Référence de configuration Runbound

Runbound lit un unique fichier de configuration, dans un format volontairement proche d’unbound.conf — l’objectif est qu’une configuration Unbound existante soit un point de départ, pas une réécriture.

server

Paramètres d’écoute principaux.

server:
    interface: 0.0.0.0
    port: 53
    do-ip4: yes
    do-ip6: yes

• interface — adresse d’écoute pour les requêtes DNS. Répétez la directive pour écouter sur plusieurs adresses.
• port — port UDP/TCP pour le DNS. 53 pour un résolveur faisant office de résolveur par défaut du réseau.
• do-ip4 / do-ip6 — active chaque famille d’adresses indépendamment.

forward-zone

Résolveurs en amont utilisés quand Runbound n’est pas autoritaire et ne fait pas de résolution récursive complète lui-même. Plusieurs upstreams fournissent du failover ; DoT (@853) garde la requête chiffrée jusqu’à l’upstream.

forward-zone:
    name: "."
    forward-addr: 9.9.9.9@853
    forward-addr: 1.1.1.1@853

DNSSEC

La validation DNSSEC est automatique pour toute zone réellement signée — il n’y a pas d’interrupteur séparé à activer. Le validateur de Runbound supporte RSA (algorithmes 8/10), ECDSA (13/14) et Ed25519 (15) ; les signatures uniquement en SHA-1 sont rejetées fail-closed plutôt qu’acceptées avec un avertissement. Interrogez avec dig +dnssec un nom signé pour voir le flag ad et les enregistrements RRSIG ; une zone volontairement cassée (par ex. dnssec-failed.org) doit retourner SERVFAIL, pas une réponse qui semble usurpée.

remote-control, api, webui

remote-control:
    control-enable: yes

api:
    listen: 127.0.0.1:8080

webui:
    listen: 0.0.0.0:8090

• api.listen — où l’API REST écoute. La lier à 127.0.0.1 et mettre un reverse proxy ou un tunnel SSH devant est un choix par défaut raisonnable au-delà d’un LAN de confiance.
• webui.listen — où le tableau de bord web écoute. Le tableau de bord s’authentifie avec la même clé API que l’API REST et redirige le HTTP vers le HTTPS.

La clé API elle-même ne se configure pas dans ce fichier — elle est générée par install.sh dans /etc/runbound/api.key et se fait tourner en remplaçant le contenu de ce fichier (puis en redémarrant le service).

Réplication master/slave

Un nœud slave pointe vers un master et reçoit les mises à jour de zones/listes de blocage/feeds via un relais chiffré et signé HMAC :

sync:
    role: slave
    master-addr: 10.0.0.1:8082

Le master accepte automatiquement les enregistrements des slaves — il n’y a pas d’étape séparée pour « ajouter » un slave au-delà de le pointer vers le port de sync du master.

Échappatoires

• RUNBOUND_DISABLE_XDP=1 (variable d’environnement) force le chemin générique SKB même sur du matériel qui supporterait AF_XDP. Utile pour isoler si un problème est spécifique à XDP.