Kısa yanıt
VPS'te Unbound ile özel bir DNS çözümleyici nasıl çalıştırırım?
Unbound ile özel bir DNS çözümleyici çalıştırmak için unbound paketini kurun, dinleyebileceği adresleri listeleyin, access-control ile yalnızca kendi ağınıza izin verin ve dig ile test edin. Gloamport'un Ember planı, 12 aylık süreyle ayda 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic ($3.74), bir kişinin sorguları için yeterlidir.
Hangi Unbound ayarları bir çözümleyiciyi özel yapar?
| Ayar | Bu rehberdeki değer | Unbound kılavuzunun söyledikleri |
|---|---|---|
| interface | 127.0.0.1 ve tünel adresiniz | İstemcilerin sorgulayabileceği adresler; hiçbiri verilmezse Unbound localhost'ta dinler |
| access-control | Tünel ağınıza izin verin | En özel netblok kazanır; hiçbirine uymayan bir istemci reddedilir |
| hide-identity | evet | id.server ve hostname.bind sorguları REFUSED alır |
| hide-version | evet | version.server ve version.bind sorguları REFUSED alır |
| qname-minimisation | evet | Üst sunuculara gönderilen bilgi miktarını en aza indirir |
harden-dnssec-stripped | evet | Güven çapası olup DNSSEC verisi olmayan bir bölge bozuk sayılır |
| prefetch | evet | TTL'sinin son %10'unda vurulan girdileri yeniler; yaklaşık %10 daha fazla trafik demektir |
| private-address | Özel aralıklarınız | Bu tür yanıtlar genel adlardan kaldırılır; bu, DNS yeniden bağlanma (rebinding) saldırısına karşı korur |
Fiyatlar tarihinde kontrol edildi
Özel bir çözümleyici neyi değiştirir, neyi değiştirmez?
Özel bir çözümleyici, DNS sorgularınızı kimin yanıtladığını ve ağdan kimin görebildiğini değiştirir. Unbound, adları bir genel DNS sağlayıcısına yönlendirmek yerine kendisi çözer; önce kök sunuculara, sonra her bölgenin sunucularına sorar. Cihazlarınız sorguları yalnızca VPS'inize gönderir; bölgelerin sunucuları kendi adresinizi değil VPS adresini görür.
Bu, gezinmenizi gizlemez. Ziyaret ettiğiniz siteler yine adresleriyle ulaşılır ve VPS sağlayıcısı sorgularınızı VPS'e kadar taşır. Cihazınız ile VPS arasındaki düz DNS şifreli değildir; bu yüzden dinlemek için en güvenli yer, aynı VPS üzerindeki WireGuard gibi bir tünelin içidir. Portu 53'ü internete asla açık bırakmayın: açık bir çözümleyiciyi başkaları kullanır; aşağıdaki access-control satırları onları reddeder.
Unbound'u özel çözümleyici olarak çalıştırma
Komutlar Debian 13 ve Ubuntu 24.04 içindir. Örnekler, VPS'in 10.8.0.1 adresinde olduğu bir WireGuard tüneli varsayar.
Unbound'u ve bir DNS test aracını kurun
apt install unbound bind9-dnsutils komutunu çalıştırın. İkinci paket, test için dig aracını sağlar. Her ikisi de Debian 13 ve Ubuntu 24.04'te bulunur.
Yapılandırmayı yazın
/etc/unbound/unbound.conf.d/ içinde, ilk kod bloğundaki server bölümüyle bir dosya oluşturun. 10.8.0.1 ve 10.8.0.0/24 yerine kendi tünel adresinizi ve ağınızı yazın; VPS'in kendisinden sorgu yapıyorsanız yalnızca 127.0.0.1 kullanın.
Dosyayı denetleyin
unbound-checkconf çalıştırın. Kılavuz, kullanmadan önce unbound.conf dosyasını denetlediğini ve bir hatanın dosyasını ve satırını bildirdiğini söyler.
Yeniden başlatın ve dinleyicilere bakın
Hizmeti yeniden başlatın, sonra -lunt ile ss çalıştırıp :53 için grep yapın. Yalnızca listelediğiniz adresleri görmelisiniz, 0.0.0.0 görmemelisiniz.
Sorgulayın
VPS'te dig @127.0.0.1 example.org çalıştırın. Tünelin içindeki bir cihazdan dig @10.8.0.1 example.org çalıştırın. İzin verilen ağın dışından gelen reddedilmiş bir yanıt doğru sonuçtur.
Cihazlarınızı buna yönlendirin
Cihazlarınızdaki tünel yapılandırmasının DNS sunucusunu VPS tünel adresine ayarlayın. Genel arayüzde 53 portunu kapalı tutun.
server:
interface: 127.0.0.1
interface: 10.8.0.1
access-control: 127.0.0.0/8 allow
access-control: 10.8.0.0/24 allow
hide-identity: yes
hide-version: yes
qname-minimisation: yes
harden-glue: yes
harden-dnssec-stripped: yes
prefetch: yes
private-address: 10.0.0.0/8
private-address: 172.16.0.0/12
private-address: 192.168.0.0/16sudo apt install unbound bind9-dnsutils
sudo unbound-checkconf
sudo systemctl restart unbound
sudo ss -lunt | grep :53
dig @127.0.0.1 example.org
dig @10.8.0.1 example.orgUnbound neden access-control ile kısıtlanmalı?
Herkese yanıt veren bir çözümleyici, yabancılar tarafından bulunup kullanılır. Unbound kılavuzu, access-control ile en özel netblok eşleşmesinin kullanıldığını ve hiçbiriyle eşleşmeyen bir istemcinin reddedildiğini belirtir. Yalnızca sahip olduğunuz ağları listeleyin; diğer her şey varsayılan olarak reddedilir.
İki varsayılan yardımcı olur. Hiçbir interface satırı verilmezse Unbound yalnızca localhost'ta dinler; do-not-query-localhost varsayılan olarak yes olduğundan, kendi üst sorgularını localhost adreslerine göndermez. Bir genel adın cihazlarınızı kendi ağınıza yönlendirmemesi için iç aralıklarınız için private-address satırları ekleyin.
Hangi Gloamport planı bir DNS çözümleyici için yeterlidir?
En küçük plan kişisel bir çözümleyiciyi taşır; aynı sunucudaki bir VPN ile birlikte paylaşmak olağan kurulumdur. Ember, 1 vCPU, 1 GB RAM, 20 GB NVMe, 1 TB traffic, 12 aylık süreyle ayda $3.74 ve tek ayda $7.48'dir; Gloamport bunu Birkaç cihaz için bir WireGuard VPN için listeler. Bir çözümleyici ve WireGuard birlikte bunun üzerine sığar. Unbound'u kıyaslamadık; birçok cihaza hizmet verecekseniz, 12 aylık süreyle ayda $5.25 olan Dusk ikinci bir GB bellek ekler (2 GB).
Ayarlamanız gereken şey önbelleğidir. Kılavuz, varsayılan olarak kapalı olan cache-min-ttl değerinin yaklaşık bir saatin üzerine ayarlandığında sorun yaratabileceğini belirtir; bu yüzden nedenini bilmiyorsanız dokunmayın.
Kendi çalıştırdığım bir çözümleyici, genel bir DNS sağlayıcısından daha mı iyidir?
Sorgu günlüğünüze kimin güvenmeyi tercih ettiğinize bağlıdır; kendi çalıştırdığınız bir çözümleyici bir tarafı ortadan kaldırır. Genel bir DNS sağlayıcısı, cihazlarınızın aradığı her adı görür; kendi VPS'inizdeki Unbound ile bu sorgular yalnızca kontrol ettiğiniz bir sunucuda toplanır. Sorguladığınız bölgelerin yetkili sunucuları yine de VPS adresinden gelen sorguları görür.
Gloamport'un 10 Kasım 2026 üzerine yaptığı ankete göre, listelenen 49 sağlayıcıdan 28 tanesi kayıtta kimlik belgesi istemez; bu yüzden çözümleyiciyi çalıştıran VPS, belgeleri teslim etmeden kullanılabilir. Tüm tünel seçeneğine bakmak için Kendi kendine barındırılan bir VPN, bir VPN hizmetinden daha iyi midir? bölümünü okuyun ve VPS'te SSH nasıl sertleştirilir? ile sunucuyu güvence altına alın.
Özet
- unbound ve bind9-dnsutils kurun; /etc/unbound/unbound.conf.d/ içinde yapılandırın.
- Yalnızca kendi ağınızın sorgulayabilmesi için interface ve access-control kullanın.
- Hiçbir access-control netbloğuyla eşleşmeyen bir istemci reddedilir.
- hide-identity ve hide-version, kimlik ve sürüm sorgularını REFUSED yapar.
- Her yeniden başlatmadan önce unbound-checkconf çalıştırın.
- Bir WireGuard tünelinin içine koyun; düz DNS şifreli değildir.
- Ember, 12 aylık süreyle ayda $3.74, bunu çalıştırır.
Unbound özel çözümleyici: sık sorulan sorular
Unbound DNSSEC doğrular mı?
Unbound doğrulayan bir çözümleyicidir ve kılavuzu trust-anchor ile harden-dnssec-stripped seçeneklerini tanımlar. Kurulumunuzu dig +dnssec ile denetleyin ve yanıtta ad bayrağını arayın.
Bunun yerine sorguları başka bir DNS sağlayıcısına iletebilir miyim?
Evet, Unbound iletmeyi destekler; ama o zaman o sağlayıcı sorgularınızı görür. Bu rehber özyinelemeli çözümleme yapar; böylece hiçbir tek sağlayıcı bunu görmez.
unbound-checkconf neden başarısız oldu?
İlk hatanın dosyasını ve satırını bildirir. Tipik nedenler bir anahtar sözcükteki yazım hatası ya da eksik iki nokta üst üstedir. Düzeltin ve hizmeti yeniden başlatmadan önce komutu tekrar çalıştırın.
Güvenlik duvarında 53 portunu açmam gerekir mi?
Yalnızca tünel arayüzünde. Genel arayüzde kapalı tutun ve access-control listesini yalnızca kendi ağınızla sınırlı tutun.
prefetch ne yapar?
prefetch yes olarak ayarlandığında, bir girdinin ömrünün son %10'unda yapılan bir önbellek isabeti arka planda yenilemeyi tetikler. Kılavuz, bunun yaklaşık %10 daha fazla trafik ve yük eklediğini söyler.
Kaynaklar (1)
- unbound.conf(5) kılavuzu: server seçenekleri — NLnet Labs (checked 2026-11-10)