OPNsense中Unbound DNS查询转发不可靠问题的分析与解决方案

问题现象描述

在OPNsense防火墙系统中使用Unbound作为DNS解析器时，配置了特定域名的查询转发规则后，发现DNS查询转发功能存在间歇性失效的问题。具体表现为：

1. 配置了将特定内部域名(如mydomain.local)转发到内部Windows DNS服务器的规则
2. 大多数情况下工作正常，但每天会出现约1小时的异常时段
3. 异常时段内，对内部域名的查询会被错误地转发到公共根DNS服务器而非配置的内部DNS服务器
4. 导致返回NXDOMAIN响应，内部主机名无法解析

技术背景分析

Unbound是OPNsense默认集成的轻量级DNS解析器，其查询转发功能通常用于以下场景：

• 将特定域名的解析请求转发到专用DNS服务器
• 在企业内网环境中，将内部域名解析请求转发到域控制器
• 实现DNS解析的分流处理

当转发规则失效时，Unbound会退回到标准的递归查询流程，向根DNS服务器发起查询。对于内部域名，这显然会导致解析失败。

问题根源探究

根据用户报告和技术分析，该问题可能涉及以下方面：

1. Unbound的转发缓存机制：默认配置下，Unbound可能会缓存转发规则的处理结果，导致在某些情况下不按预期转发查询

2. 特殊域名处理：.local等特殊域名需要额外配置标记，告知Unbound不要进行DNSSEC验证等操作

3. IPv6干扰：有报告指出IPv6配置可能导致DNS查询路径异常

4. 配置生成逻辑：OPNsense GUI生成的Unbound配置可能在某些边界条件下不够完善

已验证的解决方案

经过社区验证，以下两种方案可有效解决问题：

方案一：通过自定义配置文件

创建/usr/local/etc/unbound.opnsense.d/local.conf文件，内容如下：

server:
  domain-insecure: "mydomain.local"
  domain-insecure: "168.192.in-addr.arpa"
  private-domain: "mydomain.local"
  private-domain: "168.192.in-addr.arpa"

forward-zone:
  name: "168.192.in-addr.arpa"
  forward-addr: 192.168.0.10@53
  forward-addr: 192.168.0.14@53
  forward-no-cache: yes

forward-zone:
  name: "mydomain.local"
  forward-addr: 192.168.0.14@53
  forward-addr: 192.168.0.10@53
  forward-no-cache: yes

关键配置说明：

• domain-insecure：禁用DNSSEC验证
• private-domain：标记为私有域名，避免特殊处理
• forward-no-cache：禁用转发结果的缓存

方案二：禁用IPv6解析

在Unbound配置中添加：

do-ip6: no

这可以解决因IPv6配置导致的DNS查询路径异常问题。

最佳实践建议

1. 对于内部域名解析，建议同时配置正向和反向查找区域
2. 使用forward-no-cache选项可减少缓存导致的异常
3. 定期检查DNS查询日志，监控转发规则执行情况
4. 复杂环境建议在测试后确定最终配置方案

后续版本展望

该问题已持续较长时间，用户可关注OPNsense 25.1版本是否包含相关修复。同时建议在升级后验证GUI配置生成的规则是否已足够可靠，避免依赖自定义配置文件。