गाइड · DNS · 2026-11-10 को जाँचा गया

VPS पर Unbound के साथ निजी DNS resolver कैसे चलाऊँ?

Unbound एक validating, recursive DNS resolver है। एक छोटे VPS पर वह केवल आपके उपकरणों के लिए जवाब देता है, किसी और के लिए नहीं।

अंतिम अपडेट: 10 नवंबर 2026 · 6 min read

Quick answer

VPS पर Unbound के साथ निजी DNS resolver कैसे चलाऊँ?

Unbound के साथ निजी DNS resolver चलाने के लिए unbound पैकेज इंस्टॉल करें, वे पते सूचीबद्ध करें जिन पर वह सुने, access-control से केवल अपना नेटवर्क अनुमत करें, और dig से जाँचें। Gloamport का Ember प्लान, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic के साथ, 12 महीनों की अवधि पर $3.74 प्रति माह, एक व्यक्ति के सवालों के लिए काफ़ी है।

कौन-सी Unbound सेटिंग resolver को निजी बनाती हैं?

सेटिंग	इस गाइड में मान	Unbound मैनुअल क्या कहता है
interface	127.0.0.1 और आपका टनल पता	वे पते जिन पर क्लाइंट सवाल पूछ सकते हैं; कोई न दिया जाए तो Unbound localhost पर सुनता है
access-control	आपके टनल नेटवर्क को अनुमति	सबसे विशिष्ट netblock जीतता है; जो क्लाइंट किसी से मेल न खाए उसे मना किया जाता है
hide-identity	हाँ	id.server और hostname.bind सवालों को REFUSED मिलता है
hide-version	हाँ	version.server और version.bind सवालों को REFUSED मिलता है
qname-minimisation	हाँ	ऊपर के सर्वरों को न्यूनतम जानकारी भेजता है
`harden-dnssec-stripped`	हाँ	जिस ज़ोन में trust anchor है पर DNSSEC डेटा नहीं, वह bogus बन जाता है
prefetch	हाँ	अपनी TTL के आखिरी 10% में हिट हुई प्रविष्टियों को ताज़ा करता है, लगभग 10% अधिक ट्रैफ़िक के साथ
private-address	आपकी निजी रेंज	सार्वजनिक नामों के ऐसे जवाब हटा दिए जाते हैं, जो DNS rebinding से बचाते हैं

कीमतें 10 नवंबर 2026 को जाँची गईं

एक निजी resolver क्या बदलता है, और क्या नहीं?

एक निजी resolver बदलता है कि आपके DNS सवालों का जवाब कौन देता है और नेटवर्क से उन्हें कौन देख सकता है। Unbound नाम खुद हल करता है, root सर्वरों और फिर हर ज़ोन के सर्वरों से पूछकर, किसी सार्वजनिक DNS प्रदाता को आगे भेजकर नहीं। आपके उपकरण सवाल केवल आपके VPS को भेजते हैं, और ज़ोन के सर्वर आपका नहीं, VPS का पता देखते हैं।

यह आपकी ब्राउज़िंग नहीं छिपाता। जिन साइटों पर आप जाते हैं वे अब भी अपने पतों से पहुँची जाती हैं, और VPS प्रदाता आपके सवाल VPS तक ले जाता है। आपके उपकरण और VPS के बीच साधारण DNS एन्क्रिप्टेड नहीं है, इसलिए सबसे सुरक्षित जगह सुनने की वह टनल है जैसे उसी VPS पर WireGuard। पोर्ट 53 को पूरी इंटरनेट के लिए खुला न छोड़ें: खुला resolver दूसरे लोग इस्तेमाल करते हैं, और नीचे की access-control पंक्तियाँ उन्हें मना कर देती हैं।

Unbound को निजी resolver के रूप में कैसे चलाएँ

कमांड Debian 13 और Ubuntu 24.04 के लिए हैं। उदाहरण मानते हैं कि WireGuard टनल है और VPS 10.8.0.1 पर है।

Unbound और DNS परीक्षण उपकरण इंस्टॉल करें
apt install unbound bind9-dnsutils चलाएँ। दूसरा पैकेज परीक्षण के लिए dig देता है। Debian 13 और Ubuntu 24.04 दोनों में ये मौजूद हैं।
कॉन्फ़िगरेशन लिखें
/etc/unbound/unbound.conf.d/ में एक फ़ाइल बनाएँ, जिसमें पहले कोड ब्लॉक का server सेक्शन हो। 10.8.0.1 और 10.8.0.0/24 को अपने टनल पते और नेटवर्क से बदलें, या अगर आप VPS से ही पूछ रहे हैं तो केवल 127.0.0.1 रखें।
फ़ाइल जाँचें
unbound-checkconf चलाएँ। मैनुअल कहता है कि यह उपयोग से पहले unbound.conf जाँचता है; किसी भी त्रुटि की फ़ाइल और पंक्ति बताता है।
दोबारा शुरू करें और लिसनर देखें
सेवा दोबारा शुरू करें, फिर ss को -lunt के साथ चलाएँ और :53 खोजें। आपको केवल वही पते दिखने चाहिए जो आपने सूचीबद्ध किए हैं, 0.0.0.0 नहीं।
उससे पूछें
VPS से dig @127.0.0.1 example.org चलाएँ। टनल के अंदर के उपकरण से dig @10.8.0.1 example.org चलाएँ। अनुमत नेटवर्क के बाहर से REFUSED जवाब सही नतीजा है।
अपने उपकरणों को उस पर इंगित करें
अपने उपकरणों पर टनल कॉन्फ़िगरेशन का DNS सर्वर VPS के टनल पते पर सेट करें। सार्वजनिक इंटरफ़ेस पर पोर्ट 53 फ़ायरवॉल में बंद रखें।

/etc/unbound/unbound.conf.d/private.conf

server:
    interface: 127.0.0.1
    interface: 10.8.0.1
    access-control: 127.0.0.0/8 allow
    access-control: 10.8.0.0/24 allow
    hide-identity: yes
    hide-version: yes
    qname-minimisation: yes
    harden-glue: yes
    harden-dnssec-stripped: yes
    prefetch: yes
    private-address: 10.0.0.0/8
    private-address: 172.16.0.0/12
    private-address: 192.168.0.0/16

इंस्टॉल, जाँच, रीस्टार्ट, परीक्षण

sudo apt install unbound bind9-dnsutils
sudo unbound-checkconf
sudo systemctl restart unbound
sudo ss -lunt | grep :53
dig @127.0.0.1 example.org
dig @10.8.0.1 example.org

Unbound को access-control से क्यों सीमित करना ज़रूरी है?

क्योंकि जो resolver हर किसी को जवाब देता है, उसे अजनबी खोजकर इस्तेमाल करते हैं। Unbound मैनुअल कहता है कि access-control के साथ सबसे विशिष्ट netblock मिलान इस्तेमाल होता है, और जो क्लाइंट कोई मेल न खाए उसे मना किया जाता है। केवल वे नेटवर्क सूचीबद्ध करें जो आपके हैं; बाकी सब डिफ़ॉल्ट रूप से मना होता है।

दो डिफ़ॉल्ट मदद करते हैं। अगर कोई interface पंक्ति नहीं दी गई, तो Unbound केवल localhost पर सुनता है, और do-not-query-localhost डिफ़ॉल्ट रूप से yes है, इसलिए वह अपने upstream सवाल localhost पतों पर नहीं भेजेगा। अपनी आंतरिक रेंज के लिए private-address पंक्तियाँ जोड़ें, ताकि कोई सार्वजनिक नाम आपके उपकरणों को आपके अपने नेटवर्क पर न ले जा सके।

DNS resolver के लिए कौन-सा Gloamport प्लान काफ़ी है?

सबसे छोटा प्लान एक निजी resolver चला सकता है, और उसी सर्वर पर VPN के साथ उसे साझा करना आम सेटअप है। Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, 12 महीनों की अवधि पर $3.74 प्रति माह और एक ही महीने पर $7.48 है, और Gloamport इसे कुछ डिवाइसों के लिए एक WireGuard VPN के लिए सूचीबद्ध करता है। एक resolver और WireGuard उस पर साथ-साथ फ़िट होते हैं। हमने Unbound का बेंचमार्क नहीं किया है; अगर आप कई उपकरणों को सेवा देते हैं, तो 12 महीनों की अवधि पर $5.25 प्रति माह वाला Dusk मेमोरी में एक और GB जोड़ता है (2 GB)।

कैश वह है जिसे आप ट्यून करते हैं। मैनुअल बताता है कि cache-min-ttl, जो डिफ़ॉल्ट रूप से बंद है, लगभग एक घंटे से ऊपर सेट करने पर परेशानी पैदा कर सकता है, इसलिए जब तक आप कारण न जानते हों, उसे छोड़ दें।

क्या अपना चलाया resolver सार्वजनिक DNS प्रदाता से बेहतर है?

यह इस पर निर्भर है कि आप अपना क्वेरी लॉग किस पर भरोसे से देना चाहते हैं, और अपना resolver एक पक्ष को हटा देता है। सार्वजनिक DNS प्रदाता आपके उपकरणों का हर नाम देखता है; अपने VPS पर Unbound के साथ, वे क्वेरी केवल उसी सर्वर पर इकट्ठी होती हैं जिसे आप नियंत्रित करते हैं। जिन ज़ोन के बारे में आप पूछते हैं उनके प्रामाणिक सर्वर अब भी VPS के पते से आए सवाल देखते हैं।

Gloamport के 10 नवंबर 2026 के सर्वेक्षण के अनुसार, सूचीबद्ध 49 प्रदाताओं में से 28 साइन-अप पर कोई पहचान-पत्र नहीं माँगते, इसलिए उसे चलाने वाला VPS दस्तावेज़ सौंपे बिना उपलब्ध है। पूरे टनल विकल्प को समझने के लिए पढ़ें क्या VPS पर self-hosted VPN, VPN सेवा से बेहतर है?, और होस्ट को मैं नए VPS पर SSH कैसे सख़्त करूँ? से सुरक्षित करें।

सारांश

unbound और bind9-dnsutils इंस्टॉल करें; /etc/unbound/unbound.conf.d/ में कॉन्फ़िगर करें।
केवल आपका नेटवर्क क्वेरी कर सके, इसके लिए interface और access-control इस्तेमाल करें।
जो क्लाइंट किसी access-control netblock से मेल न खाए, उसे मना किया जाता है।
hide-identity और hide-version पहचान और संस्करण सवालों को REFUSED बनाते हैं।
हर रीस्टार्ट से पहले unbound-checkconf चलाएँ।
इसे WireGuard टनल के अंदर रखें; सादा DNS एन्क्रिप्टेड नहीं है।
Ember, $3.74 प्रति माह 12 महीनों पर, इसे चलाता है।

Unbound निजी resolver: आम सवाल

क्या Unbound DNSSEC सत्यापित करता है?

Unbound एक validating resolver है, और उसका मैनुअल trust-anchor और harden-dnssec-stripped विकल्पों का वर्णन करता है। dig +dnssec से अपना इंस्टॉल जाँचें और जवाब में ad flag देखें।

क्या इसके बजाय सवाल किसी और DNS प्रदाता को भेज सकता हूँ?

हाँ, Unbound फ़ॉरवर्डिंग सपोर्ट करता है, पर तब वह प्रदाता आपके सवाल देखता है। यह गाइड recursively हल करती है, ताकि कोई एक प्रदाता सब कुछ न देखे।

unbound-checkconf क्यों विफल हुआ?

यह पहली त्रुटि की फ़ाइल और पंक्ति बताता है। आम कारण कीवर्ड में टाइपो या छूटा हुआ कोलन है। उसे ठीक करें और सेवा दोबारा शुरू करने से पहले कमांड फिर चलाएँ।

क्या फ़ायरवॉल में पोर्ट 53 खोलना ज़रूरी है?

केवल टनल इंटरफ़ेस पर। सार्वजनिक इंटरफ़ेस पर इसे बंद रखें, और access-control सूची को अपने नेटवर्क तक सीमित रखें।

prefetch क्या करता है?

prefetch yes होने पर, किसी प्रविष्टि के जीवनकाल के आखिरी 10 प्रतिशत में कैश हिट एक पृष्ठभूमि ताज़ा करने को चलाता है। मैनुअल कहता है कि इससे लगभग 10 प्रतिशत अधिक ट्रैफ़िक और लोड होता है।

Sources (1)

unbound.conf(5) मैनुअल: server विकल्प — NLnet Labs (checked 2026-11-10)