Software-update: Unbound 1.16.3

Als je een dns-look-up uitvoert, begint een recursor in eerste instantie met het stellen van de look-upvraag aan een dns-rootserver. Deze kan dan doorverwijzen naar andere servers, vanaf waar weer doorverwezen kan worden naar andere servers enzovoort, totdat uiteindelijk een server is bereikt die het antwoord weet of weet dat de look-up niet mogelijk is. Van dit laatste kan sprake zijn als de naam niet bestaat of de servers niet reageren. Het proces van het langslopen van verschillende authoritative servers heet recursie. Unbound is een dns-recursor met ondersteuning voor moderne standaarden, zoals Query Name Minimisation, Aggressive Use of Dnssec-Validated Cache en authority zones. De ontwikkelaars hebben versie 1.16.3 uitgebracht en daarin is een beveiligingsprobleem verholpen.

Bug Fixes

• Patch for CVE-2022-3204 Non-Responsive Delegation Attack

Versienummer	1.16.3
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, Solaris, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10, Windows Server 2016, Windows Server 2019, Windows 11
Website	Unbound
Download	https://nlnetlabs.nl/projects/unbound/download/
Licentietype	Freeware

Reacties (19)

[Tuinhark]

Ik ken deze software nog niet, dus daarom heb ik zojuist de omschrijving die hierboven in de publicatie staat eens goed doorgelezen. De uitleg over het mechanisme van recursie is op zich mooi, maar het is me nog niet duidelijk hoe deze software er nu bij aansluit. Dwz, ik begrijp nog niet waar het goed voor is, welk probleem het oplost en wat het voordeel voor mij is, als ik dit in mijn thuisnetwerk zou toepassen.

De omschrijving op de website maakte het me ook nog niet 100% duidelijk.

Daarmee ben ik automatisch waarschijnlijk ook niet de doelgroep... Sowieso ben ik wel tevreden met Pi-Hole, "waarmee ik ook zelf een DNS-server heb opgetuigd". See? Ik snap dus nog niet waar Unbound goed voor is. 😅

[Corrigan]

Op de Pihole site worden de voordelen van een combinatie met Unbound en hoe in te stellen goed uitgelegd. https://docs.pi-hole.net/guides/dns/unbound/

[DikkieDick]

En op mijn RPi4 draai ik een docker-container met pihole en unbound in 1: cbcrowe/pihole-unbound:latest

Zit soms wel wat vertraging in voor ie is geupdate. Als ik meer tijd heb duik ik er eens in en ga eens kijken of ik deze zelf kan reproduceren, modificeren zodat ie 'altijd' up-to-date is.

O, en had dit nog niet geplaatst zie ik, maar was ondertussen aan het stoeien en de repository geforked en gelijk maar de versie geupdate. :-) En in een eigen docker-repository gepleurd.

Update: blijkt dus dat de gebruikte Dockercontainer via de packagemanager unbound installeert en dat is de bijna prehistorische versie 1.13.1. Dus aan het stoeien gegaan met de Dockerfile en handmatig daarin 1.16.3 gedownload en gecompileerd. Straks eens zien als ie er mee klaar is of het allemaal werkt.

En weer wat later: het lijkt te werken. Heb hem draaiend. Voor de liefhebber staat ie op Dockerhub: pluim003/pihole-unbound:latest . Image is door wat afhankelijkheden wel bijna 2x zo groot geworden. Later wel eens naar kijken of dat wat terug te brengen is, want dit is wel heul veul... Misschien nog een cleanup van het installatiepakket bedenk ik me nu en idd. Die directory kan natuurlijk weer verwijderd worden. Scheelt weer 79MB. Nou ja, dat wordt dan bij de volgende keer.

[Reactie gewijzigd door DikkieDick op 22 juli 2024 14:44]

[Corrigan]

Zo te lezen gaat het sneller zonder Docker.
pi-hole en ubound zijn maar kleine applicaties.

[DikkieDick]

Ik geloof het graag, maar op mijn RPi4 draai ik 'zoveel' dingen en als ik dat allemaal zonder Docker deed liep ik tegen allerhande problemen aan, zodat ik elke toepassing maar in een Docker-container draai. En dit draait allemaal probleemloos.

[Jack Flushell]

Pi-Hole gebruikt intern een getweakte versie van dnsmasq. Dat lijkt qua functionaliteit op Unbound, maar Unbound kan meer. Simpel gezegd is een DNS resolver: Dus een programma dat domeinen vertaald naar IP-adressen. Doorgaans heb je dat als thuisgebruiker inderdaad niet nodig en gebruik je de DNS resolver van je internet provider of één van bijvoorbeeld Google (8.8.8.8) of Cloudflare (1.1.1.1). In jouw geval verwijst je Pi-hole weer naar één van deze waarschijnlijk.

[Reactie gewijzigd door Jack Flushell op 22 juli 2024 14:44]

[olafvs]

In pihole kies je een dns revolver. Bijvoorbeeld Google 8.8.8.8 of 8.8.4.4 of bijvoorbeeld Cloudflare 1.1.1.1 . Je kan zelfs een combinatie hiervan kiezen. Het problemen hierbij is dat je deze partijen al de informatie geeft over welke sites je bezoekt.

Hier komt unbound om de hoek kijken. Unbound gaat simpel gezegd verschillende servers een voor een benaderen om steeds een stapje dichterbij de doel site te komen.

Zie het als volgt. Je wilt naar de Kerkstraat 13 in Florence in Italië. En je hebt allemaal lokketjes met mensen die topografisch onderlegt zijn. Dan loop je eerst naar het eerste loket. Daar vraag je waar moet ik zijn voor Italië? Je wordt doorverwezen naar loket 8. Daar vraag je waar moet ik zijn voor Florence? Je wordt doorverwezen naar loket 123. Daar vraag je waar moet ik zijn voor Kerkstraat 13? En uiteindelijk krijg je je routebeschrijving. Geen van de mensen in de lokketjes behalve de laatste weten wat je precies wilde weten.

Nu weet de laatste dit dus wel, maar omdat er heel veel lokketjes zijn en je steeds andere vragen stelt weet uiteindelijk niemand goed waar je allemaal heen gaat.

En daar gaat het hierbij om. Je kan niet verbergen wat je allemaal doet. Je kan er wel voor zorgen dat niemand veel van je te weten komt.

[sir_knudde]

Voor zover ik het begrijp filtert pihole dns verzoeken die je vervolgens doorzet naar bijvoorbeeld Google.
Door Unbound in te zetten, bouw je zelf een database op van dns records. Dat geeft een Google minder mogelijkheden om mbv dns requests informatie te verzamelen.

In het echt is dit waarschijnlijk hopeloos veel complexer..

[Jazco2nd]

Unbound (wanneer recursive ingesteld) vervangt de dns providers die jij hebt ingesteld in PiHole. Het gaat dan rechtstreeks verbinden met de partijen achter die bekende dns providers. En elke partij krijgt maar een stukje van je dns verzoek door.

Zo deel je niet je hele internethistorie met 1 provider. Zelfs als je encryptie gebruikt: dat is alleen het stukje verbinding tot aan de provider. Die moet het immers decrypten. Dus dat vind ik schijn privacy. Als het je daarom gaat tenminste.

Zie verder mijn reactie hierboven hoe je het oersimpel werkend krijgt zonder te tweaken.

[Cageman1984]

Craft Computing heeft een mooi instructie filmpje waarin pihole wordt gecombineerd met unbound. Zie hier de link op youtube

[EverLast2002]

"Sowieso ben ik wel tevreden met Pi-Hole, "waarmee ik ook zelf een DNS-server heb opgetuigd".

Bijna. Je hebt nu een DNS FILTER opgetuigd. Als je de Craft Computing video en/of de setup van de pi-hole website volgt, dan heb je uiteindelijk een DNS Recursive Resolver opgetuigd.

[incama]

In het artikel staat licentietype "freeware". Moet dit niet Open Source zijn?

[DarthKZ]

Ik krijg het niet werkend met Adguard Home ondanks alle guides.

[Jack Flushell]

Dit heeft niets met Adguard Home te maken. Althans niet losstaand. Als je hulp zoekt met een probleem dat je ervaart met Adguard Home in relatie met Unbound, zou ik het niet houden bij deze ene zin, daar kan niemand wat mee. Misschien kan iemand je helpen op het forum.

[Reactie gewijzigd door Jack Flushell op 22 juli 2024 14:44]

[Jazco2nd]

Kind kan de was doen:

https://gathering.tweaker...message/72502292#72502292

Unbound hoef je niks voor in te stellen. Adguard alleen adres invullen.

Voor een A tot Z guide, vanaf hardware aanbevelingen voor het bouwen van je homeserver, installeren van OS, filesystem, Docker tot je telefoon automatisch met Wireguard vpn laten verbinden om (alleen) dns verzoeken altijd via Adguard Home/Unbound te laten gaan:

https://github.com/zilexa/Homeserver

[-36-]

Voor de rpi gebruikers kan ik dietpi aanraden daarmee kan je bijna automagisch adguard en unbound installeren

[MDXTweaker]

Vind 'm wel redelijk traag op het moment dat je niets instelt. Gemiddelde procestijd is 80ms bij mij als ik alleen het Unbound adres invul bij Adguard. Is daar nog iets aan te tweaken?

[Jazco2nd]

Geen flauw idee want als ik in AdGuard Home kijk, onder General Statistics staat er Average Processing Time: 6ms.
Misschien heb je gelijk hoor, want ik draai dit al heel lang dus zal wel veel gecached zijn inmiddels.

[Reactie gewijzigd door Jazco2nd op 22 juli 2024 14:44]

[MDXTweaker]

Ah, ik pas sinds afgelopen vrijdag. Ook al aardig wat lager geworden dus zal inderdaad wel met caching te maken hebben. Dank!