# Come gestisco un resolver DNS privato con Unbound su un VPS? > Installi Unbound su un VPS Ember, $3.74 al mese con durata di 12 mesi, e risponda alle query DNS solo per i Suoi dispositivi, con controlli DNSSEC. - URL: https://gloamport.com/it/guides/how-to-run-a-private-dns-resolver/ - Ultimo aggiornamento: 2026-11-10 - Editore: Gloamport (https://gloamport.com) Unbound è un resolver DNS ricorsivo con validazione. Su un VPS piccolo risponde ai Suoi dispositivi e a nessun altro. **Risposta rapida — Come gestisco un resolver DNS privato con Unbound su un VPS?** Per gestire un resolver DNS privato con Unbound, installi il pacchetto unbound, indichi gli indirizzi su cui può ascoltare, consenta solo la Sua rete con access-control, e faccia una prova con dig. Il piano Ember di Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic a $3.74 al mese con durata di 12 mesi, basta per le query di una persona. ## Quali impostazioni di Unbound rendono un resolver privato? | Impostazione | Valore in questa guida | Che cosa dice il manuale di Unbound | | --- | --- | --- | | interface | 127.0.0.1 e il Suo indirizzo del tunnel | Gli indirizzi a cui i client possono inviare query; se non ne è indicato nessuno, Unbound ascolta su localhost | | access-control | La Sua rete del tunnel, consentita | Vince il netblock più specifico; un client che non corrisponde a nessuno viene rifiutato | | hide-identity | sì | Le query id.server e hostname.bind ricevono REFUSED | | hide-version | sì | Le query version.server e version.bind ricevono REFUSED | | qname-minimisation | sì | Invia la quantità minima di informazioni ai server a monte | | `harden-dnssec-stripped` | sì | Una zona con un trust anchor ma senza dati DNSSEC diventa bogus | | prefetch | sì | Aggiorna le voci colpite nell'ultimo 10% del loro TTL, con circa il 10% di traffico in più | | private-address | I Suoi intervalli privati | Queste risposte vengono rimosse per i nomi pubblici, il che protegge dal DNS rebinding | *Prezzi verificati il 10 novembre 2026.* ## Che cosa cambia un resolver privato, e che cosa no? Un resolver privato cambia chi risponde alle Sue query DNS e chi può vederle dalla rete. Unbound risolve i nomi da sé, interrogando i root server e poi i server di ciascuna zona, invece di inoltrare a un fornitore DNS pubblico. I Suoi dispositivi inviano le query solo al Suo VPS, e i server delle zone vedono l'indirizzo del VPS, non il Suo. Non nasconde la navigazione. I siti che visita vengono ancora raggiunti tramite i loro indirizzi, e il fornitore del VPS trasporta le Sue query fino al VPS. Il DNS in chiaro tra il dispositivo e il VPS non è cifrato, ed è per questo che il posto più sicuro dove ascoltare è dentro un tunnel, come [WireGuard sullo stesso VPS](https://gloamport.com/it/guides/how-to-set-up-wireguard-on-a-vps/ "Come imposto WireGuard su un VPS?"). Non lasci mai la porta 53 aperta a tutta internet: un resolver aperto è qualcosa che altri useranno, e le righe access-control qui sotto li rifiutano. ## Come far funzionare Unbound come resolver privato I comandi sono per Debian 13 e Ubuntu 24.04. Gli esempi presuppongono un tunnel WireGuard con il VPS a 10.8.0.1. 1. **Installi Unbound e uno strumento di test DNS** — Esegua apt install unbound bind9-dnsutils. Il secondo pacchetto fornisce dig per le prove. Entrambi sono presenti su Debian 13 e Ubuntu 24.04. 2. **Scriva la configurazione** — Crei un file in /etc/unbound/unbound.conf.d/ con la sezione server del primo blocco di codice. Sostituisca 10.8.0.1 e 10.8.0.0/24 con il Suo indirizzo e la Sua rete del tunnel, oppure usi solo 127.0.0.1 se interroga il resolver dal VPS stesso. 3. **Controlli il file** — Esegua unbound-checkconf. Il manuale dice che controlla unbound.conf prima dell'uso; segnala file e riga di ogni errore. 4. **Riavvii e verifichi i listener** — Riavvii il servizio, poi esegua ss con -lunt e filtri :53. Dovrebbe vedere solo gli indirizzi che ha indicato, non 0.0.0.0. 5. **Faccia una query** — Dal VPS esegua dig @127.0.0.1 example.org. Da un dispositivo nel tunnel esegua dig @10.8.0.1 example.org. Una risposta rifiutata da una rete non consentita è il risultato corretto. 6. **Indichi il resolver ai Suoi dispositivi** — Imposti il server DNS nella configurazione del tunnel sui Suoi dispositivi con l'indirizzo del tunnel del VPS. Tenga chiusa la porta 53 verso l'interfaccia pubblica. */etc/unbound/unbound.conf.d/private.conf* ```text server: interface: 127.0.0.1 interface: 10.8.0.1 access-control: 127.0.0.0/8 allow access-control: 10.8.0.0/24 allow hide-identity: yes hide-version: yes qname-minimisation: yes harden-glue: yes harden-dnssec-stripped: yes prefetch: yes private-address: 10.0.0.0/8 private-address: 172.16.0.0/12 private-address: 192.168.0.0/16 ``` *Installi, controlli, riavvii, verifichi* ```bash sudo apt install unbound bind9-dnsutils sudo unbound-checkconf sudo systemctl restart unbound sudo ss -lunt | grep :53 dig @127.0.0.1 example.org dig @10.8.0.1 example.org ``` ## Perché Unbound va limitato con access-control? Perché un resolver che risponde a chiunque verrà trovato e usato da sconosciuti. Il manuale di Unbound dice che con access-control viene usato il netblock più specifico, e un client che non corrisponde a nessuno viene rifiutato. Elenchi solo le reti che possiede: tutto il resto viene rifiutato di default. Due valori predefiniti aiutano. Se non c'è una riga interface, Unbound ascolta solo su localhost, e do-not-query-localhost è impostato su yes di default, quindi non invia le proprie query upstream a indirizzi localhost. Aggiunga righe private-address per i Suoi intervalli interni, così un nome pubblico non può indirizzare i Suoi dispositivi verso la Sua rete. ## Quale piano Gloamport basta per un resolver DNS? Il piano più piccolo regge un resolver personale, e condividerlo con una VPN sullo stesso server è la configurazione tipica. Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, costa $3.74 al mese con durata di 12 mesi e $7.48 per un solo mese, e Gloamport lo elenca per Una VPN WireGuard per alcuni dispositivi. Un resolver e WireGuard stanno insieme su di esso. Non abbiamo fatto benchmark su Unbound; se serve molti dispositivi, Dusk a $5.25 al mese con durata di 12 mesi aggiunge un secondo GB di memoria (2 GB). La cache è ciò che si regola. Il manuale nota che cache-min-ttl, disattivato di default, può creare problemi se impostato sopra circa un'ora, quindi lo lasci stare a meno che non sappia perché le serve. ## Un resolver gestito da sé è migliore di un fornitore DNS pubblico? Dipende da di chi si fida di più per il registro delle Sue query, e un resolver gestito da sé elimina una parte. Un fornitore DNS pubblico vede ogni nome che i Suoi dispositivi cercano; con Unbound sul Suo VPS, l'unico posto dove vengono raccolte quelle query è un server che controlla Lei. I server autoritativi delle zone che interroga vedono comunque le query dall'indirizzo del VPS. Secondo l'indagine di Gloamport su 10 novembre 2026, 28 dei 49 fornitori elencati non chiede un documento d'identità in registrazione, quindi il VPS che lo esegue è disponibile senza consegnare documenti. Per una panoramica dell'opzione tunnel nel suo insieme, legga [Un VPN self-hosted su un VPS è meglio di un servizio VPN?](https://gloamport.com/it/self-hosted-vpn-vs-vpn-service/ "Una VPN self-hosted su un VPS è meglio di un servizio VPN?") e metta in sicurezza l'host con [Come rafforzo SSH su un nuovo VPS?](https://gloamport.com/it/guides/how-to-harden-ssh-on-a-vps/ "Come rafforzo SSH su un nuovo VPS?"). **In sintesi** - Installi unbound e bind9-dnsutils; configuri in /etc/unbound/unbound.conf.d/. - Usi interface e access-control perché solo la Sua rete possa interrogarlo. - Un client che non corrisponde a nessun netblock di access-control viene rifiutato. - hide-identity e hide-version rendono le query di identità e versione REFUSED. - Esegua unbound-checkconf prima di ogni riavvio. - Lo metta dentro un tunnel WireGuard; il DNS in chiaro non è cifrato. - Ember, $3.74 al mese con durata di 12 mesi, lo fa girare. ## Resolver privato Unbound: domande frequenti ### Unbound valida il DNSSEC? Unbound è un resolver con validazione, e il suo manuale descrive le opzioni trust-anchor e harden-dnssec-stripped. Verifichi l'installazione con dig +dnssec e cerchi il flag ad nella risposta. ### Posso inoltrare le query a un altro fornitore DNS? Sì, Unbound supporta l'inoltro, ma allora quel fornitore vede le Sue query. Questa guida risolve in modo ricorsivo, così nessun singolo fornitore le vede tutte. ### Perché unbound-checkconf ha fallito? Segnala file e riga del primo errore. Le cause tipiche sono un refuso in una parola chiave o i due punti mancanti. Lo corregga ed esegua di nuovo il comando prima di riavviare il servizio. ### Devo aprire la porta 53 nel firewall? Solo sull'interfaccia del tunnel. La tenga chiusa sull'interfaccia pubblica, e limiti la lista access-control alla Sua rete. ### Che cosa fa prefetch? Con prefetch impostato su yes, un hit in cache nell'ultimo 10 percento della vita di una voce attiva un aggiornamento in background. Il manuale dice che aggiunge circa il 10 percento di traffico e carico in più. ## Fonti 1. [Manuale unbound.conf(5): opzioni del server](https://unbound.docs.nlnetlabs.nl/en/latest/manpages/unbound.conf.html) — NLnet Labs (checked 2026-11-10) --- Gloamport: Gloamport è un fornitore di VPS che vende server Linux KVM senza KYC, ordinati con un numero di account e pagati in crypto, con Monero per primo; è gestito da DomaineGoat LLC, una società registrata a Panama. Un ordine chiede un piano, una moneta e, solo se lo si vuole, un indirizzo email: nessun nome, nessun indirizzo postale, nessun telefono e nessun documento d'identità. Con il periodo di 12 mesi, ogni piano costa almeno il 25% in meno di un piano di confronto indicato, tratto da un'indagine su 38 host VPS crypto senza KYC, letta il 10 novembre 2026.