빠른 답변
VPS에서 Unbound로 프라이빗 DNS 리졸버를 어떻게 실행합니까?
Unbound로 프라이빗 DNS 리졸버를 실행하려면 unbound 패키지를 설치하고, 수신할 수 있는 주소를 나열하고, access-control로 본인 네트워크만 허용한 뒤 dig로 테스트하십시오. Gloamport Ember 요금제(1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, 12개월 약정 시 월 $3.74)는 한 사람의 질의에 충분합니다.
어떤 Unbound 설정이 리졸버를 프라이빗하게 만듭니까?
| 설정 | 이 가이드의 값 | Unbound 매뉴얼의 설명 |
|---|---|---|
| interface | 127.0.0.1 및 터널 주소 | 클라이언트가 질의할 수 있는 주소입니다. 아무것도 지정하지 않으면 Unbound는 localhost에서 수신합니다. |
| access-control | 터널 네트워크 허용 | 가장 구체적인 netblock이 우선하며, 어느 것과도 일치하지 않는 클라이언트는 거부됩니다. |
| hide-identity | 예 | id.server 및 hostname.bind 질의는 REFUSED 처리 |
| hide-version | 예 | version.server 및 version.bind 질의는 REFUSED 처리 |
| qname-minimisation | 예 | 상위 서버에는 최소한의 정보만 보냅니다 |
harden-dnssec-stripped | 예 | 신뢰 앵커는 있지만 DNSSEC 데이터가 없는 존은 bogus가 됩니다 |
| prefetch | 예 | TTL의 마지막 10%에 적중한 항목을 갱신하며, 트래픽은 약 10% 늘어납니다 |
| private-address | 본인의 사설 대역 | 공개 이름에 대한 그런 응답은 제거되며, 이는 DNS 리바인딩을 막습니다 |
가격 확인일
프라이빗 리졸버는 무엇을 바꾸고 무엇을 바꾸지 않습니까?
프라이빗 리졸버는 DNS 질의에 누가 응답하는지, 그리고 네트워크에서 누가 그 질의를 볼 수 있는지를 바꿉니다. Unbound는 공개 DNS 제공자로 전달하지 않고, 루트 서버와 각 존의 서버에 직접 물어 이름을 해석합니다. 기기는 VPS에만 질의를 보내며, 존의 서버는 본인의 주소가 아니라 VPS 주소를 봅니다.
이것은 브라우징을 숨기지 않습니다. 방문하는 사이트는 여전히 그 주소로 접속되며, VPS 제공자는 질의를 VPS까지 전달합니다. 기기와 VPS 사이의 일반 DNS는 암호화되지 않으므로, 가장 안전하게 수신하는 곳은 같은 VPS의 WireGuard 같은 터널 안입니다. 53 포트를 인터넷 전체에 열어 두지 마십시오. 열린 리졸버는 다른 사람들이 사용하게 되며, 아래 access-control 줄이 그들을 거부합니다.
Unbound를 프라이빗 리졸버로 실행하는 방법
명령어는 Debian 13과 Ubuntu 24.04용입니다. 예시는 VPS가 10.8.0.1에 있는 WireGuard 터널을 가정합니다.
Unbound와 DNS 테스트 도구 설치
apt install unbound bind9-dnsutils를 실행하십시오. 두 번째 패키지는 테스트용 dig를 제공합니다. Debian 13과 Ubuntu 24.04 모두에 이 패키지가 있습니다.
설정 작성
/etc/unbound/unbound.conf.d/에 첫 번째 코드 블록의 server 섹션을 담은 파일을 만드십시오. 10.8.0.1과 10.8.0.0/24를 본인의 터널 주소와 네트워크로 바꾸거나, VPS 자체에서 질의한다면 127.0.0.1만 사용하십시오.
파일 점검
unbound-checkconf를 실행하십시오. 매뉴얼에 따르면 사용 전에 unbound.conf를 점검하며, 오류가 있으면 파일과 줄 번호를 알려 줍니다.
재시작 후 리스너 확인
서비스를 재시작한 뒤 ss -lunt를 실행하고 :53을 grep으로 찾으십시오. 나열한 주소만 보여야 하며, 0.0.0.0이 보이면 안 됩니다.
질의 테스트
VPS에서 dig @127.0.0.1 example.org를 실행하십시오. 터널 안의 기기에서는 dig @10.8.0.1 example.org를 실행하십시오. 허용된 네트워크 밖에서 온 질의에 대한 거부 응답이 올바른 결과입니다.
기기에서 이 리졸버를 지정
기기의 터널 설정에서 DNS 서버를 VPS 터널 주소로 지정하십시오. 공인 인터페이스의 53 포트는 방화벽에서 계속 닫아 두십시오.
server:
interface: 127.0.0.1
interface: 10.8.0.1
access-control: 127.0.0.0/8 allow
access-control: 10.8.0.0/24 allow
hide-identity: yes
hide-version: yes
qname-minimisation: yes
harden-glue: yes
harden-dnssec-stripped: yes
prefetch: yes
private-address: 10.0.0.0/8
private-address: 172.16.0.0/12
private-address: 192.168.0.0/16sudo apt install unbound bind9-dnsutils
sudo unbound-checkconf
sudo systemctl restart unbound
sudo ss -lunt | grep :53
dig @127.0.0.1 example.org
dig @10.8.0.1 example.org왜 Unbound는 access-control로 제한해야 합니까?
누구에게나 응답하는 리졸버는 낯선 사람들에게 발견되어 사용되기 때문입니다. Unbound 매뉴얼에 따르면 access-control에서는 가장 구체적인 netblock이 일치하는 것이 사용되며, 어느 것과도 일치하지 않는 클라이언트는 거부됩니다. 본인이 소유한 네트워크만 나열하면, 나머지는 기본적으로 모두 거부됩니다.
두 가지 기본값이 도움이 됩니다. interface 줄이 없으면 Unbound는 localhost에서만 수신하며, do-not-query-localhost는 기본값이 yes이므로 localhost 주소로 자체 상위 질의를 보내지 않습니다. 공개 이름이 기기를 본인의 내부 네트워크로 가리키지 못하도록, 내부 대역에 대해 private-address 줄을 추가하십시오.
DNS 리졸버에는 어떤 Gloamport 요금제면 충분합니까?
가장 작은 요금제도 개인 리졸버를 감당하며, 같은 서버에서 VPN과 함께 쓰는 것이 일반적인 구성입니다. Ember(1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic)는 12개월 약정 시 월 $3.74, 1개월 결제 시 $7.48이며, Gloamport는 이를 여러 기기를 위한 WireGuard VPN용으로 나열합니다. 리졸버와 WireGuard를 함께 올릴 수 있습니다. 우리는 Unbound를 벤치마크하지 않았습니다. 여러 기기를 서비스한다면 Dusk가 12개월 약정 시 월 $5.25이며 메모리가 1 GB 더 많습니다(2 GB).
캐시는 조정하는 부분입니다. 매뉴얼은 기본값이 꺼져 있는 cache-min-ttl을 약 1시간 이상으로 설정하면 문제가 생길 수 있다고 설명하므로, 이유를 알지 못한다면 그대로 두십시오.
직접 운영하는 리졸버가 공개 DNS 제공자보다 낫습니까?
질의 기록을 누구에게 맡기고 싶은지에 따라 달라지며, 직접 운영하면 한 주체가 빠집니다. 공개 DNS 제공자는 기기가 조회하는 모든 이름을 봅니다. 본인 VPS의 Unbound를 쓰면 그 질의가 수집되는 곳은 본인이 관리하는 서버 하나뿐입니다. 질의한 존의 권한 서버는 여전히 VPS 주소에서 온 질의를 봅니다.
Gloamport 조사(대상: 2026년 11월 10일) 기준 나열된 49곳 중 28곳은 가입 시 신분증을 요구하지 않으므로, 이를 운영할 VPS를 문서 제출 없이 쓸 수 있습니다. 터널 옵션 전체에 대해서는 VPS에서 직접 VPN을 운영하는 것이 VPN 서비스보다 낫습니까?를 읽고, 새 VPS에서 SSH를 강화하는 방법은 무엇입니까?로 호스트를 보호하십시오.
요약
- unbound와 bind9-dnsutils를 설치하고, /etc/unbound/unbound.conf.d/에서 설정하십시오.
- interface와 access-control을 사용해 본인 네트워크만 질의할 수 있도록 하십시오.
- 어떤 access-control netblock과도 일치하지 않는 클라이언트는 거부됩니다.
- hide-identity와 hide-version은 식별 및 버전 질의를 REFUSED 처리합니다.
- 재시작하기 전에 매번 unbound-checkconf를 실행하십시오.
- WireGuard 터널 안에 두십시오. 일반 DNS는 암호화되지 않습니다.
- Ember(12개월 약정 시 월 $3.74)에서 실행됩니다.
Unbound 프라이빗 리졸버: 자주 묻는 질문
Unbound는 DNSSEC를 검증합니까?
Unbound는 검증 리졸버이며, 매뉴얼은 trust-anchor와 harden-dnssec-stripped 옵션을 설명합니다. dig +dnssec로 설치를 확인하고 응답의 ad 플래그를 보십시오.
대신 다른 DNS 제공자로 질의를 전달할 수 있습니까?
예, Unbound는 전달을 지원하지만 그러면 그 제공자가 질의를 보게 됩니다. 이 가이드는 재귀적으로 해석하므로 어떤 단일 제공자도 질의를 보지 않습니다.
unbound-checkconf가 실패한 이유는 무엇입니까?
첫 번째 오류의 파일과 줄을 알려 줍니다. 흔한 원인은 키워드의 오타나 콜론 누락입니다. 고친 다음 서비스를 재시작하기 전에 명령을 다시 실행하십시오.
방화벽에서 53 포트를 열어야 합니까?
터널 인터페이스에서만 여십시오. 공인 인터페이스에서는 닫아 두고, access-control 목록은 본인 네트워크로 제한하십시오.
prefetch는 무엇을 합니까?
prefetch를 yes로 설정하면, 항목 수명의 마지막 10% 구간에서 캐시 적중이 발생할 때 백그라운드 갱신이 시작됩니다. 매뉴얼은 이것이 트래픽과 부하를 약 10% 늘린다고 설명합니다.
출처 (1)
- unbound.conf(5) 매뉴얼: server 옵션 — NLnet Labs (checked 2026-11-10)