[2019.06.28]在Ubuntu Server上安装Unbound并配置DNS over TLS功能

封面配图PID 74975502

本来想偷个懒，找一些dalao写过的教程照葫芦画瓢画一个出来。无奈全网有关搭建的教程少之又少，咱只好从官方文档开始摸起，顺便在这里记录一下踩坑的过程,,

• 前言

1.DNS over TLS 是什么？

它是通过传输层安全协议（TLS）来加密并打包域名系统（DNS）的安全协议。此协议旨在防止中间人攻击与控制DNS数据以保护用户隐私。(摘自中文维基↗)
如果你使用境外的安全DoT( DNS over TLS 的缩写，下同)，这可以有效防止某墙的DNS污染。
安卓Pie已原生支持DoT，部分国产ROM及部分应用内置DNS查询除外。打开 设置 → 网络和Internet → 高级 → 私有DNS 就是DoT的设置界面了。

2.Unbound 是什么？

Unbound 是优秀的DNS解析器，适合咱们萌新使用。

3.为什么要自己搭建DoT呢？一些公共的DNS服务不都提供DoT了吗？

因为境外的一些DoT服务器，如 Cloudflare 、 Google 的，因名气过大惨遭封杀，丢包严重(我所在的地区是这样的)。我们可以试着利用VPS搭建一个属于自己的DoT服务器。

• 我们开始

首先，你需要一个域名并准备一张有效证书。你可以自签或者撸一张 Let’s Encrypt 的证。
关于 Let’s Encrypt 的证书可以参考这篇文章

然后国际惯例，备份数据然后更新系统

apt update
apt upgrade

• 安装本篇主角 Unbound

Ubuntu软件仓库已经有了，所以直接apt install就好，记得小写。

apt install unbound

进度条跑完后，这里有一个坑，你需要把TLS所用的证书、密钥文件复制到Unbound的配置文件所在目录。如果你在配置文件中指定了其他位置的证书文件，Unbound 很可能会因权限问题报错！即使你使用了chmod 4777等命令对证书文件权限进行了修改，Unbound 仍会报错！

配置文件基于 Ubuntu Server 18.04.4，不同版本的Ubuntu以及其他Linux发行版可能有差异

关于unbound.conf更多的细节可以参考 → https://nlnetlabs.nl/documentation/unbound/unbound.conf/
以及软件包自带的文档，通常被放置在这里/usr/share/doc/unbound/examples/unbound.conf

查看已有的配置文件，位于\etc\unbound\unbound.conf，里面只有一行：

include: "/etc/unbound/unbound.conf.d/*.conf"

表明Unbound将在unbound.conf.d文件夹中查找所有以.conf结尾的配置文件，并逐一载入。
在上述文件夹中新建一空文件，可取my-dot-server.conf这样以.conf结尾的文件名，并写入以下内容：

server:
        directory: "/etc/unbound"  # 证书所在目录
        # logfile: "/etc/unbound/unbound.log"  # 日志存放位置，如有需要可开启，注意文件权限
        interface: 0.0.0.0@853  # 监听IP:端口
        # interface: ::0@853  # 监听IPv6地址，可选
        access-control: 0.0.0.0/0 allow  # 允许来自全网的查询
        # access-control: ::1 allow  # 允许来自全网（IPv6）的查询

        ssl-service-key: "privkey.key"  # 证书对应密钥文件名
        ssl-service-pem: "fullchain.pem"  # 证书文件名
        ssl-port: 853  # DoT使用的端口，默认853
        incoming-num-tcp: 1000  # TCP缓存大小
        udp-upstream-without-downstream: yes
        qname-minimisation: yes  # 节省带宽

forward-zone:
        name: .  # 转发所有请求至上游服务器
        forward-ssl-upstream: yes  # 同样使用DoT的方式查询上游服务器
        forward-addr: 8.8.8.8@853  # 上游DNS服务器

保存修改后的配置，重启服务器（或者单单重启Unbound → 运行命令 service unbound restart）
到这里不出意外的话，Unbound服务器已经部署好了
如果你的VPS带有防火墙，请在防火墙中放行853端口的TCP连接

• 最后测试

这里使用kdig命令测试查询，你可能需要安装相应的工具包。Ubuntu下可使用apt install knot-dnsutils命令进行安装。
装好后运行命令：(将X.X.X.X替换为Unbound服务器IP)

kdig +tls @X.X.X.X www.google.com -d

成功后返回结果：（部分数据在这里用✦代替）

;; DEBUG: Querying for owner(www.google.com.), class(1), type(1), server(✦✦✦.✦✦✦.✦✦✦.✦✦✦), port(853), protocol(TCP)
;; DEBUG: TLS, received certificate hierarchy:
;; DEBUG:  #1, CN=✦✦✦✦✦.✦✦✦✦✦.✦✦✦  #你的证书CN名
;; DEBUG:      SHA-256 PIN: ✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦
;; DEBUG:  #2, C=US,O=✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦
;; DEBUG:      SHA-256 PIN: ✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦✦=
;; DEBUG: TLS, skipping certificate PIN check
;; DEBUG: TLS, skipping certificate verification
;; TLS session (TLS1.2)-(✦✦✦✦✦✦-✦✦✦-✦✦✦✦✦✦✦✦✦)-(✦✦✦✦✦✦✦✦✦-✦✦✦✦✦✦✦✦✦)
;; ->>HEADER<<- opcode: QUERY; status: NOERROR; id: 65121
;; Flags: qr rd ra; QUERY: 1; ANSWER: 1; AUTHORITY: 0; ADDITIONAL: 0

;; QUESTION SECTION:
;; www.google.com.             IN    A

;; ANSWER SECTION:
www.google.com.         299    IN    A    172.✦✦✦.✦✦✦.✦✦✦

;; Received ✦✦ B
;; Time 20✦✦-✦✦-✦✦ ✦✦:✦✦:✦✦ ✦✦✦
;; From ✦✦✦.✦✦✦.✦✦✦.✦✦✦@853(TCP) in ✦✦✦.✦ ms

ANSWER SECTION:即Unbound服务器返回的查询结果。