Resposta rápida
Como executo um resolver DNS privado com Unbound em uma VPS?
Para executar um resolver DNS privado com Unbound, instale o pacote unbound, liste os endereços em que ele pode escutar, permita somente a sua própria rede com access-control e teste com dig. O plano Ember da Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic a $3.74 por mês no período de 12 meses, basta para as consultas de uma pessoa.
Quais configurações do Unbound tornam um resolver privado?
| Configuração | Valor neste guia | O que diz o manual do Unbound |
|---|---|---|
| interface | 127.0.0.1 e o endereço do seu túnel | Os endereços que os clientes podem consultar; sem nenhum definido, o Unbound escuta em localhost |
| access-control | Permitir a rede do seu túnel | Vence o bloco de rede mais específico; um cliente que não case com nenhum é recusado |
| hide-identity | sim | consultas id.server e hostname.bind recebem REFUSED |
| hide-version | sim | consultas version.server e version.bind recebem REFUSED |
| qname-minimisation | sim | Envia o mínimo de informação aos servidores upstream |
harden-dnssec-stripped | sim | Uma zona com âncora de confiança, mas sem dados DNSSEC, passa a ser considerada inválida |
| prefetch | sim | Atualiza entradas consultadas nos últimos 10% do seu TTL, com cerca de 10% mais tráfego |
| private-address | Suas faixas privadas | Essas respostas são removidas para nomes públicos, o que protege contra DNS rebinding |
Preços verificados em
O que um resolver privado muda, e o que não muda?
Um resolver privado muda quem responde às suas consultas DNS e quem pode vê-las na rede. O Unbound resolve os nomes por conta própria, consultando os servidores raiz e depois os servidores de cada zona, em vez de encaminhar para um provedor público de DNS. Seus dispositivos enviam consultas somente para a sua VPS, e os servidores das zonas veem o endereço da VPS, não o seu.
Ele não esconde sua navegação. Os sites que você visita ainda são alcançados pelos seus endereços, e o provedor da VPS transporta suas consultas até a VPS. O DNS comum entre o seu dispositivo e a VPS não é criptografado, por isso o lugar mais seguro para escutar é dentro de um túnel, como o WireGuard na mesma VPS. Nunca deixe a porta 53 aberta para a internet inteira: um resolver aberto é algo que outros vão usar, e as linhas access-control abaixo os recusam.
Como executar o Unbound como resolver privado
Os comandos são para o Debian 13 e o Ubuntu 24.04. Os exemplos supõem um túnel WireGuard com a VPS em 10.8.0.1.
Instale o Unbound e uma ferramenta de teste de DNS
Execute apt install unbound bind9-dnsutils. O segundo pacote fornece o dig para testes. Tanto o Debian 13 quanto o Ubuntu 24.04 trazem ambos.
Escreva a configuração
Crie um arquivo em /etc/unbound/unbound.conf.d/ com a seção server do primeiro bloco de código. Substitua 10.8.0.1 e 10.8.0.0/24 pelo endereço e pela rede do seu túnel, ou use apenas 127.0.0.1 se você consultar a partir da própria VPS.
Verifique o arquivo
Execute unbound-checkconf. O manual diz que ele verifica o unbound.conf antes do uso; ele informa o arquivo e a linha de qualquer erro.
Reinicie e veja os listeners
Reinicie o serviço e depois execute ss com -lunt e filtre por :53. Você deve ver somente os endereços que listou, não 0.0.0.0.
Faça uma consulta
Na VPS, execute dig @127.0.0.1 example.org. De um dispositivo dentro do túnel, execute dig @10.8.0.1 example.org. Uma resposta REFUSED vinda de fora da rede permitida é o resultado correto.
Aponte seus dispositivos para ele
Defina o servidor DNS da configuração do túnel nos seus dispositivos como o endereço do túnel da VPS. Mantenha o firewall fechado para a porta 53 na interface pública.
server:
interface: 127.0.0.1
interface: 10.8.0.1
access-control: 127.0.0.0/8 allow
access-control: 10.8.0.0/24 allow
hide-identity: yes
hide-version: yes
qname-minimisation: yes
harden-glue: yes
harden-dnssec-stripped: yes
prefetch: yes
private-address: 10.0.0.0/8
private-address: 172.16.0.0/12
private-address: 192.168.0.0/16sudo apt install unbound bind9-dnsutils
sudo unbound-checkconf
sudo systemctl restart unbound
sudo ss -lunt | grep :53
dig @127.0.0.1 example.org
dig @10.8.0.1 example.orgPor que o Unbound precisa ser restrito com access-control?
Porque um resolver que responde a qualquer um será encontrado e usado por estranhos. O manual do Unbound diz que, com access-control, vale a correspondência de bloco de rede mais específica, e que um cliente que não corresponde a nenhum é recusado. Liste somente as redes que você possui; todo o restante é recusado por padrão.
Dois padrões ajudam. Se nenhuma linha interface for dada, o Unbound escuta somente em localhost, e do-not-query-localhost tem o padrão yes, então ele não envia suas próprias consultas upstream a endereços localhost. Acrescente linhas private-address para as suas faixas internas, para que um nome público não possa apontar seus dispositivos para a sua própria rede.
Qual plano da Gloamport basta para um resolver DNS?
O plano menor comporta um resolver pessoal, e compartilhá-lo com uma VPN no mesmo servidor é a configuração usual. O Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, custa $3.74 por mês no período de 12 meses e $7.48 no plano de um único mês, e a Gloamport o indica para Uma VPN WireGuard para alguns dispositivos. Um resolver e o WireGuard cabem juntos nele. Não fizemos testes de desempenho do Unbound; se você atende muitos dispositivos, o Dusk, a $5.25 por mês no período de 12 meses, acrescenta um segundo GB de memória (2 GB).
O cache é o que você ajusta. O manual observa que cache-min-ttl, desligado por padrão, pode causar problemas quando definido acima de cerca de uma hora; por isso, deixe-o como está, a menos que saiba por que precisa dele.
Um resolver próprio é melhor que um provedor público de DNS?
Depende de em quem você prefere confiar o registro de consultas, e um resolver próprio elimina uma parte. Um provedor público de DNS vê cada nome que seus dispositivos consultam; com o Unbound na sua própria VPS, o único lugar onde essas consultas são coletadas é um servidor que você controla. Os servidores autoritativos das zonas que você consulta ainda veem as consultas vindas do endereço da VPS.
Segundo o levantamento da Gloamport sobre 10 de novembro de 2026, 28 dos 49 provedores listados não pedem documento de identidade no cadastro; assim, a VPS que roda o resolver está disponível sem a entrega de documentos. Para uma visão de toda a opção de túnel, leia Uma VPN própria em uma VPS é melhor que um serviço de VPN? e proteja o host com Como reforço o SSH em uma VPS nova?.
Resumo
- Instale unbound e bind9-dnsutils; configure em /etc/unbound/unbound.conf.d/.
- Use interface e access-control para que somente a sua própria rede possa consultá-lo.
- Um cliente que não corresponde a nenhum bloco de access-control é recusado.
- hide-identity e hide-version fazem com que as consultas de identidade e de versão recebam REFUSED.
- Execute unbound-checkconf antes de cada reinício.
- Coloque-o dentro de um túnel WireGuard; o DNS comum não é criptografado.
- O Ember, $3.74 por mês no período de 12 meses, o executa.
Resolver privado Unbound: perguntas frequentes
O Unbound valida o DNSSEC?
O Unbound é um resolver com validação, e seu manual descreve as opções trust-anchor e harden-dnssec-stripped. Verifique sua instalação com dig +dnssec e procure a flag ad na resposta.
Posso encaminhar as consultas para outro provedor de DNS?
Sim, o Unbound suporta encaminhamento, mas então esse provedor verá suas consultas. Este guia resolve de forma recursiva, para que nenhum provedor único as veja.
Por que o unbound-checkconf falhou?
Ele informa o arquivo e a linha do primeiro erro. As causas típicas são um erro de digitação em uma palavra-chave ou dois-pontos ausentes. Corrija-o e execute o comando de novo antes de reiniciar o serviço.
Preciso abrir a porta 53 no firewall?
Somente na interface do túnel. Mantenha-a fechada na interface pública e mantenha a lista access-control limitada à sua própria rede.
O que faz o prefetch?
Com prefetch definido como yes, um acerto de cache nos últimos 10% da vida de uma entrada dispara uma atualização em segundo plano. O manual diz que isso acrescenta cerca de 10% mais tráfego e carga.
Fontes (1)
- Manual unbound.conf(5): opções de server — NLnet Labs (checked 2026-11-10)