自建 DNS 服务器使用 Unbound 还是 PowerDNS 更稳定？

自建 DNS 服务器选 Unbound 还是 PowerDNS，本质上不是比谁更稳定，而是看你需要什么功能：如果是为了给局域网或本机提供递归解析和缓存，Unbound 更轻量简单；如果是要托管自己的域名提供权威解析，或者需要复杂的后端存储支持，选 PowerDNS。

先说结论：两者都是成熟的生产级软件，稳定性取决于配置而非软件本身，选型应基于用途区分。

适合：Unbound 适合做递归缓存解析器，PowerDNS 适合做权威域名服务器或复杂递归场景。
重点看：是否需要对公网提供权威解析，以及是否需要对接数据库 backend。
别忽略：递归解析器严禁对公网开放，否则会被滥用成开放解析器导致封禁。

快速安装与验证

如果你只是想快速搭建一个本地递归解析服务，Unbound 的安装和默认配置通常更少。以下是常见系统的安装命令：

# Debian/Ubuntu
sudo apt update
sudo apt install unbound

# CentOS/RHEL
sudo yum install unbound

# 检查服务状态
sudo systemctl status unbound

如果是 PowerDNS，需明确是安装 Authoritative Server 还是 Recursor：

# 安装 PowerDNS Recursor (用于解析)
sudo apt install pdns-recursor

# 安装 PowerDNS Authoritative (用于托管域名)
sudo apt install pdns-server pdns-backend-mysql

# 检查服务状态
sudo systemctl status pdns-recursor
sudo systemctl status pdns

核心架构差异分析

很多用户纠结稳定性，其实是因为没分清“递归解析”和“权威解析”的区别。Unbound 主要设计为一个验证型递归解析器（Validating Recursive Resolver），它的重点是把客户端的查询请求转发出去并缓存结果，适合内网或本机加速。

PowerDNS 则分为两个独立组件：PowerDNS Authoritative Server 用于托管你自己的域名（告诉别人你的域名 IP 是多少），PowerDNS Recursor 用于帮客户端查其他域名。两者架构设计目标不同，直接对比稳定性无实际意义。Unbound 在单节点递归缓存场景下配置更简洁，出错概率相对低；PowerDNS 在需要对接 SQL 数据库、实现动态更新或主从同步的复杂场景下更灵活。

关键配置与安全加固

无论选哪个，安全配置比软件选型更影响稳定性。以下是基础加固步骤及配置示例：

1. 限制访问范围
不要将递归服务对全网开放。编辑 Unbound 配置文件（通常在 /etc/unbound/unbound.conf 或 /etc/unbound/unbound.conf.d/ 下）：

access-control: 127.0.0.0/8 allow
access-control: 192.168.0.0/16 allow
access-control: 0.0.0.0/0 refuse

对于 PowerDNS Recursor，编辑 /etc/powerdns/recursor.conf：

allow-from=127.0.0.0/8, 192.168.0.0/16
local-address=127.0.0.1

2. PowerDNS 权威服务后端配置
如果使用 PowerDNS 托管域名并对接 MySQL，编辑 /etc/powerdns/pdns.conf：

launch=gmysql
gmysql-host=127.0.0.1
gmysql-port=3306
gmysql-dbname=powerdns
gmysql-user=powerdns
gmysql-password=your_secure_password
api=yes
api-key=your_api_key
webserver=yes
webserver-address=127.0.0.1
webserver-port=8081

3. 关闭不必要的功能
如果不需要 DNSSEC 验证且遇到解析慢的问题，可暂时调整，但建议保留以保障安全。Unbound 中配置 hardening: 相关选项，PowerDNS 中设置 dnssec=validate。

4. 启用日志
开启日志以便排查问题，但注意日志量过大可能影响磁盘性能。Unbound 中设置 logfile: "/var/log/unbound.log"，PowerDNS 中设置 logging-facility 或使用 systemd journal 查看。

怎么验证是否生效

配置完成后，不要直接改全局 DNS，先在单机测试：

# 使用 dig 测试本地解析 (Unbound & PowerDNS Recursor)
dig @127.0.0.1 www.example.com

# 查看查询时间，确认是否有缓存效果
dig @127.0.0.1 www.example.com

# 检查服务监听端口
sudo ss -tulnp | grep :53

# PowerDNS 权威服务验证 (需配置域名后)
pdnsutil list-zones
pdnsutil check-zone yourdomain.com

如果第一次查询较慢，第二次明显变快，说明缓存生效。如果 ss 命令显示端口未监听，检查防火墙是否放行 UDP 53 端口。对于 PowerDNS 权威服务，确保 pdnsutil 能列出区域且状态正常。

常见坑

1. 开放解析器风险：这是自建 DNS 最大的隐患。如果配置错误允许公网递归查询，你的服务器会被用于 DDoS 放大攻击，导致 IP 被机房封禁。务必确认 access-control 或 allow-from 设置正确。

2. 端口冲突：如果服务器上已经运行了 systemd-resolved 或 dnsmasq，它们可能占用了 53 端口。需要先停止或配置它们监听其他端口。

3. 防火墙策略：DNS 主要使用 UDP 53 端口，但区域传输或大响应包可能使用 TCP 53。确保防火墙同时允许 UDP 和 TCP 的 53 端口，否则部分解析会失败。

4. 数据库连接失败：PowerDNS 权威服务依赖数据库，若启动失败，常见原因是 MySQL 用户权限不足或表结构未初始化。需运行 pdnsutil create-db 或导入官方 schema。

参考来源

Unbound 官方文档 - Unbound documentation, https://unbound.net/documentation/
PowerDNS 官方文档 - PowerDNS Documentation, https://www.powerdns.com/