# VPS에서 Unbound로 프라이빗 DNS 리졸버를 어떻게 실행합니까?

> 12개월 약정 시 월 $3.74인 Ember VPS에 Unbound를 설치하고, DNSSEC 검사와 함께 본인 기기의 DNS 질의에만 응답하십시오.

- URL: https://gloamport.com/ko/guides/how-to-run-a-private-dns-resolver/
- 최종 업데이트: 2026-11-10
- 발행자: Gloamport (https://gloamport.com)

Unbound는 검증하는 재귀형 DNS 리졸버입니다. 작은 VPS에서는 본인 기기에만 응답하며 다른 누구에게도 응답하지 않습니다.

**빠른 답변 — VPS에서 Unbound로 프라이빗 DNS 리졸버를 어떻게 실행합니까?**

Unbound로 프라이빗 DNS 리졸버를 실행하려면 unbound 패키지를 설치하고, 수신할 수 있는 주소를 나열하고, access-control로 본인 네트워크만 허용한 뒤 dig로 테스트하십시오. Gloamport Ember 요금제(1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, 12개월 약정 시 월 $3.74)는 한 사람의 질의에 충분합니다.

## 어떤 Unbound 설정이 리졸버를 프라이빗하게 만듭니까?

| 설정 | 이 가이드의 값 | Unbound 매뉴얼의 설명 |
| --- | --- | --- |
| interface | 127.0.0.1 및 터널 주소 | 클라이언트가 질의할 수 있는 주소입니다. 아무것도 지정하지 않으면 Unbound는 localhost에서 수신합니다. |
| access-control | 터널 네트워크 허용 | 가장 구체적인 netblock이 우선하며, 어느 것과도 일치하지 않는 클라이언트는 거부됩니다. |
| hide-identity | 예 | id.server 및 hostname.bind 질의는 REFUSED 처리 |
| hide-version | 예 | version.server 및 version.bind 질의는 REFUSED 처리 |
| qname-minimisation | 예 | 상위 서버에는 최소한의 정보만 보냅니다 |
| `harden-dnssec-stripped` | 예 | 신뢰 앵커는 있지만 DNSSEC 데이터가 없는 존은 bogus가 됩니다 |
| prefetch | 예 | TTL의 마지막 10%에 적중한 항목을 갱신하며, 트래픽은 약 10% 늘어납니다 |
| private-address | 본인의 사설 대역 | 공개 이름에 대한 그런 응답은 제거되며, 이는 DNS 리바인딩을 막습니다 |

*가격 확인일 2026년 11월 10일.*

## 프라이빗 리졸버는 무엇을 바꾸고 무엇을 바꾸지 않습니까?

프라이빗 리졸버는 DNS 질의에 누가 응답하는지, 그리고 네트워크에서 누가 그 질의를 볼 수 있는지를 바꿉니다. Unbound는 공개 DNS 제공자로 전달하지 않고, 루트 서버와 각 존의 서버에 직접 물어 이름을 해석합니다. 기기는 VPS에만 질의를 보내며, 존의 서버는 본인의 주소가 아니라 VPS 주소를 봅니다.

이것은 브라우징을 숨기지 않습니다. 방문하는 사이트는 여전히 그 주소로 접속되며, VPS 제공자는 질의를 VPS까지 전달합니다. 기기와 VPS 사이의 일반 DNS는 암호화되지 않으므로, 가장 안전하게 수신하는 곳은 [같은 VPS의 WireGuard](https://gloamport.com/ko/guides/how-to-set-up-wireguard-on-a-vps/ "VPS에 WireGuard는 어떻게 설정합니까?") 같은 터널 안입니다. 53 포트를 인터넷 전체에 열어 두지 마십시오. 열린 리졸버는 다른 사람들이 사용하게 되며, 아래 access-control 줄이 그들을 거부합니다.

## Unbound를 프라이빗 리졸버로 실행하는 방법

명령어는 Debian 13과 Ubuntu 24.04용입니다. 예시는 VPS가 10.8.0.1에 있는 WireGuard 터널을 가정합니다.

1. **Unbound와 DNS 테스트 도구 설치** — apt install unbound bind9-dnsutils를 실행하십시오. 두 번째 패키지는 테스트용 dig를 제공합니다. Debian 13과 Ubuntu 24.04 모두에 이 패키지가 있습니다.
2. **설정 작성** — /etc/unbound/unbound.conf.d/에 첫 번째 코드 블록의 server 섹션을 담은 파일을 만드십시오. 10.8.0.1과 10.8.0.0/24를 본인의 터널 주소와 네트워크로 바꾸거나, VPS 자체에서 질의한다면 127.0.0.1만 사용하십시오.
3. **파일 점검** — unbound-checkconf를 실행하십시오. 매뉴얼에 따르면 사용 전에 unbound.conf를 점검하며, 오류가 있으면 파일과 줄 번호를 알려 줍니다.
4. **재시작 후 리스너 확인** — 서비스를 재시작한 뒤 ss -lunt를 실행하고 :53을 grep으로 찾으십시오. 나열한 주소만 보여야 하며, 0.0.0.0이 보이면 안 됩니다.
5. **질의 테스트** — VPS에서 dig @127.0.0.1 example.org를 실행하십시오. 터널 안의 기기에서는 dig @10.8.0.1 example.org를 실행하십시오. 허용된 네트워크 밖에서 온 질의에 대한 거부 응답이 올바른 결과입니다.
6. **기기에서 이 리졸버를 지정** — 기기의 터널 설정에서 DNS 서버를 VPS 터널 주소로 지정하십시오. 공인 인터페이스의 53 포트는 방화벽에서 계속 닫아 두십시오.

*/etc/unbound/unbound.conf.d/private.conf*

```text
server:
    interface: 127.0.0.1
    interface: 10.8.0.1
    access-control: 127.0.0.0/8 allow
    access-control: 10.8.0.0/24 allow
    hide-identity: yes
    hide-version: yes
    qname-minimisation: yes
    harden-glue: yes
    harden-dnssec-stripped: yes
    prefetch: yes
    private-address: 10.0.0.0/8
    private-address: 172.16.0.0/12
    private-address: 192.168.0.0/16
```

*설치, 점검, 재시작, 테스트*

```bash
sudo apt install unbound bind9-dnsutils
sudo unbound-checkconf
sudo systemctl restart unbound
sudo ss -lunt | grep :53
dig @127.0.0.1 example.org
dig @10.8.0.1 example.org
```

## 왜 Unbound는 access-control로 제한해야 합니까?

누구에게나 응답하는 리졸버는 낯선 사람들에게 발견되어 사용되기 때문입니다. Unbound 매뉴얼에 따르면 access-control에서는 가장 구체적인 netblock이 일치하는 것이 사용되며, 어느 것과도 일치하지 않는 클라이언트는 거부됩니다. 본인이 소유한 네트워크만 나열하면, 나머지는 기본적으로 모두 거부됩니다.

두 가지 기본값이 도움이 됩니다. interface 줄이 없으면 Unbound는 localhost에서만 수신하며, do-not-query-localhost는 기본값이 yes이므로 localhost 주소로 자체 상위 질의를 보내지 않습니다. 공개 이름이 기기를 본인의 내부 네트워크로 가리키지 못하도록, 내부 대역에 대해 private-address 줄을 추가하십시오.

## DNS 리졸버에는 어떤 Gloamport 요금제면 충분합니까?

가장 작은 요금제도 개인 리졸버를 감당하며, 같은 서버에서 VPN과 함께 쓰는 것이 일반적인 구성입니다. Ember(1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic)는 12개월 약정 시 월 $3.74, 1개월 결제 시 $7.48이며, Gloamport는 이를 여러 기기를 위한 WireGuard VPN용으로 나열합니다. 리졸버와 WireGuard를 함께 올릴 수 있습니다. 우리는 Unbound를 벤치마크하지 않았습니다. 여러 기기를 서비스한다면 Dusk가 12개월 약정 시 월 $5.25이며 메모리가 1 GB 더 많습니다(2 GB).

캐시는 조정하는 부분입니다. 매뉴얼은 기본값이 꺼져 있는 cache-min-ttl을 약 1시간 이상으로 설정하면 문제가 생길 수 있다고 설명하므로, 이유를 알지 못한다면 그대로 두십시오.

## 직접 운영하는 리졸버가 공개 DNS 제공자보다 낫습니까?

질의 기록을 누구에게 맡기고 싶은지에 따라 달라지며, 직접 운영하면 한 주체가 빠집니다. 공개 DNS 제공자는 기기가 조회하는 모든 이름을 봅니다. 본인 VPS의 Unbound를 쓰면 그 질의가 수집되는 곳은 본인이 관리하는 서버 하나뿐입니다. 질의한 존의 권한 서버는 여전히 VPS 주소에서 온 질의를 봅니다.

Gloamport 조사(대상: 2026년 11월 10일) 기준 나열된 49곳 중 28곳은 가입 시 신분증을 요구하지 않으므로, 이를 운영할 VPS를 문서 제출 없이 쓸 수 있습니다. 터널 옵션 전체에 대해서는 [VPS에서 직접 VPN을 운영하는 것이 VPN 서비스보다 낫습니까?](https://gloamport.com/ko/self-hosted-vpn-vs-vpn-service/ "자체 호스팅 VPN이 VPN 서비스보다 나은가요?")를 읽고, [새 VPS에서 SSH를 강화하는 방법은 무엇입니까?](https://gloamport.com/ko/guides/how-to-harden-ssh-on-a-vps/ "새 VPS에서 SSH는 어떻게 강화합니까?")로 호스트를 보호하십시오.

**요약**

- unbound와 bind9-dnsutils를 설치하고, /etc/unbound/unbound.conf.d/에서 설정하십시오.
- interface와 access-control을 사용해 본인 네트워크만 질의할 수 있도록 하십시오.
- 어떤 access-control netblock과도 일치하지 않는 클라이언트는 거부됩니다.
- hide-identity와 hide-version은 식별 및 버전 질의를 REFUSED 처리합니다.
- 재시작하기 전에 매번 unbound-checkconf를 실행하십시오.
- WireGuard 터널 안에 두십시오. 일반 DNS는 암호화되지 않습니다.
- Ember(12개월 약정 시 월 $3.74)에서 실행됩니다.

## Unbound 프라이빗 리졸버: 자주 묻는 질문

### Unbound는 DNSSEC를 검증합니까?

Unbound는 검증 리졸버이며, 매뉴얼은 trust-anchor와 harden-dnssec-stripped 옵션을 설명합니다. dig +dnssec로 설치를 확인하고 응답의 ad 플래그를 보십시오.

### 대신 다른 DNS 제공자로 질의를 전달할 수 있습니까?

예, Unbound는 전달을 지원하지만 그러면 그 제공자가 질의를 보게 됩니다. 이 가이드는 재귀적으로 해석하므로 어떤 단일 제공자도 질의를 보지 않습니다.

### unbound-checkconf가 실패한 이유는 무엇입니까?

첫 번째 오류의 파일과 줄을 알려 줍니다. 흔한 원인은 키워드의 오타나 콜론 누락입니다. 고친 다음 서비스를 재시작하기 전에 명령을 다시 실행하십시오.

### 방화벽에서 53 포트를 열어야 합니까?

터널 인터페이스에서만 여십시오. 공인 인터페이스에서는 닫아 두고, access-control 목록은 본인 네트워크로 제한하십시오.

### prefetch는 무엇을 합니까?

prefetch를 yes로 설정하면, 항목 수명의 마지막 10% 구간에서 캐시 적중이 발생할 때 백그라운드 갱신이 시작됩니다. 매뉴얼은 이것이 트래픽과 부하를 약 10% 늘린다고 설명합니다.

## 출처

1. [unbound.conf(5) 매뉴얼: server 옵션](https://unbound.docs.nlnetlabs.nl/en/latest/manpages/unbound.conf.html) — NLnet Labs (checked 2026-11-10)

---

Gloamport: Gloamport는 계정 번호로 주문하고 Monero를 우선으로 한 암호화폐로 결제하는, KYC 없이 KVM Linux 서버를 판매하는 VPS 업체입니다. 운영사는 파나마에 등록된 회사 DomaineGoat LLC입니다. 주문 시 요금제, 코인, 그리고 원하는 경우에만 이메일 주소를 요청합니다. 이름, 우편 주소, 전화번호, 신분증은 요구하지 않습니다. 12개월 기간 기준으로 각 요금제는 2026년 11월 10일에 확인한 KYC 없는 암호화폐 VPS 업체 38곳의 조사에서 명시된 비교 요금제보다 최소 25% 저렴합니다.