Voorgestelde waarden voor Advanced tab in Unbound

Hide Identity:

• Aan: Verbergt de identiteit van de Unbound-server (zoals het feit dat je Unbound gebruikt) in DNS-responses. Dit is handig voor privacy.

Hide Version:

• Aan: Verbergt de versie van Unbound die wordt gebruikt in de DNS-responses. Dit voorkomt dat een aanvaller de versie van je server kan achterhalen.

Prefetch DNS Key Support:

• Aan: Verbetert de prestaties van DNSSEC-queries door vooraf de sleutels van de domeinen in te laden, wat de latentie kan verminderen.

Harden DNSSEC Data:

• Aan: Zorgt ervoor dat DNSSEC-resolutie strikt wordt gehandhaafd. Dit betekent dat alle DNSSEC-handtekeningen strikt worden gecontroleerd, wat de veiligheid verhoogt.

Aggressive NSEC:

• Aan: Verhoogt de veiligheid door gebruik te maken van de agressieve NSEC-beveiliging, wat voorkomt dat er onterechte 'NXDOMAIN' antwoorden worden gegeven voor niet-bestaande domeinen.

Strict QNAME Minimisation:

• Aan: Minimaliseert de hoeveelheid informatie die Unbound naar upstream DNS-servers stuurt, wat kan helpen om je privacy te beschermen en gegevenslekken te verminderen.

Rebind protection networks:

• Aan: Activeer dit om rebind-aanvallen te voorkomen, waarbij een aanvaller je DNS-resolver probeert te misleiden door interne IP-adressen te maskeren.

Outgoing TCP Buffers:

• Standaardinstellingen zijn vaak prima, maar je kunt het verhogen als je een snelle verbinding hebt met veel gelijktijdige queries. Dit kan helpen bij het omgaan met grotere verzoeken via TCP.

Incoming TCP Buffers:

• Eveneens kun je de standaardinstellingen gebruiken, maar bij hoge verkeersvolumes kan het verhogen van de bufferwaarde helpen om betere prestaties te bereiken.

Number of queries per thread:

• 2 tot 4 is een goede instelling voor de meeste omgevingen, afhankelijk van de belasting. Verhoog dit als je veel queries verwerkt.

Outgoing Range:

• Standaard is 10-20 prima. Verhoog dit om grotere hoeveelheden gelijktijdige uitgaande verzoeken te verwerken.

Jostle Timeout en Discard Timeout:

• Deze zijn goed ingesteld op default, maar als je last hebt van time-outs bij het resolven van verzoeken, kun je experimenteren met langere time-outs.

Message Cache Size:

• Dit kan verhoogd worden voor grotere netwerken (bijv. 50-100 MB), afhankelijk van de hoeveelheid DNS-verkeer die je genereert.

RRset Cache Size:

• Vergroot deze als je veel verzoeken hebt naar dezelfde domeinen. Standaardwaarden zijn vaak voldoende, maar grotere netwerken kunnen baat hebben bij een grotere cache.

Maximum TTL for RRsets and messages:

• Maximaal 86400 (1 dag) is een gangbare instelling voor de TTL. Dit bepaalt hoe lang records worden bewaard. Dit kan de prestaties verbeteren, maar verhoogt het risico van verouderde informatie.

Minimum TTL for RRsets and messages:

• Standaardinstelling van 0 is prima, tenzij je wilt forceren dat bepaalde records voor een minimumtijd worden bewaard.

TTL for Host Cache entries:

• Dit moet niet te hoog ingesteld worden. 900 seconden (15 minuten) is een gangbare waarde, wat een goede balans biedt tussen prestaties en actualiteit van gegevens.

Keep probing down hosts:

• Uit is vaak goed, tenzij je wilt dat Unbound blijft proberen om onbereikbare hosts te bereiken, wat de prestaties kan beïnvloeden.

Number of Hosts to cache:

• Een hogere waarde, zoals 1000, kan nuttig zijn voor grotere netwerken. Dit bepaalt hoeveel hostnamen in het cachegeheugen worden bewaard.

Log Queries:

• Uit voor minder logverkeer en meer privacy, tenzij je specifieke diagnostiek nodig hebt.

Log Replies:

• Uit is meestal voldoende om de belasting op je logs laag te houden.

Tag Queries and Replies:

• Uit voor betere prestaties, tenzij je een gedetailleerde audit nodig hebt.

Log local actions:

• Aan kan handig zijn voor probleemoplossing, maar dit kan leiden tot veel logverkeer.

Log SERVFAIL:

• Aan kan nuttig zijn voor diagnostiek van problemen, maar zet het uit voor meer geoptimaliseerde prestaties.

Serve Expired Settings:

• Aan: Verbetert de beschikbaarheid van gegevens door verlopen gegevens toch te serveren als tijdelijke oplossing (bijvoorbeeld als de upstream DNS niet reageert).

Serve Expired Responses:

• Aan zorgt ervoor dat verouderde gegevens toch kunnen worden bediend, maar dit kan veiligheidsrisico's inhouden als je vertrouwt op de validiteit van de gegevens.

Extended Statistics:

• Aan voor gedetailleerdere statistieken, maar dit verhoogt de belasting op de server.

Log Level Verbosity:

• 2 of 3 voor gedetailleerde logs. Je kunt dit verhogen naar 4 als je gedetailleerde foutopsporingsinformatie nodig hebt.

Log validation level:

• Minimaal of Fouten voor minder logverkeer, tenzij je actief DNSSEC-validatieproblemen onderzoekt.