# Como executo um resolver DNS privado com Unbound em uma VPS? > Instale o Unbound em um VPS Ember, $3.74 por mês em 12 meses, e responda DNS só para seus dispositivos, com DNSSEC. - URL: https://gloamport.com/pt/guides/how-to-run-a-private-dns-resolver/ - Última atualização: 2026-11-10 - Editor: Gloamport (https://gloamport.com) O Unbound é um resolver DNS recursivo com validação. Em uma VPS pequena, ele responde pelos seus próprios dispositivos e por mais ninguém. **Resposta rápida — Como executo um resolver DNS privado com Unbound em uma VPS?** Para executar um resolver DNS privado com Unbound, instale o pacote unbound, liste os endereços em que ele pode escutar, permita somente a sua própria rede com access-control e teste com dig. O plano Ember da Gloamport, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic a $3.74 por mês no período de 12 meses, basta para as consultas de uma pessoa. ## Quais configurações do Unbound tornam um resolver privado? | Configuração | Valor neste guia | O que diz o manual do Unbound | | --- | --- | --- | | interface | 127.0.0.1 e o endereço do seu túnel | Os endereços que os clientes podem consultar; sem nenhum definido, o Unbound escuta em localhost | | access-control | Permitir a rede do seu túnel | Vence o bloco de rede mais específico; um cliente que não case com nenhum é recusado | | hide-identity | sim | consultas id.server e hostname.bind recebem REFUSED | | hide-version | sim | consultas version.server e version.bind recebem REFUSED | | qname-minimisation | sim | Envia o mínimo de informação aos servidores upstream | | `harden-dnssec-stripped` | sim | Uma zona com âncora de confiança, mas sem dados DNSSEC, passa a ser considerada inválida | | prefetch | sim | Atualiza entradas consultadas nos últimos 10% do seu TTL, com cerca de 10% mais tráfego | | private-address | Suas faixas privadas | Essas respostas são removidas para nomes públicos, o que protege contra DNS rebinding | *Preços verificados em 10 de novembro de 2026.* ## O que um resolver privado muda, e o que não muda? Um resolver privado muda quem responde às suas consultas DNS e quem pode vê-las na rede. O Unbound resolve os nomes por conta própria, consultando os servidores raiz e depois os servidores de cada zona, em vez de encaminhar para um provedor público de DNS. Seus dispositivos enviam consultas somente para a sua VPS, e os servidores das zonas veem o endereço da VPS, não o seu. Ele não esconde sua navegação. Os sites que você visita ainda são alcançados pelos seus endereços, e o provedor da VPS transporta suas consultas até a VPS. O DNS comum entre o seu dispositivo e a VPS não é criptografado, por isso o lugar mais seguro para escutar é dentro de um túnel, como [o WireGuard na mesma VPS](https://gloamport.com/pt/guides/how-to-set-up-wireguard-on-a-vps/ "Como configuro o WireGuard em um VPS?"). Nunca deixe a porta 53 aberta para a internet inteira: um resolver aberto é algo que outros vão usar, e as linhas access-control abaixo os recusam. ## Como executar o Unbound como resolver privado Os comandos são para o Debian 13 e o Ubuntu 24.04. Os exemplos supõem um túnel WireGuard com a VPS em 10.8.0.1. 1. **Instale o Unbound e uma ferramenta de teste de DNS** — Execute apt install unbound bind9-dnsutils. O segundo pacote fornece o dig para testes. Tanto o Debian 13 quanto o Ubuntu 24.04 trazem ambos. 2. **Escreva a configuração** — Crie um arquivo em /etc/unbound/unbound.conf.d/ com a seção server do primeiro bloco de código. Substitua 10.8.0.1 e 10.8.0.0/24 pelo endereço e pela rede do seu túnel, ou use apenas 127.0.0.1 se você consultar a partir da própria VPS. 3. **Verifique o arquivo** — Execute unbound-checkconf. O manual diz que ele verifica o unbound.conf antes do uso; ele informa o arquivo e a linha de qualquer erro. 4. **Reinicie e veja os listeners** — Reinicie o serviço e depois execute ss com -lunt e filtre por :53. Você deve ver somente os endereços que listou, não 0.0.0.0. 5. **Faça uma consulta** — Na VPS, execute dig @127.0.0.1 example.org. De um dispositivo dentro do túnel, execute dig @10.8.0.1 example.org. Uma resposta REFUSED vinda de fora da rede permitida é o resultado correto. 6. **Aponte seus dispositivos para ele** — Defina o servidor DNS da configuração do túnel nos seus dispositivos como o endereço do túnel da VPS. Mantenha o firewall fechado para a porta 53 na interface pública. */etc/unbound/unbound.conf.d/private.conf* ```text server: interface: 127.0.0.1 interface: 10.8.0.1 access-control: 127.0.0.0/8 allow access-control: 10.8.0.0/24 allow hide-identity: yes hide-version: yes qname-minimisation: yes harden-glue: yes harden-dnssec-stripped: yes prefetch: yes private-address: 10.0.0.0/8 private-address: 172.16.0.0/12 private-address: 192.168.0.0/16 ``` *Instale, verifique, reinicie, teste* ```bash sudo apt install unbound bind9-dnsutils sudo unbound-checkconf sudo systemctl restart unbound sudo ss -lunt | grep :53 dig @127.0.0.1 example.org dig @10.8.0.1 example.org ``` ## Por que o Unbound precisa ser restrito com access-control? Porque um resolver que responde a qualquer um será encontrado e usado por estranhos. O manual do Unbound diz que, com access-control, vale a correspondência de bloco de rede mais específica, e que um cliente que não corresponde a nenhum é recusado. Liste somente as redes que você possui; todo o restante é recusado por padrão. Dois padrões ajudam. Se nenhuma linha interface for dada, o Unbound escuta somente em localhost, e do-not-query-localhost tem o padrão yes, então ele não envia suas próprias consultas upstream a endereços localhost. Acrescente linhas private-address para as suas faixas internas, para que um nome público não possa apontar seus dispositivos para a sua própria rede. ## Qual plano da Gloamport basta para um resolver DNS? O plano menor comporta um resolver pessoal, e compartilhá-lo com uma VPN no mesmo servidor é a configuração usual. O Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, custa $3.74 por mês no período de 12 meses e $7.48 no plano de um único mês, e a Gloamport o indica para Uma VPN WireGuard para alguns dispositivos. Um resolver e o WireGuard cabem juntos nele. Não fizemos testes de desempenho do Unbound; se você atende muitos dispositivos, o Dusk, a $5.25 por mês no período de 12 meses, acrescenta um segundo GB de memória (2 GB). O cache é o que você ajusta. O manual observa que cache-min-ttl, desligado por padrão, pode causar problemas quando definido acima de cerca de uma hora; por isso, deixe-o como está, a menos que saiba por que precisa dele. ## Um resolver próprio é melhor que um provedor público de DNS? Depende de em quem você prefere confiar o registro de consultas, e um resolver próprio elimina uma parte. Um provedor público de DNS vê cada nome que seus dispositivos consultam; com o Unbound na sua própria VPS, o único lugar onde essas consultas são coletadas é um servidor que você controla. Os servidores autoritativos das zonas que você consulta ainda veem as consultas vindas do endereço da VPS. Segundo o levantamento da Gloamport sobre 10 de novembro de 2026, 28 dos 49 provedores listados não pedem documento de identidade no cadastro; assim, a VPS que roda o resolver está disponível sem a entrega de documentos. Para uma visão de toda a opção de túnel, leia [Uma VPN própria em uma VPS é melhor que um serviço de VPN?](https://gloamport.com/pt/self-hosted-vpn-vs-vpn-service/ "Uma VPN auto-hospedada em uma VPS é melhor do que um serviço de VPN?") e proteja o host com [Como reforço o SSH em uma VPS nova?](https://gloamport.com/pt/guides/how-to-harden-ssh-on-a-vps/ "Como reforço o SSH em uma VPS nova?"). **Resumo** - Instale unbound e bind9-dnsutils; configure em /etc/unbound/unbound.conf.d/. - Use interface e access-control para que somente a sua própria rede possa consultá-lo. - Um cliente que não corresponde a nenhum bloco de access-control é recusado. - hide-identity e hide-version fazem com que as consultas de identidade e de versão recebam REFUSED. - Execute unbound-checkconf antes de cada reinício. - Coloque-o dentro de um túnel WireGuard; o DNS comum não é criptografado. - O Ember, $3.74 por mês no período de 12 meses, o executa. ## Resolver privado Unbound: perguntas frequentes ### O Unbound valida o DNSSEC? O Unbound é um resolver com validação, e seu manual descreve as opções trust-anchor e harden-dnssec-stripped. Verifique sua instalação com dig +dnssec e procure a flag ad na resposta. ### Posso encaminhar as consultas para outro provedor de DNS? Sim, o Unbound suporta encaminhamento, mas então esse provedor verá suas consultas. Este guia resolve de forma recursiva, para que nenhum provedor único as veja. ### Por que o unbound-checkconf falhou? Ele informa o arquivo e a linha do primeiro erro. As causas típicas são um erro de digitação em uma palavra-chave ou dois-pontos ausentes. Corrija-o e execute o comando de novo antes de reiniciar o serviço. ### Preciso abrir a porta 53 no firewall? Somente na interface do túnel. Mantenha-a fechada na interface pública e mantenha a lista access-control limitada à sua própria rede. ### O que faz o prefetch? Com prefetch definido como yes, um acerto de cache nos últimos 10% da vida de uma entrada dispara uma atualização em segundo plano. O manual diz que isso acrescenta cerca de 10% mais tráfego e carga. ## Fontes 1. [Manual unbound.conf(5): opções de server](https://unbound.docs.nlnetlabs.nl/en/latest/manpages/unbound.conf.html) — NLnet Labs (checked 2026-11-10) --- Gloamport: A Gloamport é um provedor de VPS que vende servidores Linux KVM sem KYC, pedidos com número de conta e pagos em cripto, Monero em primeiro lugar; é operada pela DomaineGoat LLC, empresa registrada no Panamá. Um pedido pede um plano, uma moeda e, só se você quiser, um endereço de e-mail: sem nome, sem endereço postal, sem telefone e sem documento de identidade. No prazo de 12 meses, cada plano custa pelo menos 25% menos que um plano comparável nomeado, de uma pesquisa com 38 hosts de VPS cripto sem KYC lida em 10 de novembro de 2026.