# archivo del que leer los hits root

        root-hints: "/etc/unbound/root.hints"

Forwarding Reenvío utilizando DNS sobre TLS en unbound

Para utilizar DNS sobre TLS, necesitará habilitar la opción tls-system-cert, permitir que unbound reenvíe peticiones TLS y también especificar cualquier número de servidores que permitan DNS sobre TLS.

Para cada servidor tendrá que especificar el puerto de conexión utilizando @ y su nombre de dominio con #. El nombre de dominio es necesario para la autenticación TLS y también permite establecer stub-zones y utilizar el comando unbound-control forward control con nombres de dominio. No debe haber espacios en la especificación forward-addr.

...

server:

...

tls-system-cert: yes

...

forward-zone:

        name: "."

        forward-tls-upstream: yes

        forward-addr: 1.1.1.1@853#cloudflare-dns.com

Ejemplos parámetros 

#Adding DNS-Over-TLS support

server:

    use-syslog: yes

    username: "unbound"

    directory: "/etc/unbound"

    tls-cert-bundle: /etc/ssl/certs/ca-certificates.crt

    

    do-ip6: no

    interface: 192.168.5.100

    port: 53

    prefetch: yes

Algunos parámetros explicados:

• use-syslog: activar el registro en mensajes Syslog.
• username: ejecutar como usuario unbound, que es el usuario por defecto.
• directorio: el directorio de trabajo por defecto de Unbound es el directorio ‘/etc/unbound’.
• tls-cert-bundle: Certificados que se utilizan para autenticar las conexiones que se establecen. En las distribuciones basadas en Debian, el archivo cert se encuentra en ‘/etc/ssl/certs/ca-certificates.crt‘.
• do-ip6: usa ‘sí’ para ejecutar Unbound con IPv6 o pon‘no‘ para desactivar IPv6.
• interfaz: interfaz de red o dirección IP en la que se ejecutará Unbound. Puedes utilizar una dirección IP o el nombre de la interfaz, como«eth0«. También puedes ejecutar en un puerto específico añadiendo un formato como este ‘DIRECCIÓN-IP@PUERTO‘.
• puerto: especifica el puerto en el que se ejecutará Unbound, y este puerto gestionará las conexiones del cliente. El puerto DNS por defecto es el 53.
• prefetch: establece‘yes‘ para activar la prefetch de las entradas de la caché de mensajes casi caducadas.
• root-hints: un archivo que contiene detalles del servidor DNS raíz. El archivo ‘/usr/share/dns/root.hints’ lo proporciona el paquete‘dns-root-data‘. Y también puedes descargar el archivo root-hints desde aquí‘https://www.internic.net/domain/named.cache’.
• harden-dnssec-stripped: ajústalo a«yes» para evitar la recepción de datos «dnssec-stripped».

remote-control:

    # Enable remote control with unbound-control(8) here.

    # set up the keys and certificates with unbound-control-setup.

    control-enable: yes

   

    # what interfaces are listened to for remote control.

    # give 0.0.0.0 and ::0 to listen to all interfaces.

    control-interface: 127.0.0.1

   

    # port number for remote control operations.

    control-port: 8953

   

    # unbound server key file.

    server-key-file: "/etc/unbound/unbound_server.key"

   

    # unbound server certificate file.

    server-cert-file: "/etc/unbound/unbound_server.pem"

   

    # unbound-control key file.

    control-key-file: "/etc/unbound/unbound_control.key"

   

    # unbound-control certificate file.

    control-cert-file: "/etc/unbound/unbound_control.pem"

BlackList en unbound

/etc/unbound/blacklist.conf

local-zone: "blacklisted.example" always_refuse

zona-local: "anotherblacklisted.example" always_refuse

Configurar una blacklist de la comunidad

Actualmente podemos encontrar multitud de blacklist por internet, por ejemplo Steven Black, que contiene distintas blacklist para anuncios, redes sociales, webs sospechosas de publicar fake news, etc.

La idea es descargar una de estas listas que se actualizan periódicamente y configurarla para funcionar en nuestro servidor DNS. El problema es que no están en el formato que vimos en el punto anterior, por lo que hay que procesarlas y adecuarlas al formato esperado por unbound.

Configurar el log mediante Rsyslog y Logrotate

Ejecuta el siguiente comando para añadir una nueva configuración de Rsyslog‘/etc/rsyslog.d/unbound.conf’ para el servicio Unbound. Con esto, los registros de Unbound se almacenarán en‘/var/log/unbound.log‘.

cat <<EOF | sudo tee /etc/rsyslog.d/unbound.conf

# Log messages generated by unbound application 

if $programname == 'unbound' then /var/log/unbound.log

# stop processing it further

& stop

EOF

A continuación, ejecuta el siguiente comando para añadir la configuración de logrotate ‘/etc/logrotate.d/unbound‘ para el servicio Unbound. Esto creará una rotación de registro para el archivo de registro de Unbound‘/var/log/unbound.log‘ diariamente.

cat <<EOF | sudo tee /etc/logrotate.d/unbound

/var/log/unbound.log {

  daily

  rotate 7

  missingok

  create 0640 root adm

  postrotate

    /usr/lib/rsyslog/rsyslog-rotate

  endscript

}

EOF

Lista de servidores DNS Públicos (recursivos):

Puedes utilizar como forwarders:

http://pcsupport.about.com/od/tipstricks/a/free-public-dns-servers.htm


 y ahora debemos indicar al fichero /etc/resolv.conf que somos nosotros mismos el servidor DNS de nombres:

nameserver 127.0.0.1

Vaciar o Limpiar caché de las DNS

•  En Windows desde la línea de comandos (cmd) con el comando ipconfig podemos borrar la caché:

ipconfig /flushdns

Para ver la caché de las DNS de Windows

ipconfig /displaydns

• En Linux si usamos el daemon nscd

/etc/rc.d/init.d/nscd restart 

• Con Systemd  resolved
  

sudo systemd-resolve --flush-caches

Si usamos dnsmasq

/etc/init.d/dnsmasq restart

Limpiar caché bind

rndc flush

 Limpiar la cahé de un dominio

rndc flushname elhacker.net

Refrescar caché bind

rndc dumpdb -cache
vi /var/named/data/cache_dump.db

• En MacOS según la versión:

Para limpiar la cache DNS en Mac OS X Leopard:

lookupd -flushcache

Para limpiar la cache DNS en Mac OS X:

dscacheutil -flushcache

Ir > Utilidades y a continuación seleccionamos Terminal. Una vez abierto el Terminal, debemos ejecutar el comando que corresponda en función de la versión de macOS que tengamos instalada:

• macOS El Capitan, Sierra, High Sierra, Mojave y Catalina: sudo killall -HUP mDNSResponder
• macOS Yosemite: sudo discoveryutil udnsflushcaches
• macOS Lion, Mountain Lion y Mavericks: sudo killall -HUP mDNSResponder
• macOS Snow Leopard: sudo dscacheutil -flushcache
• macOS Leopard: sudo lookupd -flushcache

 Limpiar el caché DNS en el navegador Google Chrome 

Pestaña en blanco en el navegador y escribimos en la barra de direcciones del navegador:

chrome://net-internals/#dns

Hacer click en el botón "Clear host caché” para borrar todo el caché DNS que está almacenado.

Para limpiar las conexiones tenemos que abrir en la barra de direcciones:

chrome://net-internals/#sockets

 Limpiar el caché DNS en el navegador Mozilla Firefox

Los pasos a seguir para borrar la caché DNS en el navegador web de Mozilla cambian respecto al navegador de Google. Esto es lo que debemos hacer en Firefox:

• Abrimos una nueva ventana de Mozilla Firefox.
• Escribimos en la barra de direcciones about:config y pulsamos Enter.
• Buscamos la entrada network.dnsCacheExpiration.
• Una vez la hemos encontrado hacemos clic sobre ella y establecemos su valor a 0.
• Esto hará que el propio navegador ignore su propia caché DNS.

 Limpiar el caché DNS en el navegador Microsoft Edge

Con la versión de Microsoft Edge basado en Chromium también es posible vaciar la caché DNS a nivel de navegador siguiendo estos sencillos pasos:

• Abrimos una ventana de Edge Chromium.
• Escribimos edge://net-internals/#dns en la barra de direcciones y pulsamos Enter.
• Ahora de nos mostrará una página donde veremos todas las resoluciones DNS realizadas desde el navegador.
• Pulsamos en el botón Clear host caché y automáticamente se borrará toda la caché DNS almacenada en Edge.