Despliegue de Unbound

Qué configuramos y por qué

Desplegaremos Unbound – un servidor DNS de alto rendimiento, validador, recursivo y con caché – en su propio VPS. La tarea principal de Unbound es resolver nombres de dominio (por ejemplo, example.com a la dirección IP 93.184.216.34) sin recurrir a proveedores de DNS de terceros. En su lugar, Unbound consulta directamente los servidores raíz de DNS, y luego los servidores autoritativos para cada dominio, construyendo una cadena de confianza y realizando la validación DNSSEC.

Qué obtendrá el lector al final:

• Mayor privacidad: Sus solicitudes de DNS no pasarán por los servidores de Google, Cloudflare, su proveedor de internet u otras empresas que puedan recopilar datos sobre su actividad. Unbound se comunica directamente con los servidores raíz, eliminando intermediarios.
• Seguridad mejorada: Unbound es compatible con DNSSEC (Domain Name System Security Extensions), lo que permite verificar criptográficamente la autenticidad de las respuestas DNS. Esto protege contra la suplantación de DNS (DNS spoofing) y otros ataques, asegurando que siempre se conecte al servidor correcto.
• Mayor velocidad: Después de la consulta inicial, Unbound almacena en caché las respuestas. Esto significa que las consultas repetidas a los mismos dominios se resolverán mucho más rápido, ya que la información ya está almacenada en su VPS. Además, la comunicación directa con los servidores raíz puede ser más rápida que a través de servidores DNS públicos sobrecargados.
• Control total: Usted controla completamente el proceso de resolución de nombres, puede configurar listas negras (ad-blocking), listas blancas y otras reglas, adaptando el servidor DNS a sus necesidades.

Qué alternativas existen (cloud-managed vs self-hosted):

Existen varios enfoques para DNS. Puede utilizar:

• Servidores DNS públicos: Por ejemplo, Google DNS (8.8.8.8), Cloudflare DNS (1.1.1.1), OpenDNS. Son fáciles de usar, pero confía sus consultas a un tercero que puede registrarlas o utilizarlas para el análisis de tráfico. Esta es la opción más sencilla, pero la menos privada.
• Servidores DNS de su proveedor de internet: Esta es la opción estándar por defecto. A menudo son lentos, no son compatibles con DNSSEC y, por supuesto, su proveedor tiene acceso completo a sus consultas DNS.
• Servicios DNS gestionados en la nube (para alojamiento de dominios): Tales como AWS Route 53, Cloudflare DNS (para alojamiento de dominio), DigitalOcean DNS. Estos son servicios para gestionar los registros DNS de sus propios dominios, no para resolver consultas salientes desde su dispositivo.
• Servidores DNS autoalojados (por ejemplo, Unbound en un VPS): Este es el enfoque que utilizaremos. Requiere una configuración inicial, pero ofrece el máximo control, privacidad y seguridad. Usted mismo es su proveedor de DNS.

Por qué autoalojado en un VPS:

La elección de Unbound autoalojado en un VPS se debe al deseo de máxima privacidad y seguridad. Un VPS le proporciona un entorno dedicado donde puede configurar Unbound exactamente como lo necesita, sin restricciones ni compromisos por parte de proveedores externos. Es la solución ideal para quienes valoran la independencia y desean construir su infraestructura con altos estándares de seguridad y confidencialidad. El VPS garantiza fiabilidad, estabilidad y recursos suficientes para que Unbound funcione 24/7.

Qué configuración de VPS se necesita para esta tarea

Unbound es un software bastante ligero, por lo que no requiere recursos potentes para funcionar. Sin embargo, para garantizar un funcionamiento estable y rápido, especialmente si planea usarlo para varios dispositivos o con una alta carga, debe considerar algunos puntos.

Requisitos mínimos:

• CPU: 1 núcleo. Unbound no es una aplicación intensiva en CPU.
• RAM: 512 MB. Esto es suficiente para el funcionamiento básico y el almacenamiento en caché. Si planea almacenar en caché una gran cantidad de registros o usarlo para una red grande, puede considerar 1 GB.
• Disco: 10-20 GB NVMe/SSD. Unbound apenas utiliza espacio en disco, pero para el sistema operativo, los registros y otros archivos del sistema, este volumen será óptimo. NVMe o SSD garantizarán una carga rápida del sistema y operaciones con archivos.
• Red: 100 Mbps o 1 Gbps. Las consultas DNS son muy ligeras, por lo que incluso 100 Mbps serán más que suficientes. Más importante es la estabilidad del canal y un ping bajo a los servidores raíz de DNS.

Plan de VPS específico para la tarea:

Para la mayoría de los usuarios que despliegan Unbound para uso personal o para un equipo pequeño, un VPS con la siguiente configuración será ideal:

• 1 vCPU
• 1 GB de RAM
• 20-40 GB de disco NVMe/SSD
• Puerto de red de 1 Gbps

Esta configuración será suficiente para procesar miles de consultas DNS por segundo, proporcionar una gran caché y un funcionamiento estable. Puede considerar un VPS con las características indicadas para obtener una plataforma fiable para su servidor Unbound.

Cuándo se necesita un dedicado y no un VPS:

Un servidor dedicado para Unbound no suele ser necesario, a menos que planee:

• Servir a decenas de miles de usuarios con una carga muy alta.
• Utilizar este mismo servidor para otras tareas muy intensivas en recursos que requieran un rendimiento garantizado (por ejemplo, grandes servidores de juegos, bases de datos de alta carga).
• Requisitos de aislamiento físico y máxima seguridad que la virtualización no puede proporcionar.

En la mayoría de los casos, incluso para uso corporativo, un VPS potente será más que suficiente.

Ubicación: qué influencia tiene

La elección de la ubicación del VPS para Unbound influye en dos aspectos clave:

1. Ping a usted: Cuanto más cerca esté el VPS de su ubicación física, menor será la latencia al acceder a su servidor Unbound. Esto influye directamente en la velocidad de resolución de las consultas DNS.
2. Ping a los servidores raíz de DNS: Unbound consultará a los servidores raíz de DNS en todo el mundo. Si su VPS se encuentra en una región con buena conectividad a la infraestructura global de internet, esto garantizará respuestas más rápidas de los servidores raíz y, en consecuencia, una resolución inicial de nombres más veloz.

Se recomienda elegir una ubicación que esté geográficamente cerca de los principales consumidores de su servidor DNS (por ejemplo, usted o su equipo) y que tenga buena conectividad con los principales nodos de internet.

Preparación del servidor

Antes de instalar Unbound, es necesario realizar una configuración básica de su VPS para garantizar la seguridad y estabilidad de su funcionamiento. Utilizaremos el sistema operativo Ubuntu 24.04 LTS, al ser uno de los más populares y compatibles.

1. Conexión por SSH

Primero, conéctese a su nuevo VPS a través de SSH. Utilice los datos proporcionados por su proveedor (dirección IP, nombre de usuario root y contraseña).

ssh root@ВАШ_IP_АДРЕС

Después de la primera conexión, probablemente necesitará cambiar la contraseña de root.

2. Actualización del sistema

Siempre comience actualizando la lista de paquetes y el sistema mismo para asegurarse de que tiene las versiones de software y los parches de seguridad más recientes instalados.

sudo apt update # Actualización de la lista de paquetes
sudo apt upgrade -y # Actualización de todos los paquetes instalados a las últimas versiones
sudo apt autoremove -y # Eliminación de paquetes innecesarios que se instalaron como dependencias y ya no se requieren

3. Creación de un nuevo usuario y configuración de sudo

Trabajar como usuario root no es seguro. Crearemos un nuevo usuario con privilegios limitados y lo añadiremos al grupo sudo.

adduser ВАШЕ_ИМЯ_ПОЛЬЗОВАТЕЛЯ # Creación de un nuevo usuario. Siga las instrucciones para establecer la contraseña e información.
usermod -aG sudo ВАШЕ_ИМЯ_ПОЛЬЗОВАТЕЛЯ # Adición del usuario al grupo sudo para que pueda ejecutar comandos con privilegios de root.

Ahora salga de la sesión de root e inicie sesión con el nuevo usuario:

exit
ssh ВАШЕ_ИМЯ_ПОЛЬЗОВАТЕЛЯ@ВАШ_IP_ADRES

Para verificar que sudo funciona, intente ejecutar el comando:

sudo apt update

Si le pide su contraseña, significa que todo está configurado correctamente.

4. Configuración de claves SSH (recomendado)

Para aumentar la seguridad, desactive el inicio de sesión con contraseña y utilice solo claves SSH. Primero, genere una clave en su máquina local, si aún no tiene una:

ssh-keygen -t rsa -b 4096 # En su máquina local

Luego, copie la clave pública a su VPS:

ssh-copy-id ВАШЕ_ИМЯ_ПОЛЬЗОВАТЕЛЯ@ВАШ_IP_ADRES # En su máquina local

Después de una copia exitosa, edite la configuración de SSH en el VPS para deshabilitar la autenticación por contraseña.

sudo nano /etc/ssh/sshd_config

Encuentre y cambie las siguientes líneas (o agréguelas si no existen):

# Prohibir el inicio de sesión como root
PermitRootLogin no

# Permitir solo la autenticación por clave
PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM no

Guarde los cambios (Ctrl+O, Enter) y salga (Ctrl+X). Reinicie el servicio SSH:

sudo systemctl restart sshd

Ahora podrá iniciar sesión solo con su clave SSH.

5. Instalación y configuración del firewall (UFW)

UFW (Uncomplicated Firewall) es una interfaz fácil de usar para iptables. Le permitirá restringir el acceso a su servidor solo a los puertos necesarios.

sudo apt install ufw -y # Instalación de UFW
sudo ufw allow ssh # Permitir SSH (puerto 22 por defecto)
sudo ufw allow 53/udp # Permitir tráfico DNS (puerto 53 UDP)
sudo ufw allow 53/tcp # Permitir tráfico DNS (puerto 53 TCP, para respuestas grandes y transferencias de zona)
sudo ufw enable # Habilitar el firewall. Confirme con 'y'.
sudo ufw status # Comprobación del estado del firewall

Asegúrese de que SSH esté permitido antes de habilitar UFW, de lo contrario, podría perder el acceso al servidor.

6. Instalación de Fail2ban

Fail2ban protege el servidor de ataques de fuerza bruta bloqueando las direcciones IP desde las cuales se producen demasiados intentos de inicio de sesión fallidos.

sudo apt install fail2ban -y # Instalación de Fail2ban
sudo systemctl enable fail2ban # Habilitar el inicio automático al arrancar el sistema
sudo systemctl start fail2ban # Iniciar el servicio
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local # Creación de un archivo de configuración local
sudo nano /etc/fail2ban/jail.local # Edición del archivo

En el archivo jail.local, asegúrese de que la sección [sshd] esté activa (enabled = true) y, si lo desea, configure bantime (tiempo de bloqueo) y findtime (período para detectar intentos fallidos) a su discreción. Para Unbound, se puede configurar una "cárcel" propia, pero esta es una configuración más avanzada y no es crítica para un despliegue básico.

# Ejemplo de configuración en jail.local
[DEFAULT]
bantime = 1h
findtime = 10m
maxretry = 5

[sshd]
enabled = true
port = ssh
logpath = %(sshd_log)s
backend = %(sshd_backend)s

Guarde los cambios y reinicie Fail2ban:

sudo systemctl restart fail2ban

Ahora su servidor está listo para la instalación de Unbound.

Instalación del software — paso a paso

En este paso, instalaremos el servidor DNS Unbound. Utilizaremos los repositorios oficiales de Ubuntu, ya que proporcionan versiones estables y probadas.

Se supone que para el año 2026, la versión Unbound 1.19.x o posterior estará disponible en los repositorios de Ubuntu 24.04 LTS (Noble Numbat). Nos centramos en Unbound 1.19.0 como la versión estable actual.

1. Instalación de Unbound

Unbound está disponible en los repositorios estándar de Ubuntu. Lo instalaremos usando apt.

sudo apt update # Nos aseguramos de que la lista de paquetes esté actualizada
sudo apt install unbound -y # Instalación del paquete Unbound

Después de la instalación, Unbound se inicia automáticamente como un servicio y está configurado para escuchar en la interfaz local (127.0.0.1).

2. Verificación del estado del servicio Unbound

Nos aseguraremos de que Unbound esté instalado y funcionando correctamente.

sudo systemctl status unbound # Verificación del estado del servicio Unbound

La salida debería mostrar active (running). Si no es así, revise los registros con el comando sudo journalctl -u unbound.

3. Descarga de las sugerencias raíz (root hints) actualizadas

Unbound necesita una lista actualizada de los servidores DNS raíz para realizar consultas recursivas. Este archivo se llama root.hints o named.cache. Normalmente se instala con el paquete, pero es importante actualizarlo regularmente.

sudo unbound-anchor -a /var/lib/unbound/root.key # Inicialización y descarga de la clave DNSSEC para los servidores raíz

Este comando descarga y verifica la clave DNSSEC raíz (DNSSEC Trust Anchor) y actualiza el archivo root.hints si es necesario. Esto es críticamente importante para la validación DNSSEC.

4. Configuración de Unbound para operar como un resolvedor recursivo

Por defecto, Unbound está configurado para escuchar solo en la interfaz local. Para que pueda responder a las consultas de otros dispositivos en su red o desde Internet (si decide usarlo de esa manera), es necesario modificar la configuración.

Abra el archivo de configuración principal de Unbound:

sudo nano /etc/unbound/unbound.conf

En este archivo, normalmente hay una sección server:. Agregaremos o modificaremos parámetros dentro de esta sección. Busque o agregue las siguientes líneas:

# Las configuraciones adicionales se añadirán en /etc/unbound/unbound.conf.d/
# Crearemos un nuevo archivo para nuestras configuraciones para no modificar el principal

La mejor práctica es crear un archivo de configuración separado en el directorio /etc/unbound/unbound.conf.d/, que se incluirá automáticamente en el archivo de configuración principal unbound.conf. Esto simplifica la gestión y las actualizaciones.

sudo nano /etc/unbound/unbound.conf.d/custom-settings.conf # Creación de un nuevo archivo de configuración

Agregue el siguiente contenido a /etc/unbound/unbound.conf.d/custom-settings.conf:

server:
    # Especificamos la dirección IP que Unbound escuchará.
    # 0.0.0.0 significa todas las interfaces de red disponibles.
    # Si tiene varias IPs, puede especificar una concreta: interface: SU_DIRECCIÓN_IP
    interface: 0.0.0.0@53

    # Permitimos consultas solo desde redes específicas.
    # Reemplace con su red local o las direcciones IP en las que confía.
    # Por ejemplo, para toda la red local 192.168.1.0/24: access-control: 192.168.1.0/24 allow
    # Si desea que Unbound esté disponible desde Internet (NO RECOMENDADO SIN PROTECCIÓN ADICIONAL):
    # access-control: 0.0.0.0/0 allow
    access-control: 127.0.0.1/32 allow # Permitimos localhost
    access-control: ::1/128 allow # Permitimos localhost IPv6

    # Establecemos el tamaño de la caché de registros DNS. 128MB es un buen equilibrio para un VPS.
    # Puede aumentarse a 256MB o 512MB si hay suficiente RAM.
    rrset-cache-size: 128m
    msg-cache-size: 64m

    # Habilitación de la validación DNSSEC. Muy recomendable por seguridad.
    # Unbound verificará la autenticidad de las respuestas DNS.
    auto-trust-anchor-file: "/var/lib/unbound/root.key"

    # Habilitación del registro (logging). Útil para la depuración.
    # log-queries: yes # Registrar todas las consultas (puede ser mucho)
    # log-replies: yes # Registrar todas las respuestas (puede ser mucho)

    # Establecimiento del TTL mínimo para las respuestas.
    # Permite evitar TTLs demasiado cortos que podrían ser establecidos por atacantes.
    cache-min-ttl: 3600 # 1 hora

    # Establecimiento del TTL máximo para las respuestas.
    # Evita el almacenamiento en caché demasiado prolongado de registros obsoletos.
    cache-max-ttl: 86400 # 24 horas

    # Uso forzado de TCP para consultas a servidores raíz si UDP falla.
    # Esto puede ser útil para sortear algunas restricciones o problemas con UDP.
    harden-glue: yes
    harden-dnssec-stripped: yes
    harden-below-nxdomain: yes
    harden-referral-path: yes

    # Desactivación de IPv6, si no se usa, para ahorrar recursos y simplificar.
    # do-ip6: no

    # Habilitación de la respuesta con información DNSSEC para los clientes.
    do-daemonize: yes
    do-not-query-address: 127.0.0.1/8
    do-not-query-address: ::1/128
    hide-version: yes # Ocultar la versión de Unbound
    # use-syslog: yes # Enviar registros a syslog
    # verbosity: 1 # Nivel de detalle de los registros (0-5, 1 - por defecto)

Guarde los cambios (Ctrl+O, Enter) y salga (Ctrl+X).

5. Verificación de la configuración y reinicio de Unbound

Antes de reiniciar el servicio, siempre verifique la sintaxis del archivo de configuración para evitar errores.

sudo unbound-checkconf # Verificación de la sintaxis de los archivos de configuración de Unbound

Si el comando no produce errores, la configuración es correcta. Ahora reinicie el servicio Unbound para aplicar los cambios.

sudo systemctl restart unbound # Reinicio del servicio Unbound

Asegúrese de que Unbound esté nuevamente iniciado y funcionando:

sudo systemctl status unbound

6. Prueba de Unbound

Ahora que Unbound está configurado, probaremos su funcionamiento. Para ello, puede utilizar las utilidades dig o drill. Primero, instale dnsutils si aún no están instaladas.

sudo apt install dnsutils -y # Instalación de la utilidad dig

Realice una consulta a su servidor Unbound (que ahora escucha en 0.0.0.0 o su IP pública):

dig @127.0.0.1 example.com # Consulta al Unbound local
dig @ВАШ_IP_АДРЕС example.com # Consulta a Unbound a través de la IP externa (si ha permitido el acceso)

En la respuesta, debería ver la dirección IP de example.com. Es importante que en la sección ANSWER SECTION haya registros, y en la sección FLAGS esté la bandera ad (authentic data), lo que indica una validación DNSSEC exitosa.

Si desea verificar que Unbound realmente realiza una consulta recursiva, borre su caché y consulte un dominio que no haya consultado previamente:

sudo unbound-control reload # Limpieza de la caché de Unbound
dig @127.0.0.1 newdomain.com # Reemplace con cualquier dominio que no haya consultado

Si todo funciona, ¡Unbound está listo para usar!