Unbound-kindns - Histórico de revisão

Gondim em 22h51min de 8 de julho de 2026

2026-07-08T22:51:44Z

← Edição anterior		Edição das 22h51min de 8 de julho de 2026
Linha 2:		Linha 2:
	[[Arquivo:Unbound-kindns01.png\|nenhum\|miniaturadaimagem\|825x825px]]		[[Arquivo:Unbound-kindns01.png\|nenhum\|miniaturadaimagem\|825x825px]]
	== Introdução ==		== Introdução ==
	Servidores de DNS Recursivos precisam ser bem configurados e atender a alguns requisitos de segurança e boas práticas. Como definição para essas ações podemos seguir as práticas do '''KINDNS''' da '''ICANN''', descritos [https://kindns.org/shared-private-resolvers/ '''aqui''']. Para diminuir a curva de dificuldade entre instalação e configuração, criei um projeto no '''GitHub''' chamado '''[https://github.com/gondimcodes/unbound-kindns UNBOUND-KINDNS].''' O projeto tem como objetivo facilitar a instalação de um sistema, para atender as '''7 práticas do KINDNS''' utilizando containers do '''Docker'''. Vamos fazer um check list rápido do que contempla o projeto:		Servidores de DNS Recursivos precisam ser bem configurados e atender a alguns requisitos de segurança e boas práticas. Como definição para essas ações podemos seguir as práticas do '''KINDNS''' da '''ICANN''', descritos [https://kindns.org/shared-private-resolvers/ '''aqui''']. Para diminuir a curva de dificuldade entre instalação e configuração, criei um projeto no '''GitHub''' chamado '''[https://github.com/gondimcodes/unbound-kindns UNBOUND-KINDNS].''' O projeto tem como objetivo facilitar a instalação de um sistema, para atender as '''7 práticas do KINDNS''' utilizando containers do '''Docker'''. Vamos fazer um check list rápido do que contempla o projeto. Também temos uma versão para '''FreeBSD''' rodando em '''jails''' '''[https://github.com/gondimcodes/unbound-kindns-freebsd UNBOUND-KINDNS-FREEBSD]''', meus agradecimentos especiais aos contribuidores '''Leonardo Amaral''' e '''Cleber Alves - CloudBSD'''.

	* '''Prática 1''' - A validação DNSSEC deve estar obrigatoriamente habilitada nos resolvedores recursivos. '''Unbound já atende por padrão'''.		* '''Prática 1''' - A validação DNSSEC deve estar obrigatoriamente habilitada nos resolvedores recursivos. '''Unbound já atende por padrão'''.

Gondim em 15h43min de 6 de julho de 2026

2026-07-06T15:43:34Z

← Edição anterior		Edição das 15h43min de 6 de julho de 2026
Linha 81:		Linha 81:

	* '''cd /usr/local/src/chrony && docker compose restart chrony'''		* '''cd /usr/local/src/chrony && docker compose restart chrony'''
			Este projeto está configurado também para ser um servidor '''NTP/NTS''' para seus dispositivos de rede. Por padrão está liberado apenas consultas de redes privadas no arquivo '''/var/lib/docker/volumes/chrony_config/_data/conf.d/ntp_acl.conf'''. Para liberar outras redes ou remover acessos, só alterar este arquivo e reiniciar o container do serviço.

	=== Zabbix Agent 2 ===		=== Zabbix Agent 2 ===

Gondim em 03h47min de 6 de julho de 2026

2026-07-06T03:47:06Z

← Edição anterior		Edição das 03h47min de 6 de julho de 2026
Linha 197:		Linha 197:

	[https://www.paypal.com/donate/?business=7LD8SPXNF2KH2&no_recurring=0&item_name=Sua+contribui%C3%A7%C3%A3o+ajuda+a+manter+meu+estoque+de+caf%C3%A9+em+dia+%3A%29&currency_code=BRL 💙 Contribuir via PayPal]		[https://www.paypal.com/donate/?business=7LD8SPXNF2KH2&no_recurring=0&item_name=Sua+contribui%C3%A7%C3%A3o+ajuda+a+manter+meu+estoque+de+caf%C3%A9+em+dia+%3A%29&currency_code=BRL 💙 Contribuir via PayPal]
	[[Categoria:~~Artigos Técnicos~~]]		[[Categoria:Serviços de Redes e Servidores]]

Gondim em 03h44min de 6 de julho de 2026

2026-07-06T03:44:13Z

← Edição anterior		Edição das 03h44min de 6 de julho de 2026
Linha 196:		Linha 196:
	Se ele foi útil para você, considere fazer uma contribuição para ajudar a manter o desenvolvimento ativo — e o meu estoque de café em dia. ☕		Se ele foi útil para você, considere fazer uma contribuição para ajudar a manter o desenvolvimento ativo — e o meu estoque de café em dia. ☕

	[https://www.paypal.com/donate/?business=7LD8SPXNF2KH2&no_recurring=0&item_name=Sua+contribui%C3%A7%C3%A3o+ajuda+a+manter+meu+estoque+de+caf%C3%A9+em+dia+%3A%29&currency_code=BRL 💙 Contribuir via PayPal]~~{{ORDENACAOPADRAO~~:~~UNBOUND-KINDNS}}~~		[https://www.paypal.com/donate/?business=7LD8SPXNF2KH2&no_recurring=0&item_name=Sua+contribui%C3%A7%C3%A3o+ajuda+a+manter+meu+estoque+de+caf%C3%A9+em+dia+%3A%29&currency_code=BRL 💙 Contribuir via PayPal]
			[[Categoria:Artigos Técnicos]]

Gondim em 03h42min de 6 de julho de 2026

2026-07-06T03:42:15Z

← Edição anterior		Edição das 03h42min de 6 de julho de 2026
Linha 188:		Linha 188:
	Se este projeto foi útil para você e deseja contribuir com seu desenvolvimento, considere fazer uma doação.		Se este projeto foi útil para você e deseja contribuir com seu desenvolvimento, considere fazer uma doação.

	== ❤️ Apoie este projeto ==		A '''ISPFocus''' possui um sistema de administração para servidores '''DNS Recursivos Anycast''' deste projeto. Como por exemplo o '''RPZ Manager''' que ajuda o administrador e o suporte, para inclusão, exclusão e consulta de bloqueios de domínios provenientes dos '''Ofícios''' '''Jurídicos''' e '''Anatel'''. Os bloqueios de domínios são replicados automaticamente para todos os servidores da rede através do '''RPZ Manager'''. Gostaria de saber mais? Entre em contato por '''e-mail:''' '''contato@ispfocus.net.br''' ou por '''WhatsApp''' '''(22)99743-9060'''.
			[[Arquivo:Rpz manager.png\|nenhum\|commoldura]]

			== ❤️ Apoie este projeto UNBOUND-KINDNS ==
	Este projeto é desenvolvido e mantido no meu tempo livre.		Este projeto é desenvolvido e mantido no meu tempo livre.

	Se ele foi útil para você, considere fazer uma contribuição para ajudar a manter o desenvolvimento ativo — e o estoque de café em dia. ☕		Se ele foi útil para você, considere fazer uma contribuição para ajudar a manter o desenvolvimento ativo — e o meu estoque de café em dia. ☕

	[https://www.paypal.com/donate/?business=7LD8SPXNF2KH2&no_recurring=0&item_name=Sua+contribui%C3%A7%C3%A3o+ajuda+a+manter+meu+estoque+de+caf%C3%A9+em+dia+%3A%29&currency_code=BRL 💙 Contribuir via PayPal]{{ORDENACAOPADRAO:UNBOUND-KINDNS}}		[https://www.paypal.com/donate/?business=7LD8SPXNF2KH2&no_recurring=0&item_name=Sua+contribui%C3%A7%C3%A3o+ajuda+a+manter+meu+estoque+de+caf%C3%A9+em+dia+%3A%29&currency_code=BRL 💙 Contribuir via PayPal]{{ORDENACAOPADRAO:UNBOUND-KINDNS}}

Gondim em 03h26min de 6 de julho de 2026

2026-07-06T03:26:37Z

@@ Linha 103: / Linha 103: @@
 === Unbound ===
-  # cd /usr/local/src/unbound
+  cd /usr/local/src/unbound
-  # docker compose down
+  docker compose down
-  # docker compose up -d --build
+  docker compose up -d --build
 === Zabbix Agent 2 ===
@@ Linha 124: / Linha 124: @@
   docker compose down
   docker compose up -d --build
 == Apoie este projeto ==

Gondim em 02h46min de 6 de julho de 2026

2026-07-06T02:46:15Z

@@ Linha 14: / Linha 14: @@
 == Requisitos ==
 O projeto foi concebido para rodar em um '''GNU/Linux Debian 13 (Trixie)''' mas fique à vontade para modificá-lo para sua distribuição '''GNU/Linux''' favorita. Como os serviços rodam em containers, ficam independentes de distro '''GNU/Linux'''.
 Um sistema com 8 vCores e 16G de ram suporta +20.000 assinantes simultâneos.
@@ Linha 36: / Linha 38: @@
 == Administrando o sistema ==
 == Apoie este projeto ==

Gondim em 22h34min de 5 de julho de 2026

2026-07-05T22:34:13Z

← Edição anterior		Edição das 22h34min de 5 de julho de 2026
Linha 31:		Linha 31:

	== Executando a instalação ==		== Executando a instalação ==
	Ao executar '''./unbound_kindns.sh <hostname>''', verá a tela do instalador abaixo onde fará todo o processo de baixar imagens, compilar os programas e criar os containers. Sim o '''Unbound''' que o projeto utiliza é o '''latest''' do próprio desenvolvedor '''NLnet Labs'''.		Ao executar como root '''./unbound_kindns.sh <hostname>''', verá a tela do instalador abaixo onde fará todo o processo de baixar imagens, compilar os programas e criar os containers. Sim o '''Unbound''' que o projeto utiliza é o '''latest''' do próprio desenvolvedor '''NLnet Labs'''.
	[[Arquivo:Unbound-kindns02.png\|nenhum\|miniaturadaimagem\|1046x1046px]]		[[Arquivo:Unbound-kindns02.png\|nenhum\|miniaturadaimagem\|1046x1046px]]
	Tudo ocorrendo bem veremos a mensagem de '''Installation finished'''. Na sequência veremos sobre a administração do sistema.		Tudo ocorrendo bem veremos a mensagem de '''Installation finished'''. Na sequência veremos sobre a administração do sistema.

Gondim em 22h31min de 5 de julho de 2026

2026-07-05T22:31:56Z

← Edição anterior		Edição das 22h31min de 5 de julho de 2026
Linha 1:		Linha 1:
	{{EXIBETITULO:UNBOUND-KINDNS}}		{{EXIBETITULO:UNBOUND-KINDNS}}
	[[Arquivo:Unbound-kindns01.png\|nenhum\|miniaturadaimagem\|825x825px]]~~https://www.paypal.com/donate/?business=7LD8SPXNF2KH2&no_recurring=0&item_name=Sua+contribui%C3%A7%C3%A3o+ajuda+a+manter+meu+estoque+de+caf%C3%A9+em+dia+%3A%29&currency_code=BRL~~		[[Arquivo:Unbound-kindns01.png\|nenhum\|miniaturadaimagem\|825x825px]]

	== Introdução ==		== Introdução ==
	Servidores de DNS Recursivos precisam ser bem configurados e atender a alguns requisitos de segurança e boas práticas. Como definição para essas ações podemos seguir as práticas do '''KINDNS''' da '''ICANN''', descritos [https://kindns.org/shared-private-resolvers/ '''aqui''']. Para diminuir a curva de dificuldade entre instalação e configuração, criei um projeto no '''GitHub''' chamado '''[https://github.com/gondimcodes/unbound-kindns UNBOUND-KINDNS].''' O projeto tem como objetivo facilitar a instalação de um sistema, para atender as 7 práticas do KINDNS. Vamos fazer um check list rápido:		Servidores de DNS Recursivos precisam ser bem configurados e atender a alguns requisitos de segurança e boas práticas. Como definição para essas ações podemos seguir as práticas do '''KINDNS''' da '''ICANN''', descritos [https://kindns.org/shared-private-resolvers/ '''aqui''']. Para diminuir a curva de dificuldade entre instalação e configuração, criei um projeto no '''GitHub''' chamado '''[https://github.com/gondimcodes/unbound-kindns UNBOUND-KINDNS].''' O projeto tem como objetivo facilitar a instalação de um sistema, para atender as '''7 práticas do KINDNS''' utilizando containers do '''Docker'''. Vamos fazer um check list rápido do que contempla o projeto:

	* Prática 1 - A validação DNSSEC deve estar obrigatoriamente habilitada nos resolvedores recursivos. Unbound já atende por padrão.		* '''Prática 1''' - A validação DNSSEC deve estar obrigatoriamente habilitada nos resolvedores recursivos. '''Unbound já atende por padrão'''.
	* Prática 2 - Regras de ACL devem ser obrigatoriamente utilizadas para restringir quem pode enviar consultas recursivas aos seus resolvedores/validadores DNS. Este projeto possui arquivos de ACLs para liberar apenas quem pode consultar seu DNS.		* '''Prática 2''' - Regras de ACL devem ser obrigatoriamente utilizadas para restringir quem pode enviar consultas recursivas aos seus resolvedores/validadores DNS. '''Este projeto possui arquivos de ACLs para liberar apenas quem pode consultar seu DNS'''.
	* Prática 3 - A minimização de QNAME (QNAME Minimization) deve estar obrigatoriamente habilitada para mitigar o vazamento de nomes de domínio. Este projeto encontra-se com QNAME minimization já ativo.		* '''Prática 3''' - A minimização de QNAME (QNAME Minimization) deve estar obrigatoriamente habilitada para mitigar o vazamento de nomes de domínio. '''Este projeto encontra-se com QNAME minimization já ativo'''.
	* Prática 4 - Os serviços DNS autoritativo e recursivo não devem coexistir no mesmo servidor DNS. Unbound não faz Autoritativo, então OK também.		* '''Prática 4''' - Os serviços DNS autoritativo e recursivo não devem coexistir no mesmo servidor DNS. '''Unbound não faz Autoritativo, então OK também'''.
	* Prática 5 - Os seus serviços de resolução recursiva devem possuir resiliência, utilizando pelo menos dois servidores distintos, considerando critérios de diversidade. Este projeto te permite configurar DNS(s) Primário e Secundário ou uma rede de DNS(s) Anycast.		* '''Prática 5''' - Os seus serviços de resolução recursiva devem possuir resiliência, utilizando pelo menos dois servidores distintos, considerando critérios de diversidade. '''Este projeto te permite configurar DNS(s) Primário e Secundário ou uma rede de DNS(s) Anycast'''.
	* Prática 6 - O monitoramento dos serviços, servidores e equipamentos de rede que compõem a sua infraestrutura DNS deve ser obrigatoriamente implementado. O projeto já entrega um container com ~~'''~~Zabbix Agent2~~'''~~ 7.0.x e um script para envio de métricas para o ~~'''~~Zabbix Server'''. O template para o Zabbix Server encontra-se '''[https://github.com/gondimcodes/template_zabbix_dns_unbound aqui]'''.		* '''Prática 6''' - O monitoramento dos serviços, servidores e equipamentos de rede que compõem a sua infraestrutura DNS deve ser obrigatoriamente implementado. '''O projeto já entrega um container com Zabbix Agent2 7.0.x e um script para envio de métricas para o Zabbix Server'''. O template para o Zabbix Server encontra-se '''[https://github.com/gondimcodes/template_zabbix_dns_unbound aqui]'''.
	* Prática 7 - DoT (DNS-over-TLS) ou DoH (DNS-over-HTTPS) deveriam estar habilitados. A implantação de qualquer um deles é a forma mais simples de proteger contra interceptação (eavesdropping), manipulação de consultas DNS e ataques do tipo homem-no-meio (Man-in-the-Middle), por meio da criptografia das consultas DNS entre o resolvedor stub e o resolvedor recursivo, ou entre um resolvedor encaminhador (forwarder) e um resolvedor recursivo. Aqui também o projeto entrega o sistema preparado para ~~'''~~DoT~~'''~~ e ~~'''~~DoH~~'''~~, só necessitando da configuração dos certificados TLS.		* '''Prática 7''' - DoT (DNS-over-TLS) ou DoH (DNS-over-HTTPS) deveriam estar habilitados. A implantação de qualquer um deles é a forma mais simples de proteger contra interceptação (eavesdropping), manipulação de consultas DNS e ataques do tipo homem-no-meio (Man-in-the-Middle), por meio da criptografia das consultas DNS entre o resolvedor stub e o resolvedor recursivo, ou entre um resolvedor encaminhador (forwarder) e um resolvedor recursivo. '''Aqui também o projeto entrega o sistema preparado para DoT e DoH, só necessitando da configuração dos certificados TLS'''.

	== Requisitos ==		== Requisitos ==
	O ~~script de instalação~~ foi concebido para rodar em um '''GNU/Linux Debian 13 (Trixie)''' mas fique à vontade para modificá-lo para sua distribuição GNU/Linux favorita. Como os serviços rodam em containers, ficam independentes de distro GNU/Linux.		O projeto foi concebido para rodar em um '''GNU/Linux Debian 13 (Trixie)''' mas fique à vontade para modificá-lo para sua distribuição '''GNU/Linux''' favorita. Como os serviços rodam em containers, ficam independentes de distro '''GNU/Linux'''.

			Um sistema com 8 vCores e 16G de ram suporta +20.000 assinantes simultâneos.

			== Preparação antes de rodar o script ==
			No topo do script '''unbound_kindns.sh''' existem algumas variáveis para configurarmos antes de sua execução:

			* <code>CORES</code>: Número de núcleos de CPU dedicados ao Unbound (define o parâmetro <code>num-threads</code> na configuração do Unbound; padrão: '''4''').
			* <code>OSPF_INTERFACE</code>: Interface física de rede utilizada para o roteamento '''OSPF''' (por exemplo, <code>ens20</code>). Se deixado em branco, a implantação de '''OSPF/Anycast''' (container '''FRR''') será ignorada, executando o sistema em modo autônomo (stand-alone).
			* <code>APPARMOR</code>: Defina como <code>0</code> para desabilitar o AppArmor e obter o máximo desempenho, ou como <code>1</code> para mantê-lo habilitado.
			* <code>MITIGATIONS</code>: Defina como <code>off</code> para desabilitar as mitigações de CPU e obter o máximo desempenho, ou como <code>auto</code> para deixá-las no modo automático.
			* <code>ZBX_HOSTNAME</code>: Identificador do host no servidor Zabbix. Se deixado em branco, o script utilizará o '''hostname''' do sistema.
			* <code>CERT_DOMAIN</code>: Nome de domínio utilizado para os certificados SSL do Let's Encrypt (empregado na validação dos serviços '''DoH''' e '''DoT'''; padrão: <code>doh.brasil.com.br</code>).
			* <code>ZBX_SERVER_HOST</code>: Endereço IP do servidor Zabbix.
			* <code>ZBX_SERVER_ACTIVE</code>: Endereço IP do servidor Zabbix ativo (Active Zabbix Server).
			* <code>ZBX_LISTENIP</code>: Endereço IP de vinculação (binding) para o container do Zabbix Agent 2 escutar conexões (padrão: <code>0.0.0.0</code>).

			== Executando a instalação ==
			Ao executar '''./unbound_kindns.sh <hostname>''', verá a tela do instalador abaixo onde fará todo o processo de baixar imagens, compilar os programas e criar os containers. Sim o '''Unbound''' que o projeto utiliza é o '''latest''' do próprio desenvolvedor '''NLnet Labs'''.
			[[Arquivo:Unbound-kindns02.png\|nenhum\|miniaturadaimagem\|1046x1046px]]
			Tudo ocorrendo bem veremos a mensagem de '''Installation finished'''. Na sequência veremos sobre a administração do sistema.

			== Administrando o sistema ==

	== Apoie este projeto ==		== Apoie este projeto ==

Gondim em 21h40min de 5 de julho de 2026

2026-07-05T21:40:43Z

← Edição anterior		Edição das 21h40min de 5 de julho de 2026
Linha 19:		Linha 19:
	Se este projeto foi útil para você e deseja contribuir com seu desenvolvimento, considere fazer uma doação.		Se este projeto foi útil para você e deseja contribuir com seu desenvolvimento, considere fazer uma doação.

	[https://www.paypal.com/donate/?~~hosted_button_id~~=7LD8SPXNF2KH2 ~~❤️ Doar~~ via PayPal]{{ORDENACAOPADRAO:UNBOUND-KINDNS}}		== ❤️ Apoie este projeto ==
			Este projeto é desenvolvido e mantido no meu tempo livre.

			Se ele foi útil para você, considere fazer uma contribuição para ajudar a manter o desenvolvimento ativo — e o estoque de café em dia. ☕

			[https://www.paypal.com/donate/?business=7LD8SPXNF2KH2&no_recurring=0&item_name=Sua+contribui%C3%A7%C3%A3o+ajuda+a+manter+meu+estoque+de+caf%C3%A9+em+dia+%3A%29&currency_code=BRL 💙 Contribuir via PayPal]{{ORDENACAOPADRAO:UNBOUND-KINDNS}}