UNBOUND-ANCHOR(8) Unbound UNBOUND-ANCHOR(8)

unbound-anchor - ابزار راه‌اندازی و به‌روزرسانی لنگر اعتماد (trust anchor) سرور Unbound

unbound-anchor [opts]

برنامهٔ unbound-anchor عملیات راه‌اندازی یا به‌روزرسانی لنگر اعتماد ریشه (root trust anchor) را برای اعتبارسنجی DNSSEC انجام می‌دهد. این برنامه هنگامی که به‌روزرسانی عادی بر اساس RFC 5011 نتواند لنگر اعتماد را به‌روز کند، آن را با استفاده از روش ارائه‌شده در RFC 7958 دریافت می‌نماید. این ابزار را می‌توان از طریق خط فرمان، یا به عنوان بخشی از اسکریپت‌های راه‌اندازی سیستم پیش از آغاز به کار سرور DNS unbound(8) اجرا نمود.

توجه داشته باشید که اگر می‌خواهید از RFC 5011 در Unbound استفاده کنید (یعنی گزینهٔ auto-trust-anchor-file) تا اطلاعات لنگر اعتماد در حین کار به صورت خودکار توسط Unbound ردیابی شود، کاربری که Unbound تحت آن اجرا می‌شود (به‌طور پیش‌فرض 'unbound') باید مجوزهای نوشتن را روی این فایل و پوشه‌ای که فایل در آن قرار دارد (جهت ایجاد فایل‌های موقت) داشته باشد. در این حالت، احتمالاً مایل خواهید بود که این برنامه را با همان کاربر تعیین‌شده برای Unbound اجرا کنید.

نحوهٔ استفاده پیشنهادی:

# in the init scripts.
# provide or update the root anchor (if necessary)
unbound-anchor -a "/etc/trusted-key.key"
# Please note usage of this root anchor is at your own risk
# and under the terms of our LICENSE (see source).
#
# start validating resolver
# the unbound.conf contains:
# auto-trust-anchor-file: "/etc/trusted-key.key"
unbound -c unbound.conf

این ابزار محتوای پیش‌فرض توکار را برای فایل‌های لنگر ریشه و گواهی به‌روزرسانی ریشه فراهم می‌کند.

این برنامه بررسی می‌کند که آیا فایل لنگر ریشه کار می‌کند یا خیر، و اگر کار نکند و امکان به‌روزرسانی وجود داشته باشد، تلاش می‌کند با استفاده از گواهی به‌روزرسانی ریشه، لنگر ریشه را به‌روز کند. این ابزار یک درخواست دریافت https برای فایل root-anchors.xml ارسال کرده و نتایج را بررسی می‌کند (RFC 7958)؛ در صورت موفقیت‌آمیز بودن تمامی بررسی‌ها، فایل لنگر ریشه را به‌روز می‌نماید. در غیر این صورت، فایل لنگر ریشه دست‌نخورده باقی می‌ماند. همچنین چنانچه اطلاعات DNSSEC در دسترس از طریق سامانه DNS امکان آن را فراهم کند، ردیابی بر اساس RFC 5011 را انجام می‌دهد.

در صورتی که گواهی منقضی شده باشد، شبکه قطع باشد یا خطاهای دیگری رخ دهند، به‌روزرسانی را انجام نمی‌دهد.

گزینه‌های موجود عبارتند از:

فایل کلید لنگر ریشه، که خوانده و نوشته می‌شود. مقدار پیش‌فرض /etc/trusted-key.key است. اگر این فایل وجود نداشته باشد یا خالی باشد، یک کلید ریشه توکار درون آن نوشته می‌شود.
فایل گواهی به‌روزرسانی ریشه، که خوانده می‌شود. مقدار پیش‌فرض /etc/unbound/icannbundle.pem است. اگر فایل وجود نداشته باشد یا خالی باشد، از گواهی توکار استفاده خواهد شد.
فهرست کردن کلید ریشه توکار و گواهی به‌روزرسانی ریشه توکار در خروجی استاندارد (stdout).
نام سرور، که به https://name متصل می‌شود. بدون پیشوند https:// مشخص کنید. مقدار پیش‌فرض "data.iana.org" است. به درگاه مشخص‌شده با گزینهٔ -P متصل می‌شود. در صورت تمایل می‌توانید یک نشانی IPv4 یا IPv6 (بدون براکت) وارد کنید.
عدم استفاده از SNI برای اتصال HTTPS. حالت پیش‌فرض استفاده از SNI است.
نشانی مبدأ جهت مقید شدن (bind) برای تحلیل دامنه و ارتباط با سرور از طریق https. می‌تواند یک نشانی IPv4 یا IPv6 (بدون براکت) باشد.
مسیر دسترسی به فایل root-anchors.xml روی سرور (که همراه با گزینهٔ -u نشانی وب را تشکیل می‌دهد). مقدار پیش‌فرض /root-anchors/root-anchors.xml است.
مسیر دسترسی به فایل root-anchors.p7s روی سرور (که همراه با گزینهٔ -u نشانی وب را تشکیل می‌دهد). مقدار پیش‌فرض /root-anchors/root-anchors.p7s است. این فایل باید یک امضای PKCS7 روی فایل xml باشد که از فایل pem گزینهٔ (-c) به عنوان لنگر اعتماد استفاده می‌کند.
مقدار emailAddress برای موضوع (Subject) گواهی امضاکننده برگرفته از فایل امضای p7s. تنها امضاهای حاصل از این نام مجاز هستند. مقدار پیش‌فرض dnssec@iana.org است. اگر "" وارد کنید، مقدار emailAddress بررسی نمی‌شود.
-4
استفاده از IPv4 برای تحلیل دامنه و ارتباط با سرور از طریق https. حالت پیش‌فرض، استفاده از هر دو پروتکل IPv4 و IPv6 بر حسب صلاحدید و شرایط است.
-6
استفاده از IPv6 برای تحلیل دامنه و ارتباط با سرور از طریق https. حالت پیش‌فرض، استفاده از هر دو پروتکل IPv4 و IPv6 بر حسب صلاحدید و شرایط است.
استفاده از فایل resolv.conf مشخص‌شده. به‌طور پیش‌فرض فعال نیست، اما در برخی سیستم‌ها می‌توانید مسیر /etc/resolv.conf را به آن ارجاع دهید. این فایل حاوی نشانی‌های IP سرورهای بازگشتی نام (recursive nameservers) جهت استفاده است. با این حال، از آنجا که این ابزار ممکن است برای راه‌اندازی اولیه (bootstrap) همان سرور بازگشتی نام استفاده شود، ممکن است مفید واقع نشود (زیرا آن سرور هنوز بالا نیامده است، چرا که در حال راه‌اندازی اولیه‌اش هستیم). این گزینه می‌تواند در شرایطی که می‌دانید یک حافظه نهان بالادستی (upstream cache) مستقر و در حال اجرا است، و نیز در پورتال‌های درون‌شبکه‌ای (captive portals) مفید باشد.
استفاده از فایل root.hints مشخص‌شده (با همان ساختار نگارشی فایل نکات ریشه در BIND و Unbound) جهت راه‌اندازی اولیه تحلیل دامنه. به‌طور پیش‌فرض، از فهرستی از نکات ریشه (root hints) توکار استفاده می‌شود. ابزار unbound-anchor خود مستقیماً به شبکه مراجعه می‌کند تا این ریشه‌ها را بررسی کرده، سرور (گزینهٔ -u) را تحلیل نموده و رکوردهای DNSKEY ریشه را بررسی کند. این کار از آن جهت است که وقتی ابزار برای راه‌اندازی اولیه تحلیل‌گر بازگشتی به کار می‌رود، خود نمی‌تواند از آن تحلیل‌گر استفاده کند چون در حال راه‌اندازی اولیه آن است.
امکان بازگشت به حالت احتیاطی (fallback) از فایل -f <resolv.conf> به پرس‌وجوی مستقیم سرورهای ریشه. این گزینه به شما اجازه می‌دهد تحلیل‌گرهای محلی را ترجیح دهید، اما در صورت عدم پاسخگویی آن‌ها یا عدم پشتیبانی‌شان از DNSSEC، به‌طور خودکار به پرس‌وجوی مستقیم از سرورهای ریشه بازگردید.
افزایش جزئیات گزارش (verbose). یک بار استفاده، پیام‌های اطلاعاتی را چاپ می‌کند؛ استفاده چندباره ممکن است مقادیر زیادی داده اشکال‌زدایی (مانند گواهی‌های کامل یا رونوشت بایت‌های فایل‌های بارگیری‌شده) را نمایش دهد. به‌طور پیش‌فرض تقریباً چیزی چاپ نمی‌کند. همچنین هنگام وقوع خطا نیز به‌طور پیش‌فرض چیزی چاپ نمی‌کند؛ در این حالت فایل اصلی لنگر ریشه دست‌نخورده باقی می‌ماند تا یک سرور بازگشتی بتواند بلافاصله پس از آن راه‌اندازی شود.
گزینه اشکال‌زدایی جهت خواندن <unbound.conf> در فرایند تحلیل‌گر مورد استفاده.
تنظیم شماره درگاه برای اتصال https. مقدار پیش‌فرض 443 است.
گزینه اشکال‌زدایی برای اجبار به به‌روزرسانی لنگر ریشه از طریق بارگیری فایل xml و اعتبارسنجی آن با استفاده از گواهی. به‌طور پیش‌فرض ابتدا تلاش می‌کند با ارتباط با سامانه DNS به‌روزرسانی کند که پهنای باند بسیار کمتری مصرف کرده، بسیار سریع‌تر است (۲۰۰ میلی‌ثانیه به جای ۲ ثانیه)، و بار کمتری به زیرساخت مستقر وارد می‌کند. با این گزینه، همچنان تلاش می‌کند این کار را انجام دهد (و ممکن است به صورت مفصل گزارش دهد)، اما سپس نتیجه را نادیده گرفته و به سراغ روش بازگشتی استفاده از xml می‌رود.
نمایش نسخه و راهنمای گزینه‌های خط فرمان.

این ابزار اگر لنگر ریشه با استفاده از گواهی به‌روزرسانی شده باشد، یا اگر از لنگر ریشه توکار استفاده شده باشد، با مقدار 1 خارج می‌شود. چنانچه هیچ به‌روزرسانی نیاز نبوده باشد، یا به‌روزرسانی با ردیابی RFC 5011 امکان‌پذیر بوده باشد، یا خطایی رخ داده باشد، با کد 0 خارج می‌شود.

می‌توانید مقدار خروج را به این صورت بررسی کنید:

unbound-anchor -a "root.key" || logger "Please check root.key"

یا روشی مناسب‌تر برای محیط عملیاتی خود به کار ببرید.

کلیدهای ریشه و گواهی به‌روزرسانی ارائه‌شده در این ابزار صرفاً جهت سهولت و بر اساس شرایط مجوز ما فراهم شده‌اند (به فایل LICENSE در توزیع منبع یا https://github.com/NLnetLabs/unbound/blob/master/LICENSE مراجعه کنید) و ممکن است منقضی شده یا برای مقصود شما مناسب نباشند.

با اجرای دستور unbound-anchor -l کلیدها و گواهی‌های پیکربندی‌شده در کد، جهت سهولت شما نمایش داده می‌شوند.

پیکربندی توکار را می‌توان با ارائهٔ یک فایل root-cert و یک فایل rootkey جایگزین کرد.

/etc/trusted-key.key
فایل لنگر ریشه، که با ردیابی ۵۰۱۱ به‌روزرسانی شده و خوانده و نوشته می‌شود. اگر این فایل وجود نداشته باشد، ایجاد خواهد شد.
/etc/unbound/icannbundle.pem
گواهی خودامضاشدهٔ مورد اعتماد که برای راستی‌آزمایی لنگر اعتماد ریشه DNSSEC بارگیری‌شده به کار می‌رود. می‌توانید با دریافت آن از نشانی https://data.iana.org/root-anchors/icannbundle.pem آن را به‌روزرسانی کنید (و اعتبارسنجی نمایید). اگر فایل وجود نداشته باشد یا خالی باشد، از نسخه توکار استفاده می‌شود.
منبع اطلاعات کلید ریشه.
امضای موجود بر روی اطلاعات کلید ریشه.

unbound.conf(5), unbound(8).

توسعه‌دهندگان Unbound در فایل CREDITS درون توزیع برنامه ذکر شده‌اند.

1999-2026, NLnet Labs

August 4, 2026 1.26.0