Respuesta rápida
¿Cómo ejecuto un resolutor DNS privado con Unbound en un VPS?
Para ejecutar un resolutor DNS privado con Unbound, instale el paquete unbound, indique las direcciones en las que puede escuchar, permita solo su propia red con access-control y pruebe con dig. El plan Ember de Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic a $3.74 al mes con 12 meses, basta para las consultas de una persona.
¿Qué ajustes de Unbound hacen privado un resolutor?
| Ajuste | Valor en esta guía | Lo que dice el manual de Unbound |
|---|---|---|
| interface | 127.0.0.1 y la dirección de su túnel | Las direcciones a las que pueden consultar los clientes; si no se indica ninguna, Unbound escucha en localhost |
| access-control | Permitir la red de su túnel | Gana el bloque de red más específico; un cliente que no coincida con ninguno es rechazado |
| hide-identity | sí | Las consultas id.server y hostname.bind reciben REFUSED |
| hide-version | sí | Las consultas version.server y version.bind reciben REFUSED |
| qname-minimisation | sí | Envía a los servidores superiores la mínima información posible |
harden-dnssec-stripped | sí | Una zona con ancla de confianza pero sin datos DNSSEC pasa a considerarse no válida |
| prefetch | sí | Renueva las entradas consultadas en el último 10 % de su TTL, con unos 10 % más de tráfico |
| private-address | Sus rangos privados | Estas respuestas se eliminan para nombres públicos, lo que protege contra el DNS rebinding |
Precios comprobados el
¿Qué cambia un resolutor privado y qué no?
Un resolutor privado cambia quién responde a sus consultas DNS y quién puede verlas desde la red. Unbound resuelve los nombres por sí mismo, preguntando a los servidores raíz y luego a los de cada zona, en lugar de reenviar a un proveedor DNS público. Sus dispositivos envían consultas solo a su VPS, y los servidores de las zonas ven la dirección del VPS, no la suya.
No oculta su navegación. Los sitios que visita se alcanzan igualmente por sus direcciones, y el proveedor del VPS transporta sus consultas hasta el VPS. El DNS en texto plano entre su dispositivo y el VPS no está cifrado, por eso el lugar más seguro para escuchar es dentro de un túnel, como WireGuard en el mismo VPS. Nunca deje el puerto 53 abierto a todo internet: un resolutor abierto lo usará cualquiera, y las líneas access-control de abajo lo rechazan.
Cómo ejecutar Unbound como resolutor privado
Los comandos son para Debian 13 y Ubuntu 24.04. Los ejemplos suponen un túnel WireGuard con el VPS en 10.8.0.1.
Instale Unbound y una herramienta de prueba DNS
Ejecute apt install unbound bind9-dnsutils. El segundo paquete aporta dig para las pruebas. Debian 13 y Ubuntu 24.04 incluyen ambos.
Escriba la configuración
Cree un archivo en /etc/unbound/unbound.conf.d/ con la sección server del primer bloque de código. Sustituya 10.8.0.1 y 10.8.0.0/24 por la dirección y la red de su túnel, o use solo 127.0.0.1 si consulta desde el propio VPS.
Compruebe el archivo
Ejecute unbound-checkconf. El manual indica que comprueba unbound.conf antes de usarlo; informa del archivo y la línea de cualquier error.
Reinicie y revise los listeners
Reinicie el servicio y ejecute ss con -lunt y busque :53 con grep. Solo deben verse las direcciones que indicó, no 0.0.0.0.
Realice una consulta
Desde el VPS, ejecute dig @127.0.0.1 example.org. Desde un dispositivo dentro del túnel, ejecute dig @10.8.0.1 example.org. Una respuesta REFUSED desde fuera de la red permitida es el resultado correcto.
Apunte sus dispositivos a él
Defina como servidor DNS de la configuración del túnel en sus dispositivos la dirección del túnel del VPS. Mantenga cerrado el puerto 53 en la interfaz pública del cortafuegos.
server:
interface: 127.0.0.1
interface: 10.8.0.1
access-control: 127.0.0.0/8 allow
access-control: 10.8.0.0/24 allow
hide-identity: yes
hide-version: yes
qname-minimisation: yes
harden-glue: yes
harden-dnssec-stripped: yes
prefetch: yes
private-address: 10.0.0.0/8
private-address: 172.16.0.0/12
private-address: 192.168.0.0/16sudo apt install unbound bind9-dnsutils
sudo unbound-checkconf
sudo systemctl restart unbound
sudo ss -lunt | grep :53
dig @127.0.0.1 example.org
dig @10.8.0.1 example.org¿Por qué hay que restringir Unbound con access-control?
Porque un resolutor que responde a cualquiera acabará siendo encontrado y usado por desconocidos. El manual de Unbound indica que con access-control se usa la coincidencia del bloque de red más específico, y que un cliente que no coincida con ninguno es rechazado. Liste solo las redes que posee y todo lo demás se rechaza por defecto.
Dos valores por defecto ayudan. Si no se indica ninguna línea interface, Unbound escucha solo en localhost, y do-not-query-localhost tiene el valor yes por defecto, así que no enviará sus propias consultas superiores a direcciones localhost. Añada líneas private-address para sus rangos internos, para que un nombre público no pueda apuntar sus dispositivos a su propia red.
¿Qué plan de Gloamport basta para un resolutor DNS?
El plan más pequeño sostiene un resolutor personal, y compartirlo con una VPN en el mismo servidor es la configuración habitual. Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, cuesta $3.74 al mes con el plazo de 12 meses y $7.48 con un único mes, y Gloamport lo indica para Una VPN WireGuard para unos pocos dispositivos. Un resolutor y WireGuard caben juntos en él. No hemos hecho pruebas de rendimiento de Unbound; si atiende muchos dispositivos, Dusk a $5.25 al mes con el plazo de 12 meses añade un segundo GB de memoria (2 GB).
Lo que se ajusta es la caché. El manual indica que cache-min-ttl, desactivado por defecto, puede causar problemas cuando se define por encima de una hora más o menos, así que no lo toque salvo que sepa por qué lo necesita.
¿Es mejor un resolutor propio que un proveedor DNS público?
Depende de a quién prefiera confiar su registro de consultas, y un resolutor propio elimina una parte. Un proveedor DNS público ve cada nombre que buscan sus dispositivos; con Unbound en su propio VPS, el único lugar donde se recogen esas consultas es un servidor que usted controla. Los servidores autoritativos de las zonas que consulta siguen viendo las consultas desde la dirección del VPS.
Según la encuesta de Gloamport sobre 10 de noviembre de 2026, 28 de los 49 proveedores listados no piden documento de identidad al registrarse, así que el VPS que lo ejecuta está disponible sin entregar documentos. Para ver la opción completa del túnel, lea ¿Es mejor una VPN autoalojada en un VPS que un servicio de VPN? y proteja el host con ¿Cómo endurezco SSH en un VPS nuevo?.
Resumen
- Instale unbound y bind9-dnsutils; configure en /etc/unbound/unbound.conf.d/.
- Use interface y access-control para que solo su propia red pueda consultarlo.
- Un cliente que no coincida con ningún bloque de access-control es rechazado.
- hide-identity y hide-version hacen que las consultas de identidad y versión reciban REFUSED.
- Ejecute unbound-checkconf antes de cada reinicio.
- Póngalo dentro de un túnel WireGuard; el DNS en texto plano no está cifrado.
- Ember, $3.74 al mes con 12 meses, lo ejecuta.
Resolutor privado Unbound: preguntas frecuentes
¿Unbound valida DNSSEC?
Unbound es un resolutor que valida, y su manual describe las opciones trust-anchor y harden-dnssec-stripped. Compruebe su instalación con dig +dnssec y busque el indicador ad en la respuesta.
¿Puedo reenviar las consultas a otro proveedor DNS?
Sí, Unbound admite el reenvío, pero entonces ese proveedor ve sus consultas. Esta guía resuelve de forma recursiva para que ningún proveedor concentre todo.
¿Por qué falló unbound-checkconf?
Informa del archivo y la línea del primer error. Las causas típicas son una errata en una palabra clave o unos dos puntos que faltan. Corríjalo y ejecute el comando de nuevo antes de reiniciar el servicio.
¿Tengo que abrir el puerto 53 en el cortafuegos?
Solo en la interfaz del túnel. Manténgalo cerrado en la interfaz pública, y limite la lista access-control a su propia red.
¿Qué hace prefetch?
Con prefetch en yes, un acierto de caché en el último 10 por ciento de la vida de una entrada dispara una renovación en segundo plano. El manual indica que esto añade unos 10 por ciento más de tráfico y carga.
Fuentes (1)
- Manual unbound.conf(5): opciones de server — NLnet Labs (checked 2026-11-10)