь исключительно на резолвер, который вы восстанавливаете.

Докажите, что посторонние не могут её запросить

Привяжите резолвер к нужному интерфейсу, определите разрешённые диапазоны клиентов и ограничьте межсетевой экран. Проверьте конфигурацию перед перезапуском. Запросите его с авторизованного клиента, затем повторите извне доверенной сети: такой запрос должен быть отклонён или завершиться по тайм-ауту. Проверьте IPv6 отдельно. Резолвер, принимающий произвольные запросы из интернета, может стать источником злоупотреблений.

• Запустите валидатор конфигурации перед применением изменений
• Проверьте разрешённого и запрещённого клиента
• Держите подробную диагностику запросов временной

unbound-checkconf

Официальная документация: Неограниченная конфигурация контроля доступа

Формулируйте заявления о зашифрованных DNS точно

DNS-over-HTTPS или DNS-over-TLS шифрует конкретный путь передачи. Резолвер всё равно получает запрос, а пересылающий резолвер может передать его другому оператору. Изучите выбор вышестоящего резолвера и хранение. Если вы предоставляете зашифрованную конечную точку резолвера, сделайте её политику доступа такой же продуманной, как и обычный порт DNS.

Выберите цепочку резолверов до открытия порта

Полезная приватная схема — VPN-клиент, запрашивающий AdGuard Home, а AdGuard перенаправляет запросы в Unbound на loopback. Затем Unbound выполняет рекурсию; AdGuard добавляет фильтрацию и интерфейс управления. Как вариант, используйте только Unbound для меньшего стека. Дайте каждому слушателю отдельный адрес/порт и нарисуйте направление перенаправления: отправка Unbound обратно в AdGuard создаёт петлю. Решите, какие приватные клиенты могут пользоваться сервисом, прежде чем что-либо публиковать.

• Держите публичные входящие TCP- и UDP-порты 53 закрытыми, если нет отдельной политики для авторизованных клиентов.
• Задайте отдельные правила доступа для интерфейса фильтрации и слушателя DNS.
• Проверьте занятость порта перед установкой; существующий системный резолвер может уже занимать нужный адрес.

Официальная документация: Настройка AdGuard Home

Отправная точка для Unbound на loopback

В системе с уже установленным Unbound следующий фрагмент иллюстрирует бэкенд, доступный только на хосте. Интегрируйте его с конфигурацией дистрибутива, а не перезаписывайте настройки пакета или управление доверенными якорями. Высокий порт позволяет другому фронтенду DNS использовать порт 53. Проверьте полный действующий файл, затем перезагрузите через установленный менеджер служб. Удалённому клиенту нужен отдельно контролируемый туннель или фронтенд; этот фрагмент намеренно не создаёт публичный резолвер.

server:
  interface: 127.0.0.1
  port: 5335
  access-control: 127.0.0.0/8 allow
  access-control: 0.0.0.0/0 refuse
  access-control: ::0/0 refuse

# Validate the complete installed configuration:
unbound-checkconf

Официальная документация: Справочник по конфигурации Unbound

Пройдите приёмочный чек-лист из двух сетей

Сначала запросите бэкенд локально, затем обычным путём клиента. Проверьте обычные записи A/AAAA, заведомо несуществующее имя и валидацию DNSSEC с помощью документированного тестового домена. Повторите с машины вне разрешённой подсети: она не должна получать рекурсию. Проверьте, не использует ли браузер собственный шифрованный резолвер и не обходит ли настроенный DNS устройства. Держите временный независимый резолвер доступным во время изменения, чтобы ошибка DNS не лишила вас маршрута администрирования.

• Локальная диагностика: dig @127.0.0.1 -p 5335 example.org A
• Проверьте доступность как по UDP, так и по TCP, а также слушатели IPv6.
• Подтвердите исключения фильтрации и записывайте только действительно необходимую диагностику.

Диагностика тайм-аутов, циклов и ошибок валидации

Тайм-аут фронтенда при работающем локальном бэкенде указывает на адрес фронтенда, межсетевой экран или цель перенаправления. Повторяющиеся самонаправленные запросы указывают на цикл. Массовые сбои DNSSEC могут быть связаны с неверным системным временем или обслуживанием доверенных якорей; устраните причину, а не оставляйте проверку отключённой. Если сбоят только большие ответы, исследуйте резервный переход на TCP и сетевой путь. Ведите журналирование запросов временно и проверьте перезапуск и восстановление конфигурации, прежде чем делать резолвер зависимостью для каждого устройства.