Unbound-kindns - Histórico de revisão

Gondim em 21h39min de 5 de julho de 2026

2026-07-05T21:39:06Z

← Edição anterior		Edição das 21h39min de 5 de julho de 2026
Linha 16:		Linha 16:
	O script de instalação foi concebido para rodar em um '''GNU/Linux Debian 13 (Trixie)''' mas fique à vontade para modificá-lo para sua distribuição GNU/Linux favorita. Como os serviços rodam em containers, ficam independentes de distro GNU/Linux.		O script de instalação foi concebido para rodar em um '''GNU/Linux Debian 13 (Trixie)''' mas fique à vontade para modificá-lo para sua distribuição GNU/Linux favorita. Como os serviços rodam em containers, ficam independentes de distro GNU/Linux.

	{{ORDENACAOPADRAO:UNBOUND-KINDNS}}		== Apoie este projeto ==
			Se este projeto foi útil para você e deseja contribuir com seu desenvolvimento, considere fazer uma doação.

			[https://www.paypal.com/donate/?hosted_button_id=7LD8SPXNF2KH2 ❤️ Doar via PayPal]{{ORDENACAOPADRAO:UNBOUND-KINDNS}}

Gondim em 21h37min de 5 de julho de 2026

2026-07-05T21:37:53Z

← Edição anterior		Edição das 21h37min de 5 de julho de 2026
Linha 1:		Linha 1:
	{{EXIBETITULO:UNBOUND-KINDNS}}		{{EXIBETITULO:UNBOUND-KINDNS}}
	[[Arquivo:Unbound-kindns01.png\|nenhum\|miniaturadaimagem\|825x825px]]		[[Arquivo:Unbound-kindns01.png\|nenhum\|miniaturadaimagem\|825x825px]]https://www.paypal.com/donate/?business=7LD8SPXNF2KH2&no_recurring=0&item_name=Sua+contribui%C3%A7%C3%A3o+ajuda+a+manter+meu+estoque+de+caf%C3%A9+em+dia+%3A%29&currency_code=BRL

	== Introdução ==		== Introdução ==
	Servidores de DNS Recursivos precisam ser bem configurados e atender a alguns requisitos de segurança e boas práticas. Como definição para essas ações podemos seguir o '''KINDNS''' da '''ICANN''', descritos [https://kindns.org/shared-private-resolvers/ '''aqui''']. Para diminuir a curva de ~~implementação~~ entre instalação e configuração, criei um projeto no '''GitHub''' chamado '''[https://github.com/gondimcodes/unbound-kindns UNBOUND-KINDNS].''' O projeto tem como objetivo facilitar a instalação de um sistema, para atender as 7 práticas do KINDNS. Vamos fazer um check list rápido:		Servidores de DNS Recursivos precisam ser bem configurados e atender a alguns requisitos de segurança e boas práticas. Como definição para essas ações podemos seguir as práticas do '''KINDNS''' da '''ICANN''', descritos [https://kindns.org/shared-private-resolvers/ '''aqui''']. Para diminuir a curva de dificuldade entre instalação e configuração, criei um projeto no '''GitHub''' chamado '''[https://github.com/gondimcodes/unbound-kindns UNBOUND-KINDNS].''' O projeto tem como objetivo facilitar a instalação de um sistema, para atender as 7 práticas do KINDNS. Vamos fazer um check list rápido:

	* Prática 1 - A validação DNSSEC deve estar obrigatoriamente habilitada nos resolvedores recursivos. Unbound já atende por padrão.		* Prática 1 - A validação DNSSEC deve estar obrigatoriamente habilitada nos resolvedores recursivos. Unbound já atende por padrão.
Linha 12:		Linha 12:
	* Prática 6 - O monitoramento dos serviços, servidores e equipamentos de rede que compõem a sua infraestrutura DNS deve ser obrigatoriamente implementado. O projeto já entrega um container com '''Zabbix Agent2''' 7.0.x e um script para envio de métricas para o '''Zabbix Server'''. O template para o Zabbix Server encontra-se '''[https://github.com/gondimcodes/template_zabbix_dns_unbound aqui]'''.		* Prática 6 - O monitoramento dos serviços, servidores e equipamentos de rede que compõem a sua infraestrutura DNS deve ser obrigatoriamente implementado. O projeto já entrega um container com '''Zabbix Agent2''' 7.0.x e um script para envio de métricas para o '''Zabbix Server'''. O template para o Zabbix Server encontra-se '''[https://github.com/gondimcodes/template_zabbix_dns_unbound aqui]'''.
	* Prática 7 - DoT (DNS-over-TLS) ou DoH (DNS-over-HTTPS) deveriam estar habilitados. A implantação de qualquer um deles é a forma mais simples de proteger contra interceptação (eavesdropping), manipulação de consultas DNS e ataques do tipo homem-no-meio (Man-in-the-Middle), por meio da criptografia das consultas DNS entre o resolvedor stub e o resolvedor recursivo, ou entre um resolvedor encaminhador (forwarder) e um resolvedor recursivo. Aqui também o projeto entrega o sistema preparado para '''DoT''' e '''DoH''', só necessitando da configuração dos certificados TLS.		* Prática 7 - DoT (DNS-over-TLS) ou DoH (DNS-over-HTTPS) deveriam estar habilitados. A implantação de qualquer um deles é a forma mais simples de proteger contra interceptação (eavesdropping), manipulação de consultas DNS e ataques do tipo homem-no-meio (Man-in-the-Middle), por meio da criptografia das consultas DNS entre o resolvedor stub e o resolvedor recursivo, ou entre um resolvedor encaminhador (forwarder) e um resolvedor recursivo. Aqui também o projeto entrega o sistema preparado para '''DoT''' e '''DoH''', só necessitando da configuração dos certificados TLS.

			== Requisitos ==
			O script de instalação foi concebido para rodar em um '''GNU/Linux Debian 13 (Trixie)''' mas fique à vontade para modificá-lo para sua distribuição GNU/Linux favorita. Como os serviços rodam em containers, ficam independentes de distro GNU/Linux.

	{{ORDENACAOPADRAO:UNBOUND-KINDNS}}		{{ORDENACAOPADRAO:UNBOUND-KINDNS}}

Gondim em 21h10min de 5 de julho de 2026

2026-07-05T21:10:16Z

← Edição anterior		Edição das 21h10min de 5 de julho de 2026
Linha 5:		Linha 5:
	Servidores de DNS Recursivos precisam ser bem configurados e atender a alguns requisitos de segurança e boas práticas. Como definição para essas ações podemos seguir o '''KINDNS''' da '''ICANN''', descritos [https://kindns.org/shared-private-resolvers/ '''aqui''']. Para diminuir a curva de implementação entre instalação e configuração, criei um projeto no '''GitHub''' chamado '''[https://github.com/gondimcodes/unbound-kindns UNBOUND-KINDNS].''' O projeto tem como objetivo facilitar a instalação de um sistema, para atender as 7 práticas do KINDNS. Vamos fazer um check list rápido:		Servidores de DNS Recursivos precisam ser bem configurados e atender a alguns requisitos de segurança e boas práticas. Como definição para essas ações podemos seguir o '''KINDNS''' da '''ICANN''', descritos [https://kindns.org/shared-private-resolvers/ '''aqui''']. Para diminuir a curva de implementação entre instalação e configuração, criei um projeto no '''GitHub''' chamado '''[https://github.com/gondimcodes/unbound-kindns UNBOUND-KINDNS].''' O projeto tem como objetivo facilitar a instalação de um sistema, para atender as 7 práticas do KINDNS. Vamos fazer um check list rápido:

	* Prática 1 - DNSSEC ~~validation '''MUST''' be enabled for recursive resolvers~~. Unbound já atende por padrão.		* Prática 1 - A validação DNSSEC deve estar obrigatoriamente habilitada nos resolvedores recursivos. Unbound já atende por padrão.
	* Prática 2 - ACL ~~statements '''MUST''' be used to restrict who may send recursive queries to your~~ DNS ~~resolvers/validators~~. Este projeto possui arquivos de ACLs para liberar apenas quem pode consultar seu DNS.		* Prática 2 - Regras de ACL devem ser obrigatoriamente utilizadas para restringir quem pode enviar consultas recursivas aos seus resolvedores/validadores DNS. Este projeto possui arquivos de ACLs para liberar apenas quem pode consultar seu DNS.
	* Prática 3 - QNAME ~~minimization '''MUST''' be enabled to mitigate leakage of domain names~~. Este projeto encontra-se com QNAME minimization já ativo.		* Prática 3 - A minimização de QNAME (QNAME Minimization) deve estar obrigatoriamente habilitada para mitigar o vazamento de nomes de domínio. Este projeto encontra-se com QNAME minimization já ativo.
	* Prática 4 - ~~Authoritative and recursive~~ DNS ~~service '''MUST NOT''' coexist on the same~~ DNS ~~server~~. Unbound não faz Autoritativo, então OK também.		* Prática 4 - Os serviços DNS autoritativo e recursivo não devem coexistir no mesmo servidor DNS. Unbound não faz Autoritativo, então OK também.
	* Prática 5 - ~~Your recursion services '''MUST''' have resilience by using at least two distinct servers that take diversity into consideration~~. Este projeto te permite configurar DNS(s) Primário e Secundário ou uma rede de DNS(s) Anycast.		* Prática 5 - Os seus serviços de resolução recursiva devem possuir resiliência, utilizando pelo menos dois servidores distintos, considerando critérios de diversidade. Este projeto te permite configurar DNS(s) Primário e Secundário ou uma rede de DNS(s) Anycast.
	* Prática 6 - ~~Monitoring of the services~~, ~~servers, and network equipment that make up your~~ DNS ~~infrastructure '''MUST''' be implemented~~. O projeto já entrega um container com '''Zabbix Agent2''' 7.0.x e um script para envio de métricas para o '''Zabbix Server'''. O template para o Zabbix Server encontra-se '''[https://github.com/gondimcodes/template_zabbix_dns_unbound aqui]'''.		* Prática 6 - O monitoramento dos serviços, servidores e equipamentos de rede que compõem a sua infraestrutura DNS deve ser obrigatoriamente implementado. O projeto já entrega um container com '''Zabbix Agent2''' 7.0.x e um script para envio de métricas para o '''Zabbix Server'''. O template para o Zabbix Server encontra-se '''[https://github.com/gondimcodes/template_zabbix_dns_unbound aqui]'''.
	* Prática 7 - DoT (DNS-over-TLS) or DoH (DNS-over-HTTPS) ~~'''SHOULD''' be enabled~~. ~~Deploying either is the easiest way to protect against~~ eavesdropping ~~and manipulation of~~ DNS ~~queries and man~~-in-the-~~middle attacks by encrypting~~ DNS ~~queries between~~ stub ~~and recursive resolvers~~, ~~or between a forwarding and recursive resolver~~. Aqui também o projeto entrega o sistema preparado para '''DoT''' e '''DoH''', só necessitando da configuração dos certificados TLS.		* Prática 7 - DoT (DNS-over-TLS) ou DoH (DNS-over-HTTPS) deveriam estar habilitados. A implantação de qualquer um deles é a forma mais simples de proteger contra interceptação (eavesdropping), manipulação de consultas DNS e ataques do tipo homem-no-meio (Man-in-the-Middle), por meio da criptografia das consultas DNS entre o resolvedor stub e o resolvedor recursivo, ou entre um resolvedor encaminhador (forwarder) e um resolvedor recursivo. Aqui também o projeto entrega o sistema preparado para '''DoT''' e '''DoH''', só necessitando da configuração dos certificados TLS.
	{{ORDENACAOPADRAO:UNBOUND-KINDNS}}		{{ORDENACAOPADRAO:UNBOUND-KINDNS}}

Gondim em 20h00min de 5 de julho de 2026

2026-07-05T20:00:16Z

← Edição anterior		Edição das 20h00min de 5 de julho de 2026
Linha 2:		Linha 2:
	[[Arquivo:Unbound-kindns01.png\|nenhum\|miniaturadaimagem\|825x825px]]		[[Arquivo:Unbound-kindns01.png\|nenhum\|miniaturadaimagem\|825x825px]]

			== Introdução ==
			Servidores de DNS Recursivos precisam ser bem configurados e atender a alguns requisitos de segurança e boas práticas. Como definição para essas ações podemos seguir o '''KINDNS''' da '''ICANN''', descritos [https://kindns.org/shared-private-resolvers/ '''aqui''']. Para diminuir a curva de implementação entre instalação e configuração, criei um projeto no '''GitHub''' chamado '''[https://github.com/gondimcodes/unbound-kindns UNBOUND-KINDNS].''' O projeto tem como objetivo facilitar a instalação de um sistema, para atender as 7 práticas do KINDNS. Vamos fazer um check list rápido:

			* Prática 1 - DNSSEC validation '''MUST''' be enabled for recursive resolvers. Unbound já atende por padrão.
			* Prática 2 - ACL statements '''MUST''' be used to restrict who may send recursive queries to your DNS resolvers/validators. Este projeto possui arquivos de ACLs para liberar apenas quem pode consultar seu DNS.
			* Prática 3 - QNAME minimization '''MUST''' be enabled to mitigate leakage of domain names. Este projeto encontra-se com QNAME minimization já ativo.
			* Prática 4 - Authoritative and recursive DNS service '''MUST NOT''' coexist on the same DNS server. Unbound não faz Autoritativo, então OK também.
			* Prática 5 - Your recursion services '''MUST''' have resilience by using at least two distinct servers that take diversity into consideration. Este projeto te permite configurar DNS(s) Primário e Secundário ou uma rede de DNS(s) Anycast.
			* Prática 6 - Monitoring of the services, servers, and network equipment that make up your DNS infrastructure '''MUST''' be implemented. O projeto já entrega um container com '''Zabbix Agent2''' 7.0.x e um script para envio de métricas para o '''Zabbix Server'''. O template para o Zabbix Server encontra-se '''[https://github.com/gondimcodes/template_zabbix_dns_unbound aqui]'''.
			* Prática 7 - DoT (DNS-over-TLS) or DoH (DNS-over-HTTPS) '''SHOULD''' be enabled. Deploying either is the easiest way to protect against eavesdropping and manipulation of DNS queries and man-in-the-middle attacks by encrypting DNS queries between stub and recursive resolvers, or between a forwarding and recursive resolver. Aqui também o projeto entrega o sistema preparado para '''DoT''' e '''DoH''', só necessitando da configuração dos certificados TLS.
	{{ORDENACAOPADRAO:UNBOUND-KINDNS}}		{{ORDENACAOPADRAO:UNBOUND-KINDNS}}

Gondim em 19h32min de 5 de julho de 2026

2026-07-05T19:32:15Z

← Edição anterior		Edição das 19h32min de 5 de julho de 2026
Linha 1:		Linha 1:
	{{EXIBETITULO:UNBOUND-KINDNS}}		{{EXIBETITULO:UNBOUND-KINDNS}}
	~~tes~~		[[Arquivo:Unbound-kindns01.png\|nenhum\|miniaturadaimagem\|825x825px]]

	{{ORDENACAOPADRAO:UNBOUND-KINDNS}}		{{ORDENACAOPADRAO:UNBOUND-KINDNS}}

Gondim em 19h26min de 5 de julho de 2026

2026-07-05T19:26:45Z

← Edição anterior		Edição das 19h26min de 5 de julho de 2026
Linha 1:		Linha 1:
			{{EXIBETITULO:UNBOUND-KINDNS}}
	tes		tes

	{{ORDENACAOPADRAO:UNBOUND-KINDNS}}		{{ORDENACAOPADRAO:UNBOUND-KINDNS}}

Gondim: Criou página com 'tes {{ORDENACAOPADRAO:UNBOUND-KINDNS}}'

2026-07-05T19:25:55Z

Criou página com 'tes {{ORDENACAOPADRAO:UNBOUND-KINDNS}}'

Página nova

tes

{{ORDENACAOPADRAO:UNBOUND-KINDNS}}