Unbound DNS服务器同时支持传统DNS与DoH服务的配置方法

Unbound作为一款高性能的递归DNS解析器，支持同时提供传统DNS（端口53）和DNS-over-HTTPS（DoH，端口443）服务。本文将详细介绍如何配置Unbound实现这一功能。

基本原理

Unbound通过多接口配置可以同时监听不同端口：

• 传统DNS服务默认使用UDP/TCP 53端口
• DoH服务通常配置在TCP 443端口

两种服务可以共享相同的缓存和解析逻辑，只是传输层协议不同。

详细配置步骤

1. 基础接口配置

在unbound.conf配置文件中添加以下内容：

interface: 127.0.0.1@53
interface: 127.0.0.1@443

对于IPv6环境，还需要添加：

interface: ::1@53
interface: ::1@443

2. 显式端口声明

虽然Unbound会自动识别端口用途，但显式声明更清晰：

port: 53
https-port: 443

3. 关键注意事项

• 不要设置do-udp: no，这会禁用UDP协议，导致传统DNS查询失败
• 确保防火墙开放相应端口（53/udp, 53/tcp, 443/tcp）
• 如果使用非回环地址，注意网络安全配置

高级配置建议

访问控制

建议为不同接口设置访问控制：

access-control: 127.0.0.1/32 allow
access-control: ::1/128 allow

性能调优

对于高负载环境，可以调整线程数：

num-threads: 4

TLS配置

DoH需要TLS证书配置：

ssl-service-key: "/path/to/key.pem"
ssl-service-pem: "/path/to/cert.pem"

典型应用场景

1. 混合环境支持：操作系统使用传统DNS，浏览器使用DoH
2. 渐进式迁移：逐步从传统DNS过渡到DoH
3. 兼容性保障：确保不支持DoH的旧设备仍能正常解析

排错指南

如果配置后服务不正常，可检查：

1. 使用netstat -tulnp确认端口监听状态
2. 检查Unbound日志（通常位于/var/log/unbound.log）
3. 使用dig @127.0.0.1 example.com测试传统DNS
4. 使用浏览器或curl测试DoH服务

通过以上配置，Unbound可以高效地同时提供传统DNS和现代DoH服务，满足不同客户端的需求，同时保持一致的解析结果和缓存效率。