En resolver för dina enheter, inte en öppen förstärkare.

Välj rollen

En rekursiv resolver som Unbound och ett filtreringsgränssnitt som AdGuard Home löser relaterade men distinkta problem. Bestäm om tjänsten rekurserar själv eller vidarebefordrar till en uppström och förstå vilken part som då ser frågorna.

Håll det privat

En oinskränkt offentlig resolver kan missbrukas för reflektionattacker. Bind till ett privat nätverk eller tillåt endast auktoriserade källor, inklusive IPv6. Om krypterad DNS används, autentisera eller begränsa åtkomsten på lämpligt sätt i stället för att anta att HTTPS gör den privat.

Ange en loggningspolicy

DNS-frågor kan avslöja känslig surf- och applikationsaktivitet. Inaktivera onödig lagring, skydda de poster du behåller och förklara omfattningen för användarna. Krypterad transport skyddar en väg; det hindrar inte resolvern själv från att se frågor.

Testa mer än ett namn

Verifiera DNSSEC-beteende där det är aktiverat, IPv4 och IPv6 resultat, filtreringsundantag och återställning när en uppströms misslyckas. Behåll ett säkert sätt att åtgärda åtkomst utan att uteslutande bero på den resolver du reparerar.

Bevisa att utomstående inte kan fråga den

Bind resolvern till det avsedda gränssnittet, definiera de tillåtna klientintervallen och begränsa brandväggen. Validera konfigurationen innan du startar om. Fråga den från en auktoriserad klient och upprepa sedan från utanför det betrodda nätverket: den begäran bör nekas eller nå tidsgränsen. Kontrollera IPv6 separat. En resolver som accepterar godtyckliga internetfrågor kan bli en källa till missbruk.

• Kör konfigurationsvalideraren innan du tillämpar ändringar
• Testa en tillåten klient och en nekad klient
• Håll utförlig frågediagnostik tillfällig

unbound-checkconf

Officiell dokumentation: Obegränsad åtkomstkontrollkonfiguration

Håll krypterade DNS-påståenden precisa

DNS-över-HTTPS eller DNS-över-TLS krypterar en viss transportväg. Resolvern tar fortfarande emot frågan, och en vidarebefordrande resolver kan skicka den till en annan operatör. Granska valet av uppströmsleverantör och lagring. Om du exponerar en krypterad resolverändpunkt ska dess åtkomstpolicy vara lika medveten som den vanliga porten DNS.

Välj resolverkedjan innan du öppnar en port

En användbar privat design är en VPN-klient som frågar AdGuard Home, med AdGuard som vidarebefordrar till Unbound på loopback. Unbound utför sedan rekursion; AdGuard lägger till filtrering och ett gränssnitt för hantering. Alternativt kan du använda endast Unbound för en mindre stack. Ge varje lyssnare en distinkt adress/port och rita vidarebefordransriktningen: att skicka Unbound tillbaka till AdGuard skapar en loop. Bestäm vilka privata klienter som får använda tjänsten innan du publicerar något.

• Håll offentlig inkommande TCP och UDP 53 stängd om det inte finns en specifik policy för auktoriserade klienter.
• Ge filtreringsgränssnittet och DNS-lyssnaren separata åtkomstregler.
• Kontrollera portägarskap före installation; en befintlig systemresolver kan redan binda den avsedda adressen.

Officiell dokumentation: AdGuard Home-konfiguration

En startpunkt för Unbound på loopback

På ett system där Unbound redan är installerat illustrerar följande fragment en backend som endast är nåbar på värden. Integrera det med distributionens konfiguration i stället för att skriva över paketinställningar eller hantering av trust-anchors. Den höga porten låter en annan DNS-frontend använda port 53. Validera hela den effektiva filen och ladda sedan om via den installerade tjänstehanteraren. En fjärrklient behöver en separat kontrollerad tunnel eller frontend; detta fragment skapar avsiktligt ingen offentlig resolver.

server:
  interface: 127.0.0.1
  port: 5335
  access-control: 127.0.0.0/8 allow
  access-control: 0.0.0.0/0 refuse
  access-control: ::0/0 refuse

# Validate the complete installed configuration:
unbound-checkconf

Officiell dokumentation: Konfigurationsreferens för Unbound

Kör en acceptanskontrollista från två nätverk

Fråga först backend lokalt, sedan den normala klientvägen. Kontrollera vanliga A/AAAA-poster, ett avsiktligt icke-existerande namn och DNSSEC-validering med en dokumenterad testdomän. Upprepa från en maskin utanför det tillåtna subnätet: den får inte ta emot rekursion. Granska om en webbläsare använder sin egen krypterade resolver och kringgår den konfigurerade enhetens DNS. Håll en tillfällig oberoende resolver tillgänglig under ändringen så att ett DNS misstag inte tar bort din administrationsväg.

• Lokal diagnostik: dig @127.0.0.1 -p 5335 example.org A
• Inspektera både UDP- och TCP-nåbarhet samt IPv6 lyssnare.
• Bekräfta filtreringsundantag och registrera endast den diagnostik som faktiskt behövs.

Diagnostisera tidsgränser, loopar och valideringsfel

En timeout i frontend med en fungerande lokal backend tyder på frontendadressen, brandväggen eller vidarebefordringsmålet. Upprepade självriktade frågor tyder på en loop. Omfattande DNSSEC-fel kan bero på felaktig systemtid eller underhåll av trust-anchors; åtgärda orsaken i stället för att lämna valideringen avstängd. Om endast stora svar misslyckas, undersök TCP-fallback och nätverksvägen. Håll frågeloggningen tillfällig och testa en omstart och återställning av konfigurationen innan du gör resolvern till en beroende för varje enhet.