Cihazlarınız için bir çözümleyici, açık bir yükseltici değil.

Rolü seçin

Unbound gibi özyinelemeli bir çözümleyici ve AdGuard Home gibi filtreleme arayüzü, ilişkili ama farklı sorunları çözer. Hizmetin kendisinin özyineleme yapıp yapmayacağına veya bir üst kaynağa yönlendirip yönlendirmeyeceğine karar verin ve sorguları hangi tarafın göreceğini anlayın.

Gizli tutun

Kısıtlanmamış bir genel çözümleyici, yansıtma saldırıları için kötüye kullanılabilir. Özel bir ağa bağlayın veya IPv6 dahil yalnızca yetkili kaynaklara izin verin. Şifrelenmiş DNS kullanıyorsanız, HTTPS öğesinin onu özel yaptığını varsaymak yerine erişimi uygun şekilde kimlik doğrulayın veya başka yollarla kısıtlayın.

Bir günlükleme politikası belirleyin

DNS sorguları hassas tarama ve uygulama etkinliğini açığa çıkarabilir. Gereksiz saklamayı devre dışı bırakın, tuttuğunuz kayıtları koruyun ve kapsamı kullanıcılara açıklayın. Şifreli taşıma bir yolu korur; çözümleyicinin sorguları görmesini engellemez.

Birden fazla adı test edin

Etkinleştirildiği yerlerde DNSSEC davranışını, IPv4 ve IPv6 sonuçlarını, filtreleme istisnalarını ve bir üst akış başarısız olduğunda kurtarmayı doğrulayın. Onardığınız çözümleyiciye yalnızca bağımlı olmadan erişimi düzeltmenin güvenli bir yolunu elinizde tutun.

Yabancıların sorgulayamadığını kanıtlayın

Çözümleyiciyi amaçlanan arayüze bağlayın, izin verilen istemci aralıklarını tanımlayın ve güvenlik duvarını kısıtlayın. Yeniden başlatmadan önce yapılandırmayı doğrulayın. Yetkili bir istemciden sorgulayın, ardından güvenilir ağın dışından tekrarlayın: bu istek reddedilmeli veya zaman aşımına uğramalıdır. IPv6 ayrı olarak kontrol edin. Rastgele internet sorgularını kabul eden bir çözümleyici kötüye kullanım kaynağı haline gelebilir.

• Değişiklikleri uygulamadan önce yapılandırma doğrulayıcısını çalıştırın
• İzin verilen bir istemciyi ve reddedilen bir istemciyi test edin
• Ayrıntılı sorgu tanılamalarını geçici tutun

unbound-checkconf

Resmi belgeler: Kısıtlanmamış erişim kontrolü yapılandırması

Şifrelenmiş DNS iddialarını kesin tutun

DNS-üzerinden-HTTPS veya DNS-üzerinden-TLS belirli bir taşıma yolunu şifreler. Çözümleyici yine de sorguyu alır ve bir yönlendirme çözümleyicisi bunu başka bir operatöre iletebilir. Üst kaynak seçimini ve saklamayı gözden geçirin. Şifrelenmiş bir çözümleyici uç noktası açığa çıkarırsanız, erişim politikasını sıradan DNS bağlantı noktası kadar bilinçli hale getirin.

Bir bağlantı noktası açmadan önce çözümleyici zincirini seçin

Kullanışlı bir özel tasarım, AdGuard Home'a sorgu gönderen bir VPN istemcisidir; AdGuard ise loopback üzerindeki Unbound'a iletir. Unbound ardından özyineleme yapar; AdGuard filtreleme ve yönetim arayüzü ekler. Alternatif olarak daha küçük bir yığın için yalnızca Unbound kullanın. Her dinleyiciye ayrı bir adres/port verin ve iletim yönünü çizin: Unbound'u AdGuard'a geri göndermek bir döngü oluşturur. Herhangi bir şey yayımlamadan önce hangi özel istemcilerin hizmeti kullanabileceğine karar verin.

• Belirli bir yetkili istemci politikası olmadıkça genel gelen TCP ve UDP 53 kapalı tutun.
• Filtreleme arayüzüne ve DNS dinleyicisine ayrı erişim kuralları verin.
• Kurulumdan önce port sahipliğini kontrol edin; mevcut bir sistem çözümleyicisi amaçlanan adresi zaten bağlamış olabilir.

Resmi belgeler: AdGuard Home kurulumu

Bir loopback Unbound başlangıç noktası

Unbound'un zaten kurulu olduğu bir sistemde, aşağıdaki parça yalnızca ana makinede erişilebilen bir arka ucu gösterir. Paket ayarlarının veya trust-anchor yönetiminin üzerine yazmak yerine dağıtım yapılandırmasıyla bütünleştirin. Yüksek port, başka bir DNS ön ucunun 53 portunu kullanmasını sağlar. Etkin dosyanın tamamını doğrulayın, ardından kurulu hizmet yöneticisi aracılığıyla yeniden yükleyin. Uzak bir istemci ayrı olarak denetlenen bir tünel veya ön uç gerektirir; bu parça kasıtlı olarak herkese açık bir çözümleyici oluşturmaz.

server:
  interface: 127.0.0.1
  port: 5335
  access-control: 127.0.0.0/8 allow
  access-control: 0.0.0.0/0 refuse
  access-control: ::0/0 refuse

# Validate the complete installed configuration:
unbound-checkconf

Resmi belgeler: Unbound yapılandırma referansı

İki ağdan bir kabul kontrol listesi çalıştırın

Önce arka ucu yerel olarak, ardından normal istemci yolunu sorgulayın. Sıradan A/AAAA kayıtlarını, kasıtlı olarak var olmayan bir adı ve belgelenmiş bir test alanı kullanarak DNSSEC doğrulamasını kontrol edin. İzin verilen alt ağın dışındaki bir makineden tekrarlayın: özyineleme almamalıdır. Bir tarayıcının kendi şifreli çözümleyicisini kullanıp yapılandırılmış cihaz DNS ayarını atlayıp atlamadığını gözden geçirin. Değişiklik sırasında geçici bağımsız bir çözümleyiciyi hazır bulundurun; böylece bir DNS hatası yönetim yolunuzu ortadan kaldırmaz.

• Yerel tanılama: dig @127.0.0.1 -p 5335 example.org A
• Hem UDP hem de TCP erişilebilirliğini ve IPv6 dinleyicilerini inceleyin.
• Filtreleme istisnalarını doğrulayın ve yalnızca gerçekten ihtiyaç duyulan tanılama bilgilerini kaydedin.

Zaman aşımlarını, döngüleri ve doğrulama hatalarını teşhis edin

Çalışan bir yerel arka uçla birlikte ön uç zaman aşımı, ön uç adresine, güvenlik duvarına veya yönlendirme hedefine işaret eder. Tekrarlanan kendi kendine yönlendirilen sorgular bir döngüye işaret eder. Yaygın DNSSEC hataları yanlış sistem saati veya güven çapası bakımıyla ilgili olabilir; doğrulamayı devre dışı bırakmak yerine nedeni düzeltin. Yalnızca büyük yanıtlar başarısız oluyorsa TCP geri dönüşünü ve ağ yolunu inceleyin. Sorgu günlüğünü geçici tutun ve çözümleyiciyi her cihaz için bir bağımlılık haline getirmeden önce yeniden başlatmayı ve yapılandırma geri yüklemeyi test edin.