# Hoe draai ik een privé DNS-resolver met Unbound op een VPS? > Installeer Unbound op een Ember-VPS, $3.74 per maand bij 12 maanden, en beantwoord DNS-vragen alleen voor uw eigen apparaten, met DNSSEC-controles. - URL: https://gloamport.com/nl/guides/how-to-run-a-private-dns-resolver/ - Laatst bijgewerkt: 2026-11-10 - Uitgever: Gloamport (https://gloamport.com) Unbound is een valideerende, recursieve DNS-resolver. Op een kleine VPS beantwoordt hij vragen voor uw eigen apparaten en voor niemand anders. **Snel antwoord — Hoe draai ik een privé DNS-resolver met Unbound op een VPS?** Om een privé DNS-resolver met Unbound te draaien, installeert u het pakket unbound, geeft u op op welke adressen hij mag luisteren, staat u alleen uw eigen netwerk toe met access-control, en test u met dig. Het Ember-plan van Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic bij $3.74 per maand bij 12 maanden, is genoeg voor de vragen van één persoon. ## Welke Unbound-instellingen maken een resolver privé? | Instelling | Waarde in deze gids | Wat de Unbound-handleiding zegt | | --- | --- | --- | | interface | 127.0.0.1 en uw tunneladres | De adressen waarop clients vragen kunnen stellen; zonder opgave luistert Unbound op localhost | | access-control | Uw tunnelnetwerk toestaan | De meest specifieke netblock wint; een client die nergens past wordt geweigerd | | hide-identity | ja | id.server- en hostname.bind-vragen krijgen REFUSED | | hide-version | ja | version.server- en version.bind-vragen krijgen REFUSED | | qname-minimisation | ja | Stuurt de minimale hoeveelheid informatie naar upstream-servers | | `harden-dnssec-stripped` | ja | Een zone met een trust anchor maar zonder DNSSEC-gegevens wordt bogus | | prefetch | ja | Ververst items die in de laatste 10% van hun TTL worden geraadpleegd, bij ongeveer 10% meer verkeer | | private-address | Uw privébereiken | Zulke antwoorden worden verwijderd voor publieke namen, wat DNS-rebinding tegengaat | *Prijzen gecontroleerd op 10 november 2026.* ## Wat verandert een privé-resolver, en wat niet? Een privé-resolver verandert wie uw DNS-vragen beantwoordt en wie ze vanuit het netwerk kan zien. Unbound lost namen zelf op, door de root-servers te vragen en daarna de servers van elke zone, in plaats van door te sturen naar een openbare DNS-aanbieder. Uw apparaten sturen vragen alleen naar uw VPS, en de servers van de zones zien het VPS-adres, niet dat van uzelf. Het verbergt uw browsen niet. De sites die u bezoekt worden nog steeds via hun adressen bereikt, en de VPS-aanbieder draagt uw vragen naar de VPS. Gewone DNS tussen uw apparaat en de VPS is niet versleuteld, daarom is de veiligste plek om te luisteren binnen een tunnel zoals [WireGuard op dezelfde VPS](https://gloamport.com/nl/guides/how-to-set-up-wireguard-on-a-vps/ "Hoe zet ik WireGuard op een VPS?"). Laat poort 53 nooit voor het hele internet open: een open resolver wordt door anderen gebruikt, en de access-control-regels hieronder weigeren hen. ## Hoe draai ik Unbound als privé-resolver De commando's zijn voor Debian 13 en Ubuntu 24.04. De voorbeelden gaan uit van een WireGuard-tunnel met de VPS op 10.8.0.1. 1. **Installeer Unbound en een DNS-testtool** — Voer apt install unbound bind9-dnsutils uit. Het tweede pakket levert dig voor tests. Zowel Debian 13 als Ubuntu 24.04 bevatten ze. 2. **Schrijf de configuratie** — Maak een bestand in /etc/unbound/unbound.conf.d/ met het server-blok uit het eerste codeblok. Vervang 10.8.0.1 en 10.8.0.0/24 door uw tunneladres en -netwerk, of gebruik alleen 127.0.0.1 als u vanaf de VPS zelf vraagt. 3. **Controleer het bestand** — Voer unbound-checkconf uit. De handleiding zegt dat het unbound.conf controleert voordat het wordt gebruikt; het meldt het bestand en de regel van elke fout. 4. **Herstart en bekijk de listeners** — Herstart de service en voer ss uit met -lunt, gefilterd op :53. U ziet alleen de adressen die u heeft opgegeven, niet 0.0.0.0. 5. **Stel een vraag** — Voer vanaf de VPS dig @127.0.0.1 example.org uit. Vanaf een apparaat in de tunnel: dig @10.8.0.1 example.org. Een geweigerd antwoord van buiten het toegestane netwerk is het juiste resultaat. 6. **Wijs uw apparaten ernaar** — Zet de DNS-server in de tunnelconfiguratie op uw apparaten op het tunneladres van de VPS. Houd de firewall dicht voor poort 53 op de publieke interface. */etc/unbound/unbound.conf.d/private.conf* ```text server: interface: 127.0.0.1 interface: 10.8.0.1 access-control: 127.0.0.0/8 allow access-control: 10.8.0.0/24 allow hide-identity: yes hide-version: yes qname-minimisation: yes harden-glue: yes harden-dnssec-stripped: yes prefetch: yes private-address: 10.0.0.0/8 private-address: 172.16.0.0/12 private-address: 192.168.0.0/16 ``` *Installeren, controleren, herstarten, testen* ```bash sudo apt install unbound bind9-dnsutils sudo unbound-checkconf sudo systemctl restart unbound sudo ss -lunt | grep :53 dig @127.0.0.1 example.org dig @10.8.0.1 example.org ``` ## Waarom moet Unbound met access-control worden beperkt? Omdat een resolver die iedereen beantwoordt door vreemden wordt gevonden en gebruikt. De Unbound-handleiding zegt dat met access-control de meest specifieke netblock-match wordt gebruikt, en dat een client die geen enkele match heeft wordt geweigerd. Vermeld alleen de netwerken die u bezit, dan wordt al het andere standaard geweigerd. Twee standaardinstellingen helpen. Als er geen interface-regel is, luistert Unbound alleen op localhost, en do-not-query-localhost staat standaard op yes, zodat het zijn eigen upstream-vragen niet naar localhost-adressen stuurt. Voeg private-address-regels toe voor uw interne bereiken, zodat een publieke naam uw apparaten niet naar uw eigen netwerk kan laten wijzen. ## Welk Gloamport-plan is genoeg voor een DNS-resolver? Het kleinste plan draagt een persoonlijke resolver, en het delen met een VPN op dezelfde server is de gebruikelijke opzet. Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, kost $3.74 per maand bij de termijn van 12 maanden en $7.48 bij één maand, en Gloamport noemt het voor Een WireGuard-VPN voor een paar apparaten. Een resolver en WireGuard passen samen op één Ember. Wij hebben Unbound niet getest; als u veel apparaten bedient, voegt Dusk voor $5.25 per maand bij de termijn van 12 maanden een tweede GB geheugen toe (2 GB). De cache is wat u afstelt. De handleiding meldt dat cache-min-ttl, standaard uit, problemen kan geven als die boven ongeveer een uur staat; laat hem staan, tenzij u weet waarom u hem nodig heeft. ## Is een zelf beheerde resolver beter dan een openbare DNS-aanbieder? Dat hangt ervan af wie u het vertrouwt met uw querylogboek, en een zelf beheerde resolver haalt één partij weg. Een openbare DNS-aanbieder ziet elke naam die uw apparaten opzoeken; met Unbound op uw eigen VPS komt die informatie alleen op een server die u beheert. De autoritatieve servers van de zones die u opvraagt zien nog steeds vragen van het VPS-adres. Volgens het onderzoek van Gloamport naar 10 november 2026 vragen 28 van de 49 vermelde aanbieders bij aanmelding geen identiteitsbewijs, dus de VPS die het draait is beschikbaar zonder documenten af te geven. Voor een overzicht van de hele tunnelkeuze leest u [Is een zelf gehoste VPN op een VPS beter dan een VPN-dienst?](https://gloamport.com/nl/self-hosted-vpn-vs-vpn-service/ "Is een zelfgehoste VPN op een VPS beter dan een VPN-dienst?"), en beveilig de host met [Hoe verhard ik SSH op een nieuwe VPS?](https://gloamport.com/nl/guides/how-to-harden-ssh-on-a-vps/ "Hoe verhard ik SSH op een nieuwe VPS?"). **Samengevat** - Installeer unbound en bind9-dnsutils; configureer in /etc/unbound/unbound.conf.d/. - Gebruik interface en access-control zodat alleen uw eigen netwerk erop kan vragen. - Een client die geen enkele access-control-netblock matcht wordt geweigerd. - hide-identity en hide-version maken identiteits- en versievragen REFUSED. - Voer unbound-checkconf uit voor elke herstart. - Zet hem binnen een WireGuard-tunnel; gewone DNS is niet versleuteld. - Ember, $3.74 per maand bij 12 maanden, draait hem. ## Privé Unbound-resolver: veelgestelde vragen ### Valideert Unbound DNSSEC? Unbound is een valideerende resolver, en de handleiding beschrijft de trust-anchor- en harden-dnssec-stripped-opties. Controleer uw installatie met dig +dnssec en kijk naar de ad-vlag in het antwoord. ### Kan ik vragen naar een andere DNS-aanbieder doorsturen? Ja, Unbound ondersteunt doorsturen, maar dan ziet die aanbieder uw vragen. Deze gids lost recursief op, zodat geen enkele aanbieder alles ziet. ### Waarom is unbound-checkconf mislukt? Het meldt het bestand en de regel van de eerste fout. Gangbare oorzaken zijn een typefout in een trefwoord of een ontbrekende dubbele punt. Los dit op en voer het commando opnieuw uit voordat u de service herstart. ### Moet ik poort 53 in de firewall openzetten? Alleen op de tunnelinterface. Houd hem dicht op de publieke interface, en houd de access-control-lijst beperkt tot uw eigen netwerk. ### Wat doet prefetch? Met prefetch op yes zet een cache-treffer in de laatste 10 procent van de levensduur van een item een verversing op de achtergrond in gang. De handleiding zegt dat dit ongeveer 10 procent extra verkeer en belasting toevoegt. ## Bronnen 1. [Handleiding unbound.conf(5): serveropties](https://unbound.docs.nlnetlabs.nl/en/latest/manpages/unbound.conf.html) — NLnet Labs (checked 2026-11-10) --- Gloamport: Gloamport is een VPS-aanbieder die Linux KVM-servers verkoopt zonder KYC, besteld met een accountnummer en betaald in crypto, Monero eerst; het wordt beheerd door DomaineGoat LLC, een in Panama geregistreerd bedrijf. Een bestelling vraagt om een plan, een munt en, alleen als u dat wilt, een e-mailadres: geen naam, geen postadres, geen telefoonnummer en geen identiteitsdocument. Op de termijn van 12 maanden ligt elk plan minstens 25% onder een genoemd vergelijkbaar plan uit een onderzoek van 38 crypto-VPS-hosts zonder KYC, gelezen op 10 november 2026.