Schwierigkeit: Mittel · Dauer: 45–90 Min · Ziel: Unbound DNS in OPNsense härten: DNSSEC, Blocklisten, Performance
Kurzproblem und Zielbild
In diesem Guide setzt du Unbound DNS in OPNsense härten: DNSSEC, Blocklisten, Performance mit reproduzierbaren Schritten, klaren Checks und belastbaren Recovery-Pfaden um.
Voraussetzungen
- Linux-/CLI-Grundlagen
- Admin-Zugriff auf die Zielsysteme
- Snapshot/Backup vor Änderungen
Schnellstart (funktionierende Basis)
hostnamectl
ip a
systemctl --failed
journalctl -p 3 -xb --no-pager | tail -n 30Schritt-für-Schritt Umsetzung
1) Ausgangszustand dokumentieren
date -Iseconds
uname -a
# aktuelle Versionen und relevante Konfig-Pfade notieren2) Kernkonfiguration sauber setzen
# GUI: Services > Unbound DNS
# DNSSEC aktivieren, DoT Upstream optional, Access Lists einschränken
unbound-control status
unbound-control list_local_zones3) Dienst/Funktion gezielt prüfen
drill dnssec-failed.org @OPNSENSE_IP
drill cloudflare.com @OPNSENSE_IP
clog /var/log/resolver/latest.log | tail -n 804) Betriebsgrenzen testen
# Gezielten Failover-/Negativtest ausführen
# Reaktionszeit und Fehlerbild protokollieren
# Danach Service normalisieren und Zustand erneut verifizierenValidierung / Checks
drill dnssec-failed.org @OPNSENSE_IP
drill cloudflare.com @OPNSENSE_IP
clog /var/log/resolver/latest.log | tail -n 80
# End-to-End Test mit klaren Sollwerten durchführen und Ergebnis dokumentierenTroubleshooting
Konfiguration wird nicht übernommen
Ursache: Syntax-/Reload-Fehler oder falscher Parameterpfad.
journalctl -n 120 --no-pager
# betroffenen Dienst gezielt reload/restarten
# Konfigurationsdatei auf Syntax prüfenDienst läuft, Funktion aber fehlerhaft
Ursache: Abhängigkeiten, Routing, Rechte oder Versionen inkonsistent.
ip a
ip route
ss -tulpn
# Berechtigungen und Abhängigkeiten gegenprüfenFazit
Mit einem klaren Ablauf, harten Checks und dokumentierten Grenzwerten bleibt das Setup wartbar statt zufällig stabil. Nächster Schritt: den Ablauf als monatliche Betriebsroutine einplanen.
