deteque/unbound-rpz

deteque/unbound-rpz镜像说明

镜像概述

该镜像基于Unbound递归DNS服务器构建，自版本1.14.0起支持响应策略区域（RPZ）功能，可用于域名过滤、DNS策略管理等场景，同时提供DNSSEC验证、访问控制及可选的DNS over TLS（DoT）加密能力。

核心功能

• 递归DNS解析：高效处理域名递归查询
• RPZ策略支持：通过响应策略区域实现域名过滤、重定向等自定义策略
• DNSSEC验证：确保DNS查询结果的真实性与完整性
• 访问控制：通过ACL限制允许查询的客户端IP范围
• 可选DoT加密：支持DNS over TLS，提升查询传输安全性

使用场景

• 企业内部DNS服务：为企业网络提供自定义DNS策略与安全过滤
• 家庭网络管理：屏蔽***、广告或不良域名
• 特定场景需求：需要对特定域名进行拦截或重定向的场景

配置说明

1. 创建主机目录

在主机上创建存储配置与Zone文件的目录：

bash
mkdir -p /etc/unbound/zonefiles

2. 运行初始化脚本

初始化Unbound所需的密钥、DNSSEC根缓存等：

bash
docker run --rm -v /etc/unbound:/etc/unbound/ docker.xuanyuan.run/deteque/unbound-rpz /root/scripts/setup-unbound.sh

定期更新根缓存：

bash
/usr/bin/wget --user=ftp --password=ftp ftp://ftp.rs.internic.net/domain/db.cache -O /etc/unbound/root.cache

3. 复制配置文件

从镜像复制示例配置到主机：

bash
# 基础配置文件
docker run --rm -v /etc/unbound:/etc/unbound/ docker.xuanyuan.run/deteque/unbound-rpz /bin/cp /root/unbound/unbound.conf /etc/unbound/zonefiles/
# 完整配置文件（可选）
docker run --rm -v /etc/unbound:/etc/unbound/ docker.xuanyuan.run/deteque/unbound-rpz /bin/cp /root/unbound/unbound.conf.DISTRIBUTION /etc/unbound/zonefiles/

4. 配置RPZ区域

在unbound.conf中添加RPZ策略区域：

rpz:
    name: [zone-name]
    zonefile: zonefiles/[zone-name]
    master: [distribution-masters]
    rpz-log: yes
    rpz-log-name: [zone-name]

根据RPZ feed提供商信息填写master地址与区域名称。

5. 配置访问控制列表（ACL）

修改unbound.conf中的ACL规则（默认允许私有地址）：

access-control: 0.0.0.0/0 refuse
access-control: 127.0.0.0/8 allow_snoop
access-control: 10.0.0.0/8 allow_snoop
access-control: 172.16.0.0/12 allow_snoop
access-control: 192.168.0.0/16 allow_snoop
access-control: ::1 allow_snoop

6. 配置TLS（可选）

使用Let's Encrypt获取证书：

bash
mkdir -p /web/certs && cd /web/certs
wget https://dl.eff.org/certbot-auto && chmod 700 certbot-auto
./certbot-auto certonly --standalone -d [你的域名]

在unbound.conf中启用TLS：

tls-service-key: "/etc/letsencrypt/live/[你的域名]/privkey.pem"
tls-service-pem: "/etc/letsencrypt/live/[你的域名]/fullchain.pem"
tls-port: 853
tls-ciphers: "DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256"
tls-ciphersuites: "TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256"
tls-cert-bundle: "/etc/ssl/certs/ca-certificates.crt"

7. 启动容器

基础启动（推荐host网络）

bash
docker run \
  --rm --detach --name unbound-rpz \
  --volume /etc/unbound:/etc/unbound \
  --network host \
  docker.xuanyuan.run/deteque/unbound-rpz

启用TLS时启动

bash
docker run \
  --rm --detach --name unbound-rpz \
  --volume /etc/unbound:/etc/unbound \
  --volume /etc/letsencrypt:/etc/letsencrypt \
  --network host \
  deteque/unbound-rpz