Ubuntu 24.04에 Unbound 검증 DNS 리졸버 배포

Source: Dev.to

포트 53 해제

Ubuntu의 systemd-resolved는 기본적으로 포트 53을 바인딩합니다. Unbound를 배포하기 전에 이를 중지하고 비활성화하세요.

sudo systemctl stop systemd-resolved
sudo systemctl disable systemd-resolved

호스트가 여전히 이름을 해석할 수 있도록 리졸버 설정을 교체합니다:

sudo rm /etc/resolv.conf
echo "nameserver 1.1.1.1" | sudo tee /etc/resolv.conf

---

프로젝트 디렉터리 만들기

mkdir -p ~/unbound
cd ~/unbound

---

Unbound 설정 파일 만들기

unbound.conf 파일을 생성합니다(예: nano unbound.conf 사용). 아래 내용을 추가하고, YOUR_CLIENT_IP/32를 쿼리를 허용할 클라이언트의 IP 주소로 바꾸세요.

server:
  interface: 0.0.0.0
  interface: ::0
  port: 53

  # Access control – allow trusted networks and a single client
  access-control: 127.0.0.0/8 allow
  access-control: 192.168.0.0/16 allow
  access-control: 172.16.0.0/12 allow
  access-control: 10.0.0.0/8 allow
  access-control: YOUR_CLIENT_IP/32 allow
  access-control: 0.0.0.0/0 refuse

  hide-identity: yes
  hide-version: yes
  use-caps-for-id: yes
  prefetch: yes

  # Performance tuning
  num-threads: 2
  msg-cache-slabs: 4
  rrset-cache-slabs: 4
  infra-cache-slabs: 4
  key-cache-slabs: 4
  rrset-cache-size: 100m
  msg-cache-size: 50m
  so-rcvbuf: 1m

remote-control:
  control-enable: no

---

Docker Compose 매니페스트

docker-compose.yml 파일을 생성합니다(예: nano docker-compose.yml 사용). 내용은 다음과 같습니다:

services:
  unbound:
    image: mvance/unbound:latest
    container_name: unbound
    restart: unless-stopped
    environment:
      TZ: UTC
    ports:
      - "53:53/tcp"
      - "53:53/udp"
    volumes:
      - ./unbound.conf:/opt/unbound/etc/unbound/unbound.conf:ro

---

리졸버 배포

docker compose up -d

컨테이너가 정상적으로 실행 중인지 확인합니다:

docker compose ps

---

허용된 클라이언트에서 테스트

IP가 허용된 클라이언트에서 다음을 실행합니다:

dig @SERVER_IP vultr.com

유효한 Answer 섹션이 표시되면 Unbound가 DNSSEC 검증을 수행하며 쿼리를 해결하고 있다는 뜻입니다.

---

다음 단계

• 네트워크의 클라이언트들을 이 리졸버를 사용하도록 설정하여 DNSSEC 검증의 혜택을 누리세요.
• 트래픽 양에 따라 캐시 크기와 스레드 수를 조정하세요.
• 광고 및 악성 도메인을 차단하려면 unbound.conf에 블록리스트 구성을 추가하세요.

추가 팁과 전체 가이드는 원문 기사인 Vultr Docs를 참고하세요.