在Fedora上自建DNS服务器是很多运维爱好者和家庭实验室玩家的常见需求，而Unbound正是这个场景下的首选工具之一。它是一款由NLnet Labs维护的验证型递归DNS服务器，具备DNSSEC验证能力、内存占用低、解析延迟小等优点。相比传统BIND9，Unbound更专注于递归解析与缓存，配置更简单，性能也更出色。本文将以Fedora为例，完整讲解Unbound的安装、配置、测试与优化过程。
一、安装Unbound并了解其目录结构
Fedora的官方仓库中已经收录了Unbound，直接使用DNF包管理器安装即可，无需添加第三方源。执行以下命令完成安装：
sudo dnf install unbound -y
安装完成后，Unbound并不会立即运行，需要手动启动并设置开机自启。Fedora使用systemd管理系统服务，相关命令如下：
sudo systemctl enable --now unbound sudo systemctl status unbound
如果看到active (running)状态，说明服务已经正常启动。此时可以了解一下Unbound在Fedora上的目录布局：主配置文件位于/etc/unbound/unbound.conf，而/etc/unbound/conf.d/目录用于存放用户自定义的片段配置，/etc/unbound/unbound.conf.d/目录则存放发行版自带的拆分配置文件。这种模块化的配置结构意味着你不一定要把所有内容都写进主配置文件，而是可以新建独立的conf片段，便于管理和维护。
值得注意的是，Fedora默认的配置片段中有一个unbound.conf.d/example.conf.in文件，它默认是注释状态，仅作为示例参考。建议初学者先通读主配置文件中的注释说明，Unbound的官方注释写得非常详细，几乎每个参数都有解释，是学习配置的最好资料。
二、核心配置文件详解与本地缓存开启
Unbound的配置文件采用YAML风格的缩进语法，书写时务必注意每行顶格的格式，缩进错误会导致解析失败。下面是一份适合Fedora本地使用的基础配置示例：
server:
interface: 0.0.0.0
port: 53
do-ip4: yes
do-ip6: yes
do-udp: yes
do-tcp: yes
access-control: 127.0.0.0/8 allow
access-control: 192.168.1.0/24 allow
hide-identity: yes
hide-version: yes
harden-glue: yes
harden-dnssec-stripped: yes
prefetch: yes
cache-min-ttl: 60
cache-max-ttl: 86400
msg-cache-size: 64m
rrset-cache-size: 128m逐项解释这些参数的含义。interface指定监听地址，0.0.0.0表示监听所有网卡，如果只想本机使用可以改为127.0.0.1。access-control是访问控制列表，默认Unbound只允许本机查询，如果要让局域网内其他设备使用这台DNS服务器，必须显式添加允许的网段，例如上面示例中的192.168.1.0/24。
缓存相关的几个参数是提升解析速度的关键。prefetch开启后，Unbound会在缓存记录即将过期时主动刷新，这样热门域名几乎总能命中缓存，用户体验明显提升。cache-min-ttl和cache-max-ttl分别限制缓存的最小和最大生存时间，将最小TTL设置为60秒可以避免某些设置极短TTL的域名频繁回源查询。msg-cache-size和rrset-cache-size控制消息缓存和记录集缓存的内存上限，内存充裕的服务器可以适当调大。
安全加固方面，hide-identity和hide-version可以隐藏服务器的版本信息，减少被针对性攻击的风险。harden-glue要求胶水记录必须在授权范围内，harden-dnssec-stripped则对无DNSSEC的数据采取更严格的信任策略，这些都是生产环境推荐开启的选项。
修改配置后，先验证语法是否正确再重启服务：
sudo unbound-checkconf sudo systemctl restart unbound
三、启用DNSSEC验证与转发模式
DNSSEC是Unbound的一大亮点，它能够验证DNS应答的真实性，防止DNS欺骗攻击。Fedora安装Unbound时通常会附带dnssec-trigger或根信任锚相关的配置。手动启用DNSSEC验证需要在配置中添加根密钥文件声明：
server:
auto-trust-anchor-file: "/var/lib/unbound/root.key"
val-permissive-mode: no如果root.key文件不存在，可以先用unbound-anchor命令生成初始信任锚：
sudo unbound-anchor -a /var/lib/unbound/root.key sudo chown unbound:unbound /var/lib/unbound/root.key
val-permissive-mode设置为no表示严格模式，验证失败的域名将直接返回SERVFAIL，这是最安全的做法；如果调试阶段发现某些域名解析异常，可以临时改为yes让验证失败时仍返回结果，同时记录日志排查问题。
另一个常见需求是转发模式。Unbound默认从根服务器开始逐级递归解析，但在国内网络环境下，直接递归某些域名可能较慢。这时可以将查询转发给上游公共DNS，例如：
forward-zone:
name: "."
forward-addr: 223.5.5.5
forward-addr: 119.29.29.29
forward-first: no转发模式与递归模式可以共存，你还可以针对特定域名设置不同的转发区域，例如把内网域名转发给公司内部DNS，把其余域名走正常递归，灵活性非常高。forward-first设为yes时Unbound会先尝试转发，失败后再自行递归，适合上游不稳定的场景。
四、防火墙放行、客户端测试与故障排查
Fedora默认启用firewalld防火墙，DNS服务使用UDP和TCP的53端口，必须手动放行：
sudo firewall-cmd --permanent --add-service=dns sudo firewall-cmd --reload
如果服务器同时开启了SELinux，一般情况下Unbound的软件包已自带正确的策略规则，无需额外处理。但若你修改了配置文件路径或使用了非标准端口，可能会触发SELinux拒绝，此时可以用ausearch -m avc -ts recent查看审计日志定位问题。
客户端测试推荐使用dig命令。将本机DNS指向127.0.0.1后执行：
dig @127.0.0.1 www.ippipp.com
观察返回结果中的Query time，第一次查询可能需要几十毫秒甚至更长，再次查询同一域名时Query time通常降到0毫秒，这说明缓存已经生效。也可以用drill或unbound-host工具验证DNSSEC状态，正常情况下应答的flags中会包含ad标志，表示数据通过了验证。
遇到解析失败时，按以下思路排查：第一，确认服务状态和端口监听情况，用ss -lntup | grep 53检查53端口是否被Unbound占用，如果被systemd-resolved抢占，需要在/etc/systemd/resolved.conf中把DNSStubListener设为no并重启systemd-resolved；第二，检查access-control是否覆盖了客户端所在网段；第三，查看journalctl -u unbound -f的实时日志，配置 verbosity参数可以提高日志详细程度；第四，确认防火墙和SELinux没有拦截。绝大多数问题都集中在这四个方面。
五、性能优化建议与使用总结
对于负载较高的场景，有几个实用的优化手段。首先是增加线程数，Unbound默认会根据CPU核心数自动分配，也可以通过num-threads参数手动指定，一般设为CPU核心数即可。其次，调大outgoing-range可以增加并发出站查询数量，配合so-rcvbuf和so-sndbuf的缓冲区设置，能显著提升高并发下的吞吐。此外，定期查看缓存命中率很有必要，可以通过unbound-control stats_noreset命令获取统计信息，重点关注total.num.cachehits与total.num.queries的比值，命中率维持在较高水平说明缓存策略配置合理。
要使用unbound-control，需要先执行unbound-control-setup生成证书，并在配置中开启remote-control段。这套控制工具还支持动态加载本地记录、刷新缓存等操作，是运维管理的好帮手。
总体而言，Unbound在Fedora上的部署体验相当顺畅，安装简单、配置直观、文档完善。无论是作为家庭网络的中心DNS缓存服务器，还是企业内网的递归解析节点，它都能提供快速且可验证的域名解析服务。配合DNSSEC验证和合理的访问控制，安全性与隐私保护也远优于直接使用公共DNS。建议初次部署后观察一段时间的日志和统计数据，再根据实际查询特征微调缓存参数，让服务器逐步达到最佳状态。
Fedora DNS服务器Unbound配置DNS缓存修改时间：2026-08-31 22:43:07