Jawaban singkat
Bagaimana cara menjalankan resolver DNS privat dengan Unbound di VPS?
Untuk menjalankan resolver DNS privat dengan Unbound, pasang paket unbound, daftarkan alamat yang boleh didengarkan, izinkan hanya jaringan Anda sendiri dengan access-control, dan uji dengan dig. Paket Ember Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic pada $3.74 per bulan untuk masa 12 bulan, cukup untuk kueri satu orang.
Pengaturan Unbound mana yang membuat resolver menjadi privat?
| Pengaturan | Nilai dalam panduan ini | Apa yang dikatakan manual Unbound |
|---|---|---|
| interface | 127.0.0.1 dan alamat terowongan Anda | Alamat yang dapat dikueri klien; jika tidak ada yang diberikan, Unbound mendengarkan di localhost |
| access-control | Izinkan jaringan terowongan Anda | Netblock yang paling spesifik yang berlaku; klien yang tidak cocok dengan apa pun ditolak |
| hide-identity | ya | Kueri id.server dan hostname.bind dijawab REFUSED |
| hide-version | ya | Kueri version.server dan version.bind dijawab REFUSED |
| qname-minimisation | ya | Mengirimkan informasi minimum ke server upstream |
harden-dnssec-stripped | ya | Zona dengan trust anchor tetapi tanpa data DNSSEC menjadi tidak sah |
| prefetch | ya | Menyegarkan entri yang diakses dalam 10% terakhir dari masa berlakunya, dengan lalu lintas sekitar 10% lebih banyak |
| private-address | Rentang privat Anda | Jawaban semacam itu dihapus untuk nama publik, yang melindungi dari DNS rebinding |
Harga diperiksa pada
Apa yang diubah oleh resolver privat, dan apa yang tidak?
Resolver privat mengubah siapa yang menjawab kueri DNS Anda dan siapa yang dapat melihatnya dari jaringan. Unbound menyelesaikan nama sendiri, dengan bertanya ke root server lalu ke server tiap zona, alih-alih meneruskan ke penyedia DNS publik. Perangkat Anda hanya mengirim kueri ke VPS Anda, dan server zona melihat alamat VPS, bukan alamat Anda.
Ia tidak menyembunyikan penjelajahan Anda. Situs yang Anda kunjungi tetap dicapai melalui alamatnya, dan penyedia VPS membawa kueri Anda ke VPS. DNS biasa antara perangkat dan VPS tidak terenkripsi, itulah sebabnya tempat paling aman untuk mendengarkan adalah di dalam terowongan seperti WireGuard di VPS yang sama. Jangan pernah membiarkan port 53 terbuka untuk seluruh internet: resolver terbuka adalah sesuatu yang akan dipakai orang lain, dan baris access-control di bawah menolak mereka.
Cara menjalankan Unbound sebagai resolver privat
Perintahnya untuk Debian 13 dan Ubuntu 24.04. Contoh mengasumsikan terowongan WireGuard dengan VPS di 10.8.0.1.
Pasang Unbound dan alat uji DNS
Jalankan apt install unbound bind9-dnsutils. Paket kedua menyediakan dig untuk pengujian. Debian 13 dan Ubuntu 24.04 sama-sama menyertakannya.
Tulis konfigurasi
Buat berkas di /etc/unbound/unbound.conf.d/ dengan bagian server dari blok kode pertama. Ganti 10.8.0.1 dan 10.8.0.0/24 dengan alamat dan jaringan terowongan Anda, atau gunakan hanya 127.0.0.1 jika Anda melakukan kueri dari VPS itu sendiri.
Periksa berkas
Jalankan unbound-checkconf. Manual menyatakan bahwa ia memeriksa unbound.conf sebelum digunakan; ia melaporkan berkas dan baris dari setiap kesalahan.
Mulai ulang dan periksa listener
Mulai ulang layanan, lalu jalankan ss dengan -lunt dan grep untuk :53. Anda seharusnya hanya melihat alamat yang Anda daftarkan, bukan 0.0.0.0.
Lakukan kueri
Dari VPS, jalankan dig @127.0.0.1 example.org. Dari perangkat di dalam terowongan, jalankan dig @10.8.0.1 example.org. Jawaban REFUSED dari luar jaringan yang diizinkan adalah hasil yang benar.
Arahkan perangkat Anda ke sana
Atur server DNS pada konfigurasi terowongan di perangkat Anda ke alamat terowongan VPS. Biarkan firewall tertutup untuk port 53 di antarmuka publik.
server:
interface: 127.0.0.1
interface: 10.8.0.1
access-control: 127.0.0.0/8 allow
access-control: 10.8.0.0/24 allow
hide-identity: yes
hide-version: yes
qname-minimisation: yes
harden-glue: yes
harden-dnssec-stripped: yes
prefetch: yes
private-address: 10.0.0.0/8
private-address: 172.16.0.0/12
private-address: 192.168.0.0/16sudo apt install unbound bind9-dnsutils
sudo unbound-checkconf
sudo systemctl restart unbound
sudo ss -lunt | grep :53
dig @127.0.0.1 example.org
dig @10.8.0.1 example.orgMengapa Unbound harus dibatasi dengan access-control?
Karena resolver yang menjawab siapa pun akan ditemukan dan dipakai oleh orang asing. Manual Unbound menyatakan bahwa dengan access-control, kecocokan netblock yang paling spesifik yang dipakai, dan klien yang tidak cocok dengan apa pun ditolak. Cantumkan hanya jaringan yang Anda miliki dan semua yang lain ditolak secara default.
Dua default membantu. Jika tidak ada baris interface, Unbound hanya mendengarkan di localhost, dan do-not-query-localhost bernilai yes secara default, sehingga ia tidak akan mengirim kueri upstream-nya sendiri ke alamat localhost. Tambahkan baris private-address untuk rentang internal Anda agar nama publik tidak dapat mengarahkan perangkat Anda ke jaringan Anda sendiri.
Paket Gloamport mana yang cukup untuk resolver DNS?
Paket terkecil cukup untuk resolver pribadi, dan berbagi dengan VPN di server yang sama adalah pengaturan yang lazim. Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, adalah $3.74 per bulan untuk masa 12 bulan dan $7.48 untuk satu bulan, dan Gloamport mencantumkannya untuk VPN WireGuard untuk beberapa perangkat. Resolver dan WireGuard muat bersama di dalamnya. Kami belum melakukan benchmark Unbound; jika Anda melayani banyak perangkat, Dusk seharga $5.25 per bulan untuk masa 12 bulan menambah 1 GB memori lagi (2 GB).
Cache adalah bagian yang perlu Anda atur. Manual mencatat bahwa cache-min-ttl, yang nonaktif secara default, dapat menimbulkan masalah jika diatur di atas sekitar satu jam, jadi biarkan saja kecuali Anda tahu alasan membutuhkannya.
Apakah resolver yang dijalankan sendiri lebih baik daripada penyedia DNS publik?
Itu tergantung pada siapa yang ingin Anda percaya untuk log kueri Anda, dan resolver yang dijalankan sendiri menghilangkan satu pihak. Penyedia DNS publik melihat setiap nama yang dicari perangkat Anda; dengan Unbound di VPS Anda sendiri, satu-satunya tempat kueri itu dikumpulkan adalah server yang Anda kendalikan. Server otoritatif dari zona yang Anda tanyakan tetap melihat kueri dari alamat VPS.
Menurut survei Gloamport terhadap 10 November 2026, 28 dari 49 penyedia yang tercantum tidak meminta dokumen identitas saat mendaftar, sehingga VPS yang menjalankannya tersedia tanpa menyerahkan dokumen. Untuk gambaran seluruh pilihan terowongan, baca Apakah VPN yang di-hosting sendiri di VPS lebih baik daripada layanan VPN? dan amankan host dengan Bagaimana cara mengamankan SSH di VPS baru?.
Ringkasan
- Pasang unbound dan bind9-dnsutils; atur di /etc/unbound/unbound.conf.d/.
- Gunakan interface dan access-control agar hanya jaringan Anda sendiri yang dapat melakukan kueri.
- Klien yang tidak cocok dengan netblock access-control mana pun akan ditolak.
- hide-identity dan hide-version membuat kueri identitas dan versi dijawab REFUSED.
- Jalankan unbound-checkconf sebelum setiap mulai ulang.
- Letakkan di dalam terowongan WireGuard; DNS biasa tidak terenkripsi.
- Ember, $3.74 per bulan untuk masa 12 bulan, menjalankannya.
Resolver privat Unbound: pertanyaan umum
Apakah Unbound memvalidasi DNSSEC?
Unbound adalah resolver yang memvalidasi, dan manualnya menjelaskan opsi trust-anchor dan harden-dnssec-stripped. Periksa instalasi Anda dengan dig +dnssec dan cari flag ad dalam jawaban.
Bisakah saya meneruskan kueri ke penyedia DNS lain sebagai gantinya?
Ya, Unbound mendukung forwarding, tetapi penyedia itu kemudian melihat kueri Anda. Panduan ini melakukan resolusi rekursif sehingga tidak ada satu penyedia pun yang melihat semuanya.
Mengapa unbound-checkconf gagal?
Ia melaporkan berkas dan baris kesalahan pertama. Penyebab umumnya adalah salah ketik pada kata kunci atau titik dua yang hilang. Perbaiki dan jalankan perintah lagi sebelum memulai ulang layanan.
Apakah saya perlu membuka port 53 di firewall?
Hanya pada antarmuka terowongan. Biarkan tertutup pada antarmuka publik, dan jaga daftar access-control tetap terbatas pada jaringan Anda sendiri.
Apa fungsi prefetch?
Dengan prefetch diatur ke yes, akses cache dalam 10 persen terakhir masa hidup suatu entri memicu penyegaran di latar belakang. Manual menyatakan bahwa ini menambah lalu lintas dan beban sekitar 10 persen.
Sumber (1)
- Manual unbound.conf(5): opsi server — NLnet Labs (checked 2026-11-10)