DNS resolver Unbound na Raspberry Pi

Unbound je výkonný a bezpečný DNS resolver (rekurzivní DNS server), který překládá doménová jména na IP adresy. Byl vyvinut organizací NLnet Labs a je známý pro svou rychlost, bezpečnost a podporu DNSSEC.
Na Raspberry Pi 5 jej lze použít jako lokální DNS resolver pro celou domácí nebo laboratorní síť — například v kombinaci s Pi-hole, firewallem, nebo jako ochranný prvek zvyšující soukromí a rychlost DNS dotazů.

Instalace Unbound na Raspberry Pi 5 (Debian / Raspberry Pi OS)

Nejprve aktualizuj systém:

sudo apt update && sudo apt upgrade -y

Poté nainstaluj balíček Unbound:

sudo apt install unbound -y

Zkontroluj, že služba běží:

sudo systemctl status unbound

Pokud neběží, spusť ji ručně:

sudo systemctl enable --now unbound

Konfigurace Unbound

Doporučuje se vytvořit vlastní konfigurační soubor, např.:

sudo nano /etc/unbound/unbound.conf.d/pi-resolver.conf

Vlož následující základní konfiguraci:

server:
    verbosity: 1
    interface: 0.0.0.0
    interface: ::0
    port: 53
    do-ip4: yes
    do-ip6: yes
    do-udp: yes
    do-tcp: yes

    # Povolit DNSSEC ověřování
    auto-trust-anchor-file: "/var/lib/unbound/root.key"
    val-clean-additional: yes

    # Cache
    cache-min-ttl: 3600
    cache-max-ttl: 86400

    # Soukromí
    hide-identity: yes
    hide-version: yes
    qname-minimisation: yes
    prefetch: yes

    # Omezit přístup pouze pro lokální síť
    access-control: 127.0.0.0/8 allow
    access-control: 192.168.0.0/16 allow

forward-zone:
    name: "."
    forward-tls-upstream: yes
    # Použij DNS-over-TLS servery
    forward-addr: 1.1.1.1@853#cloudflare-dns.com
    forward-addr: 9.9.9.9@853#dns.quad9.net

Ulož a restartuj Unbound:

sudo systemctl restart unbound

Ověření funkčnosti

Otestuj DNS dotaz:

dig @127.0.0.1 example.com

Pokud odpověď obsahuje status: NOERROR a záznamy ANSWER SECTION, resolver funguje správně.

• V kombinaci s Pi-hole můžeš v /etc/pihole/setupVars.conf nastavit PIHOLE_DNS_1=127.0.0.1#5335 (pokud běží Unbound na portu 5335).
• Pro vyšší bezpečnost můžeš přidat DNS-over-TLS nebo DNS-over-HTTPS.
• Sleduj logy:

sudo journalctl -u unbound -f