Comment configurer un résolveur DNS local avec Unbound sur Ubuntu 22.04

Unbound est un logiciel de serveur DNS gratuit et open-source qui peut être utilisé pour valider, résoudre et mettre en cache les résolveurs DNS. C’est un serveur DNS riche en fonctionnalités qui prend en charge DNS-over-TLS (DoT), DNS-over-HTTPS (DoH), la minimisation des noms de requête, l’utilisation agressive du cache validé par DNSSEC et le support des zones d’autorité. Unbound se concentre sur la confidentialité et la sécurité des DNS, sans sacrifier la vitesse et les performances.

Unbound est principalement développé par NLnet Labs et distribué sous la licence BSD, et il prend en charge des fonctionnalités modernes sur des normes ouvertes de serveur DNS. Unbound a été rigoureusement audité et peut être exécuté sur Linux, BSD et macOS. Unbound est disponible pour la plupart de ces systèmes d’exploitation et peut être installé via le gestionnaire de paquets du système.

Dans ce tutoriel, vous allez installer Unbound sur un serveur Ubuntu 22.04 et le configurer en tant que serveur DNS local avec certaines fonctionnalités activées, telles que DNSSEC, cache DNS, noms de domaine locaux et sous-domaines, et également DNS-over-TLS (DoT). Vous allez également configurer la journalisation d’Unbound via Rsyslog et logrotate et configurer une machine cliente Ubuntu pour vérifier votre installation d’Unbound.

Prérequis

Pour compléter ce tutoriel, vous devez avoir les exigences suivantes :

• Un serveur Ubuntu 22.04 - Cet exemple utilise un serveur Ubuntu avec le nom d’hôte ‘unbound-server‘ et l’adresse IP ‘192.168.5.100‘.
• Un utilisateur non-root avec des privilèges d’administrateur sudo/root.

C’est tout. Vous êtes maintenant prêt à procéder à l’installation d’Unbound.

Installation du serveur DNS Unbound

Par défaut, le dépôt Ubuntu fournit un paquet Unbound que vous pouvez facilement installer via APT. Avant de commencer l’installation d’Unbound, exécutez la commande apt suivante pour mettre à jour et rafraîchir votre index de paquets Ubuntu.

sudo apt update

Vérifiez maintenant les détails du paquet unbound via la commande suivante.

sudo apt info unbound

Au moment de la rédaction de cet article, le dépôt Ubuntu par défaut fournit Unbound 1.13.

Ensuite, installez Unbound en utilisant la commande apt suivante. Lorsque vous y êtes invité, saisissez y pour confirmer et appuyez sur ENTRÉE pour continuer.

sudo apt install unbound

Sortie :

Une fois Unbound installé, exécutez la commande systemctl ci-dessous pour vérifier le service Unbound.

sudo systemctl is-enabled unbound  
sudo systemctl status unbound

La sortie ‘enabled‘ confirme qu’Unbound est activé et démarrera automatiquement au démarrage du système. Et la sortie ‘active (running)‘ confirme qu’Unbound est en cours d’exécution.

Configuration d’Unbound en tant que serveur DNS local

La configuration par défaut d’Unbound se trouve à ‘/etc/unbound/unbound.conf’. Dans cette étape, vous allez modifier le fichier de configuration principal d’Unbound ‘/etc/unbound/unbound.conf’ via votre éditeur préféré.

Vous allez maintenant apprendre la configuration de base d’un serveur DNS Unbound, activer le cache DNS, configurer des noms de domaine locaux et des sous-domaines, configurer Unbound en tant que résolveur DNS avec DoT (DNS-over-TLS) activé.

Configuration de base

Ouvrez le fichier de configuration par défaut d’Unbound ‘/etc/unbound/unbound.conf’ en utilisant votre éditeur préféré. Cet exemple utilise nano pour modifier le fichier de configuration ‘/etc/unbound/unbound.conf’.

sudo nano /etc/unbound/unbound.conf

Ajoutez les lignes suivantes au fichier. La section ‘server‘ vous permet de configurer les configurations de base d’Unbound. Dans cet exemple, vous allez exécuter Unbound sur l’adresse IP locale ‘192.168.5.100‘ avec le port par défaut 53. De plus, vous allez configurer la journalisation des messages Syslog et désactiver IPv6. Enfin, vous allez configurer Unbound pour interroger récursivement tout nom d’hôte à partir des serveurs DNS racine via le fichier ‘root-hints‘.

#Ajout du support DNS-Over-TLS  
server:  
    use-syslog: yes  
    username: "unbound"  
    directory: "/etc/unbound"  
    tls-cert-bundle: /etc/ssl/certs/ca-certificates.crt  
      
    do-ip6: no  
    interface: 192.168.5.100  
    port: 53  
    prefetch: yes  
  
    root-hints: /usr/share/dns/root.hints  
    harden-dnssec-stripped: yes

Paramètres détaillés :

• use-syslog : activer la journalisation des messages Syslog.
• username : exécuter en tant qu’utilisateur unbound, qui est l’utilisateur par défaut.
• directory : le répertoire de travail par défaut pour Unbound est le répertoire ‘/etc/unbound’.
• tls-cert-bundle : certificats utilisés pour authentifier les connexions établies en amont. Sur les distributions basées sur Debian, le fichier cert est situé à ‘/etc/ssl/certs/ca-certificates.crt’.
• do-ip6 : utilisez ‘yes‘ pour exécuter Unbound avec IPv6 ou définissez ‘no‘ pour désactiver IPv6.
• interface : interface réseau ou adresse IP sur laquelle Unbound sera exécuté. Vous pouvez utiliser une adresse IP ou le nom de l’interface tel que ‘eth0‘. De plus, vous pouvez exécuter sur un port spécifique en ajoutant un format comme ‘IP-ADDRESS@PORT‘.
• port : spécifiez le port sur lequel Unbound sera exécuté, et ce port gérera les connexions des clients. Le port DNS par défaut est 53.
• prefetch : défini sur ‘yes‘ pour activer la prélecture des entrées de cache de messages presque expirées.
• root-hints : un fichier qui contient les détails des serveurs DNS racine. Le fichier ‘/usr/share/dns/root.hints’ est fourni par le paquet ‘dns-root-data‘. Vous pouvez également télécharger le fichier root-hints ici ‘ https://www.internic.net/domain/named.cache ‘.
• harden-dnssec-stripped : définissez-le sur ‘yes‘ pour renforcer la protection contre la réception de données dnssec-stripped.

Activer le cache DNS

Ensuite, ajoutez les lignes suivantes pour activer la requête de cache DNS sur votre installation d’Unbound.

    cache-max-ttl: 14400  
    cache-min-ttl: 11000

Paramètres détaillés :

• cache-max-ttl : TTL ou Time To Live pour les RRSets et les messages dans le cache DNS. Le format est en secondes.
• cache-min-ttl : temps de vie minimal pour le cache. La valeur par défaut est 0, mais vous pouvez changer cela selon votre goût, par exemple ‘11000‘ secondes. Ne pas définir cela pour plus d’une heure ou vous rencontrerez des problèmes en raison de données périmées.

Confidentialité et sécurité d’Unbound

Vous pouvez maintenant ajouter les lignes suivantes pour configurer la confidentialité et la sécurité de base pour Unbound.

    aggressive-nsec: yes  
    hide-identity: yes  
    hide-version: yes  
    use-caps-for-id: yes

Paramètres détaillés :

• aggressive-nsec : définissez sur ‘yes‘ pour activer NSEC agressif afin d’utiliser la chaîne NSEC de DNSSEC pour synthétiser NXDOMAIN et autres refus. Consultez la page Web de l’IETF sur ‘NSEC’ https://www.ietf.org/archive/id/draft-ietf-dnsop-nsec-ttl-00.html.
• hide-identity : définissez sur yes pour désactiver les réponses des requêtes bind concernant id.server ou hostname.bind.
• hide-version : définissez sur yes pour désactiver les requêtes version.server et version.bind.
• use-caps-for-id : définissez sur yes pour activer l’utilisation de ‘0x100-encoded‘ dans la requête pour contrer les tentatives de spoofing.

Définir les adresses privées et les listes de contrôle d’accès (ACL)

Ensuite, vous devez définir l’adresse privée de vos réseaux et les ACL (listes de contrôle d’accès). Assurez-vous de changer le sous-réseau local dans les lignes ci-dessous avec votre environnement réseau actuel.

    private-address: 192.168.0.0/16  
    private-address: 192.168.5.0/24  
    private-address: 169.254.0.0/16  
    private-address: 172.16.0.0/12  
    private-address: 10.0.0.0/8  
    private-address: fd00::/8  
    private-address: fe80::/10  
  
    #contrôler quels clients sont autorisés à faire des requêtes (récursives)  
    access-control: 127.0.0.1/32 allow_snoop  
    access-control: ::1 allow_snoop  
    access-control: 127.0.0.0/8 allow  
    access-control: 192.168.5.0/24 allow

Paramètres détaillés :

• private-address : définir les sous-réseaux privés sur votre infrastructure. Seuls les noms ‘private-domain‘ et ‘local-data’ sont autorisés à avoir ces adresses privées.
• access-control : définir le contrôle d’accès dans lequel les clients sont autorisés à faire des requêtes (récursives) au serveur Unbound. Le paramètre ‘allow‘ activera la récursivité, tandis que le ‘allow_snoop‘ activera à la fois la récursivité et la non-récursivité.

Configurer un domaine local

Après avoir configuré l’adresse privée et les listes de contrôle d’accès, vous allez définir la zone locale de votre nom de domaine. Cela est très utile, surtout si vous avez plusieurs applications auto-hébergées sur votre réseau local. Vous pouvez facilement définir votre nom de domaine ou sous-domaines et les pointer vers l’adresse IP cible spécifique.

Cet exemple créera la zone pour le domaine ‘home.lan‘ avec le type ‘static‘, puis vous créerez plusieurs sous-domaines via le paramètre ‘local-data‘. Chaque sous-domaine sera pointé vers une adresse IP spécifique, et vous créerez également des enregistrements PTR via le paramètre ‘local-data-ptr‘.

    # zone locale  
    local-zone: "home.lan." static  
  
    local-data: "firewall.home.lan.  IN A 10.0.0.1"  
    local-data: "vault.home.lan.    IN A 10.0.0.2"  
    local-data: "media.home.lan.   IN A 10.0.0.3"  
    local-data: "docs.home.lan.       IN A 10.0.0.4"  
    local-data: "wiki.home.lan.     IN A 10.0.0.5"  
  
    local-data-ptr: "10.0.0.1  firewall.home.lan"  
    local-data-ptr: "10.0.0.2  vault.home.lan"  
    local-data-ptr: "10.0.0.3  media.home.lan"  
    local-data-ptr: "10.0.0.4  docs.home.lan"  
    local-data-ptr: "10.0.0.5  wiki.home.lan"

Paramètres détaillés :

• local-zone : définir le domaine local ici.
• local-data : définir un enregistrement A pour les sous-domaines et quelle adresse IP locale sera résolue.
• local-data-ptr : définir l’enregistrement ptr pour vos sous-domaines.

Optimisation des performances d’Unbound

Ajoutez les lignes suivantes pour obtenir plus de performances. Vous pouvez ajuster les paramètres ci-dessous en fonction de votre environnement actuel.

    num-threads: 4  
    msg-cache-slabs: 8  
    rrset-cache-slabs: 8  
    infra-cache-slabs: 8  
    key-cache-slabs: 8  
    rrset-cache-size: 256m  
    msg-cache-size: 128m  
    so-rcvbuf: 8m

Paramètres détaillés :

• num-threads : le nombre de threads qui seront créés. La valeur doit correspondre aux cœurs CPU du serveur.
• msg-cache-slabs : le nombre de slabs à utiliser pour le cache de messages. Réglez-le sur 8 pour optimiser Unbound afin d’utiliser plus de mémoire pour le cache.
• rrset-cache-slabs : le nombre de slabs à utiliser pour le cache RRset. Réglez-le sur 8 pour optimiser Unbound afin d’utiliser plus de mémoire pour le cache RRSet.
• infra-cache-slabs : le nombre de slabs à utiliser pour le cache d’infrastructure. Réglez-le sur 8 pour optimiser Unbound afin d’utiliser plus de mémoire pour le cache d’infrastructure.
• key-cache-slabs : le nombre de slabs à utiliser pour le cache de clés. Réglez-le sur 8 pour optimiser Unbound afin d’utiliser plus de mémoire pour le cache de clés.
• rrset-cache-size : spécifiez la quantité de mémoire pour le cache RRSet. Cet exemple utilise 256 Mo, la valeur par défaut étant seulement 4 Mo.
• msg-cache-size : spécifiez la quantité de mémoire pour le cache de messages. Cet exemple utilise 128 Mo, la valeur par défaut étant seulement 4 Mo.
• so-rcvbuf : configurez la taille du tampon pour le port DNS 53/udp à 8 Mo. Sur le système Ubuntu, vous devez également définir une valeur plus élevée pour le paramètre du noyau ‘net.core.rmem_max‘.

Configurer Unbound en tant que résolveur DNS avec DNS-over-TLS (DoT)

Enfin, ajoutez une nouvelle section ‘forward-zone‘ pour configurer Unbound en tant que résolveur DNS pour vos réseaux locaux. Cet exemple utilise les serveurs DNS Quad9 avec DoT (DNS-over-TLS) activé.

forward-zone:  
    name: "."  
    forward-ssl-upstream: yes  
    ## Ajoutez également IBM IPv6 Quad9 via TLS  
    forward-addr: 9.9.9.9@853#dns.quad9.net  
    forward-addr: 149.112.112.112@853#dns.quad9.net

Paramètres détaillés :

• forward-zone : définir la zone de transfert pour Unbound.
• name : défini sur “.” pour transférer toutes les requêtes DNS.
• forward-addr : utilisez un transfert spécifique pour transférer toutes les requêtes DNS. Cet exemple utilise Quad9 DNS avec DNS-over-TLS (DoT) activé.

Enregistrez et quittez le fichier ‘/etc/unbound/unbound.conf’ une fois terminé. Avec le fichier de configuration d’Unbound modifié, vous pouvez maintenant redémarrer le service Unbound et appliquer les modifications.

Exécutez la commande ci-dessous pour vérifier et valider la configuration d’Unbound. Si cela réussit, vous devriez obtenir une sortie telle que ‘unbound-checkconf: no errors in /etc/unbound/unbound.conf’.

sudo unbound-checkconf

Ensuite, exécutez la commande ci-dessous pour augmenter la valeur par défaut de ‘net.core.rmem_max’ de votre système via le fichier ‘/etc/sysctl.conf’. Ensuite, appliquez les modifications via la commande ‘sysctl‘.

echo "net.core.rmem_max= 8388608" >> /etc/sysctl.conf  
sudo sysctl -p

Après cela, exécutez la commande systemctl ci-dessous pour redémarrer le service Unbound et appliquer les modifications.

sudo systemctl restart unbound

Avec cela, le service Unbound devrait fonctionner avec la nouvelle configuration sur l’adresse IP 192.168.5.100 sur le port 53.

Vérifiez la liste des ports ouverts sur votre système via la commande ss ci-dessous.

ss -tulpn

Vous recevrez une sortie comme celle-ci - Le port UDP DNS par défaut 53 est utilisé par le service Unbound.

Maintenant que vous avez terminé les configurations d’Unbound, vous allez configurer le pare-feu UFW et ouvrir le port DNS par défaut 53.

Configuration du pare-feu UFW

Sur Ubuntu, le pare-feu par défaut installé est UFW. Il est installé, mais toujours inactif. Dans cette étape, vous allez configurer le pare-feu UFW et ouvrir le port UDP pour Unbound.

Exécutez la commande ci-dessous pour ouvrir le service OpenSSH sur UFW via la commande ci-dessous. Ensuite, vous pouvez ajouter le port DNS 53/udp au pare-feu UFW.

sudo ufw allow OpenSSH  
sudo ufw allow 53/udp

Ensuite, exécutez la commande ci-dessous pour démarrer et activer le service de pare-feu UFW. Lorsque vous y êtes invité, saisissez y pour confirmer et appuyez sur ENTRÉE pour continuer.

sudo ufw enable

La sortie ‘Le pare-feu est actif et activé au démarrage du système‘ confirme que le pare-feu UFW fonctionne et qu’il est activé, ce qui signifie que le pare-feu UFW démarrera automatiquement au démarrage du système.

Sortie :

Exécutez maintenant la commande ufw ci-dessous pour vérifier l’état du pare-feu UFW. Vous devriez recevoir une sortie indiquant que l’état de l’UFW est ‘actif‘ avec le service OpenSSH et le port DNS 53/udp activé.

sudo ufw status

Sortie :

Configuration des journaux d’Unbound via Rsyslog et Logrotate

Après avoir configuré le pare-feu UFW, vous allez maintenant configurer un fichier journal pour Unbound via rsyslog et logrotate. Le service rsyslog créera un fichier journal spécifique pour Unbound et logrotate fera tourner le fichier journal d’Unbound à intervalles réguliers.

Exécutez la commande ci-dessous pour ajouter une nouvelle configuration Rsyslog ‘/etc/rsyslog.d/unbound.conf’ pour le service Unbound. Avec cela, les journaux d’Unbound seront stockés à ‘/var/log/unbound.log‘.

cat <

Ensuite, exécutez la commande ci-dessous pour ajouter la configuration logrotate ‘/etc/logrotate.d/unbound‘ pour le service Unbound. Cela créera une rotation des journaux pour le fichier journal d’Unbound ‘/var/log/unbound.log‘ sur une base quotidienne.

cat <

Exécutez maintenant la commande systemctl ci-dessous pour redémarrer les services Rsyslog et Logrotate. Cela appliquera les modifications que vous avez apportées aux deux services.

sudo systemctl restart rsyslog logrotate

Enfin, vous pouvez vérifier le fichier journal en redémarrant le service Unbound en utilisant la commande ci-dessous.

Avec cela, les messages générés par le service Unbound pendant le processus de redémarrage seront stockés dans le fichier journal ‘/var/log/unbound.log‘. Exécutez la commande cat pour afficher le contenu du fichier journal ‘/var/log/unbound.log‘.

sudo systemctl restart unbound  
cat /var/log/unbound.log

Sortie :

Configuration du résolveur DNS sur le client

Pour le côté client, vous devez configurer le résolveur DNS et utiliser Unbound comme résolveur par défaut sur le système client. Pour la distribution Ubuntu, vous pouvez utiliser NetworkManager, le service systemd-resolved, ou configurer un fichier statique pour ‘/etc/resolv.conf‘.

Dans cette étape, vous allez apprendre comment configurer le résolveur DNS sur Ubuntu Desktop et Ubuntu Server.

Pour Ubuntu Desktop

Le service NetworkManager gère le réseau par défaut pour la version Ubuntu Desktop. Vous pouvez donc facilement configurer le résolveur DNS via NetworkManager, ce qui peut être fait via l’interface en ligne de commande, ou en modifiant le fichier de configuration pour chaque interface réseau.

Pour configurer le résolveur DNS via la ligne de commande, vous pouvez utiliser nmcli. Exécutez la commande ci-dessous pour configurer le résolveur DNS pour l’interface réseau spécifique. Vous pouvez remplacer le nom de l’interface eth0.

sudo nmcli connection modify eth0 ipv4.dns "192.168.5.100"

Chaque interface gérée par NetworkManager a un fichier de configuration spécifique qui est stocké dans le répertoire ‘/etc/NetworkManager/system-connections’ avec le format ‘.nmconnection‘.

Vous pouvez modifier la configuration de l’interface avec votre éditeur de texte préféré et ajouter les lignes suivantes à la section ‘[ipv4]‘.

[ipv4]  
dns=192.168.5.100  
ignore-auto-dns=true  
never-default=true

Si vous préférez utiliser une application GUI, ouvrez l’application NetworkManager sur votre machine et modifiez le nom de l’interface que vous souhaitez modifier. Cliquez sur l’onglet ‘Paramètres IPv4‘ et saisissez votre serveur DNS local. Ensuite, cliquez sur Enregistrer pour confirmer.

Pour un serveur Ubuntu générique

Pour les machines serveur Ubuntu génériques, le réseau est géré par netplan avec le service backend systemd-networkd. Et pour la configuration du résolveur DNS, le systemd-networkd utilise le service systemd-resolved. Donc, pour configurer le résolveur DNS sur un serveur Ubuntu générique, vous pouvez y parvenir via le service systemd-resolved.

Ouvrez le fichier de configuration systemd-resolved en utilisant votre éditeur préféré. Cet exemple utilise un éditeur nano.

sudo nano /etc/systemd/resolved.conf

Dans la section ‘[Resolve]‘, décommentez le paramètre ‘DNS‘ et saisissez l’adresse IP de votre serveur DNS local.

[Resolve]  
DNS=192.168.5.100

Enregistrez et quittez le fichier une fois terminé.

Exécutez maintenant la commande ci-dessous pour redémarrer le service systemd-resolved et appliquer les modifications. Ensuite, vous pouvez vérifier l’état du résolveur DNS via la commande resolvectl comme ci-dessous.

sudo systemctl restart systemd-resolved  
sudo resolvectl status

Si cela réussit, vous devriez voir une sortie comme celle-ci - Le résolveur DNS par défaut a été changé à l’adresse IP du serveur DNS local Unbound 192.168.5.100.

Tester le serveur DNS Unbound

Pour vous assurer qu’Unbound DNS fonctionne en tant que résolveur DNS, exécutez la commande dig ci-dessous depuis la machine cliente Ubuntu. Le paramètre ‘@192.168.5.100‘ garantit que vous utilisez un serveur DNS Unbound qui fonctionne sur l’adresse IP ‘192.168.5.100‘.

dig @192.168.5.100

Lorsque cela réussit, vous recevez une réponse du serveur DNS racine comme ci-dessous. Vous remarquerez également le drapeau ‘ad‘ (authentic data) dans la sortie d’en-tête, ce qui signifie que DNSSEC est activé.

Ensuite, exécutez la commande ci-dessous pour vous assurer que les clients peuvent accéder aux noms de domaine sur Internet.

dig github.com  
dig duckduckgo.com

Lorsque cela réussit, vous devriez recevoir des détails sur l’enregistrement DNS pour le domaine ‘github.com‘ et ‘duckduckgo.com‘. Vous pouvez voir que le résolveur DNS qui répond à la requête est ‘127.0.0.53#53’, le systemd-resolved qui utilise Unbound comme résolveur par défaut. Vous pouvez également voir le ‘Temps de requête‘ pour chaque requête, le ‘ Temps de requête‘ pour le domaine ‘github.com‘ est ‘1748‘ et pour ‘duckduckgo.com‘ est ‘999‘.

Sortie pour github.com :

Sortie pour duckduckgo.com :

Si vous réexécutez la commande dig ci-dessus, le ‘Temps de requête’ devrait être réduit. Et cela confirme que vos requêtes ont été mises en cache et que le cache DNS fonctionne.

dig github.com  
dig duckduckgo.com

Accédez à Github après que le cache soit stocké :

Accédez à duckduckgo après que le cache soit stocké :

Ensuite, vérifiez le domaine local ou le sous-domaine via la commande dig ci-dessous. Si cela réussit, chaque sous-domaine sera pointé vers l’adresse IP correcte configurée dans le fichier de configuration d’Unbound ‘/etc/unbound/unbound.conf‘.

dig firewall.home.lan +short  
dig vault.home.lan +short  
dig media.home.lan +short

Sortie :

Maintenant, exécutez la commande dig ci-dessous pour vous assurer que les enregistrements PTR sont pointés vers le nom de domaine correct.

dig -x 10.0.0.1 +short  
dig -x 10.0.0.2 +short  
dig -x 10.0.0.3 +short

Sortie :

Vous pouvez également vérifier DoT (DNS over TLS) via tcpdump. Installez le paquet ‘tcpdump‘ sur votre serveur Unbound.

sudo apt install tcpdump

Saisissez y lorsque vous y êtes invité et appuyez sur ENTRÉE pour continuer.

Exécutez maintenant la commande tcpdump ci-dessous pour surveiller le trafic sur l’interface ‘eth0‘ avec le port DoT 853. Dans cet exemple, le DNS Unbound fonctionne sur l’adresse IP ‘192.168.5.100‘ avec l’interface ‘eth0‘.

tcpdump -vv -x -X -s 1500 -i eth0 'port 853'

Déplacez-vous vers la machine cliente et exécutez la commande ci-dessous pour accéder aux noms de domaine externes/internet via la commande dig ci-dessous.

dig google.com

Sortie :

Après cela, retournez sur le serveur Unbound et vous devriez maintenant obtenir une sortie similaire à celle-ci sur la sortie tcpdump.

Avec cela, vous avez maintenant installé et configuré un serveur DNS local via Unbound sur le serveur Ubuntu. De plus, vous avez configuré un résolveur DNS sur les bureaux et serveurs Ubuntu via NetworkManager et systemd-resolved.

Conclusion

Dans ce guide, vous avez installé le serveur DNS local Unbound sur un serveur Ubuntu 22.04. Vous avez activé le cache DNS, DNSSEC (activé par défaut), configuré des adresses privées et des ACL, ajouté un domaine local via local-zone, puis configuré Unbound en tant que résolveur DNS avec DoT (DNS-over-TLS).

De plus, vous avez configuré la confidentialité et la sécurité DNS de base, optimisé Unbound et configuré les journaux d’Unbound via rsyslog et logrotate.

À la fin de ce guide, vous avez également appris à configurer un résolveur DNS sur les bureaux et serveurs Ubuntu via NetworkManager et systemd-resolved. Et vous avez également appris l’utilisation de base de la commande dig pour vérifier le serveur DNS.