Kurze Antwort
Wie betreibe ich einen privaten DNS-Resolver mit Unbound auf einem VPS?
Um einen privaten DNS-Resolver mit Unbound zu betreiben, installieren Sie das Paket unbound, legen die Adressen fest, auf denen er lauschen darf, erlauben mit access-control nur Ihrem eigenen Netz den Zugriff und testen mit dig. Gloamports Ember-Tarif, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic bei $3.74 pro Monat bei 12 Monaten, reicht für die Anfragen einer Person.
Welche Unbound-Einstellungen machen einen Resolver privat?
| Einstellung | Wert in diesem Leitfaden | Was das Unbound-Handbuch sagt |
|---|---|---|
| interface | 127.0.0.1 und Ihre Tunnel-Adresse | Die Adressen, von denen Clients Anfragen stellen können; ohne Angabe lauscht Unbound nur auf localhost |
| access-control | Das Netz Ihres Tunnels erlauben | Der spezifischste Netzblock gewinnt; ein Client, der auf keinen passt, wird abgelehnt |
| hide-identity | ja | Abfragen nach id.server und hostname.bind werden mit REFUSED beantwortet |
| hide-version | ja | Abfragen nach version.server und version.bind werden mit REFUSED beantwortet |
| qname-minimisation | ja | Sendet den Mindestumfang an Informationen an vorgelagerte Server |
harden-dnssec-stripped | ja | Eine Zone mit Trust-Anker, aber ohne DNSSEC-Daten wird als bogus gewertet |
| prefetch | ja | Erneuert Einträge, die im letzten Zehntel ihrer TTL abgefragt wurden, bei etwa 10 % mehr Verkehr |
| private-address | Ihre privaten Bereiche | Solche Antworten werden für öffentliche Namen entfernt, was vor DNS-Rebinding schützt |
Preise geprüft am
Was ändert ein privater Resolver, und was nicht?
Ein privater Resolver ändert, wer Ihre DNS-Anfragen beantwortet und wer sie aus dem Netz sehen kann. Unbound löst Namen selbst auf, indem er die Root-Server und dann die Server jeder Zone fragt, statt an einen öffentlichen DNS-Anbieter weiterzuleiten. Ihre Geräte senden Anfragen nur an Ihren VPS, und die Server der Zonen sehen die Adresse des VPS, nicht Ihre eigene.
Er verbirgt Ihr Surfen nicht. Die Seiten, die Sie besuchen, werden weiterhin über ihre Adressen erreicht, und der VPS-Anbieter trägt Ihre Anfragen zum VPS. Klassisches DNS zwischen Ihrem Gerät und dem VPS ist nicht verschlüsselt, weshalb der sicherste Ort zum Lauschen innerhalb eines Tunnels liegt, etwa WireGuard auf demselben VPS. Lassen Sie Port 53 nie für das ganze Internet offen: Ein offener Resolver wird von anderen genutzt, und die access-control-Zeilen unten lehnen sie ab.
Wie betreibe ich Unbound als privaten Resolver?
Die Befehle sind für Debian 13 und Ubuntu 24.04 gedacht. Die Beispiele setzen einen WireGuard-Tunnel voraus, bei dem der VPS unter 10.8.0.1 erreichbar ist.
Unbound und ein DNS-Testwerkzeug installieren
Führen Sie apt install unbound bind9-dnsutils aus. Das zweite Paket stellt dig zum Testen bereit. Beide sind bei Debian 13 und Ubuntu 24.04 enthalten.
Konfiguration schreiben
Legen Sie eine Datei in /etc/unbound/unbound.conf.d/ mit dem server-Abschnitt aus dem ersten Codeblock an. Ersetzen Sie 10.8.0.1 und 10.8.0.0/24 durch Ihre Tunnel-Adresse und Ihr Netz, oder verwenden Sie nur 127.0.0.1, wenn Sie vom VPS selbst abfragen.
Datei prüfen
Führen Sie unbound-checkconf aus. Das Handbuch sagt, dass es unbound.conf vor der Verwendung prüft; es meldet Datei und Zeile jedes Fehlers.
Neu starten und die Listener prüfen
Starten Sie den Dienst neu und führen Sie ss mit -lunt aus, gefiltert nach :53. Sie sollten nur die Adressen sehen, die Sie angegeben haben, nicht 0.0.0.0.
Abfragen
Führen Sie auf dem VPS dig @127.0.0.1 example.org aus. Von einem Gerät im Tunnel führen Sie dig @10.8.0.1 example.org aus. Eine abgelehnte Antwort von außerhalb des erlaubten Netzes ist das richtige Ergebnis.
Geräte darauf ausrichten
Setzen Sie den DNS-Server in der Tunnel-Konfiguration Ihrer Geräte auf die Tunnel-Adresse des VPS. Halten Sie Port 53 an der öffentlichen Schnittstelle in der Firewall geschlossen.
server:
interface: 127.0.0.1
interface: 10.8.0.1
access-control: 127.0.0.0/8 allow
access-control: 10.8.0.0/24 allow
hide-identity: yes
hide-version: yes
qname-minimisation: yes
harden-glue: yes
harden-dnssec-stripped: yes
prefetch: yes
private-address: 10.0.0.0/8
private-address: 172.16.0.0/12
private-address: 192.168.0.0/16sudo apt install unbound bind9-dnsutils
sudo unbound-checkconf
sudo systemctl restart unbound
sudo ss -lunt | grep :53
dig @127.0.0.1 example.org
dig @10.8.0.1 example.orgWarum muss Unbound mit access-control eingeschränkt werden?
Weil ein Resolver, der jedem antwortet, von Fremden gefunden und genutzt wird. Das Unbound-Handbuch sagt, dass bei access-control der spezifischste Netzblock gewinnt und ein Client, der keinen trifft, abgelehnt wird. Listen Sie nur die Netze auf, die Ihnen gehören; alles andere wird standardmäßig abgelehnt.
Zwei Standardwerte helfen. Ist keine interface-Zeile angegeben, lauscht Unbound nur auf localhost, und do-not-query-localhost ist standardmäßig auf yes gesetzt, sodass er seine eigenen vorgelagerten Anfragen nicht an localhost-Adressen schickt. Fügen Sie private-address-Zeilen für Ihre internen Bereiche hinzu, damit ein öffentlicher Name Ihre Geräte nicht auf Ihr eigenes Netz zeigen lassen kann.
Welcher Gloamport-Tarif reicht für einen DNS-Resolver?
Der kleinste Tarif trägt einen persönlichen Resolver, und die übliche Einrichtung teilt ihn sich mit einem VPN auf demselben Server. Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, kostet $3.74 pro Monat bei der 12-Monats-Laufzeit und $7.48 bei einem einzelnen Monat; Gloamport führt ihn für Ein WireGuard-VPN für einige Geräte. Ein Resolver und WireGuard passen gemeinsam darauf. Wir haben Unbound nicht gemessen. Wenn Sie viele Geräte bedienen, bringt Dusk für $5.25 pro Monat bei der 12-Monats-Laufzeit ein zusätzliches GB Arbeitsspeicher (2 GB).
Der Cache ist das, was Sie abstimmen. Das Handbuch merkt an, dass cache-min-ttl, standardmäßig aus, Probleme verursachen kann, wenn es über etwa einer Stunde liegt. Lassen Sie es daher in Ruhe, außer Sie wissen, warum Sie es brauchen.
Ist ein selbst betriebener Resolver besser als ein öffentlicher DNS-Anbieter?
Das hängt davon ab, wem Sie Ihr Abfrageprotokoll anvertrauen, und ein selbst betriebener Resolver entfernt eine Partei. Ein öffentlicher DNS-Anbieter sieht jeden Namen, den Ihre Geräte nachschlagen; mit Unbound auf Ihrem eigenen VPS werden diese Anfragen nur auf einem Server gesammelt, den Sie kontrollieren. Die autoritativen Server der Zonen, nach denen Sie fragen, sehen Anfragen weiterhin von der Adresse des VPS.
Laut Gloamports Umfrage unter 10. November 2026 verlangen 28 der 49 gelisteten Anbieter bei der Registrierung kein Ausweisdokument, sodass der VPS, der ihn betreibt, ohne Übergabe von Dokumenten erhältlich ist. Für einen Überblick über die ganze Tunnel-Option lesen Sie Ist ein selbst gehostetes VPN auf einem VPS besser als ein VPN-Dienst?, und sichern Sie den Host mit Wie härte ich SSH auf einem neuen VPS ab?.
Zusammenfassung
- unbound und bind9-dnsutils installieren; konfigurieren in /etc/unbound/unbound.conf.d/.
- interface und access-control verwenden, damit nur Ihr eigenes Netz abfragen kann.
- Ein Client, der keinen access-control-Netzblock trifft, wird abgelehnt.
- hide-identity und hide-version machen Identitäts- und Versionsabfragen zu REFUSED.
- Führen Sie vor jedem Neustart unbound-checkconf aus.
- In einen WireGuard-Tunnel legen; klassisches DNS ist nicht verschlüsselt.
- Ember, $3.74 pro Monat bei 12 Monaten, betreibt ihn.
Unbound-Resolver privat: häufige Fragen
Validiert Unbound DNSSEC?
Unbound ist ein validierender Resolver, und sein Handbuch beschreibt die Optionen trust-anchor und harden-dnssec-stripped. Prüfen Sie Ihre Installation mit dig +dnssec und suchen Sie in der Antwort nach dem Flag ad.
Kann ich stattdessen Anfragen an einen anderen DNS-Anbieter weiterleiten?
Ja, Unbound unterstützt Weiterleitung, aber dann sieht dieser Anbieter Ihre Anfragen. Dieser Leitfaden löst rekursiv auf, damit kein einzelner Anbieter alles sieht.
Warum ist unbound-checkconf fehlgeschlagen?
Das Tool meldet Datei und Zeile des ersten Fehlers. Typische Ursachen sind ein Tippfehler in einem Schlüsselwort oder ein fehlender Doppelpunkt. Beheben Sie ihn und führen Sie den Befehl erneut aus, bevor Sie den Dienst neu starten.
Muss ich Port 53 in der Firewall öffnen?
Nur auf der Tunnel-Schnittstelle. Halten Sie ihn an der öffentlichen Schnittstelle geschlossen und die access-control-Liste auf Ihr eigenes Netz beschränkt.
Was bewirkt prefetch?
Mit prefetch auf yes löst ein Cache-Treffer im letzten Zehntel der Lebensdauer eines Eintrags eine Aktualisierung im Hintergrund aus. Das Handbuch sagt, dass dies etwa 10 Prozent mehr Verkehr und Last verursacht.
Quellen (1)
- Handbuch unbound.conf(5): Serveroptionen — NLnet Labs (checked 2026-11-10)