Cài đặt Unbound làm recursive resolver cục bộ

Unbound là một DNS resolver nhẹ, nhanh, và an toàn — lý tưởng cho máy tính cá nhân hoặc máy chủ. Unbound giữ cache cục bộ, giảm thời gian truy vấn DNS đáng kể.

Cài đặt Unbound

# Debian/Ubuntu
sudo apt install unbound

# Fedora/RHEL
sudo dnf install unbound

Cấu hình Unbound

Mở file cấu hình chính:

sudo nano /etc/unbound/unbound.conf

Nội dung cấu hình nên bao gồm:

server:
    verbosity: 1
    interface: 127.0.0.1
    port: 53
    do-ip4: yes
    do-udp: yes
    do-tcp: yes
    prefetch: yes
    prefetch-key: yes
    cache-max-size: 256m
    cache-max-ttl: 86400
    do-not-query-localhost: no
    private-address: 10.0.0.0/8
    private-address: 192.168.0.0/16

forward-zone:
    name: "."
    forward-addr: 1.1.1.1@853#cloudflare-dns.com
    forward-addr: 8.8.8.8@853#dns.google

Kết hợp DoH với Unbound (DNSCrypt-proxy)

Để kết hợp DoH và Unbound, bạn có thể dùng DNSCrypt-proxy như một lớp proxy trung gian. DNSCrypt-proxy kết nối đến DoH của Cloudflare/Google, và Unbound lắng nghe trên localhost để phục vụ các truy vấn cục bộ.

Tối ưu hiệu suất DNS với cache và negative cache

Cache DNS giữ lại kết quả tra cứu trong một khoảng thời gian nhất định (TTL), giúp giảm đáng kể số lần truy vấn đến DNS resolver bên ngoài. Khi cấu hình Unbound hoặc systemd-resolved, hãy bật tính năng prefetch để cache được tự động làm mới trước khi hết hạn.

• prefetch: yes: tự động làm mới cache trước khi hết TTL
• serve-expired: yes: phục vụ từ cache khi DNS server không phản hồi
• negative-cache: yes: cache cả kết quả "không tìm thấy" để tránh query lặp lại
• cache-max-size: thiết lập kích thước cache tối đa (đề xuất 256MB cho server, 64MB cho desktop)

Bảo mật DNS: giảm thiểm rủi ro spoofing và poisoning

Bên cạnh tối ưu hiệu suất, bảo mật DNS cũng cực kỳ quan trọng để ngăn chặn các cuộc tấn công như DNS spoofing, cache poisoning và man-in-the-middle. Để tăng cường độ tin cậy của hệ thống DNS, bạn nên triển khai các biện pháp sau:

• DNSSEC: Ký số bản ghi DNS để xác thực nguồn gốc và tính toàn vẹn của phản hồi. Cấu hình DNSSEC trên Unbound bằng cách bật auto-trust-anchor-file: "/var/lib/unbound/root.key" và val-log-level: 2 để ghi log xác thực.
• Response Rate Limiting (RFL): Giới hạn tốc độ phản hồi từ nameserver để ngăn chặn amplification attacks. Thêm rate-limit: vào cấu hình Unbound.
• Access Control: Giới hạn truy cập vào DNS server chỉ cho các subnet tin cậy sử dụng access-control: trong Unbound.

Với Cloudflare DNS (1.1.1.1), DNSSEC đã được bật sẵn, vì vậy khi bạn forward đến Cloudflare qua DoH, bạn tự động hưởng lợi từ DNSSEC mà không cần cấu hình thêm.

Kết luận: DNS resolver tối ưu cho trải nghiệm mạng nhanh hơn

Việc tối ưu DNS resolver với DoH và Unbound không chỉ giúp bạn truy cập web nhanh hơn mà còn bảo vệ quyền riêng tư trên internet. Với cấu hình đúng, thời gian giải mã tên miền có thể giảm xuống còn vài mili giây. Đối với người dùng cá nhân, systemd-resolved với DoH là đủ tốt. Đối với máy chủ hoặc hệ thống mạng quy mô lớn, Unbound kết hợp DNS-over-TLS cung cấp kiểm soát và hiệu suất tối ưu.

Tham khảo: DNS Privacy Project, Unbound Documentation.