・LAN 内のドメインを権威サーバーとして名前解決する
・それ以外のドメインへのクエリは反復問い合わせする
構成の例です。
現代では、権威サーバーとキャッシュサーバーは分離することが推奨されています。
参考: JPRS トピックス＆コラム No.020
https://jprs.jp/related-info/guide/topics-column/no20.html
前提
サーバー IP アドレス: 192.168.182.12
AlmaLinux 9.5
Unbound 1.23.0
SELinux 有効
OSの設定
通信ソケットバッファの拡大のため、以下を実行してカーネルパラメーターを変更します。
詳細については公式のドキュメントを参照してください。
# sysctl -w net.core.rmem_max=4194304 >> /etc/sysctl.conf
# sysctl -w net.core.wmem_max=4194304 >> /etc/sysctl.conf
Unbound の実行ユーザー、グループを追加します。
# groupadd unbound
# useradd -g unbound -s /sbin/nologin unbound
Unboundのインストール
標準のリポジトリにあるバージョンが古いため、前提となるパッケージをインストールし、ソースを入手してビルド、インストールします。
# dnf install gcc openssl-devel libevent-devel expat-devel systemd-devel bison flex
# cd /usr/src
# curl -O https://nlnetlabs.nl/downloads/unbound/unbound-latest.tar.gz
# tar xf unbound-latest.tar.gz
# cd unbound-1.23.0
# ./configure --enable-systemd --with-libevent
# make
# make install
Unbound の初期設定
systemd への登録、Unbound で使用するディレクトリの作成と、所有者の変更を行います。
また、unbound-control 用の証明書と秘密鍵の生成を行います。
ルートゾーンのトラストアンカーも取得します。
Unbound 1.23.0 は RFC5011 に対応しているため、自動的にトラストアンカーを更新します。
/usr/lib/systemd/system/unbound.service
[Unit]
Description=Validating, recursive, and caching DNS resolver
Before=nss-lookup.target
Requires=network-online.target
After=network-online.target
[Install]
WantedBy=multi-user.target
[Service]
Type=notify
ExecReload=/usr/sbin/unbound-control reload
ExecStartPre=/usr/local/sbin/unbound-checkconf
ExecStart=/usr/local/sbin/unbound -d -p
NotifyAccess=main
MemoryDenyWriteExecute=true
NoNewPrivileges=true
PrivateDevices=true
PrivateTmp=true
ProtectControlGroups=true
ProtectKernelLogs=true
ProtectKernelModules=true
ProtectKernelTunables=false
ProtectProc=invisible
ProtectSystem=strict
RuntimeDirectory=unbound
ConfigurationDirectory=unbound
StateDirectory=unbound
RestrictAddressFamilies=AF_INET AF_INET6 AF_NETLINK AF_UNIX
RestrictRealtime=true
SystemCallArchitectures=native
SystemCallFilter=~@clock @cpu-emulation @debug @keyring @module mount @obsolete @resources
RestrictNamespaces=yes
LockPersonality=yes
RestrictSUIDSGID=yes
ReadWritePaths=/usr/local/etc/unbound /var/log/unbound
# mkdir /usr/local/etc/unbound/files
# chown unbound:unbound -R /usr/local/etc/unbound/files
# unbound-control-setup
# sudo -u unbound /usr/local/sbin/unbound-anchor -a /usr/local/etc/unbound/files/root.key
ログの設定
空のログファイルを作成し、所有者を変更します。
# mkdir /var/log/unbound
# touch /var/log/unbound/unbound.log
# chown -R unbound:unbound /var/log/unbound/
ログローテーションの設定を追加します。
/etc/logrotate.d/unbound
/var/log/unbound/unbound.log
{
daily
rotate 7
missingok
create
dateyesterday
postrotate
unbound-control log_reopen
endscript
}
Unboundの設定
以下の定義ファイルを作成します。
/usr/local/etc/unbound/unbound.conf
server:
chroot: ""
interface: 192.168.182.12
interface: 127.0.0.1
port: 53
logfile: /var/log/unbound/unbound.log
log-time-ascii: yes
# サーバーの CPU コア数を設定する
num-threads: 4
msg-cache-slabs: 4
rrset-cache-slabs: 4
infra-cache-slabs: 4
key-cache-slabs: 4
# サーバーの CPU コア数を設定する項目終了
so-reuseport: yes
outgoing-num-tcp: 1000
incoming-num-tcp: 1000
msg-cache-size: 128m
rrset-cache-size: 256m
num-queries-per-thread: 2048
do-ip4: yes
do-ip6: no
do-daemonize: no
access-control: 127.0.0.0/8 allow # ACL を設定
access-control: 192.168.182.0/24 allow
access-control: 192.168.207.0/24 allow
private-address: 192.168.0.0/16 # 左記を含む回答は破棄される DNS rebinding 対策
private-address: 169.254.0.0/16
private-address: fd00::/8
private-address: fe80::/10
private-domain: "example.com" # private-address を回答に含めるドメインを列挙
local-zone: "182.168.192.in-addr.arpa" transparent # 逆引きゾーンの数だけ列挙
auto-trust-anchor-file: "/usr/local/etc/unbound/files/root.key"
hide-identity: yes
hide-version: yes
remote-control:
control-enable: yes
control-interface: 127.0.0.1
auth-zone:
name: "example.com"
fallback-enabled: yes
zonefile: /usr/local/etc/unbound/example.com.zone
auth-zone:
name: "182.168.192.in-addr.arpa"
fallback-enabled: yes
zonefile: /usr/local/etc/unbound/182.168.192.in-addr.arpa.zone
組み込み以外のルートヒントファイルを使用する場合は、定義ファイルに以下を追加します。
server:
（中略）
+ root-hints: "<ルートヒントファイルの絶対パス>"
（後略）
ゾーンファイルの作成
以下のようなゾーンファイルを作成します。
/usr/local/etc/unbound/example.com.zone
$ORIGIN example.com.
$TTL 3600
@ IN SOA dns.example.com. root.example.com. (
1 ; Serial
900 ; refresh
600 ; retry
86400 ; expire
900 ; minimum
)
@ IN NS dns.example.com.
dns IN A 192.168.182.12
dhcp IN A 192.168.182.15
/usr/local/etc/unbound/182.168.192.in-addr.arpa.zone
$ORIGIN 182.168.192.in-addr.arpa.
$TTL 3600
@ IN SOA dns.example.com. root.example.com. (
1 ; Serial
900 ; refresh
600 ; retry
86400 ; expire
900 ; minimum
)
@ IN NS dns.example.com.
12 IN PTR dns.example.com.
15 IN PTR dhcp.example.com.
以下のコマンドにて設定ファイルのチェックを行います。
# unbound-checkconf
Unbound の起動
DNS の着信接続を許可し、Unboundを起動します。
# firewall-cmd --add-service=dns --permanent
# firewall-cmd --reload
# systemctl enable unbound
# systemctl start unbound
確認
以下の通り解決できます。
権威ゾーンのレコード aa flag が立っている
# dig @192.168.182.12 example.com.
; <<>> DiG 9.18.30-0ubuntu0.22.04.2-Ubuntu <<>> @192.168.182.12 example.com.
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 45700
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;example.com. IN A
;; AUTHORITY SECTION:
example.com. 900 IN SOA dns.example.com. root.example.com. 1 900 600 86400 900
;; Query time: 10 msec
;; SERVER: 192.168.182.12#53(192.168.182.12) (UDP)
;; WHEN: Wed May 07 12:04:27 JST 2025
;; MSG SIZE rcvd: 85
# dig @192.168.182.12 example.com. NS
; <<>> DiG 9.18.30-0ubuntu0.22.04.2-Ubuntu <<>> @192.168.182.12 example.com. NS
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 54709
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 2
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;example.com. IN NS
;; ANSWER SECTION:
example.com. 3600 IN NS dns.example.com.
;; ADDITIONAL SECTION:
dns.example.com. 3600 IN A 192.168.182.12
;; Query time: 0 msec
;; SERVER: 192.168.182.12#53(192.168.182.12) (UDP)
;; WHEN: Wed May 07 12:04:41 JST 2025
;; MSG SIZE rcvd: 74
# dig @192.168.182.12 dns.example.com.
; <<>> DiG 9.18.30-0ubuntu0.22.04.2-Ubuntu <<>> @192.168.182.12 dns.example.com.
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 19297
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;dns.example.com. IN A
;; ANSWER SECTION:
dns.example.com. 3600 IN A 192.168.182.12
;; Query time: 0 msec
;; SERVER: 192.168.182.12#53(192.168.182.12) (UDP)
;; WHEN: Wed May 07 12:05:01 JST 2025
;; MSG SIZE rcvd: 60
# dig @192.168.182.12 -x 192.168.182.15
; <<>> DiG 9.18.30-0ubuntu0.22.04.2-Ubuntu <<>> @192.168.182.12 -x 192.168.182.15
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 468
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;15.182.168.192.in-addr.arpa. IN PTR
;; ANSWER SECTION:
15.182.168.192.in-addr.arpa. 3600 IN PTR dhcp.example.com.
;; Query time: 0 msec
;; SERVER: 192.168.182.12#53(192.168.182.12) (UDP)
;; WHEN: Wed May 07 12:05:23 JST 2025
;; MSG SIZE rcvd: 86
反復問い合わせしたレコード aa flag がない
# dig @192.168.182.12 google.com.
; <<>> DiG 9.18.30-0ubuntu0.22.04.2-Ubuntu <<>> @192.168.182.12 google.com.
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 52179
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;google.com. IN A
;; ANSWER SECTION:
google.com. 300 IN A 172.217.175.14
;; Query time: 180 msec
;; SERVER: 192.168.182.12#53(192.168.182.12) (UDP)
;; WHEN: Wed May 07 12:05:49 JST 2025
;; MSG SIZE rcvd: 55
DNSSEC 検証も正しく成功・失敗しています。
DNSSEC が正しく設定されているドメイン
# delv @192.168.182.12 jprs.co.jp. +vtrace
;; fetch: jprs.co.jp/A
;; validating jprs.co.jp/A: starting
;; validating jprs.co.jp/A: attempting positive response validation
;; fetch: jprs.co.jp/DNSKEY
;; validating jprs.co.jp/DNSKEY: starting
;; validating jprs.co.jp/DNSKEY: attempting positive response validation
;; fetch: jprs.co.jp/DS
;; validating jprs.co.jp/DS: starting
;; validating jprs.co.jp/DS: attempting positive response validation
;; fetch: jp/DNSKEY
;; validating jp/DNSKEY: starting
;; validating jp/DNSKEY: attempting positive response validation
;; fetch: jp/DS
;; validating jp/DS: starting
;; validating jp/DS: attempting positive response validation
;; fetch: ./DNSKEY
;; validating ./DNSKEY: starting
;; validating ./DNSKEY: attempting positive response validation
;; validating ./DNSKEY: verify rdataset (keyid=20326): success
;; validating ./DNSKEY: marking as secure (DS)
;; validating jp/DS: in fetch_callback_dnskey
;; validating jp/DS: keyset with trust secure
;; validating jp/DS: resuming validate
;; validating jp/DS: verify rdataset (keyid=53148): success
;; validating jp/DS: marking as secure, noqname proof not needed
;; validating jp/DNSKEY: in fetch_callback_ds
;; validating jp/DNSKEY: dsset with trust secure
;; validating jp/DNSKEY: verify rdataset (keyid=35821): success
;; validating jp/DNSKEY: marking as secure (DS)
;; validating jprs.co.jp/DS: in fetch_callback_dnskey
;; validating jprs.co.jp/DS: keyset with trust secure
;; validating jprs.co.jp/DS: resuming validate
;; validating jprs.co.jp/DS: verify rdataset (keyid=13611): success
;; validating jprs.co.jp/DS: marking as secure, noqname proof not needed
;; validating jprs.co.jp/DNSKEY: in fetch_callback_ds
;; validating jprs.co.jp/DNSKEY: dsset with trust secure
;; validating jprs.co.jp/DNSKEY: verify rdataset (keyid=63574): success
;; validating jprs.co.jp/DNSKEY: marking as secure (DS)
;; validating jprs.co.jp/A: in fetch_callback_dnskey
;; validating jprs.co.jp/A: keyset with trust secure
;; validating jprs.co.jp/A: resuming validate
;; validating jprs.co.jp/A: verify rdataset (keyid=43611): success
;; validating jprs.co.jp/A: marking as secure, noqname proof not needed
; fully validated
jprs.co.jp. 300 IN A 117.104.133.165
jprs.co.jp. 300 IN RRSIG A 8 3 300 20250604023001 20250505023001 43611 jprs.co.jp. GNkmT72CLP6GLbPBoVCUNYDKJKdNQqEoT7mBgXr+L4sPVjh1K9oCttS6 eQrBrfBpwFQwSjOmJKk1VcN3aclxF2xd2s1UnOH8tmhKkj0tm16J1GY5 +oLQ+yOwI7MRDLZkevEnbdSjiYDI/EWOavyzEt707VizoD0JsaUTbdfF 2QI=
意図的に不正な設定がされているドメイン
# delv @192.168.182.12 dnssec-failed.mufj.jp. +vtrace
;; fetch: dnssec-failed.mufj.jp/A
;; resolution failed: SERVFAIL
補足（フォワーダーとして使用する場合）
フォワーダーとして使用する場合は以下のようにします。（Google Public DNS に転送する例）
/usr/local/etc/unbound/unbound.conf
（前略）
remote-control:
control-enable: yes
control-interface: 127.0.0.1
+ forward-zone:
+ name: "."
+ forward-addr: 8.8.8.8
auth-zone:
name: "example.com"
fallback-enabled: yes
zonefile: /usr/local/etc/unbound/example.com.zone
auth-zone:
name: "182.168.192.in-addr.arpa"
fallback-enabled: yes
zonefile: /usr/local/etc/unbound/182.168.192.in-addr.arpa.zone
補足（権威サーバーへ転送する場合）
権威サーバーにクエリを転送したい場合は、stub-zone を使用します。
定義ファイルは以下のようになります。
192.168.182.10 上の権威サーバーは以下記事同等のものとします。
/usr/local/etc/unbound/unbound.conf
server:
chroot: ""
interface: 192.168.182.12
interface: 127.0.0.1
port: 53
logfile: /var/log/unbound/unbound.log
log-time-ascii: yes
# サーバーの CPU コア数を設定する
num-threads: 4
msg-cache-slabs: 4
rrset-cache-slabs: 4
infra-cache-slabs: 4
key-cache-slabs: 4
# サーバーの CPU コア数を設定する項目終了
so-reuseport: yes
outgoing-num-tcp: 1000
incoming-num-tcp: 1000
msg-cache-size: 128m
rrset-cache-size: 256m
num-queries-per-thread: 2048
do-ip4: yes
do-ip6: no
do-daemonize: no
access-control: 127.0.0.0/8 allow # ACL を設定
access-control: 192.168.182.0/24 allow
access-control: 192.168.207.0/24 allow
private-address: 192.168.0.0/16 # 左記を含む回答は破棄される DNS rebinding 対策
private-address: 169.254.0.0/16
private-address: fd00::/8
private-address: fe80::/10
private-domain: "example.com" # private-address を回答に含めるドメインを列挙
+ local-zone: "example.com" transparent
local-zone: "182.168.192.in-addr.arpa" transparent # 逆引きゾーンの数だけ列挙
auto-trust-anchor-file: "/usr/local/etc/unbound/files/root.key"
hide-identity: yes
hide-version: yes
+ domain-insecure: "example.com" # 対象ゾーンでの DNSSEC 検証を無効にする
+ domain-insecure: "182.168.192.in-addr.arpa"
remote-control:
control-enable: yes
control-interface: 127.0.0.1
+ stub-zone: # クエリを権威サーバーに転送
+ name: "example.com"
+ stub-addr: 192.168.182.10
+ stub-zone:
+ name: "182.168.192.in-addr.arpa"
+ stub-addr: 192.168.182.10
この設定では、以下のように解決されます。
権威を持たないため aa flag が立っていない
# dig @192.168.182.12 example.com.
; <<>> DiG 9.18.30-0ubuntu0.22.04.2-Ubuntu <<>> @192.168.182.12 example.com.
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 65394
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;example.com. IN A
;; AUTHORITY SECTION:
example.com. 701 IN SOA dns1.example.com. root.example.com. 0 900 600 86400 900
;; Query time: 0 msec
;; SERVER: 192.168.182.12#53(192.168.182.12) (UDP)
;; WHEN: Mon May 19 09:49:46 JST 2025
;; MSG SIZE rcvd: 86
# dig @192.168.182.12 dns1.example.com.
; <<>> DiG 9.18.30-0ubuntu0.22.04.2-Ubuntu <<>> @192.168.182.12 dns1.example.com.
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 4964
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;dns1.example.com. IN A
;; ANSWER SECTION:
dns1.example.com. 3517 IN A 192.168.182.10
;; Query time: 0 msec
;; SERVER: 192.168.182.12#53(192.168.182.12) (UDP)
;; WHEN: Mon May 19 09:49:49 JST 2025
;; MSG SIZE rcvd: 61
# dig @192.168.182.12 -x 192.168.182.10
; <<>> DiG 9.18.30-0ubuntu0.22.04.2-Ubuntu <<>> @192.168.182.12 -x 192.168.182.10
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 31862
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;10.182.168.192.in-addr.arpa. IN PTR
;; ANSWER SECTION:
10.182.168.192.in-addr.arpa. 3542 IN PTR dns1.example.com.
;; Query time: 0 msec
;; SERVER: 192.168.182.12#53(192.168.182.12) (UDP)
;; WHEN: Mon May 19 09:49:51 JST 2025
;; MSG SIZE rcvd: 86