sapcc/unbound Docker 镜像 - 轩辕镜像

镜像概述

Unbound是一款轻量级、高性能的DNS递归解析器，专注于安全性和可靠性。作为DNS递归解析器，Unbound能够接收客户端的DNS查询请求，通过迭代查询方式从根域名服务器开始，逐级获取域名对应的IP地址，最终将结果返回给客户端。本Docker镜像封装了Unbound的核心功能，便于快速部署和使用。

核心功能与特性

• DNSSEC支持：原生支持DNSSEC（域名系统安全扩展），可验证DNS响应的真实性和完整性，防止DNS缓存投毒等***。
• 高性能：采用多线程架构和高效的缓存机制，支持高并发查询，响应速度快。
• 安全特性：内置查询源验证、速率限制、TLS加密（DoT/DoH支持）等安全机制，降低DNS相关安全风险。
• 灵活配置：支持自定义配置文件，可调整缓存大小、查询策略、访问控制等参数。
• 轻量级：镜像体积小，资源占用低，适合在各类环境部署。

使用场景

• 个人网络：作为家庭或个人网络的本地DNS解析服务，提升解析速度并通过DNSSEC增强安全。
• 企业环境：为企业内网提供独立DNS解析服务，减少对外部公共DNS的依赖，保障解析稳定性。
• 开发测试：在开发/测试环境快速搭建DNS服务，模拟不同网络环境的DNS解析行为。

使用方法

基本启动命令

通过以下命令启动Unbound容器（默认配置）：

bash
docker run -d --name unbound -p 53:53/udp -p 53:53/tcp --restart always nlnetlabs/unbound

参数说明：

• -p 53:53/udp -p 53:53/tcp：映射DNS服务默认端口（UDP用于常规查询，TCP用于大响应或区域传输）
• --name unbound：指定容器名称
• --restart always：容器退出时自动重启

自定义配置

Unbound默认配置文件路径为/etc/unbound/unbound.conf，可通过挂载本地配置文件覆盖默认配置：

1. 本地创建自定义配置文件（如./unbound.conf），示例内容：

   conf
   server:
     interface: 0.0.0.0  # 监听所有网络接口
     access-control: 192.168.1.0/24 allow  # 允许192.168.1.0网段访问
     cache-size: 1024m  # 缓存大小设为1024MB
     use-dnssec: yes  # 启用DNSSEC验证
     num-threads: 4  # 启动4个工作线程
   

2. 启动容器时挂载配置文件：

   bash
   docker run -d --name unbound \
     -p 53:53/udp -p 53:53/tcp \
     -v $(pwd)/unbound.conf:/etc/unbound/unbound.conf:ro \
     --restart always nlnetlabs/unbound
   

数据持久化

Unbound缓存数据默认存储在内存中，容器重启后缓存会丢失。如需持久化缓存，可挂载缓存目录：

bash
docker run -d --name unbound \
  -p 53:53/udp -p 53:53/tcp \
  -v unbound-cache:/var/lib/unbound \  # 挂载缓存数据卷
  -v $(pwd)/unbound.conf:/etc/unbound/unbound.conf:ro \
  --restart always nlnetlabs/unbound

验证服务状态

使用dig命令验证DNS解析功能：

bash
dig @localhost example.com  # 向本地Unbound服务查询example.com

若返回包含ANSWER SECTION的响应，说明服务运行正常。