.\" Man page generated from reStructuredText.
.
.
.nr rst2man-indent-level 0
.
.de1 rstReportMargin
\\$1 \\n[an-margin]
level \\n[rst2man-indent-level]
level margin: \\n[rst2man-indent\\n[rst2man-indent-level]]
-
\\n[rst2man-indent0]
\\n[rst2man-indent1]
\\n[rst2man-indent2]
..
.de1 INDENT
.\" .rstReportMargin pre:
. RS \\$1
. nr rst2man-indent\\n[rst2man-indent-level] \\n[an-margin]
. nr rst2man-indent-level +1
.\" .rstReportMargin post:
..
.de UNINDENT
. RE
.\" indent \\n[an-margin]
.\" old: \\n[rst2man-indent\\n[rst2man-indent-level]]
.nr rst2man-indent-level -1
.\" new: \\n[rst2man-indent\\n[rst2man-indent-level]]
.in \\n[rst2man-indent\\n[rst2man-indent-level]]u
..
.TH "UNBOUND.CONF" "5" "Aug  4, 2026" "1.26.0" "Unbound"
.SH "نام (NAME)"
unbound.conf \- پرونده پیکربندی Unbound 1.26.0\&.
.SH "خلاصه دستور (SYNOPSIS)"
.sp
\fBunbound.conf\fP
.SH "توضیحات (DESCRIPTION)"
.sp
\fBunbound.conf\fP برای پیکربندی \fI\%unbound(8)\fP استفاده می‌شود\&.
.sp
ابزار \fI\%unbound\-checkconf(8)\fP می‌تواند برای بررسی \fBunbound.conf\fP پیش از استفاده به کار رود\&.
.SH "قالب فایل (FILE FORMAT)"
.sp
فاصله خالی برای جداسازی کلیدواژه‌ها استفاده می‌شود.
دندانه‌گذاری با فاصله خالی بی‌اهمیت است، اما همچنان برای خوانایی بصری توصیه می‌شود.
توضیحات با \fB#\fP آغاز شده و تا پایان خط ادامه دارند.
خطوط خالی نادیده گرفته می‌شوند، همان‌طور که فاصله‌های خالی در ابتدای خط نادیده گرفته می‌شوند.
.sp
کلیدواژه‌های مشخصه با دو نقطه (\fB:\fP) پایان می‌یابند و یا گزینه هستند یا بندهای بخش (که گزینه‌ها را با هم گروه‌بندی می‌کنند).
.sp
پرونده پیکربندی از نظر منطقی به \fBبخش‌ها\fP تقسیم می‌شود که هر بخش با یک \fI\%بند بخش\fP معرفی می‌گردد\&.
.SH "مثال (EXAMPLE)"
.sp
یک پرونده پیکربندی کمینه نمونه در زیر نشان داده شده است؛ بیشتر تنظیمات همان مقادیر پیش‌فرض هستند.
این را در \fB/etc/unbound/unbound.conf\fP کپی کنید و سرور را با دستور زیر راه‌اندازی نمایید:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
$ unbound \-c /etc/unbound/unbound.conf
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
سرور را با دستور زیر متوقف کنید:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
$ kill \(gacat /run/unbound.pid\(ga
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
توزیع منبع شامل یک پرونده گسترده \fBexample.conf\fP با تمام گزینه‌ها است.
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
# unbound.conf(5) config file for unbound(8).
server:
    directory: \(dq/etc/unbound\(dq
    username: unbound
    # مطمئن شوید unbound می‌تواند از داخل chroot به آنتروپی دسترسی داشته باشد.
    # برای نمونه در لینوکس از این دستورها استفاده کنید (در BSD از devfs(8) استفاده می‌شود):
    #      mount \-\-bind \-n /dev/urandom /etc/unbound/dev/urandom
    # و  mount \-\-bind \-n /dev/log /etc/unbound/dev/log
    chroot: \(dq/etc/unbound\(dq
    # logfile: \(dq/etc/unbound/unbound.log\(dq  # برای استفاده از پرونده لاگ از حالت کامنت خارج کنید.
    pidfile: \(dq/run/unbound.pid\(dq
    # verbosity: 1      # برای ثبت لاگ بیشتر، از حالت کامنت خارج کرده و افزایش دهید.
    # روی تمام رابط‌ها گوش دهید، به پرس‌وجوهای زیرشبکه محلی پاسخ دهید.
    interface: 0.0.0.0
    interface: ::0
    access\-control: 10.0.0.0/8 allow
    access\-control: 2001:db8::/64 allow
.ft P
.fi
.UNINDENT
.UNINDENT
.SH "بندهای بخش (SECTION CLAUSES)"
.sp
بندهای بخش شناخته‌شده عبارتند از:
.INDENT 0.0
.INDENT 3.5
.INDENT 0.0
.TP
.B \fI\%server:\fP
بیشتر پیکربندی در این بخش قرار دارد.
.TP
.B \fI\%remote\-control:\fP
پیکربندی برای امکانی که توسط \fI\%unbound\-control(8)\fP استفاده می‌شود\&.
.TP
.B \fI\%stub\-zone:\fP
پیکربندی برای ناحیه‌ای که به سرورهای نام مجاز مشخص هدایت مجدد می‌کند، برای نمونه برای ناحیه‌هایی که عموماً در اینترنت گسترده‌تر در دسترس نیستند.
.TP
.B \fI\%forward\-zone:\fP
پیکربندی برای ناحیه‌ای که به تحلیل‌کننده‌های DNS مشخص فوروارد می‌کند.
.TP
.B \fI\%auth\-zone:\fP
پیکربندی برای ناحیه‌های مجاز محلی.
.TP
.B \fI\%view:\fP
بازنویسی زیرمجموعه کوچکی از پیکربندی برای درخواست‌های ورودی.
درخواست‌ها با \fI\%access\-control\-view\fP و \fI\%interface\-view\fP به نماها نگاشت می‌شوند\&.
.TP
.B \fI\%python:\fP
پیکربندی برای ماژول اسکریپت اختیاری \fBpython\fP.
.TP
.B \fI\%dynlib:\fP
پیکربندی برای ماژول اختیاری \fBdynlib\fP که کتابخانه‌های پویا را در Unbound بارگذاری می‌کند.
.TP
.B \fI\%dnscrypt:\fP
پیکربندی برای قابلیت اختیاری DNSCrypt.
.TP
.B \fI\%cachedb:\fP
پیکربندی برای ماژول اختیاری \fBcachedb\fP که می‌تواند با کش‌های سطح دوم ارتباط برقرار کند، در حال حاضر Redis یا پایگاه‌های داده سازگار با Redis.
.TP
.B \fI\%dnstap:\fP
پیکربندی قابلیت اختیاری ثبت لاگ dnstap؛ یک قالب لاگ دودویی انعطاف‌پذیر و ساختاریافته برای نرم‌افزارهای DNS.
.TP
.B \fI\%rpz:\fP
پیکربندی برای ناحیه‌های سیاست پاسخ که پالایش DNS را امکان‌پذیر می‌سازد.
به ماژول \fBrespip\fP نیاز دارد.
.UNINDENT
.UNINDENT
.UNINDENT
.sp
بندهای بخش می‌توانند در سراسر پرونده (یا پرونده‌های گنجانده‌شده) تکرار شوند تا گزینه‌ها را به صورت منطقی در یک گروه منسجم بصری دسته‌بندی کنند.
این امر ممکن است به‌ویژه برای بند \fBserver:\fP با انبوه گزینه‌هایش بسیار مفید باشد.
.SH "شامل کردن فایل‌ها (INCLUDING FILES)"
.sp
پرونده‌ها را می‌توان با دستورالعمل \fBinclude:\fP شامل کرد.
می‌تواند در هر جایی ظاهر شود، نام یک پرونده منفرد را به عنوان آرگومان می‌پذیرد.
پردازش به گونه‌ای ادامه می‌یابد که گویی متن پرونده گنجانده‌شده در همان نقطه در پرونده پیکربندی کپی شده است.
در صورت استفاده همزمان از \fI\%chroot\fP، استفاده از نام‌های مسیر کامل برای پرونده‌های گنجانده‌شده کار می‌کند؛ نام‌های مسیر نسبی برای نام‌های گنجانده‌شده در صورتی کار می‌کنند که دایرکتوری محل راه‌اندازی دیمون با chroot/دایرکتوری کاری آن یکسان باشد یا پیش از عبارت include با \fI\%directory: dir\fP مشخص شده باشد\&.
می‌توان از کاراکترهای عمومی (Wildcards) برای شامل کردن چندین پرونده استفاده کرد، \fIglob(7)\fP را ببینید\&.
.sp
برای گزینه‌ای ساختاریافته‌تر جهت شمول، می‌توان از دستورالعمل \fBinclude\-toplevel:\fP استفاده کرد.
این دستورالعمل هر بند بخشی را که هم‌اکنون فعال است (در صورت وجود) می‌بندد و استفاده از بندهای بخش را در پرونده‌های گنجانده‌شده و بلافاصله پس از این دستورالعمل الزامی می‌کند.
.SH "گزینه‌های سرور (SERVER OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBserver:\fP هستند.
.INDENT 0.0
.TP
.B verbosity: \fI<number>\fP
سطح پرگویی.
.INDENT 7.0
.TP
.B Level 0
بدون پرگویی، فقط خطاها.
.TP
.B Level 1
اطلاعات عملیاتی را ارائه می‌دهد.
.TP
.B Level 2
اطلاعات عملیاتی تفصیلی شامل اطلاعات کوتاه به ازای هر پرس‌وجو را ارائه می‌دهد.
.TP
.B Level 3
اطلاعات سطح پرس‌وجو، خروجی به ازای هر پرس‌وجو را ارائه می‌دهد.
.TP
.B Level 4
اطلاعات سطح الگوریتم را ارائه می‌دهد.
.TP
.B Level 5
شناسایی کلاینت را برای موارد عدم تطابق در کش (Cache Misses) لاگ می‌کند.
.UNINDENT
.sp
پرگویی را همچنین می‌توان از خط فرمان و در زمان اجرا از طریق کنترل از راه دور افزایش داد. به ترتیب \fI\%unbound(8)\fP و \fI\%unbound\-control(8)\fP را ببینید\&.
.sp
پیش‌فرض: 1
.UNINDENT
.INDENT 0.0
.TP
.B statistics\-interval: \fI<seconds>\fP
تعداد ثانیه‌های میان چاپ آمار در لاگ برای هر نخ.
با مقدار \fB0\fP یا \fB\(dq\(dq\fP غیرفعال می‌شود\&.
آمار هیستوگرام تنها در صورتی چاپ می‌شود که در طول بازه آمار پاسخ‌هایی ارسال شده باشد، آمار requestlist برای هر بازه چاپ می‌شود (اما می‌تواند 0 باشد).
این به این دلیل است که محاسبه میانه نیازمند حضور داده‌ها است.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B statistics\-cumulative: \fI<yes or no>\fP
در صورت فعال بودن، آمار از زمان شروع Unbound تجمیعی است، بدون اینکه شمارنده‌های آماری پس از ثبت لاگ آمار پاک شوند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B extended\-statistics: \fI<yes or no>\fP
در صورت فعال بودن، آمارهای گسترده از \fI\%unbound\-control(8)\fP چاپ می‌شوند\&.
شمارنده‌ها در \fI\%unbound\-control(8)\fP فهرست شده‌اند\&.
ردیابی آمارهای بیشتر زمان‌بر است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B statistics\-inhibit\-zero: \fI<yes or no>\fP
در صورت فعال بودن، از چاپ آمارهای گسترده انتخابی با مقدار 0 در \fI\%unbound\-control(8)\fP جلوگیری می‌شود\&.
این‌ها شامل انواع پرس‌وجو، کلاس‌های پرس‌وجو، کدهای عملیات پرس‌وجو، ردهای پاسخ (به جز NOERROR، FORMERR، SERVFAIL، NXDOMAIN، NOTIMPL، REFUSED) و اقدامات RPZ هستند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B num\-threads: \fI<number>\fP
تعداد نخ‌ها برای ایجاد جهت خدمت‌رسانی به کلاینت‌ها. برای عدم استفاده از چندنخی از 1 استفاده کنید.
.sp
پیش‌فرض: 1
.UNINDENT
.INDENT 0.0
.TP
.B port: \fI<port number>\fP
شماره درگاهی که سرور روی آن به پرس‌وجوها پاسخ می‌دهد.
.sp
پیش‌فرض: 53
.UNINDENT
.INDENT 0.0
.TP
.B interface: \fI<IP address or interface name[@port]>\fP
رابط مورد استفاده برای اتصال به شبکه.
این رابط برای دریافت پرس‌وجوهای کلاینت‌ها شنود می‌شود و پاسخ‌ها به کلاینت‌ها از آن داده می‌شود.
می‌تواند چندین بار برای کار روی چندین رابط مشخص شود.
اگر هیچ‌کدام داده نشود، پیش‌فرض شنود روی localhost است.
.sp
اگر به جای آدرس IP از نام یک رابط استفاده شود، فهرست آدرس‌های IP روی آن رابط استفاده می‌شود.
رابط‌ها با بارگذاری مجدد (\fBkill \-HUP\fP) تغییر نمی‌کنند، بلکه تنها با راه‌اندازی مجدد تغییر می‌یابند.
.sp
شماره درگاه می‌تواند با @port (بدون فاصله میان رابط و شماره درگاه) مشخص شود، اگر مشخص نشود از درگاه پیش‌فرض (از \fI\%port\fP) استفاده می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B ip\-address: \fI<IP address or interface name[@port]>\fP
مشابه \fI\%interface\fP (برای سازگاری آسان با \fI\%nsd.conf(5)\fP)\&.
.UNINDENT
.INDENT 0.0
.TP
.B interface\-automatic: \fI<yes or no>\fP
روی تمام آدرس‌ها در تمام رابط‌ها (فعلی و آینده) شنود می‌کند، رابط مبدا را در پرس‌وجوهای UDP شناسایی کرده و آن‌ها را در پاسخ‌ها کپی می‌کند.
این گزینه بسیار شبیه به \fI\%ip\-transparent\fP است، اما این گزینه به تمام رابط‌ها خدمت‌رسانی می‌کند در حالی که با \fI\%ip\-transparent\fP می‌توانید انتخاب کنید Unbound روی کدام رابط‌ها (آینده) خدمات ارائه دهد.
این قابلیت آزمایشی است و نیازمند پشتیبانی سیستم‌عامل شما از گزینه‌های سوکت خاص است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B interface\-automatic\-ports: \fI\(dq<string>\(dq\fP
فهرست شماره درگاه‌هایی که \fI\%interface\-automatic\fP روی آن‌ها شنود می‌کند.
در صورت خالی بودن، روی درگاه پیش‌فرض شنود می‌شود.
شماره‌های درگاه با فاصله در رشته جدا می‌شوند.
.sp
از این گزینه می‌توان استفاده کرد تا رابط خودکار با رابط کار کند و با گنجاندن درگاه معمولی در فهرست، روی آن شنود کند، و همچنین با قرار دادن شماره درگاه‌های HTTPS یا DNS\-over\-TLS در فهرست، روی آن‌ها نیز شنود نماید.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B outgoing\-interface: \fI<IPv4/IPv6 address or IPv6 netblock>\fP
رابط مورد استفاده برای اتصال به شبکه.
این رابط برای ارسال پرس‌وجوها به سرورهای مجاز و دریافت پاسخ‌های آن‌ها استفاده می‌شود.
می‌تواند چندین بار برای کار روی چندین رابط مشخص شود.
اگر هیچ‌کدام داده نشود از پیش‌فرض (همه) استفاده می‌شود.
می‌توانید همان رابط‌ها را در خطوط \fI\%interface\fP و \fI\%outgoing\-interface\fP مشخص کنید، در این صورت رابط‌ها برای هر دو منظور استفاده می‌شوند.
پرس‌وجوهای خروجی از طریق یک رابط خروجی تصادفی ارسال می‌شوند تا با جعل مقابله شود.
.sp
اگر به جای یک آدرس IPv6 منفرد، یک بلوک شبکه IPv6 مشخص شود، پرس‌وجوهای خروجی UDP از یک آدرس مبدا تصادفی برگرفته از بلوک شبکه برای مقابله با جعل استفاده خواهند کرد.
نیاز دارد که بلوک شبکه IPv6 به سمت میزبان اجراکننده Unbound مسیریابی شده باشد و نیازمند پشتیبانی سیستم‌عامل از اتصال‌های محلی غیرمجاز (non\-local binds) بدون امتیاز است (در حال حاضر فقط در لینوکس پشتیبانی می‌شود).
چندین بلوک شبکه را می‌توان با چندین گزینه \fI\%outgoing\-interface\fP مشخص کرد، اما همزمان یک آدرس IPv6 منفرد و یک بلوک شبکه IPv6 را مشخص نکنید، در غیر این صورت تصادفی‌سازی به خطر می‌افتد.
برای افزایش احتمال انتخاب سرورهای نام IPv6 برای پرس‌وجوها، ترکیب آن با \fI\%prefer\-ip6: yes\fP را در نظر بگیرید.
در لینوکس برای اینکه بتوانید از گزینه سوکت freebind برای دریافت ترافیک بلوک شبکه ip6 استفاده کنید، به این دو دستور نیاز دارید:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
ip \-6 addr add mynetblock/64 dev lo && \e
ip \-6 route add local mynetblock/64 dev lo
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B outgoing\-range: \fI<number>\fP
تعداد درگاه‌ها برای باز کردن.
این تعداد توصیف‌کننده فایل می‌تواند به ازای هر نخ باز شود.
باید حداقل 1 باشد.
پیش‌فرض به گزینه‌های کامپایل بستگی دارد.
اعداد بزرگ‌تر نیازمند منابع اضافی از سیستم‌عامل هستند.
برای کارایی یک مقدار بسیار بزرگ بهترین است، از libevent برای امکان‌پذیر ساختن این امر استفاده کنید.
باید بالاتر (ترجیحاً دو برابر) مقدار \fI\%num\-queries\-per\-thread\fP باشد تا مواردی را که فهرست درخواست‌ها پر است پوشش دهد و از قحطی توصیف‌کننده فایل جلوگیری کند.
.sp
پیش‌فرض: 4096 (libevent) / 960 (minievent) / 48 (windows)
.UNINDENT
.INDENT 0.0
.TP
.B outgoing\-port\-permit: \fI<port number or range>\fP
به Unbound اجازه می‌دهد این درگاه یا محدوده درگاه‌ها را برای ارسال پرس‌وجوها باز کند.
تعداد بیشتر درگاه‌های خروجی مجاز، انعطاف‌پذیری در برابر تلاش‌های جعل را افزایش می‌دهد.
اطمینان حاصل کنید که این درگاه‌ها توسط دیمون‌های دیگر مورد نیاز نباشند.
به‌طور پیش‌فرض تنها درگاه‌های بالای 1024 که توسط IANA تخصیص نیافته‌اند استفاده می‌شوند.
یک شماره درگاه یا محدوده‌ای به شکل \(dqlow\-high\(dq بدون فاصله وارد کنید.
.sp
عبارت‌های \fI\%outgoing\-port\-permit\fP و \fI\%outgoing\-port\-avoid\fP به ترتیب خطوط پرونده پیکربندی پردازش می‌شوند؛ درگاه‌های مجاز را اضافه و درگاه‌های اجتناب‌شده را از مجموعه درگاه‌های مجاز کم می‌کنند.
پردازش با درگاه‌های تخصیص‌نیافته توسط IANA بالای 1024 در مجموعه درگاه‌های مجاز آغاز می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B outgoing\-port\-avoid: \fI<port number or range>\fP
به Unbound اجازه باز کردن این درگاه یا محدوده درگاه‌ها را برای ارسال پرس‌وجوها نمی‌دهد.
از این گزینه استفاده کنید تا مطمئن شوید Unbound درگاهی را که دیمون دیگری نیاز دارد تصاحب نمی‌کند.
از درگاه در تمام رابط‌های خروجی، هم IPv4 و هم IPv6، اجتناب می‌شود.
به‌طور پیش‌فرض تنها درگاه‌های بالای 1024 که توسط IANA تخصیص نیافته‌اند استفاده می‌شوند.
یک شماره درگاه یا محدوده‌ای به شکل \(dqlow\-high\(dq بدون فاصله وارد کنید.
.UNINDENT
.INDENT 0.0
.TP
.B outgoing\-num\-tcp: \fI<number>\fP
تعداد بافرهای خروجی TCP برای تخصیص به ازای هر نخ.
اگر روی 0 تنظیم شود، یا اگر \fI\%do\-tcp: no\fP تنظیم شده باشد، هیچ پرس‌وجوی TCP به سرورهای مجاز انجام نمی‌شود.
برای سامانه‌های بزرگ‌تر افزایش این مقدار ایده خوبی است.
.sp
پیش‌فرض: 10
.UNINDENT
.INDENT 0.0
.TP
.B incoming\-num\-tcp: \fI<number>\fP
تعداد بافرهای ورودی TCP برای تخصیص به ازای هر نخ.
اگر روی 0 تنظیم شود، یا اگر \fI\%do\-tcp: no\fP تنظیم شده باشد، هیچ پرس‌وجوی TCP از کلاینت‌ها پذیرفته نمی‌شود.
برای سامانه‌های بزرگ‌تر افزایش این مقدار ایده خوبی است.
.sp
پیش‌فرض: 10
.UNINDENT
.INDENT 0.0
.TP
.B edns\-buffer\-size: \fI<number>\fP
تعداد بایت‌های اندازه برای اعلام به عنوان اندازه بافر بازسرهم‌بندی EDNS.
این مقداری است که در دیتاگرام‌های روی UDP به سمت همتایان قرار می‌گیرد.
اندازه واقعی بافر توسط \fI\%msg\-buffer\-size\fP (هم برای TCP و هم UDP) تعیین می‌شود.
بزرگ‌تر از آن مقدار تنظیم نکنید.
تنظیم روی 512 حتی سخت‌گیرانه‌ترین مشکلات مسیر MTU را دور می‌زند، اما افراطی تلقی می‌شود، زیرا حجم بازگشت به TCP ایجاد شده بیش از حد است (احتمالاً برای این تحلیل‌کننده نیز تنظیم \fI\%outgoing\-num\-tcp\fP را در نظر بگیرید).
.sp
پیش‌فرض: 1232 (\fI\%توصیه DNS Flag Day 2020\fP)
.UNINDENT
.INDENT 0.0
.TP
.B max\-udp\-size: \fI<number>\fP
حداکثر اندازه پاسخ UDP (روی پاسخ TCP اعمال نمی‌شود).
مقدار 65536 حداکثر اندازه پاسخ UDP را غیرفعال کرده و همیشه از انتخاب کلاینت استفاده می‌کند.
مقادیر پیشنهادی 512 تا 4096 هستند.
.sp
پیش‌فرض: 1232 (مشابه \fI\%edns\-buffer\-size\fP)
.UNINDENT
.INDENT 0.0
.TP
.B stream\-wait\-size: \fI<number>\fP
حداکثر تعداد بایت‌های اندازه برای استفاده جهت بافرهای جریان در انتظار.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
از آنجا که جریان‌های TCP و TLS چندین نتیجه را صف‌بندی می‌کنند، مقدار حافظه استفاده‌شده برای این بافرها از این عدد فراتر نمی‌رود، در غیر این صورت پاسخ‌ها دور ریخته می‌شوند.
این امر کل مصرف حافظه سرور را (تحت بار سنگین) مدیریت می‌کند؛ تعداد درخواست‌هایی که می‌توانند به ازای هر اتصال در صف قرار گیرند نیز محدود است و درخواست‌های بیشتر در بافرهای TCP منتظر می‌مانند.
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B msg\-buffer\-size: \fI<number>\fP
تعداد بایت‌های اندازه بافرهای پیام.
پیش‌فرض 65552 بایت است، کافی برای بسته‌های 64 کیلوبایتی که حداکثر اندازه پیام DNS است.
هیچ پیامی بزرگ‌تر از این نمی‌تواند ارسال یا دریافت شود.
می‌تواند برای استفاده از حافظه کمتر کاهش یابد، اما برخی درخواست‌ها برای داده‌های DNS، مانند رکوردهای منبع حجیم، منجر به پاسخ SERVFAIL به کلاینت خواهد شد.
.sp
پیش‌فرض: 65552
.UNINDENT
.INDENT 0.0
.TP
.B msg\-cache\-size: \fI<number>\fP
تعداد بایت‌های اندازه کش پیام.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B msg\-cache\-slabs: \fI<number>\fP
تعداد اسلب‌ها در کش پیام.
اسلب‌ها رقابت قفل توسط نخ‌ها را کاهش می‌دهند.
باید روی توانی از 2 تنظیم شود.
تنظیم (نزدیک) به تعداد پردازنده‌ها تنظیم نسبتاً مناسبی است.
اگر بدون پیکربندی رها شود، در محیط‌های چندنخی به‌طور خودکار روی توانی از 2 نزدیک به تعداد نخ‌های پیکربندی‌شده تنظیم می‌شود.
.sp
پیش‌فرض: (پیکربندی‌نشده)
.UNINDENT
.INDENT 0.0
.TP
.B num\-queries\-per\-thread: \fI<number>\fP
تعداد پرس‌وجوهایی که هر نخ به طور همزمان به آن‌ها خدمت‌رسانی می‌کند.
اگر پرس‌وجوهای بیشتری برسند که نیازمند خدمت‌رسانی باشند و نتوان هیچ پرس‌وجویی را بیرون راند (\fI\%jostle\-timeout\fP را ببینید)، پرس‌وجوها دور ریخته می‌شوند.
این امر کلاینت را وادار می‌کند پس از اتمام مهلت دوباره ارسال کند؛ و به سرور زمان می‌دهد تا روی پرس‌وجوهای موجود کار کند.
پیش‌فرض به گزینه‌های کامپایل بستگی دارد.
.sp
پیش‌فرض: 2048 (libevent) / 512 (minievent) / 24 (windows)
.UNINDENT
.INDENT 0.0
.TP
.B jostle\-timeout: \fI<msec>\fP
مهلت زمانی مورد استفاده هنگامی که سرور بسیار شلوغ است.
روی مقداری تنظیم کنید که معمولاً منجر به یک رفت و برگشت به سرورهای مجاز شود.
.sp
اگر پرس‌وجوهای بیش از حد زیادی برسند، 50% از پرس‌وجوها اجازه دارند تا پایان اجرا شوند، و 50% دیگر در صورتی که زمان مجاز خود را سپری کرده باشند با پرس‌وجوی ورودی جدید جایگزین می‌شوند.
این کار در برابر محروم‌سازی از سرویس (DoS) توسط پرس‌وجوهای کند یا نرخ‌های بالای پرس‌وجو محافظت می‌کند.
.sp
تاثیر آن این است که qps برای پرس‌وجوهای طولانی‌مدت تقریباً عبارت است از:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
(num\-queries\-per\-thread / 2) / (average time for such long queries) qps
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
مقدار qps برای پرس‌وجوهای کوتاه می‌تواند تقریباً به این صورت باشد:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
(num\-queries\-per\-thread / 2) / (jostle\-timeout in whole seconds) qps per thread
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
به طور پیش‌فرض حدود (2048/2)*5 = 5120 qps.
.sp
پیش‌فرض: 200
.UNINDENT
.INDENT 0.0
.TP
.B delay\-close: \fI<msec>\fP
تاخیر اضافی برای درگاه‌های UDP منقضی‌شده پیش از بسته شدن آن‌ها، بر حسب میلی‌ثانیه.
این امر از برخورد بسته‌های پاسخ بسیار تاخیردار از سرورهای بالادست (بازگشتی) به درگاه‌های بسته و فعال شدن انواع شمارنده‌های درگاه بسته جلوگیری می‌کند، برای نمونه با 1500 میلی‌ثانیه.
هنگام وقوع انقضاها شما به سوکت‌های اضافی نیاز دارید؛ شناسه و IP راه دور بسته‌ها را بررسی می‌کند و بسته‌های ناخواسته به شمارنده بسته‌های ناخواسته اضافه می‌شوند.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B udp\-connect: \fI<yes or no>\fP
اجرای \fIconnect(2)\fP برای سوکت‌های UDP که نشت کانال جانبی ICMP را کاهش می‌دهد.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B unknown\-server\-time\-limit: \fI<msec>\fP
زمان انتظار بر حسب میلی‌ثانیه برای پاسخ یک سرور ناشناخته.
اگر پشت یک پیوند ماهواره‌ای کند قرار دارید، این مقدار را افزایش دهید، برای نمونه به 1128.
این کار از ارسال مجدد هر پرس‌وجوی اولیه به دلیل انقضای مهلت جلوگیری می‌کند.
.sp
پیش‌فرض: 376
.UNINDENT
.INDENT 0.0
.TP
.B discard\-timeout: \fI<msec>\fP
زمان انتظار بر حسب میلی‌ثانیه که در آن درخواست‌های بازگشتی دور ریخته می‌شوند.
این امر برای جلوگیری از تجمع تعداد زیادی پاسخ است.
آن‌ها هیچ پاسخی دریافت نمی‌کنند و مورد کاری به بازگشت ادامه می‌دهد.
برای UDP پاسخ‌ها دور ریخته می‌شوند، برای اتصالات جریانی اگر اتصال جریانی همچنان باز و آماده دریافت پاسخ‌ها باشد پاسخ دور ریخته نمی‌شود.
خوب است که کمی بزرگ‌تر از \fI\%serve\-expired\-client\-timeout\fP باشد در صورتی که آن گزینه فعال باشد.
مقدار \fB1900\fP میلی‌ثانیه پیشنهاد می‌شود.
مقدار \fB0\fP آن را غیرفعال می‌کند.
.sp
پیش‌فرض: 1900
.UNINDENT
.INDENT 0.0
.TP
.B wait\-limit: \fI<number>\fP
تعداد پاسخ‌هایی که می‌توانند برای یک آدرس IP در انتظار بازگشت بمانند.
این گزینه یک محدودیت نرخ به ازای هر آدرس IP برای پاسخ‌های در انتظار بازگشت ایجاد می‌کند.
این امر از انتظار تعداد بسیار زیاد پرس‌وجوها برای بازگردانده شدن به یک مقصد جلوگیری می‌کند.
مقدار \fB0\fP تمام محدودیت‌های انتظار را غیرفعال می‌کند.
.sp
پیش‌فرض: 1000
.UNINDENT
.INDENT 0.0
.TP
.B wait\-limit\-cookie: \fI<number>\fP
تعداد پاسخ‌هایی که می‌توانند برای یک آدرس IP که پرس‌وجو را همراه با یک کوکی DNS معتبر ارسال کرده است، در انتظار بازگشت بمانند.
از آنجا که کوکی پیشاپیش آدرس کلاینت را اعتبارسنجی می‌کند، این گزینه اجازه می‌دهد مقدار پیکربندی‌شده
\fI\%wait\-limit\fP
معمولاً با مقداری بالاتر برای پرس‌وجوهای اعتبارسنجی‌شده با کوکی بازنویسی شود.
مقدار \fB0\fP محدودیت‌های انتظار را برای پرس‌وجوهای اعتبارسنجی‌شده با کوکی غیرفعال می‌کند.
.sp
پیش‌فرض: 10000
.UNINDENT
.INDENT 0.0
.TP
.B wait\-limit\-netblock: \fI<netblock>\fP \fI<number>\fP
محدودیت انتظار برای بلوک شبکه.
اگر داده نشود از مقدار
\fI\%wait\-limit\fP
استفاده می‌شود.
خاص‌ترین بلوک شبکه برای تعیین محدودیت استفاده می‌شود.
برای بازنویسی مقدار پیش‌فرض برای یک سرور خاص، گروهی یا انفرادی، مفید است.
مقدار \fB\-1\fP محدودیت‌های انتظار را برای بلوک شبکه غیرفعال می‌کند.
به‌طور پیش‌فرض رابط loopback دارای محدودیت انتظار بلوک شبکه \fB\-1\fP است، محدود نمی‌شود، زیرا برای بسته‌های جعلی از بقیه شبکه جدا شده است.
آدرس‌های loopback شامل \fB127.0.0.0/8\fP و \fB::1/128\fP به‌طور پیش‌فرض روی \fB\-1\fP هستند\&.
.sp
پیش‌فرض: (هیچ‌کدام)
.UNINDENT
.INDENT 0.0
.TP
.B wait\-limit\-cookie\-netblock: \fI<netblock>\fP \fI<number>\fP
محدودیت انتظار برای بلوک شبکه، هنگامی که پرس‌وجو حاوی کوکی DNS است.
اگر داده نشود، از مقدار
\fI\%wait\-limit\-cookie\fP
استفاده می‌شود.
مقدار \fB\-1\fP محدودیت‌های انتظار را برای بلوک شبکه غیرفعال می‌کند.
آدرس‌های loopback شامل \fB127.0.0.0/8\fP و \fB::1/128\fP به‌طور پیش‌فرض روی \fB\-1\fP هستند\&.
.sp
پیش‌فرض: (هیچ‌کدام)
.UNINDENT
.INDENT 0.0
.TP
.B so\-rcvbuf: \fI<number>\fP
اگر 0 نباشد، گزینه سوکت SO_RCVBUF را تنظیم می‌کند تا فضای بافر بیشتری روی درگاه 53 UDP برای پرس‌وجوهای ورودی دریافت شود.
به طوری که جهش‌های ناگهانی و کوتاه‌مدت در سرورهای شلوغ بسته‌ها را دور نریزند (شمارنده را در
\fBnetstat \-su\fP
ببینید).
در غیر این صورت، تعداد بایت‌هایی است که باید درخواست شود، روی یک سرور شلوغ مقدار \(dq4m\(dq را امتحان کنید.
.sp
سیستم‌عامل آن را روی یک حداکثر محدود می‌کند؛ در لینوکس Unbound برای دور زدن محدودیت به دسترسی ریشه (root) نیاز دارد، یا مدیر می‌تواند از \fBsysctl net.core.rmem_max\fP استفاده کند\&.
.sp
در BSD مقدار \fBkern.ipc.maxsockbuf\fP را در \fB/etc/sysctl.conf\fP تغییر دهید\&.
.sp
در OpenBSD هدر را تغییر داده و هسته را دوباره کامپایل کنید.
.sp
در Solaris دستور \fBndd \-set /dev/udp udp_max_buf 8388608\fP\&.
.sp
پیش‌فرض: 0 (استفاده از مقدار سیستم)
.UNINDENT
.INDENT 0.0
.TP
.B so\-sndbuf: \fI<number>\fP
اگر 0 نباشد، گزینه سوکت SO_SNDBUF را تنظیم می‌کند تا فضای بافر بیشتری روی درگاه 53 UDP برای پاسخ‌های خروجی دریافت شود.
این گزینه برای سرورهای بسیار شلوغ جهش‌های ناگهانی در ترافیک پاسخ را مدیریت می‌کند، در غیر این صورت:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
send: resource temporarily unavailable
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
می‌تواند در لاگ ثبت شود، سرریز بافر همچنین از طریق \fBnetstat \-su\fP قابل مشاهده است\&.
اگر روی 0 تنظیم شود از مقدار سیستم استفاده می‌کند.
تعداد بایت‌های درخواستی را مشخص کنید، روی یک سرور بسیار شلوغ مقدار \(dq8m\(dq را امتحان کنید.
.sp
برای اینکه بتواند بسته‌هایی را که پیش از ارسال منتظر تحلیل آدرس محلی (مانند کشف ARP و NDP) هستند مدیریت کند به مقداری فضا نیاز دارد، از این رو به‌طور پیش‌فرض بالاتر از پیش‌فرض سیستم قرار داده شده است.
.sp
سیستم‌عامل آن را روی یک حداکثر محدود می‌کند؛ در لینوکس Unbound برای دور زدن محدودیت به دسترسی ریشه نیاز دارد، یا مدیر می‌تواند از \fBsysctl net.core.wmem_max\fP استفاده کند\&.
.sp
در BSD و Solaris تغییرات مشابه با
\fI\%so\-rcvbuf\fP
است\&.
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B so\-reuseport: \fI<yes or no>\fP
اگر yes باشد، سوکت‌های شنود اختصاصی برای پرس‌وجوهای ورودی به ازای هر نخ باز کرده و تلاش می‌کند گزینه سوکت SO_REUSEPORT را روی هر سوکت تنظیم نماید.
ممکن است پرس‌وجوهای ورودی را به طور یکنواخت‌تری میان نخ‌ها توزیع کند.
.sp
در لینوکس در هسته‌های >= 3.9 پشتیبانی می‌شود.
.sp
در سایر سیستم‌ها، FreeBSD و OSX نیز ممکن است کار کند.
.sp
می‌توانید آن را فعال کنید (روی هر پلتفرم و هسته‌ای)، سپس تلاش می‌کند درگاه را باز کرده و در صورتی که گزینه در زمان کامپایل در دسترس بوده باشد آن را ارسال کند؛ اگر کار کند استفاده می‌شود و اگر شکست بخورد، بدون خطا به کار خود ادامه می‌دهد (مگر در سطح پرگویی 3) بدون آن گزینه.
.sp
در بارهای بسیار شدید ممکن است خاموش کردن آن برای توزیع یکنواخت پرس‌وجوها بهتر باشد، همان‌طور که برای سیستم‌های لینوکس (4.4.x) گزارش شده است.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B ip\-transparent: \fI<yes or no>\fP
اگر yes باشد، از گزینه سوکت IP_TRANSPARENT روی سوکت‌هایی که Unbound روی آن‌ها به ترافیک ورودی گوش می‌دهد استفاده می‌کند.
به شما اجازه می‌دهد به رابط‌های غیرمحلی متصل شوید (bind).
برای نمونه برای آدرس‌های IP ناموجودی که قرار است بعداً وجود داشته باشند، در پیکربندی failover میزبان.
.sp
این گزینه بسیار شبیه به
\fI\%interface\-automatic\fP
است، اما آن گزینه به تمام رابط‌ها خدمت‌رسانی می‌کند در حالی که با این گزینه می‌توانید انتخاب کنید Unbound روی کدام رابط‌ها (آینده) خدمات ارائه دهد.
.sp
این گزینه در برخی سیستم‌ها نیازمند راه‌اندازی Unbound با مجوزهای ریشه (root) است.
این گزینه در سیستم‌های FreeBSD از IP_BINDANY و در سیستم‌های OpenBSD از SO_BINDANY استفاده می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B ip\-freebind: \fI<yes or no>\fP
اگر yes باشد، از گزینه سوکت IP_FREEBIND روی سوکت‌هایی که Unbound روی آن‌ها به ترافیک ورودی گوش می‌دهد استفاده می‌کند.
به شما اجازه می‌دهد به آدرس‌های IP غیرمحلی یا ناموجود متصل شوید، مانند زمانی که رابط شبکه یا آدرس IP قطع است.
.sp
تنها در لینوکس وجود دارد، جایی که گزینه مشابه
\fI\%ip\-transparent\fP
نیز در دسترس است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B ip\-dscp: \fI<number>\fP
مقدار کدپوینت خدمات تفکیک‌شده (DSCP) در فیلد خدمات تفکیک‌شده (DS) در هدر بسته‌های خروجی IP.
این فیلد جایگزین فیلد منسوخ‌شده Type\-Of\-Service در IPv4 و فیلد رده ترافیک IPv6 می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B rrset\-cache\-size: \fI<number>\fP
تعداد بایت‌های اندازه کش RRset.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B rrset\-cache\-slabs: \fI<number>\fP
تعداد اسلب‌ها در کش RRset.
اسلب‌ها رقابت قفل توسط نخ‌ها را کاهش می‌دهند.
باید روی توانی از 2 تنظیم شود.
تنظیم (نزدیک) به تعداد پردازنده‌ها تنظیم نسبتاً مناسبی است.
اگر بدون پیکربندی رها شود، در محیط‌های چندنخی به‌طور خودکار روی توانی از 2 نزدیک به تعداد نخ‌های پیکربندی‌شده تنظیم می‌شود.
.sp
پیش‌فرض: (پیکربندی‌نشده)
.UNINDENT
.INDENT 0.0
.TP
.B cache\-max\-ttl: \fI<seconds>\fP
حداکثر زمان بقا (TTL) برای RRsetها و پیام‌ها در کش.
هنگامی که TTL منقضی می‌شود، مورد کش منقضی شده است.
می‌تواند کمتر تنظیم شود تا تحلیل‌کننده را وادار کند به طور مکرر برای داده‌ها پرس‌وجو کند و به مقادیر (بسیار بزرگ) TTL اعتماد نکند.
کلاینت‌های پایین‌دست نیز TTL کمتری را مشاهده می‌کنند.
.sp
پیش‌فرض: 86400 (1 روز)
.UNINDENT
.INDENT 0.0
.TP
.B cache\-min\-ttl: \fI<seconds>\fP
حداقل زمان بقا (TTL) برای RRsetها و پیام‌ها در کش.
اگر حداقل اعمال شود، داده‌ها برای مدتی طولانی‌تر از آنچه مالک دامنه در نظر داشته کش می‌شوند، و بنابراین پرس‌وجوهای کمتری برای جستجوی داده‌ها انجام می‌شود.
مقدار صفر اطمینان می‌دهد که داده‌های موجود در کش همانند نظر مالک دامنه است؛ مقادیر بالاتر، به‌ویژه بیش از حدود یک ساعت، می‌توانند دردسرساز شوند زیرا داده‌های موجود در کش دیگر با داده‌های واقعی مطابقت ندارند.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B cache\-max\-negative\-ttl: \fI<seconds>\fP
حداکثر زمان بقا برای پاسخ‌های منفی، این پاسخ‌ها دارای یک SOA در بخش مرجع هستند که از نظر زمانی محدود است.
این گزینه روی پاسخ‌های NXDOMAIN و NODATA اعمال می‌شود.
.sp
پیش‌فرض: 3600
.UNINDENT
.INDENT 0.0
.TP
.B cache\-min\-negative\-ttl: \fI<seconds>\fP
حداقل زمان بقا برای پاسخ‌های منفی، این پاسخ‌ها دارای یک SOA در بخش مرجع هستند که از نظر زمانی محدود است.
اگر این گزینه غیرفعال باشد و
\fI\%cache\-min\-ttl\fP
پیکربندی شده باشد، به جای آن اثر خواهد گذاشت.
در این صورت می‌توانید این مقدار را برای رعایت TTL بالادست روی \fB1\fP تنظیم کنید.
این گزینه روی پاسخ‌های NXDOMAIN و NODATA اعمال می‌شود.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B infra\-host\-ttl: \fI<seconds>\fP
زمان بقا برای ورودی‌ها در کش میزبان.
کش میزبان حاوی اطلاعات زمان‌بندی رفت و برگشت، بی‌کفایتی سرور و پشتیبانی EDNS است.
.sp
پیش‌فرض: 900
.UNINDENT
.INDENT 0.0
.TP
.B infra\-cache\-slabs: \fI<number>\fP
تعداد اسلب‌ها در کش زیرساخت.
اسلب‌ها رقابت قفل توسط نخ‌ها را کاهش می‌دهند.
باید روی توانی از 2 تنظیم شود.
تنظیم (نزدیک) به تعداد پردازنده‌ها تنظیم نسبتاً مناسبی است.
اگر بدون پیکربندی رها شود، در محیط‌های چندنخی به‌طور خودکار روی توانی از 2 نزدیک به تعداد نخ‌های پیکربندی‌شده تنظیم می‌شود.
.sp
پیش‌فرض: (پیکربندی‌نشده)
.UNINDENT
.INDENT 0.0
.TP
.B infra\-cache\-numhosts: \fI<number>\fP
تعداد میزبان‌هایی که اطلاعات آن‌ها کش می‌شود.
.sp
پیش‌فرض: 10000
.UNINDENT
.INDENT 0.0
.TP
.B infra\-cache\-min\-rtt: \fI<msec>\fP
حد پایین برای محاسبه مهلت ارسال مجدد پویا در کش زیرساخت.
اگر از فورواردرهایی استفاده می‌کنید که به زمان بیشتری برای انجام تفکیک نام بازگشتی نیاز دارند، این مقدار را افزایش دهید.
.sp
پیش‌فرض: 50
.UNINDENT
.INDENT 0.0
.TP
.B infra\-cache\-max\-rtt: \fI<msec>\fP
حد بالا برای محاسبه مهلت ارسال مجدد پویا در کش زیرساخت.
.sp
پیش‌فرض: 120000 (2 دقیقه)
.UNINDENT
.INDENT 0.0
.TP
.B infra\-keep\-probing: \fI<yes or no>\fP
در صورت فعال بودن، سرور به بررسی میزبان‌هایی که قطع هستند در سازوکار یک پروب در هر زمان ادامه می‌دهد.
میزبان‌هایی که قطع هستند، مثلاً در طول دوره یک پروب در هر زمان پاسخ نداده‌اند، به عنوان قطع علامت‌گذاری می‌شوند و ممکن است به اندازه زمان
\fI\%infra\-host\-ttl\fP
طول بکشد تا دوباره بررسی شوند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B define\-tag: \fI\(dq<list of tags>\(dq\fP
تعریف برچسب‌هایی که می‌توانند با
\fI\%local\-zone\fP
و
\fI\%access\-control\fP
استفاده شوند\&.
فهرست را میان علامت‌های نقل‌قول (\fB\(dq\(dq\fP) قرار دهید و میان برچسب‌ها فاصله بگذارید.
.UNINDENT
.INDENT 0.0
.TP
.B do\-ip4: \fI<yes or no>\fP
پاسخ‌دهی یا ارسال پرس‌وجوهای IPv4 را فعال یا غیرفعال می‌کند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B do\-ip6: \fI<yes or no>\fP
پاسخ‌دهی یا ارسال پرس‌وجوهای IPv6 را فعال یا غیرفعال می‌کند.
در صورت غیرفعال بودن، به پرس‌وجوها روی IPv6 پاسخ داده نمی‌شود و پرس‌وجویی روی IPv6 به سرورهای نام اینترنت ارسال نمی‌گردد.
با این گزینه می‌توانید انتقال IPv6 را برای ارسال ترافیک DNS غیرفعال کنید؛ این گزینه تأثیری بر محتوای ترافیک DNS که ممکن است حاوی آدرس‌های IPv4 (A) و IPv6 (AAAA) باشد ندارد.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B prefer\-ip4: \fI<yes or no>\fP
در صورت فعال بودن، پروتکل انتقال IPv4 را برای ارسال پرس‌وجوهای DNS به سرورهای نام اینترنت ترجیح می‌دهد.
اگر بلوک شبکه IPv6 که سرور دارد، کل /64 آن متعلق به یک اپراتور نباشد و اعتبار بلوک شبکه /64 یک مسئله باشد مفید است، با استفاده از IPv4 فیلترهای IPv4 سرورهای بالادست اعمال می‌شوند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B prefer\-ip6: \fI<yes or no>\fP
در صورت فعال بودن، پروتکل انتقال IPv6 را برای ارسال پرس‌وجوهای DNS به سرورهای نام اینترنت ترجیح می‌دهد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B do\-udp: \fI<yes or no>\fP
پاسخ‌دهی یا ارسال پرس‌وجوهای UDP را فعال یا غیرفعال می‌کند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B do\-tcp: \fI<yes or no>\fP
پاسخ‌دهی یا ارسال پرس‌وجوهای TCP را فعال یا غیرفعال می‌کند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B tcp\-mss: \fI<number>\fP
حداکثر اندازه قطعه (MSS) سوکت TCP که سرور روی آن به پرس‌وجوها پاسخ می‌دهد.
مقدار کمتر از MSS معمول در اترنت (برای نمونه 1220) مشکل مسیر MTU را برطرف می‌کند.
توجه داشته باشید که همه پلتفرم‌ها از گزینه سوکت برای تنظیم MSS پشتیبانی نمی‌کنند (TCP_MAXSEG).
پیش‌فرض MSS پیش‌فرض سیستم است که توسط MTU رابط و مذاکره میان سرور و کلاینت تعیین می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B outgoing\-tcp\-mss: \fI<number>\fP
حداکثر اندازه قطعه (MSS) سوکت TCP برای پرس‌وجوهای خروجی (از Unbound به سایر سرورها).
مقدار کمتر از MSS معمول در اترنت (برای نمونه 1220) مشکل مسیر MTU را برطرف می‌کند.
توجه داشته باشید که همه پلتفرم‌ها از گزینه سوکت برای تنظیم MSS پشتیبانی نمی‌کنند (TCP_MAXSEG).
پیش‌فرض MSS پیش‌فرض سیستم است که توسط MTU رابط و مذاکره میان Unbound و سایر سرورها تعیین می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B tcp\-idle\-timeout: \fI<msec>\fP
مدت زمانی که Unbound روی یک اتصال TCP منتظر یک پرس‌وجو می‌ماند.
اگر این مهلت منقضی شود، Unbound اتصال را می‌بندد.
هنگامی که تعداد بافرهای آزاد ورودی TCP به زیر 50% کل تعداد پیکربندی‌شده سقوط کند، مقدار گزینه استفاده‌شده به صورت پلکانی کاهش می‌یابد؛ ابتدا به 1% مقدار پیکربندی‌شده، سپس در صورتی که بافرهای آزاد به زیر 35% کل تعداد سقوط کند به 0.2% مقدار پیکربندی‌شده، و در نهایت اگر بافرهای آزاد به زیر 20% سقوط کند به 0 کاهش می‌یابد.
حداقل مهلت زمانی 200 میلی‌ثانیه صرف‌نظر از مقدار گزینه استفاده‌شده رعایت می‌شود.
در صورت فعال بودن
\fI\%edns\-tcp\-keepalive\fP،
این مقدار توسط
\fI\%edns\-tcp\-keepalive\-timeout\fP
بازنویسی می‌شود.
.sp
پیش‌فرض: 30000 (30 ثانیه)
.UNINDENT
.INDENT 0.0
.TP
.B tcp\-reuse\-timeout: \fI<msec>\fP
مدت زمانی که Unbound اتصالات پایدار TCP به سرورهای مرجع را باز نگه می‌دارد.
.sp
پیش‌فرض: 60000 (60 ثانیه)
.UNINDENT
.INDENT 0.0
.TP
.B max\-reuse\-tcp\-queries: \fI<number>\fP
حداکثر تعداد پرس‌وجوهایی که می‌توانند روی یک اتصال پایدار TCP ارسال شوند.
.sp
پیش‌فرض: 200
.UNINDENT
.INDENT 0.0
.TP
.B tcp\-auth\-query\-timeout: \fI<number>\fP
مهلت زمانی بر حسب میلی‌ثانیه برای پرس‌وجوهای TCP به سرورهای مجاز (auth).
.sp
پیش‌فرض: 3000 (3 ثانیه)
.UNINDENT
.INDENT 0.0
.TP
.B edns\-tcp\-keepalive: \fI<yes or no>\fP
قابلیت EDNS TCP Keepalive را فعال یا غیرفعال می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B edns\-tcp\-keepalive\-timeout: \fI<msec>\fP
هنگامی که
\fI\%edns\-tcp\-keepalive\fP
فعال باشد،
\fI\%tcp\-idle\-timeout\fP
را بازنویسی می‌کند.
اگر کلاینت از گزینه EDNS TCP Keepalive پشتیبانی کند، Unbound مقدار مهلت زمانی را به کلاینت می‌فرستد تا آن را ترغیب کند پیش از انقضای مهلت سرور، اتصال را ببندد.
.sp
پیش‌فرض: 120000 (2 دقیقه)
.UNINDENT
.INDENT 0.0
.TP
.B sock\-queue\-timeout: \fI<sec>\fP
پرس‌وجوهای UDP که برای مدت طولانی در بافر سوکت منتظر مانده‌اند می‌توانند دور ریخته شوند.
زمان بر حسب ثانیه تنظیم می‌شود؛ مقدار 3 می‌تواند مقدار مناسبی برای نادیده گرفتن پرس‌وجوهای قدیمی باشد که احتمالاً کلاینت دیگر نیازی به پاسخ آن‌ها ندارد.
این امر ممکن است زمانی رخ دهد که میزبان برای مدتی قادر به پاسخگویی به پرس‌وجوها نبوده باشد (یعنی Unbound در حال اجرا نبوده و سپس دوباره فعال شده است).
از گزینه‌های سوکت برچسب زمانی استفاده می‌کند.
گزینه سوکت روی پلتفرم‌های لینوکس و FreeBSD در دسترس است.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B tcp\-upstream: \fI<yes or no>\fP
استفاده صرف از TCP برای انتقال در پرس‌وجوهای بالادست را فعال یا غیرفعال می‌کند.
در سناریوهای تونل‌زنی مفید است.
اگر روی no تنظیم شود، می‌توانید انتقال TCP را تنها برای ناحیه‌های فوروارد یا خرد (stub) انتخابی به ترتیب با استفاده از
\fI\%forward\-tcp\-upstream\fP
یا
\fI\%stub\-tcp\-upstream\fP
مشخص کنید.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B udp\-upstream\-without\-downstream: \fI<yes or no>\fP
پرس‌وجوی بالادست UDP را حتی اگر \fI\%do\-udp: no\fP تنظیم شده باشد فعال می‌کند.
برای ارائه‌دهندگان خدمات TLS که مایل به عدم دریافت UDP در پایین‌دست هستند اما از UDP برای واکشی داده‌ها در بالادست استفاده می‌کنند، مفید است.
.sp
پیش‌فرض: no (بدون تغییر)
.UNINDENT
.INDENT 0.0
.TP
.B tls\-upstream: \fI<yes or no>\fP
استفاده صرف از TLS برای انتقال در پرس‌وجوهای بالادست را فعال یا غیرفعال می‌کند.
در سناریوهای تونل‌زنی مفید است.
ارتباط TLS حاوی DNS ساده در قالب سیمی TCP است.
سرور دیگر باید از این مورد پشتیبانی کند (به
\fI\%tls\-service\-key\fP
مراجعه کنید).
.sp
اگر این گزینه را فعال کردید، همچنین یک
\fI\%tls\-cert\-bundle\fP
را پیکربندی کنید یا از
\fI\%tls\-win\-cert\fP
یا
\fI\%tls\-system\-cert\fP
برای بارگذاری گواهی‌های CA استفاده کنید، در غیر این صورت اتصالات نمی‌توانند احراز هویت شوند.
.sp
این گزینه TLS را برای همه آن‌ها فعال می‌کند، اما اگر این را تنظیم نکنید می‌توانید TLS را به‌طور خاص برای برخی از ناحیه‌های فوروارد با
\fI\%forward\-tls\-upstream\fP
پیکربندی کنید\&.
و همچنین با
\fI\%stub\-tls\-upstream\fP\&.
اگر گزینه
\fI\%tls\-upstream\fP
فعال باشد، برای تمام فورواردها و استاب‌ها اعمال می‌شود و گزینه‌های
\fI\%forward\-tls\-upstream\fP
و
\fI\%stub\-tls\-upstream\fP
نادیده گرفته می‌شوند، گویی که روی yes تنظیم شده بودند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B ssl\-upstream: \fI<yes or no>\fP
نحو جایگزین برای \fI\%tls\-upstream\fP\&.
اگر هر دو در پرونده پیکربندی وجود داشته باشند، آخرین مورد استفاده می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B tls\-service\-key: \fI<file>\fP
در صورت فعال بودن، سرور خدمات DNS\-over\-TLS یا DNS\-over\-HTTPS را روی درگاه‌های TCP که به طور ضمنی یا صریح با
\fI\%tls\-port\fP
یا
\fI\%https\-port\fP
برای این خدمات نشانه‌گذاری شده‌اند، ارائه می‌دهد\&.
پرونده باید حاوی کلید خصوصی برای نشست TLS باشد، گواهی عمومی در پرونده
\fI\%tls\-service\-pem\fP
قرار دارد و در صورت مشخص شدن
\fI\%tls\-service\-key\fP
باید آن نیز مشخص شود.
اگر کلید با مجوزهای ریشه یا خارج از chroot ذخیره شده باشد، تغییر، فعال‌سازی یا غیرفعال‌سازی نیازمند راه‌اندازی مجدد است (یک بارگذاری مجدد کافی نیست).
اما اگر پرونده کلید (و پرونده tls\-service\-pem) در دسترس باشند، هنگام بارگذاری مجدد (reload) و بارگذاری سریع (fast_reload) خوانده می‌شوند.
سرور زمان ویرایش پرونده (و نام پرونده) را بررسی می‌کند تا ببیند آیا پرونده برای بارگذاری مجدد تغییر کرده است یا خیر.
درگاه‌هایی که به طور ضمنی یا صریح از طریق
\fI\%tls\-port\fP
و
\fI\%https\-port\fP
فعال شده‌اند، سرویس معمولی DNS TCP را ارائه نمی‌دهند.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
برای ارائه DNS\-over\-HTTPS، لازم است Unbound همراه با libnghttp2 کامپایل شده باشد.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B ssl\-service\-key: \fI<file>\fP
نحو جایگزین برای \fI\%tls\-service\-key\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B tls\-service\-pem: \fI<file>\fP
پرونده pem گواهی کلید عمومی برای خدمات TLS.
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B ssl\-service\-pem: \fI<file>\fP
نحو جایگزین برای \fI\%tls\-service\-pem\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B tls\-port: \fI<number>\fP
شماره درگاهی که روی آن خدمات TCP TLS ارائه می‌شود.
تنها رابط‌هایی که با آن شماره درگاه به صورت @number پیکربندی شده‌اند خدمات TLS را دریافت می‌کنند.
.sp
پیش‌فرض: 853
.UNINDENT
.INDENT 0.0
.TP
.B ssl\-port: \fI<number>\fP
نحو جایگزین برای \fI\%tls\-port\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B tls\-cert\-bundle: \fI<file>\fP
اگر null یا \fB\(dq\(dq\fP باشد، هیچ پرونده‌ای استفاده نمی‌شود.
آن را روی پرونده بسته گواهی تنظیم کنید، برای نمونه
\fB/etc/pki/tls/certs/ca\-bundle.crt\fP\&.
این گواهی‌ها برای احراز هویت اتصالات برقرارشده با همتایان بیرونی استفاده می‌شوند.
برای نمونه آدرس‌های
\fI\%auth\-zone urls\fP
و همچنین اتصالات DNS\-over\-TLS.
در زمان راه‌اندازی پیش از سلب مجوز و chroot خوانده می‌شود.
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B ssl\-cert\-bundle: \fI<file>\fP
نحو جایگزین برای \fI\%tls\-cert\-bundle\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B tls\-win\-cert: \fI<yes or no>\fP
گواهی‌های سیستم را برای احراز هویت به گواهی‌های بسته گواهی اضافه می‌کند.
اگر بسته گواهی وجود نداشته باشد، تنها از این گواهی‌ها استفاده می‌کند.
در ویندوز این گزینه از گواهی‌های موجود در مخزن گواهی استفاده می‌کند.
در سایر سیستم‌ها از گزینه
\fI\%tls\-cert\-bundle\fP
استفاده کنید.
در سایر سیستم‌ها، این گزینه گواهی‌های سیستم را فعال می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B tls\-system\-cert: \fI<yes or no>\fP
این گزینه مشابه گزینه
\fI\%tls\-win\-cert\fP
با نامی متفاوت است.
زیرا به ویندوز محدود نمی‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B tls\-additional\-port: \fI<portnr>\fP
شماره‌های درگاه را به صورت
\fI\%tls\-additional\-port\fP
فهرست کنید؛ هنگامی که رابط‌ها مثلاً با پسوند @port به این شماره درگاه تعریف شوند، خدمات DNS\-over\-TLS را ارائه می‌دهند.
می‌توان چندین مورد را، هر کدام در یک عبارت جداگانه، فهرست کرد.
.UNINDENT
.INDENT 0.0
.TP
.B tls\-session\-ticket\-keys: \fI<file>\fP
اگر \fB\(dq\(dq\fP نباشد، پرونده‌هایی با 80 بایت محتوای تصادفی را فهرست می‌کند که برای ازسرگیری نشست TLS کلاینت‌های استفاده‌کننده از سرور Unbound استفاده می‌شوند.
این پرونده‌ها حاوی کلید مخفی برای بلیت‌های نشست TLS هستند.
اولین کلید برای رمزگذاری و رمزگشایی بلیت‌های نشست TLS استفاده می‌شود.
سایر کلیدها فقط برای رمزگشایی استفاده می‌شوند.
.sp
با این قابلیت می‌توانید با تولید یک پرونده نخست جدید و اجازه رمزگشایی به پرونده قدیمی از طریق قرار دادن آن پس از پرونده نخست برای مدتی، کلیدها را تعویض کنید؛ پس از گذشت زمان کلاینت‌ها دیگر از کلید قدیمی استفاده نمی‌کنند و کلید قدیمی را می‌توان حذف کرد.
یک روش برای ایجاد این پرونده:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
dd if=/dev/random bs=1 count=80 of=ticket.dat
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
اگر کلید دوم ایجاد می‌کنید، 16 بایت نخست باید با کلید قدیمی متفاوت باشد؛ این نامی است که برای شناسایی کلید استفاده می‌شود.
سپس 32 بایت داده تصادفی برای کلید AES و سپس 32 بایت داده تصادفی برای کلید HMAC قرار دارد.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B tls\-ciphers: \fI<string with cipher list>\fP
مجموعه رمزهای مجاز (ciphers) هنگام ارائه خدمات TLS را تنظیم می‌کند.
برای رمزهای پیش‌فرض از \fB\(dq\(dq\fP استفاده کنید.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B tls\-ciphersuites: \fI<string with ciphersuites list>\fP
مجموعه سوییت‌های رمز مجاز (ciphersuites) هنگام ارائه خدمات TLS را تنظیم می‌کند.
این گزینه برای اتصالات جدیدتر TLS 1.3 است.
برای سوییت‌های رمز پیش‌فرض از \fB\(dq\(dq\fP استفاده کنید.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B tls\-use\-sni: \fI<yes or no>\fP
ارسال پسوند SNI در اتصالات TLS را فعال یا غیرفعال می‌کند.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
تغییر این مقدار نیازمند راه‌اندازی مجدد است.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B tls\-protocols: \fI\(dq<list of protocols>\(dq\fP
نسخه‌های پروتکل مجاز TLS را بدون ترتیب خاصی مشخص می‌کند.
مقادیر ممکن عبارتند از \fBTLSv1.2\fP و \fBTLSv1.3\fP\&.
فهرست پروتکل‌ها را میان علامت‌های نقل‌قول (\fB\(dq\(dq\fP) قرار دهید و بین آن‌ها فاصله بگذارید.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
تغییر این مقدار نیازمند راه‌اندازی مجدد است.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: \(dqTLSv1.2 TLSv1.3\(dq
.UNINDENT
.INDENT 0.0
.TP
.B pad\-responses: \fI<yes or no>\fP
در صورت فعال بودن، پرس‌وجوهای ارائه‌شده از طریق TLS که حاوی گزینه پدینگ EDNS بوده‌اند، باعث می‌شوند پاسخ‌ها تا نزدیک‌ترین مضرب اندازه مشخص‌شده در
\fI\%pad\-responses\-block\-size\fP
پدگذاری شوند\&.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B pad\-responses\-block\-size: \fI<number>\fP
اندازه بلوکی که با آن پاسخ‌های ارائه‌شده از طریق TLS پدگذاری می‌شوند.
تنها پاسخ‌های مربوط به پرس‌وجوهای پدگذاری‌شده پدگذاری خواهند شد.
.sp
پیش‌فرض: 468
.UNINDENT
.INDENT 0.0
.TP
.B pad\-queries: \fI<yes or no>\fP
در صورت فعال بودن، تمام پرس‌وجوهای ارسالی روی بالادست‌های TLS تا نزدیک‌ترین مضرب اندازه مشخص‌شده در
\fI\%pad\-queries\-block\-size\fP
پدگذاری می‌شوند\&.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B pad\-queries\-block\-size: \fI<number>\fP
اندازه بلوکی که با آن پرس‌وجوهای ارسالی روی بالادست‌های TLS پدگذاری می‌شوند.
.sp
پیش‌فرض: 128
.UNINDENT
.INDENT 0.0
.TP
.B https\-port: \fI<number>\fP
شماره درگاهی که روی آن خدمات DNS\-over\-HTTPS ارائه می‌شود.
تنها رابط‌هایی که با آن شماره درگاه به عنوان @number پیکربندی شده‌اند خدمات HTTPS را دریافت می‌کنند.
.sp
پیش‌فرض: 443
.UNINDENT
.INDENT 0.0
.TP
.B http\-endpoint: \fI<endpoint string>\fP
نقطه پایانی (endpoint) HTTP برای ارائه خدمات DNS\-over\-HTTPS روی آن.
.sp
پیش‌فرض: /dns\-query
.UNINDENT
.INDENT 0.0
.TP
.B http\-max\-streams: \fI<number of streams>\fP
عددی که در پارامتر SETTINGS_MAX_CONCURRENT_STREAMS در فریم SETTINGS پروتکل HTTP/2 برای اتصالات DNS\-over\-HTTPS استفاده می‌شود.
.sp
پیش‌فرض: 100
.UNINDENT
.INDENT 0.0
.TP
.B http\-query\-buffer\-size: \fI<size in bytes>\fP
حداکثر تعداد بایت‌های استفاده‌شده برای تمام بافرهای پرس‌وجوی HTTP/2 در مجموع.
این بافرها حاوی پرس‌وجوهای DNS (جزئی) در انتظار تکمیل جریان درخواست هستند.
یک فریم RST_STREAM به جریان‌هایی که از این حد فراتر روند ارسال خواهد شد.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B http\-response\-buffer\-size: \fI<size in bytes>\fP
حداکثر تعداد بایت‌های استفاده‌شده برای تمام بافرهای پاسخ HTTP/2 در مجموع.
این بافرها حاوی پاسخ‌های DNS در انتظار بازنویسی به کلاینت‌ها هستند.
یک فریم RST_STREAM به جریان‌هایی که از این حد فراتر روند ارسال خواهد شد.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B http\-nodelay: \fI<yes or no>\fP
گزینه سوکت TCP_NODELAY را روی سوکت‌های استفاده‌شده برای ارائه خدمات DNS\-over\-HTTPS تنظیم می‌کند.
در صورت عدم دسترسی به این گزینه نادیده گرفته می‌شود.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B http\-notls\-downstream: \fI<yes or no>\fP
استفاده از TLS را برای اتصالات DNS\-over\-HTTP در پایین‌دست غیرفعال می‌کند.
برای سرورهای پشتیبان محلی (back end) مفید است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B proxy\-protocol\-port: \fI<portnr>\fP
شماره‌های درگاه را به صورت
\fI\%proxy\-protocol\-port\fP
فهرست کنید؛ هنگامی که رابط‌ها مثلاً با پسوند @port به این شماره درگاه تعریف شوند، از PROXYv2 پشتیبانی کرده و انتظار آن را دارند.
.sp
در این حالت، آدرس پراکسی تنها برای ارتباط شبکه و ACL اولیه استفاده می‌شود (بررسی اینکه آیا خود پراکسی توسط پیکربندی رد/محروم شده است یا خیر).
.sp
سپس آدرس پراکسی‌شده (در صورت وجود) به عنوان آدرس واقعی کلاینت در نظر گرفته شده و در صورت لزوم برای ثبت لاگ، ACL، DNSTAP، RPZ و محدودیت نرخ IP استفاده خواهد شد.
.sp
پروتکل PROXYv2 برای رابط‌های شنود UDP و TCP/TLS پشتیبانی می‌شود.
.sp
روی رابط شنود DoH، DoQ یا DNSCrypt هیچ پشتیبانی از PROXYv2 وجود ندارد.
.sp
می‌توان چندین مورد را، هر کدام در یک عبارت جداگانه، فهرست کرد.
.UNINDENT
.INDENT 0.0
.TP
.B quic\-port: \fI<number>\fP
شماره درگاهی که روی آن خدمات DNS\-over\-QUIC ارائه می‌شود.
تنها رابط‌هایی که با آن شماره درگاه به عنوان @number پیکربندی شده‌اند خدمات QUIC را دریافت می‌کنند.
رابط از QUIC برای ترافیک UDP روی آن شماره درگاه استفاده می‌کند.
اگر روی 0 تنظیم شود، سرور کد QUIC را راه‌اندازی اولیه نمی‌کند و QUIC غیرفعال می‌شود.
این مشابه وضعیتی است که QUIC در حال استفاده نباشد، اما به صورت صریح.
.sp
پیش‌فرض: 853
.UNINDENT
.INDENT 0.0
.TP
.B quic\-size: \fI<size in bytes>\fP
حداکثر تعداد بایت‌ها برای تمام بافرها و داده‌های QUIC در مجموع.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
هنگامی که از این حد فراتر رود، اتصالات جدید خطای اتصال رد شد (connection refused) دریافت می‌کنند.
هنگامی که از این حد فراتر رود، جریان‌های جدید ریست می‌شوند.
.sp
پیش‌فرض: 8m
.UNINDENT
.INDENT 0.0
.TP
.B use\-systemd: \fI<yes or no>\fP
فعال‌سازی سوکت systemd را فعال یا غیرفعال می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B do\-daemonize: \fI<yes or no>\fP
فورک شدن سرور Unbound به پس‌زمینه به عنوان یک دیمون را فعال یا غیرفعال می‌کند.
هنگامی که Unbound به عنوان یک سرویس systemd اجرا می‌شود مقدار را روی no قرار دهید.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B tcp\-connection\-limit: \fI<IP netblock> <limit>\fP
تا سقف حد مشخص‌شده اتصالات همزمان TCP را از بلوک شبکه مشخص‌شده مجاز می‌داند.
هنگامی که به حد نصاب برسد، اتصالات بیشتر پذیرفته می‌شوند اما فوراً بسته می‌گردند.
این گزینه در حال حاضر آزمایشی است.
.sp
پیش‌فرض: (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B access\-control: \fI<IP netblock> <action>\fP
نحوه برخورد با پرس‌وجوهای ورودی را بر اساس آدرس IP مبدأ آن‌ها مشخص می‌کند.
پرس‌وجوها می‌توانند اجازه دسترسی به این سرور که پاسخ‌های DNS می‌دهد را داشته باشند، یا رد شوند، همراه با سایر اقدامات ممکن.
محدوده آدرس IP می‌تواند به عنوان یک بلوک شبکه مشخص شود؛ امکان ارائه عبارت چندین بار برای تعیین نحوه برخورد با بلوک‌های شبکه مختلف وجود دارد.
بلوک شبکه به صورت یک آدرس IPv4 یا IPv6 با size/ اضافه شده برای یک بلوک شبکه بدون کلاس داده می‌شود.
خاص‌ترین تطابق بلوک شبکه استفاده می‌شود؛ اگر هیچ‌کدام مطابقت نداشته باشد از
\fI\%refuse\fP
استفاده می‌شود.
بنابراین ترتیب عبارت‌های access\-control اهمیتی ندارد.
اقدام می‌تواند
\fI\%deny\fP،
\fI\%refuse\fP،
\fI\%allow\fP،
\fI\%allow_setrd\fP،
\fI\%allow_snoop\fP،
\fI\%allow_cookie\fP،
\fI\%deny_non_local\fP یا
\fI\%refuse_non_local\fP
باشد\&.
.INDENT 7.0
.TP
.B deny
پرس‌وجوها از میزبان‌های آن بلوک شبکه را متوقف می‌کند.
.UNINDENT
.INDENT 7.0
.TP
.B refuse
پرس‌وجوها را متوقف می‌کند، اما پیام خطای DNS با کد rcode REFUSED ارسال می‌کند.
.UNINDENT
.INDENT 7.0
.TP
.B allow
به کلاینت‌های آن بلوک شبکه دسترسی می‌دهد.
فقط دسترسی برای کلاینت‌های بازگشتی (که نیاز تقریباً همه کلاینت‌ها است) فراهم می‌کند.
پرس‌وجوهای غیربازگشتی رد می‌شوند.
.sp
اقدام \fI\%allow\fP به پرس‌وجوهای غیربازگشتی اجازه دسترسی به local\-data پیکربندی‌شده را می‌دهد.
دلیل این است که این امر شامل الگوریتم جستجوی بازگشتی سرور Unbound نمی‌شود و داده‌های ایستا در پاسخ ارائه می‌شوند.
این امر از عملیات عادی که در آن پرس‌وجوهای غیربازگشتی برای داده‌های مرجع انجام می‌شود پشتیبانی می‌کند.
برای پرس‌وجوهای غیربازگشتی هرگونه پاسخی از کش پویا رد می‌شود.
.UNINDENT
.INDENT 7.0
.TP
.B allow_setrd
بیت نیاز به بازگشت (RD) را نادیده گرفته و با همه درخواست‌ها طوری رفتار می‌کند که گویی بیت نیاز به بازگشت تنظیم شده است.
.sp
توجه داشته باشید که این رفتار با \fI\%RFC 1034\fP که بیان می‌کند یک سرور نام هرگز نباید خدمات بازگشتی انجام دهد مگر اینکه از طریق بیت RD درخواست شده باشد، مغایرت دارد؛ زیرا این امر در عیب‌یابی سرورهای نام و پایگاه‌های داده آن‌ها اختلال ایجاد می‌کند.
این رفتار ممنوعه ممکن است زمانی مفید باشد که سرور DNS دیگری باید درخواست‌های مربوط به ناحیه‌های خاص را به یک سرور DNS تحلیل‌کننده فوروارد کند، اما تنها از دامنه‌های خرد (stub) پشتیبانی می‌کند و پرس‌وجوها را با بیت RD پاک‌شده به سرور DNS تحلیل‌کننده می‌فرستد.
.UNINDENT
.INDENT 7.0
.TP
.B allow_snoop
دسترسی غیربازگشتی نیز می‌دهد.
این گزینه هر دو دسترسی بازگشتی و غیربازگشتی را فراهم می‌کند.
نام \fIallow_snoop\fP به سرک کشیدن در کش (cache snooping) اشاره دارد؛ تکنیکی برای استفاده از پرس‌وجوهای غیربازگشتی جهت بررسی محتویات کش (برای اقدامات مخرب).
با این حال، پرس‌وجوهای غیربازگشتی می‌توانند یک ابزار اشکال‌زدایی ارزشمند نیز باشند (زمانی که می‌خواهید محتویات کش را بررسی کنید).
.sp
در این صورت از
\fI\%allow_snoop\fP
برای میزبان مدیریتی خود استفاده کنید.
.UNINDENT
.INDENT 7.0
.TP
.B allow_cookie
تنها به پرس‌وجوهای UDP که حاوی یک کوکی معتبر DNS بر اساس RFC 7873 و RFC 9018 هستند دسترسی می‌دهد، هنگامی که گزینه
\fI\%answer\-cookie\fP
فعال باشد.
پرس‌وجوهای UDP که تنها حاوی کوکی کلاینت DNS و بدون کوکی سرور هستند، یا یک کوکی نامعتبر DNS دارند، یک پاسخ BADCOOKIE شامل یک کوکی DNS تازه تولیدشده دریافت خواهند کرد که به کلاینت‌ها امکان می‌دهد با آن کوکی DNS دوباره تلاش کنند.
اقدام \fIallow_cookie\fP همچنین درخواست‌ها را روی پروتکل‌های انتقال باحالت (stateful)، صرف‌نظر از حضور کوکی DNS و صرف‌نظر از تنظیم
\fI\%answer\-cookie\fP،
می‌پذیرد.
پرس‌وجوهای UDP بدون کوکی DNS پاسخ‌های REFUSED با فلگ TC تنظیم‌شده دریافت می‌کنند که ممکن است باعث عقب‌نشینی به TCP برای آن کلاینت‌ها شود.
.UNINDENT
.INDENT 7.0
.TP
.B deny_non_local
اقدام
\fI\%deny_non_local\fP
برای میزبان‌هایی است که تنها مجاز به پرس‌وجو برای
\fI\%local\-data\fP
مجاز هستند؛ آن‌ها مجاز به بازگشت کامل نیستند بلکه فقط به داده‌های ایستا دسترسی دارند.
پیام‌هایی که غیرمجاز هستند دور ریخته می‌شوند.
.UNINDENT
.INDENT 7.0
.TP
.B refuse_non_local
اقدام
\fI\%refuse_non_local\fP
برای میزبان‌هایی است که تنها مجاز به پرس‌وجو برای
\fI\%local\-data\fP
مجاز هستند؛ آن‌ها مجاز به بازگشت کامل نیستند بلکه فقط به داده‌های ایستا دسترسی دارند.
پیام‌هایی که غیرمجاز هستند کد خطای REFUSED دریافت می‌کنند.
.UNINDENT
.sp
به‌طور پیش‌فرض تنها localhost (بلوک شبکه IP 127.0.0.0/8، نه رابط loopback) به طور ضمنی \fIمجاز\fP است، بقیه رد می‌شوند.
پیش‌فرض \fIrefused\fP است، زیرا با پروتکل سازگارتر است.
پروتکل DNS برای مدیریت بسته‌های دور ریخته‌شده به دلیل سیاست طراحی نشده است و دور انداختن ممکن است منجر به تلاش‌های مکرر (احتمالاً بیش از حد) برای پرس‌وجو شود.
.UNINDENT
.INDENT 0.0
.TP
.B access\-control\-tag: \fI<IP netblock> \(dq<list of tags>\(dq\fP
تخصیص برچسب‌ها به عناصر
\fI\%access\-control\fP\&.
کلاینت‌هایی که از این عنصر کنترل دسترسی استفاده می‌کنند، از ناحیه‌های محلی برچسب‌گذاری‌شده با یکی از این برچسب‌ها استفاده خواهند کرد.
.sp
برچسب‌ها باید در
\fI\%define\-tag\fP
تعریف شده باشند\&.
فهرست برچسب‌ها را میان علامت‌های نقل‌قول (\fB\(dq\(dq\fP) قرار دهید و میان برچسب‌ها فاصله بگذارید.
.sp
اگر
\fI\%access\-control\-tag\fP
برای یک بلوک شبکه که فاقد
\fI\%access\-control\fP
است پیکربندی شود، یک عنصر کنترل دسترسی با اقدام
\fI\%allow\fP
برای این بلوک شبکه پیکربندی می‌گردد.
.UNINDENT
.INDENT 0.0
.TP
.B access\-control\-tag\-action: \fI<IP netblock> <tag> <action>\fP
تنظیم اقدام برای برچسب خاص جهت عنصر کنترل دسترسی داده‌شده.
اگر چندین مقدار برچسب داشته باشید، برچسب مورد استفاده برای جستجوی اقدام، اولین برچسب منطبق میان
\fI\%access\-control\-tag\fP
و
\fI\%local\-zone\-tag\fP
است که در آن «اولین» برگرفته از ترتیب مقادیر
\fI\%define\-tag\fP
است.
.UNINDENT
.INDENT 0.0
.TP
.B access\-control\-tag\-data: \fI<IP netblock> <tag> \(dq<resource record string>\(dq\fP
تنظیم داده‌های هدایت مجدد برای برچسب خاص جهت عنصر کنترل دسترسی داده‌شده.
.UNINDENT
.INDENT 0.0
.TP
.B access\-control\-view: \fI<IP netblock> <view name>\fP
تنظیم نما برای عنصر کنترل دسترسی داده‌شده.
.UNINDENT
.INDENT 0.0
.TP
.B interface\-action: \fI<ip address or interface name [@port]> <action>\fP
مشابه
\fI\%access\-control\fP
اما برای رابط‌ها.
.sp
اقدام همان مواردی است که ذیل
\fI\%access\-control\fP
تعریف شده‌اند\&.
.sp
اقدام پیش‌فرض برای رابط‌ها
\fI\%refuse\fP
است\&.
به طور پیش‌فرض تنها localhost (بلوک شبکه IP 127.0.0.0/8، نه رابط loopback) به صورت ضمنی از طریق رفتار پیش‌فرض
\fI\%access\-control\fP
مجاز است.
این همچنین بدان معنی است که هرگونه تلاش برای استفاده از گزینه‌های \fBinterface\-*:\fP برای رابط loopback کار نخواهد کرد زیرا توسط گزینه پیش‌فرض ضمنی \(dqaccess\-control: 127.0.0.0/8 allow\(dq بازنویسی می‌شوند.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
رابط باید از قبل با
\fI\%interface\fP
مشخص شده باشد و هر گزینه \fBaccess\-control*:\fP تمام گزینه‌های \fBinterface\-*:\fP را برای کلاینت‌های هدف بازنویسی می‌کند.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B interface\-tag: \fI<ip address or interface name [@port]> <\(dqlist of tags\(dq>\fP
مشابه
\fI\%access\-control\-tag\fP
اما برای رابط‌ها.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
رابط باید از قبل با
\fI\%interface\fP
مشخص شده باشد و هر گزینه \fBaccess\-control*:\fP تمام گزینه‌های \fBinterface\-*:\fP را برای کلاینت‌های هدف بازنویسی می‌کند.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B interface\-tag\-action: \fI<ip address or interface name [@port]> <tag> <action>\fP
مشابه
\fI\%access\-control\-tag\-action\fP
اما برای رابط‌ها.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
رابط باید از قبل با
\fI\%interface\fP
مشخص شده باشد و هر گزینه \fBaccess\-control*:\fP تمام گزینه‌های \fBinterface\-*:\fP را برای کلاینت‌های هدف بازنویسی می‌کند.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B interface\-tag\-data: \fI<ip address or interface name [@port]> <tag> <\(dqresource record string\(dq>\fP
مشابه
\fI\%access\-control\-tag\-data\fP
اما برای رابط‌ها.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
رابط باید از قبل با
\fI\%interface\fP
مشخص شده باشد و هر گزینه \fBaccess\-control*:\fP تمام گزینه‌های \fBinterface\-*:\fP را برای کلاینت‌های هدف بازنویسی می‌کند.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B interface\-view: \fI<ip address or interface name [@port]> <view name>\fP
مشابه
\fI\%access\-control\-view\fP
اما برای رابط‌ها.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
رابط باید از قبل با
\fI\%interface\fP
مشخص شده باشد و هر گزینه \fBaccess\-control*:\fP تمام گزینه‌های \fBinterface\-*:\fP را برای کلاینت‌های هدف بازنویسی می‌کند.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B chroot: \fI<directory>\fP
اگر
\fI\%chroot\fP
فعال باشد، باید پرونده پیکربندی را (از خط فرمان) به عنوان یک مسیر کامل از ریشه اصلی ارسال کنید.
پس از انجام chroot، بخش بی‌اثر کنونی مسیر پرونده پیکربندی حذف می‌شود تا بتوان پس از بارگذاری مجدد، پیکربندی را بازخوانی کرد.
.sp
تمام مسیرهای پرونده دیگر (دایرکتوری کاری، پرونده لاگ، roothints و پرونده‌های کلید) را می‌توان به چندین روش مشخص کرد: به عنوان یک مسیر مطلق نسبت به ریشه جدید، به عنوان یک مسیر نسبی نسبت به دایرکتوری کاری، یا به عنوان یک مسیر مطلق نسبت به ریشه اصلی.
در حالت آخر، مسیر برای حذف بخش استفاده‌نشده تنظیم می‌شود.
.sp
پرونده pidfile می‌تواند یک مسیر نسبی نسبت به دایرکتوری کاری باشد یا یک مسیر مطلق نسبت به ریشه اصلی.
درست پیش از chroot و سلب مجوزها نوشته می‌شود.
این به pidfile اجازه می‌دهد به عنوان مثال \fB/var/run/unbound.pid\fP باشد و chroot به عنوان مثال \fB/var/unbound\fP باشد.
توجه داشته باشید که Unbound پس از خاتمه، قادر به حذف pidfile زمانی که خارج از دایرکتوری chroot قرار دارد نیست.
.sp
علاوه بر این، Unbound ممکن است نیاز به دسترسی به \fB/dev/urandom\fP (برای آنتروپی) از داخل chroot داشته باشد.
.sp
در صورت ارائه، یک \fIchroot(2)\fP به دایرکتوری داده‌شده انجام می‌شود.
اگر \fB\(dq\(dq\fP بدهید، هیچ \fIchroot(2)\fP انجام نمی‌شود.
.sp
پیش‌فرض: /etc/unbound
.UNINDENT
.INDENT 0.0
.TP
.B username: \fI<name>\fP
در صورت ارائه، پس از مقیدسازی (bind) درگاه، امتیازات کاربر سلب می‌شود.
اگر username: \fB\(dq\(dq\fP بدهید، هیچ تغییری در کاربر انجام نمی‌شود.
.sp
اگر این کاربر قادر به اتصال به درگاه نباشد، بارگذاری‌های مجدد (توسط سیگنال HUP) همچنان درگاه‌های بازشده را حفظ خواهند کرد.
اگر شماره درگاه را در پرونده پیکربندی تغییر دهید و آن شماره درگاه جدید نیازمند امتیازات باشد، بارگذاری مجدد شکست خواهد خورد؛ یک راه‌اندازی مجدد لازم است.
.sp
پیش‌فرض: unbound
.UNINDENT
.INDENT 0.0
.TP
.B directory: \fI<directory>\fP
دایرکتوری کاری را برای برنامه تنظیم می‌کند.
در ویندوز رشته \(dq%EXECUTABLE%\(dq تلاش می‌کند به دایرکتوری‌ای که
\fBunbound.exe\fP
در آن قرار دارد تغییر مسیر دهد.
اگر یک
\fI\%server: directory: <directory>\fP
پیش از عبارت‌های پرونده
\fI\%include\fP
ارائه دهید، آن شمول‌ها می‌توانند نسبت به دایرکتوری کاری نسبی باشند.
.sp
پیش‌فرض: /etc/unbound
.UNINDENT
.INDENT 0.0
.TP
.B logfile: \fI<filename>\fP
اگر \fB\(dq\(dq\fP داده شود، ثبت لاگ به stderr یا پس از دیمون شدن به ناکجا می‌رود.
به انتهای پرونده لاگ به قالب زیر افزوده می‌شود:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
[seconds since 1970] unbound[pid:tid]: type: message.
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
اگر این گزینه داده شود، گزینه
\fI\%use\-syslog\fP
در داخل به \fBno\fP تنظیم می‌شود\&.
.sp
پرونده لاگ هنگام بازخوانی پرونده پیکربندی با SIGHUP مجدداً (برای الحاق) باز می‌شود.
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B use\-syslog: \fI<yes or no>\fP
تنظیم می‌کند که Unbound پیام‌های لاگ را با استفاده از
\fIsyslog(3)\fP
به syslogd بفرستد\&.
امکان لاگ LOG_DAEMON با هویت \(dqunbound\(dq استفاده می‌شود.
هنگامی که
\fI\%use\-syslog: yes\fP
تنظیم شود، تنظیم logfile بازنویسی می‌شود.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B log\-identity: \fI<string>\fP
اگر \fB\(dq\(dq\fP داده شود، نام فایل اجرایی، معمولاً \(dqunbound\(dq برای گزارش به لاگ استفاده می‌شود.
رشته‌ای وارد کنید تا با آن بازنویسی شود؛ این گزینه در سیستم‌هایی که بیش از یک نمونه از Unbound را با پیکربندی‌های مختلف اجرا می‌کنند مفید است، به طوری که لاگ‌ها را بتوان به راحتی از یکدیگر تشخیص داد.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B log\-time\-ascii: \fI<yes or no>\fP
خطوط پرونده لاگ را تنظیم می‌کند تا از برچسب زمانی به صورت UTC ASCII استفاده کنند.
در صورت استفاده از syslog تاثیری ندارد؛ در آن صورت syslog قالبی را که برچسب زمانی در پرونده‌های لاگ چاپ می‌شود تعیین می‌کند.
.sp
پیش‌فرض: no (ثانیه‌ها از سال 1970 را در قلاب چاپ می‌کند)
.UNINDENT
.INDENT 0.0
.TP
.B log\-time\-iso: \fI<yes or no>\fP
زمان لاگ در قالب ISO8601، در صورتی که
\fI\%log\-time\-ascii: yes\fP
نیز تنظیم شده باشد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B log\-queries: \fI<yes or no>\fP
یک خط به ازای هر پرس‌وجو به همراه برچسب زمانی لاگ و آدرس IP، نام، نوع و کلاس در لاگ چاپ می‌کند.
توجه داشته باشید که چاپ این خطوط زمان‌بر است که باعث می‌شود سرور (به طور قابل توجهی) کندتر شود.
کاراکترهای غیرمعمول (غیرقابل چاپ) در نام‌ها به صورت \fB\(aq?\(aq\fP چاپ می‌شوند\&.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B log\-replies: \fI<yes or no>\fP
یک خط به ازای هر پاسخ به همراه برچسب زمانی لاگ و آدرس IP، نام، نوع، کلاس، کد بازگشتی، زمان تفکیک، از کش بودن و اندازه پاسخ در لاگ چاپ می‌کند.
توجه داشته باشید که چاپ این خطوط زمان‌بر است که باعث می‌شود سرور (به طور قابل توجهی) کندتر شود.
کاراکترهای غیرمعمول (غیرقابل چاپ) در نام‌ها به صورت \fB\(aq?\(aq\fP چاپ می‌شوند\&.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B log\-tag\-queryreply: \fI<yes or no>\fP
کلمات \(aqquery\(aq و \(aqreply\(aq را همراه با
\fI\%log\-queries\fP
و
\fI\%log\-replies\fP
چاپ می‌کند\&.
این کار پالایش لاگ‌ها را آسان‌تر می‌کند.
.sp
پیش‌فرض: no (سازگار با نسخه‌های پیشین)
.UNINDENT
.INDENT 0.0
.TP
.B log\-destaddr: \fI<yes or no>\fP
آدرس مقصد، درگاه و نوع را در خروجی
\fI\%log\-replies\fP
چاپ می‌کند.
این کار ابهام‌زدایی می‌کند که چه نوع ترافیکی، برای نمونه UDP یا TCP، و به چه درگاه محلی ترافیک ارسال شده است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B log\-local\-actions: \fI<yes or no>\fP
خطوط لاگ را برای اطلاع‌رسانی درباره اقدامات ناحیه محلی چاپ می‌کند.
این خطوط شبیه به خروجی‌های
\fI\%local\-zone type inform\fP
هستند، اما برای انواع دیگر ناحیه‌های محلی نیز چاپ می‌شوند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B log\-servfail: \fI<yes or no>\fP
خطوط لاگی چاپ می‌کند که دلیل بازگرداندن SERVFAIL توسط پرس‌وجوها به کلاینت‌ها را بیان می‌کند.
این لاگ از لاگ‌های اشکال‌زدایی پرگویی مجزا، بسیار کوچک‌تر، و در سطح خطا چاپ می‌شود، نه در سطح اطلاعاتی داده‌های اشکال‌زدایی پرگویی.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B log\-thread\-id: \fI<yes or no>\fP
(تنها در لینوکس و فقط در صورت در دسترس بودن نخ‌ها)
شناسه نخ لینوکس در سراسر سیستم را به جای شمارنده داخلی نخ Unbound ثبت می‌کند.
هنگام اشکال‌زدایی با ابزارهای سیستمی می‌تواند مفید باشد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B pidfile: \fI<filename>\fP
شناسه فرایند در این پرونده نوشته می‌شود.
پیش‌فرض \fB\(dq/run/unbound.pid\(dq\fP است\&.
بنابراین:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
kill \-HUP \(gacat /run/unbound.pid\(ga
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
باعث بارگذاری مجدد، و
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
kill \-TERM \(gacat /run/unbound.pid\(ga
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
به آرامی خاتمه می‌دهد.
.sp
پیش‌فرض: /run/unbound.pid
.UNINDENT
.INDENT 0.0
.TP
.B root\-hints: \fI<filename>\fP
هینت‌های ریشه (root hints) را از این پرونده می‌خواند.
پیش‌فرض هیچ‌چیز است، با استفاده از هینت‌های داخلی برای کلاس IN.
پرونده دارای قالب پرونده‌های ناحیه است، تنها با نام‌ها و آدرس‌های سرور نام ریشه.
هنگامی که سرورها تغییر کنند، ممکن است پیش‌فرض قدیمی شود و در آن صورت می‌توان از یک پرونده هینت‌های ریشه با سرورهای مشخص استفاده کرد.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B hide\-identity: \fI<yes or no>\fP
در صورت فعال بودن، پرس‌وجوهای \(aqid.server\(aq و \(aqhostname.bind\(aq رد می‌شوند (REFUSED).
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B identity: \fI<string>\fP
هویتی که باید گزارش شود را تنظیم می‌کند.
اگر روی \fB\(dq\(dq\fP تنظیم شود، نام میزبان سرور بازگردانده می‌شود.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B hide\-version: \fI<yes or no>\fP
در صورت فعال بودن، پرس‌وجوهای \(aqversion.server\(aq و \(aqversion.bind\(aq رد می‌شوند (REFUSED).
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B version: \fI<string>\fP
نسخه‌ای که باید گزارش شود را تنظیم می‌کند.
اگر روی \fB\(dq\(dq\fP تنظیم شود، نسخه بسته بازگردانده می‌شود.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B hide\-http\-user\-agent: \fI<yes or no>\fP
در صورت فعال بودن، هدر HTTP با عنوان User\-Agent تنظیم نمی‌شود.
با احتیاط استفاده کنید زیرا برخی پیکربندی‌های وب‌سرور ممکن است درخواست‌های HTTP فاقد این هدر را رد کنند.
در صورت نیاز، بهتر است گزینه
\fI\%http\-user\-agent\fP
زیر را به طور صریح تنظیم کنید.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B http\-user\-agent: \fI<string>\fP
هدر HTTP User\-Agent را برای درخواست‌های خروجی HTTP تنظیم می‌کند.
اگر روی \fB\(dq\(dq\fP تنظیم شود، نام و نسخه بسته استفاده می‌شود.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B nsid: \fI<string>\fP
هنگامی که پرس‌وجو با بسته‌ای فعال با NSID EDNS انجام شود، nsid مشخص‌شده را به بخش EDNS پاسخ اضافه می‌کند.
به صورت دنباله‌ای از کاراکترهای هگزادسیمال یا با پیشوند \(aqascii_\(aq و سپس یک رشته ASCII.
.sp
پیش‌فرض: (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B hide\-trustanchor: \fI<yes or no>\fP
در صورت فعال بودن، پرس‌وجوهای \(aqtrustanchor.unbound\(aq رد می‌شوند (REFUSED).
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B target\-fetch\-policy: \fI<\(dqlist of numbers\(dq>\fP
سیاست واکشی هدف مورد استفاده توسط Unbound را برای تعیین اینکه آیا باید آدرس‌های هدف سرور نام را به صورت فرصت‌طلبانه واکشی کند یا خیر، تنظیم می‌کند.
سیاست به ازای هر عمق وابستگی شرح داده می‌شود.
.sp
تعداد مقادیر، حداکثر عمق وابستگی را تعیین می‌کند که Unbound در پاسخ به یک پرس‌وجو دنبال خواهد کرد.
مقدار 1\- به معنای واکشی تمام اهداف به صورت فرصت‌طلبانه برای آن عمق وابستگی است.
مقدار 0 به معنای واکشی صرفاً در صورت تقاضا است.
یک مقدار مثبت به همان تعداد اهداف را به صورت فرصت‌طلبانه واکشی می‌کند.
.sp
فهرست را میان علامت‌های نقل‌قول (\fB\(dq\(dq\fP) قرار دهید و میان اعداد فاصله بگذارید.
تنظیم همه روی صفر، \(dq0 0 0 0 0\(dq رفتاری نزدیک‌تر به BIND 9 ایجاد می‌کند، در حالی که تنظیم \(dq\-1 \-1 \-1 \-1 \-1\(dq رفتاری نزدیک‌تر به BIND 8 فراهم می‌آورد.
.sp
پیش‌فرض: \(dq3 2 1 0 0\(dq
.UNINDENT
.INDENT 0.0
.TP
.B harden\-short\-bufsize: \fI<yes or no>\fP
اندازه‌های بسیار کوچک بافر EDNS از پرس‌وجوها نادیده گرفته می‌شوند.
.sp
پیش‌فرض: yes (بر اساس \fI\%RFC 6891\fP)
.UNINDENT
.INDENT 0.0
.TP
.B harden\-large\-queries: \fI<yes or no>\fP
پرس‌وجوهای بسیار بزرگ نادیده گرفته می‌شوند.
پیش‌فرض no است، زیرا از نظر پروتکل ارسال آن‌ها قانونی است و در صورتی که بار مفید TSIG یا EDNS بسیار بزرگ باشد، می‌تواند برای عملکرد ضروری باشد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B harden\-glue: \fI<yes or no>\fP
فقط در صورتی به داده‌های glue اعتماد می‌کند که در حوزه اختیارات سرورها باشد.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B harden\-unverified\-glue: \fI<yes or no>\fP
تنها به داده‌های glue درون ناحیه اعتماد می‌کند.
تلاش می‌کند تمام داده‌های glue خارج از ناحیه (\fIتأییدنشده\fP) را تفکیک کند.
در صورت ناتوانی در تفکیک، به داده‌های glue اولیه بازمی‌گردد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B harden\-dnssec\-stripped: \fI<yes or no>\fP
داده‌های DNSSEC را برای ناحیه‌های دارای لنگر اعتماد الزامی می‌کند؛ اگر چنین داده‌هایی وجود نداشته باشند، ناحیه ساختگی تلقی می‌شود.
اگر خاموش باشد و داده‌های DNSSEC دریافت نشود (یا داده‌های DNSKEY اعتبارسنجی نشوند)، ناحیه ناامن تلقی می‌شود؛ این رفتار به گونه‌ای است که گویی لنگر اعتمادی وجود ندارد.
می‌توانید این را خاموش کنید اگر گاهی اوقات پشت یک فایروال مداخله‌گر (از هر نوع) قرار دارید که داده‌های DNSSEC را از بسته‌ها حذف می‌کند، یا ناحیه‌ای غالباً از امضاشده به امضانشده یا با امضای نادرست تغییر وضعیت می‌دهد.
اگر خاموش باشد، خطر حمله تنزل رتبه را می‌پذیرید که امنیت یک ناحیه را غیرفعال می‌کند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B harden\-below\-nxdomain: \fI<yes or no>\fP
برگرفته از
\fI\%RFC 8020\fP
(با عنوان \(dqNXDOMAIN: There Really Is Nothing Underneath\(dq)، به پرس‌وجوهای مربوط به نامی زیر نام دیگری که از قبل مشخص شده NXDOMAIN است، پاسخ NXDOMAIN می‌دهد.
استاندارد DNSSEC برای نام‌های غیرپایانی تهی پاسخ NOERROR را الزامی می‌کند، از این رو این کار امکان‌پذیر است.
نرم‌افزارهای بسیار قدیمی ممکن است برای نام‌های غیرپایانی تهی (که معمولاً در جستجوهای معکوس آدرس IP رخ می‌دهند) NXDOMAIN برگردانند و بنابراین ممکن است با این گزینه ناسازگار باشند.
برای تلاش جهت اجتناب از این مشکل، تنها از NXDOMAINهای امن با DNSSEC استفاده می‌شود، زیرا نرم‌افزارهای قدیمی فاقد DNSSEC هستند.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
پاسخ NXDOMAIN باید امن باشد؛ این بدان معناست که NSEC3 همراه با optout ناکافی است.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B harden\-referral\-path: \fI<yes or no>\fP
مسیر ارجاع را با انجام پرس‌وجوهای اضافی برای داده‌های زیرساختی مقاوم‌سازی می‌کند.
در صورت پیکربندی لنگرهای اعتماد و امضاشده بودن ناحیه‌ها، پاسخ‌ها را اعتبارسنجی می‌کند.
این کار اعتبارسنجی DNSSEC را روی مجموعه‌های NS سرور نام و آدرس‌های سرور نام که در مسیر ارجاع به پاسخ با آن‌ها مواجه می‌شویم تحمیل می‌کند.
پیش‌فرض off است، زیرا بر سرورهای مرجع بار وارد می‌کند، استاندارد RFC نیست، و به دلیل بار پرس‌وجوی اضافی ایجاد شده می‌تواند به مشکلات عملکرد منجر شود.
گزینه‌ای آزمایشی است.
اگر آن را فعال می‌کنید، افزودن اعداد بیشتر پس از
\fI\%target\-fetch\-policy\fP
را برای افزایش حداکثر عمق بررسی در نظر بگیرید.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B harden\-algo\-downgrade: \fI<yes or no>\fP
هنگامی که چندین الگوریتم در رکورد DS اعلام شده‌اند، در برابر تنزل رتبه الگوریتم مقاوم‌سازی می‌کند.
این کار ابتدا با انتخاب قوی‌ترین نوع دایجست DS بر اساس
\fI\%RFC 4509\fP
(Unbound بالاترین الگوریتم را قوی‌ترین می‌داند) و سپس انتظار حضور امضاها از تمام الگوریتم‌های امضای اعلام‌شده از DS(های) انتخاب‌شده کار می‌کند.
اگر no باشد، به هر الگوریتم پشتیبانی‌شده واحدی اجازه می‌دهد ناحیه را اعتبارسنجی کند، حتی اگر سایر الگوریتم‌های اعلام‌شده شکسته باشند.
استاندارد
\fI\%RFC 6840\fP
حکم می‌کند که امضاکنندگان ناحیه باید ناحیه‌هایی امضاشده با تمام الگوریتم‌های اعلام‌شده تولید کنند، اما گاهی اوقات این کار را نمی‌کنند.
همچنین
\fI\%RFC 6840\fP
روشن می‌کند که این الزام برای اعتبارسنج‌ها نیست و اعتبارسنج‌ها باید هر مسیر معتبر واحدی را بپذیرند.
بنابراین باید به صراحت ذکر شود که این گزینه
\fI\%RFC 6840\fP
را برای اعتبارسنجی DNSSEC نقض می‌کند و فقط باید برای انجام آزمون کامل بودن امضا جهت کمک به عیب‌یابی استفاده شود.
.sp
\fBWARNING:\fP
.INDENT 7.0
.INDENT 3.5
استفاده از این گزینه ممکن است تفکیک DNSSEC را با امضاکنندگانی که از
\fI\%RFC 6840\fP
پیروی نمی‌کنند و/یا در پیکربندی‌های چندامضایی که تمام امضاهای اعلام‌شده را ارسال نمی‌کنند مختل کند.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B harden\-unknown\-additional: \fI<yes or no>\fP
در برابر رکوردهای ناشناخته در بخش مرجع و بخش اضافی مقاوم‌سازی می‌کند.
اگر no باشد، چنین رکوردهایی از بالادست کپی شده و همراه با پاسخ به کلاینت ارائه می‌شوند.
اگر yes باشد، می‌تواند تحولات آینده پروتکل را که می‌خواهند رکورد اضافه کنند با مانع مواجه کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B use\-caps\-for\-id: \fI<yes or no>\fP
از بیت‌های تصادفی کدگذاری‌شده با 0x20 در پرس‌وجو برای ناکام گذاشتن تلاش‌های جعل استفاده می‌کند.
این گزینه حروف کوچک و بزرگ نام‌های پرس‌وجوی ارسال‌شده به سرورهای مرجع را دستکاری کرده و بررسی می‌کند که آیا پاسخ هنوز حالت حروف درست را دارد یا خیر.
این قابلیت یک پیاده‌سازی آزمایشی از پیش‌نویس dns\-0x20 است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B caps\-exempt: \fI<domain>\fP
دامنه را معاف می‌کند تا پرس‌وجوهای دستکاری‌شده با caps\-for\-id را دریافت نکند.
برای دامنه‌هایی که از 0x20 پشتیبانی نمی‌کنند و همچنین با عقب‌نشینی با شکست مواجه می‌شوند زیرا به ارسال پاسخ‌های متفاوت ادامه می‌دهند، مانند برخی از متعادل‌کننده‌های بار.
می‌تواند چندین بار برای دامنه‌های مختلف داده شود.
.UNINDENT
.INDENT 0.0
.TP
.B caps\-whitelist: \fI<domain>\fP
نحو جایگزین برای
\fI\%caps\-exempt\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B qname\-minimisation: \fI<yes or no>\fP
حداقل مقدار اطلاعات را به سرورهای بالادست ارسال می‌کند تا حریم خصوصی را افزایش دهد.
فقط حداقل برچسب‌های مورد نیاز از QNAME را ارسال کرده و در صورت امکان QTYPE را روی A تنظیم می‌کند.
رویکرد با بهترین تلاش؛ هنگامی که بالادست با کد خطایی غیر از NOERROR پاسخ دهد، QNAME کامل و QTYPE اصلی ارسال خواهد شد، مگر در زمان دریافت NXDOMAIN از یک ناحیه امضاشده با DNSSEC.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B qname\-minimisation\-strict: \fI<yes or no>\fP
کمینه‌سازی QNAME در حالت سخت‌گیرانه.
به ارسال QNAME کامل به سرورهای نام بالقوه خراب عقب‌نشینی نمی‌کند.
بسیاری از دامنه‌ها در صورت فعال بودن این گزینه قابل تفکیک نخواهند بود.
تنها در صورتی استفاده کنید که می‌دانید چه می‌کنید.
این گزینه تنها زمانی اثر دارد که
\fI\%qname\-minimisation\fP
فعال باشد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B aggressive\-nsec: \fI<yes or no>\fP
قابلیت NSEC تهاجمی از زنجیره NSEC پروتکل DNSSEC برای سنتز NXDOMAIN و سایر پاسخ‌های انکار، با استفاده از اطلاعات پاسخ‌های NXDOMAIN قبلی استفاده می‌کند.
این به کاهش نرخ پرس‌وجو به سمت اهدافی که نرخ جستجوی نام ناموجود بسیار بالایی دارند کمک می‌کند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B private\-address: \fI<IP address or subnet>\fP
آدرس‌های IPv4 یا IPv6 یا زیرشبکه‌های بدون کلاس را مشخص کنید.
این‌ها آدرس‌هایی روی شبکه خصوصی شما هستند و اجازه ندارند برای نام‌های اینترنت عمومی بازگردانده شوند.
هرگونه وقوع چنین آدرس‌هایی از پاسخ‌های DNS حذف می‌شود.
علاوه بر این، اعتبارسنج DNSSEC ممکن است پاسخ‌ها را جعلی علامت‌گذاری کند.
این کار در برابر آنچه بازپیوند DNS نامیده می‌شود محافظت می‌کند، جایی که مرورگر کاربر به یک پراکسی شبکه تبدیل می‌شود که امکان دسترسی از راه دور از طریق مرورگر به سایر بخش‌های شبکه خصوصی شما را فراهم می‌کند.
.sp
این گزینه رکوردهای منبع از انواع A، AAAA، SVCB و HTTPS را که با فیلتر مطابقت دارند حذف می‌کند.
درون رکوردهای SVCB و HTTPS، پارامترهای svcparams از نوع ipv4hint و ipv6hint برای یافتن مطابقت بررسی می‌شوند.
.sp
به برخی نام‌ها می‌توان اجازه داد حاوی آدرس‌های خصوصی شما باشند؛ به‌طور پیش‌فرض تمام
\fI\%local\-data\fP
که پیکربندی کرده‌اید مجاز است، و می‌توانید نام‌های اضافی را با استفاده از
\fI\%private\-domain\fP
مشخص کنید\&.
به طور پیش‌فرض هیچ آدرس خصوصی فعال نیست.
.sp
ما فعال‌سازی این مورد را برای فضای آدرس IP خصوصی
\fI\%RFC 1918\fP
به صورت پیش‌فرض در نسخه‌های بعدی مد نظر داریم.
این امر آدرس‌های خصوصی را برای
\fB10.0.0.0/8\fP،
\fB172.16.0.0/12\fP،
\fB192.168.0.0/16\fP،
\fB169.254.0.0/16\fP،
\fBfd00::/8\fP
و
\fBfe80::/10\fP
فعال می‌کند، زیرا استانداردهای RFC می‌گویند این آدرس‌ها نباید در اینترنت عمومی قابل مشاهده باشند.
.sp
فعال کردن
\fB127.0.0.0/8\fP
مانع بسیاری از لیست‌های مسدودسازی اسپم می‌شود زیرا آن‌ها از آن استفاده می‌کنند.
افزودن
\fB::ffff:0:0/96\fP
از دور زدن فیلتر توسط آدرس‌های IPv6 نگاشت‌شده به IPv4 جلوگیری می‌کند.
.UNINDENT
.INDENT 0.0
.TP
.B private\-domain: \fI<domain name>\fP
به این دامنه و تمام زیردامنه‌های آن اجازه می‌دهد حاوی آدرس‌های خصوصی باشند.
چندین بار وارد کنید تا چندین نام دامنه مجاز به داشتن آدرس‌های خصوصی باشند.
.sp
پیش‌فرض: (هیچ‌کدام)
.UNINDENT
.INDENT 0.0
.TP
.B unwanted\-reply\-threshold: \fI<number>\fP
در صورت تنظیم، تعداد کل پاسخ‌های ناخواسته در هر نخ ردیابی می‌شود.
هنگامی که به آستانه برسد، اقدامی دفاعی انجام شده و هشداری در لاگ چاپ می‌شود.
اقدام دفاعی پاک کردن کش‌های rrset و پیام است، به امید اینکه هرگونه مسمومیت از بین برود.
مقدار 10 میلیون پیشنهاد می‌شود.
.sp
مفید است که 0.0.0.0/8 و \(aq::\(aq را به فهرست
\fI\%do\-not\-query\-address\fP
اضافه کنید.
در غیر این صورت ممکن است از localhost پاسخ داده شوند، و مبدأ متفاوت پاسخی ناخواسته ایجاد کند که به طور غیرضروری شمارنده را بالا ببرد.
گزینه
\fI\%do\-not\-query\-localhost\fP
آن‌ها (زیرشبکه‌های صفر) را در صورت فعال بودن شامل می‌شود.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B do\-not\-query\-address: \fI<IP address>\fP
از آدرس IP داده‌شده پرس‌وجو نمی‌کند.
می‌تواند IPv4 یا IPv6 باشد.
برای نشان دادن یک بلوک شبکه تفویض‌شده بدون کلاس، num/ را اضافه کنید، برای مثال مانند
\fB10.2.3.4/24\fP
یا
\fB2001::11/64\fP\&.
.sp
پیش‌فرض: (هیچ‌کدام)
.UNINDENT
.INDENT 0.0
.TP
.B do\-not\-query\-localhost: \fI<yes or no>\fP
اگر yes باشد، localhost به ورودی‌های
\fI\%do\-not\-query\-address\fP
اضافه می‌شود، هم IPv6 \fB::1\fP و هم IPv4 \fB127.0.0.1/8\fP\&.
اگر no باشد، می‌توان از localhost برای ارسال پرس‌وجوها استفاده کرد.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B prefetch: \fI<yes or no>\fP
اگر yes باشد، اصابت‌های کش روی عناصر کش پیام که در 10 درصد پایانی مقدار TTL خود قرار دارند، یک پیش‌واکشی را برای به‌روز نگه داشتن کش آغاز می‌کنند.
روشن کردن آن حدود 10 درصد ترافیک و بار بیشتری روی دستگاه ایجاد می‌کند، اما موارد محبوب از کش منقضی نمی‌شوند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B prefetch\-key: \fI<yes or no>\fP
اگر yes باشد، کلیدهای DNSKEY را زودتر در فرآیند اعتبارسنجی، هنگامی که با رکورد DS مواجه می‌شود، واکشی می‌کند.
این کار تأخیر درخواست‌ها را کاهش می‌دهد.
کمی از پردازنده بیشتری استفاده می‌کند.
همچنین اگر کش روی 0 تنظیم شده باشد، فایده‌ای ندارد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B deny\-any: \fI<yes or no>\fP
اگر yes باشد، پرس‌وجوهای از نوع ANY را با یک پاسخ خالی رد می‌کند.
در صورت غیرفعال بودن، در صورتی که بتوان مواردی را در کش یافت Unbound با فهرست کوتاهی از رکوردهای منبع پاسخ می‌دهد و در صورت عدم وجود، پرس‌وجوی نوع ANY بالادست را انجام می‌دهد.
این گزینه در صورت فعال بودن، پردازش پاسخ‌های احتمالاً طولانی ANY توسط اعتبارسنجی DNSSEC را متوقف می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B rrset\-roundrobin: \fI<yes or no>\fP
اگر yes باشد، Unbound ترتیب RRSet را در پاسخ می‌چرخاند (عدد تصادفی برای سرعت و ایمنی نخ از شناسه پرس‌وجو گرفته می‌شود).
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B minimal\-responses: \fI<yes or no>\fP
اگر yes باشد، Unbound بخش‌های مرجع/اضافی را هنگامی که آن بخش‌ها مورد نیاز نیستند در پیام‌های پاسخ درج نمی‌کند.
این کار اندازه پاسخ را به طور چشمگیری کاهش می‌دهد و ممکن است از عقب‌نشینی به TCP برای برخی پاسخ‌ها جلوگیری کند که می‌تواند باعث افزایش اندک سرعت شود.
پیش‌فرض yes است، اگرچه RFCهای پروتکل DNS این بخش‌ها را الزامی می‌دانند، و محتوای اضافی می‌تواند رفت‌وبرگشت‌ها را برای کلاینت‌هایی که از محتوای اضافی استفاده می‌کنند ذخیره کند.
با این حال این بخش‌ها به ندرت توسط کلاینت‌ها استفاده می‌شوند.
فعال کردن prefetch می‌تواند با تلاش برای تازه نگه داشتن آن محتوا در کش به نفع کلاینت‌هایی باشد که به محتوای اضافی نیاز دارند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B disable\-dnssec\-lame\-check: \fI<yes or no>\fP
اگر yes باشد، بررسی بی‌کفایتی DNSSEC را در تکرارکننده غیرفعال می‌کند.
این بررسی می‌بیند که آیا RRSIGها در پاسخ وجود دارند یا خیر، زمانی که DNSSEC انتظار می‌رود، و در صورتی که RRSIGها به طور غیرمنتظره مفقود شده باشند، مرجع دیگری را مجدداً امتحان می‌کند.
در صورت بارگذاری یک لنگر اعتماد، اعتبارسنج صرف‌نظر از این تنظیم بر وجود RRSIGها برای دامنه‌های امضاشده با DNSSEC اصرار خواهد ورزید.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B module\-config: \fI\(dq<module names>\(dq\fP
پیکربندی ماژول، فهرستی از نام‌های ماژول جداشده با فاصله، رشته را در علامت‌های نقل‌قول (\fB\(dq\(dq\fP) قرار دهید.
ماژول‌ها می‌توانند \fBrespip\fP، \fBvalidator\fP یا \fBiterator\fP باشند (و احتمالاً موارد بیشتر، زیر را ببینید).
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
ترتیب ماژول‌ها مهم است، ترتیبْ ترتیب پردازش را تعیین می‌کند.
.UNINDENT
.UNINDENT
.sp
تنظیم این گزینه تنها روی \(dqiterator\(dq منجر به یک سرور بدون اعتبارسنجی می‌شود.
تنظیم این گزینه روی \(dqvalidator iterator\(dq اعتبارسنجی DNSSEC را روشن می‌کند.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
همچنین باید trust\-anchors را تنظیم کنید تا اعتبارسنجی مفید واقع شود.
.UNINDENT
.UNINDENT
.sp
افزودن \fBrespip\fP به ابتدا باعث می‌شود پردازش RPZ روی تمام پرس‌وجوها انجام شود.
.sp
بیشتر ماژول‌هایی که باید در اینجا فهرست شوند باید در ابتدای خط فهرست شوند.
.sp
ماژول \fBsubnetcache\fP باید دقیقاً پیش از iterator فهرست شود.
.sp
ماژول \fBpython\fP می‌تواند در جاهای مختلفی فهرست شود، در این صورت خروجی ماژولی را که دقیقاً پیش از آن قرار دارد پردازش می‌کند.
.sp
ماژول \fBdynlib\fP را می‌توان تقریباً در هر جایی فهرست کرد، این ماژول تنها یک پوشش بسیار نازک است که اجازه می‌دهد کتابخانه‌های پویا به جای آن اجرا شوند.
.sp
پیش‌فرض: \(dqvalidator iterator\(dq
.UNINDENT
.INDENT 0.0
.TP
.B trust\-anchor\-file: \fI<filename>\fP
پرونده حاوی کلیدهای مورد اعتماد برای اعتبارسنجی.
هم ورودی‌های DS و هم ورودی‌های DNSKEY می‌توانند در پرونده ظاهر شوند.
قالب پرونده همان قالب استاندارد پرونده ناحیه DNS است.
.sp
پیش‌فرض: \(dq\(dq (بدون پرونده لنگر اعتماد)
.UNINDENT
.INDENT 0.0
.TP
.B auto\-trust\-anchor\-file: \fI<filename>\fP
پرونده حاوی لنگر اعتماد برای یک ناحیه، که با پروب‌های
\fI\%RFC 5011\fP
ردیابی می‌شود.
پروب‌ها چندین بار در ماه اجرا می‌شوند، بنابراین دستگاه باید به طور مکرر آنلاین باشد.
پرونده اولیه می‌تواند پرونده‌ای با محتوای شرح داده شده در
\fI\%trust\-anchor\-file\fP
باشد\&.
هنگام به‌روزرسانی لنگر اعتماد در پرونده نوشته می‌شود، بنابراین کاربر Unbound باید مجوز نوشتن داشته باشد.
مجوز نوشتن روی پرونده، و همچنین روی دایرکتوری‌ای که پرونده در آن قرار دارد (برای ایجاد یک پرونده موقت، که برای مدیریت رویدادهای پر شدن سیستم‌فایل ضروری است)، همچنین باید در داخل
\fI\%chroot\fP
باشد (اگر استفاده شود).
.sp
پیش‌فرض: \(dq\(dq (بدون پرونده لنگر اعتماد خودکار)
.UNINDENT
.INDENT 0.0
.TP
.B trust\-anchor: \fI\(dq<Resource Record>\(dq\fP
یک رکورد منبع DS یا DNSKEY برای کلیدی که باید برای اعتبارسنجی استفاده شود.
می‌توان چندین ورودی را برای تعیین چندین کلید مورد اعتماد، علاوه بر
\fI\%trust\-anchor\-file\fP
مشخص کرد\&.
رکورد منبع به همان قالبی که
\fIdig(1)\fP
یا
\fIdrill(1)\fP
آن‌ها را چاپ می‌کنند، همان قالب پرونده ناحیه، وارد می‌شود.
باید در یک خط واحد، با \fB\(dq\(dq\fP در اطراف آن باشد.
یک TTL می‌تواند برای سهولت برش و چسباندن مشخص شود، اما نادیده گرفته می‌شود.
یک کلاس می‌تواند مشخص شود، اما کلاس IN پیش‌فرض است.
.sp
پیش‌فرض: (هیچ‌کدام)
.UNINDENT
.INDENT 0.0
.TP
.B trusted\-keys\-file: \fI<filename>\fP
پرونده حاوی کلیدهای مورد اعتماد برای اعتبارسنجی.
بیش از یک پرونده را با چندین ورودی، یک پرونده به ازای هر ورودی، مشخص کنید.
مشابه
\fI\%trust\-anchor\-file\fP
است اما قالب پرونده متفاوتی دارد.
قالب آن قالب سبک BIND\-9 است، بندهای \fBtrusted\-keys { name flag proto algo \(dqkey\(dq; };\fP خوانده می‌شوند.
امکان استفاده از کاراکترهای عمومی با این عبارت وجود دارد، کاراکتر عمومی در زمان شروع و هنگام بارگذاری مجدد بسط می‌یابد.
.sp
پیش‌فرض: \(dq\(dq (بدون پرونده کلیدهای مورد اعتماد)
.UNINDENT
.INDENT 0.0
.TP
.B trust\-anchor\-signaling: \fI<yes or no>\fP
ارسال پرس‌وجوی برچسب کلید
\fI\%RFC 8145\fP
پس از آماده‌سازی لنگر اعتماد.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B root\-key\-sentinel: \fI<yes or no>\fP
دیده‌بان لنگر اعتماد کلید ریشه.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B domain\-insecure: \fI<domain name>\fP
مقدار \fI<domain name>\fP را روی ناامن تنظیم می‌کند، زنجیره اعتماد DNSSEC به سمت \fI<domain name>\fP نادیده گرفته می‌شود\&.
بنابراین یک لنگر اعتماد بالای نام دامنه نمی‌تواند با یک رکورد DS دامنه را امن کند؛ چنین رکورد DS نادیده گرفته می‌شود.
می‌توان چندین بار برای تعیین چندین دامنه که طوری با آن‌ها برخورد می‌شود که گویی امضا نشده‌اند مشخص کرد.
اگر لنگرهای اعتماد برای دامنه تنظیم کنید، آن‌ها این تنظیم را بازنویسی می‌کنند (و دامنه امن می‌شود).
.sp
این می‌تواند مفید باشد اگر می‌خواهید مطمئن شوید یک لنگر اعتماد برای جستجوهای بیرونی بر یک دامنه داخلی (امضانشده) تأثیر نمی‌گذارد.
یک رکورد DS در خارج می‌تواند خطاهای اعتبارسنجی برای آن دامنه داخلی ایجاد کند.
.sp
پیش‌فرض: (هیچ‌کدام)
.UNINDENT
.INDENT 0.0
.TP
.B val\-override\-date: \fI<rrsig\-style date spec>\fP
.sp
\fBWARNING:\fP
.INDENT 7.0
.INDENT 3.5
قابلیت اشکال‌زدایی!
.UNINDENT
.UNINDENT
.sp
در صورت فعال بودن با ارائه تاریخی به سبک RRSIG، از آن تاریخ برای تأیید تاریخ‌های آغاز و انقضای RRSIG به جای تاریخ فعلی استفاده می‌شود.
این را تنظیم نکنید مگر اینکه در حال اشکال‌زدایی آغاز و انقضای امضا باشید.
مقدار 1\- تاریخ را به کلی نادیده می‌گیرد، که برای برخی برنامه‌های خاص مفید است.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B val\-sig\-skew\-min: \fI<seconds>\fP
حداقل تعداد ثانیه‌های انحراف ساعت برای اعمال بر امضاهای اعتبارسنجی‌شده.
مقداری برابر با 10% طول عمر امضا (انقضا \- آغاز) استفاده می‌شود که توسط این تنظیم محدود می‌شود.
پیش‌فرض 3600 (1 ساعت) است که تفاوت‌های ساعت تابستانی را پوشش می‌دهد.
این مقدار را برای بررسی سخت‌گیرانه‌تر امضاهای کوتاه‌مدت کاهش دهید.
.sp
پیش‌فرض: 3600 (1 ساعت)
.UNINDENT
.INDENT 0.0
.TP
.B val\-sig\-skew\-max: \fI<seconds>\fP
حداکثر تعداد ثانیه‌های انحراف ساعت برای اعمال بر امضاهای اعتبارسنجی‌شده.
مقداری برابر با 10% طول عمر امضا (انقضا \- آغاز) استفاده می‌شود که توسط این تنظیم محدود می‌شود.
پیش‌فرض 86400 (24 ساعت) است که مشکلات تنظیم منطقه زمانی را در دامنه‌های پایدار پوشش می‌دهد.
تنظیم بسیار پایین هر دو مقدار حداقل و حداکثر، مجاز بودن انحراف ساعت را غیرفعال می‌کند.
تنظیم بسیار بالای هر دو مقدار حداقل و حداکثر باعث می‌شود اعتبارسنج برچسب‌های زمانی امضا را با سخت‌گیری کمتری بررسی کند.
.sp
پیش‌فرض: 86400 (24 ساعت)
.UNINDENT
.INDENT 0.0
.TP
.B val\-max\-restart: \fI<number>\fP
حداکثر دفعاتی که اعتبارسنج باید در صورت شکست اعتبارسنجی، اعتبارسنجی را با مرجع دیگری دوباره آغاز کند.
.sp
پیش‌فرض: 5
.UNINDENT
.INDENT 0.0
.TP
.B val\-bogus\-ttl: \fI<seconds>\fP
زمان بقا برای داده‌های جعلی.
این داده‌هایی است که اعتبارسنجی آن‌ها با شکست مواجه شده است؛ به دلیل امضاهای نامعتبر یا سایر بررسی‌ها.
نمی‌توان به TTL آن داده‌ها اعتماد کرد و در عوض از این مقدار استفاده می‌شود.
بازه زمانی از اعتبارسنجی مجدد و مکرر داده‌های جعلی جلوگیری می‌کند.
.sp
پیش‌فرض: 60
.UNINDENT
.INDENT 0.0
.TP
.B val\-clean\-additional: \fI<yes or no>\fP
به اعتبارسنج دستور می‌دهد داده‌ها را از بخش اضافی پیام‌های امن که به درستی امضا نشده‌اند حذف کند.
پیام‌هایی که ناامن، جعلی، نامشخص یا بررسی‌نشده هستند تحت تأثیر قرار نمی‌گیرند.
از این تنظیم برای محافظت از کاربرانی که به این اعتبارسنج برای احراز هویت تکیه می‌کنند در برابر داده‌های بالقوه مخرب در بخش اضافی استفاده کنید.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B val\-log\-level: \fI<number>\fP
اعتبارسنج را موظف می‌کند شکست‌های اعتبارسنجی را در لاگ چاپ کند.
صرف‌نظر از تنظیم پرگویی.
.sp
در سطح 1، به ازای هر پرس‌وجوی کاربر که با شکست مواجه می‌شود، یک خط در لاگ‌ها چاپ می‌شود.
به این ترتیب می‌توانید آنچه در اعتبارسنجی اتفاق می‌افتد را نظارت کنید.
از یک ابزار تشخیص، مانند dig یا drill، استفاده کنید تا متوجه شوید چرا اعتبارسنجی برای این پرس‌وجوها با شکست مواجه می‌شود.
.sp
در سطح 2، نه تنها پرس‌وجویی که با شکست مواجه شده چاپ می‌شود، بلکه دلیلی که Unbound آن را نادرست تشخیص داده و اینکه کدام سرور داده‌های معیوب را ارسال کرده است نیز چاپ می‌شود.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B val\-permissive\-mode: \fI<yes or no>\fP
به اعتبارسنج دستور می‌دهد پیام‌های جعلی را به عنوان نامشخص علامت‌گذاری کند.
بررسی‌های امنیتی انجام می‌شوند، اما اگر نتیجه جعلی (شکست امنیتی) باشد، پاسخ مانند حالت معمول با SERVFAIL از کلاینت دریغ نمی‌شود.
کلاینت داده‌های جعلی را دریافت می‌کند.
برای پیام‌هایی که امن تشخیص داده می‌شوند، بیت AD در پاسخ‌ها تنظیم می‌شود.
همچنین ثبت لاگ مانند اعتبارسنجی کامل انجام می‌شود.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B ignore\-cd\-flag: \fI<yes or no>\fP
به Unbound دستور می‌دهد فلگ CD کلاینت‌ها را نادیده گرفته و از بازگرداندن پاسخ‌های جعلی به آن‌ها خودداری کند.
بنابراین، فلگ CD (غیرفعال بودن بررسی) دیگر بررسی را غیرفعال نمی‌کند.
این گزینه در صورتی مفید است که سرورهای موروثی (w2008) که فلگ CD را تنظیم می‌کنند اما خودشان نمی‌توانند DNSSEC را اعتبارسنجی کنند کلاینت باشند، و سپس Unbound حفاظت DNSSEC را برای آن‌ها فراهم می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B disable\-edns\-do: \fI<yes or no>\fP
فلگ EDNS DO را در درخواست‌های بالادست غیرفعال می‌کند.
این کار اعتبارسنجی DNSSEC را برای کلاینت‌های Unbound مختل می‌کند.
این امر منجر به این می‌شود که سرورهای نام بالادست رکوردهای DNSSEC را در پاسخ‌های خود نگنجانند و می‌تواند برای دستگاه‌هایی که قادر به مدیریت اطلاعات DNSSEC نیستند مفید باشد.
هنگامی که این گزینه فعال باشد، کلاینت‌هایی که فلگ DO را تنظیم می‌کنند هیچ رکورد EDNS در پاسخ دریافت نمی‌کنند تا عدم پشتیبانی به آن‌ها نشان داده شود.
اگر این گزینه فعال باشد اما Unbound از قبل برای اعتبارسنجی DNSSEC پیکربندی شده باشد (یعنی ماژول validator فعال باشد؛ پیش‌فرض)، این گزینه به طور ضمنی همراه با هشداری خاموش می‌شود تا اعتبارسنجی DNSSEC در Unbound مختل نگردد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B serve\-expired: \fI<yes or no>\fP
در صورت فعال بودن، Unbound تلاش می‌کند پاسخ‌های قدیمی را از کش با TTL برابر با
\fI\%serve\-expired\-reply\-ttl\fP
در پاسخ ارائه دهد.
به‌طور پیش‌فرض، پاسخ منقضی‌شده پس از آنکه تلاش برای تفکیک با خطا مواجه شد یا تفکیک بیش از
\fI\%serve\-expired\-client\-timeout\fP
طول کشید استفاده خواهد شد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B serve\-expired\-ttl: \fI<seconds>\fP
ارائه پاسخ‌های منقضی‌شده را به ثانیه‌های پیکربندی‌شده پس از انقضا محدود می‌کند.
\fB0\fP
محدودیت را غیرفعال می‌کند.
این گزینه تنها زمانی اعمال می‌شود که
\fI\%serve\-expired\fP
فعال باشد.
مقدار پیشنهادی بر اساس RFC 8767 بین 86400 (1 روز) و 259200 (3 روز) است.
پیش‌فرض 86400 است.
.sp
پیش‌فرض: 86400
.UNINDENT
.INDENT 0.0
.TP
.B serve\-expired\-ttl\-reset: \fI<yes or no>\fP
تنظیم TTL رکوردهای منقضی‌شده روی مقدار
\fI\%serve\-expired\-ttl\fP
پس از یک تلاش ناموفق برای بازیابی رکورد از بالادست.
این اطمینان می‌دهد که رکوردهای منقضی‌شده تا زمانی که پرس‌وجوهایی برای آن وجود داشته باشد ارائه خواهند شد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B serve\-expired\-reply\-ttl: \fI<seconds>\fP
مقدار TTL مورد استفاده هنگام پاسخ دادن با داده‌های منقضی‌شده.
اگر
\fI\%serve\-expired\-client\-timeout\fP
نیز استفاده شود، استفاده از مقدار 30 توصیه می‌شود (بر اساس
\fI\%RFC 8767\fP).
.sp
این مقدار توسط TTL اصلی رکورد محدود می‌شود.
این بدان معنی است که رکوردهایی با TTL اصلی بالاتر از این مقدار، از این مقدار برای پاسخ‌های منقضی‌شده استفاده خواهند کرد.
رکوردهایی با TTL اصلی پایین‌تر از این مقدار، از TTL اصلی خود برای پاسخ‌های منقضی‌شده استفاده خواهند کرد.
.sp
پیش‌فرض: 30
.UNINDENT
.INDENT 0.0
.TP
.B serve\-expired\-client\-timeout: \fI<msec>\fP
زمان بر حسب میلی‌ثانیه پیش از پاسخ دادن به کلاینت با داده‌های منقضی‌شده.
این در واقع رفتار serve\-stale را بر اساس آنچه در
\fI\%RFC 8767\fP
مشخص شده فعال می‌کند که ابتدا سعی می‌کند پیش از پاسخ فوری با داده‌های منقضی‌شده، تفکیک را انجام دهد.
تنظیم این مقدار روی \fB0\fP این رفتار را غیرفعال می‌کند و در عوض رکورد منقضی‌شده را بلافاصله پیش از تلاش برای نوسازی آن از طریق تفکیک، از کش ارائه می‌دهد.
.sp
پیش‌فرض: 1800
.UNINDENT
.INDENT 0.0
.TP
.B serve\-original\-ttl: \fI<yes or no>\fP
در صورت فعال بودن، Unbound همیشه TTL اصلی دریافتی از سرور نام بالادست را برمی‌گرداند نه TTL کاهشی ذخیره‌شده در کش را.
این قابلیت در صورتی که Unbound به عنوان یک فرانت‌اند برای یک سرور نام مرجع پنهان عمل کند می‌تواند مفید باشد.
.sp
فعال کردن این قابلیت بر انقضای کش تأثیری ندارد، تنها TTL را که Unbound در پاسخ‌ها به پرس‌وجوها جاسازی می‌کند تغییر می‌دهد.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
فعال‌سازی این قابلیت به طور ضمنی اعمال حداقل و حداکثر TTL پیکربندی‌شده را غیرفعال می‌کند، زیرا فرض بر این است کاربرانی که این قابلیت را فعال می‌کنند نمی‌خواهند Unbound مقدار TTL به‌دست‌آمده از یک سرور بالادست را تغییر دهد.
.UNINDENT
.UNINDENT
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
مقادیر تنظیم‌شده با استفاده از
\fI\%cache\-min\-ttl\fP
و
\fI\%cache\-max\-ttl\fP
نادیده گرفته می‌شوند.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B val\-nsec3\-keysize\-iterations: <\(dqlist of values\(dq>
فهرستی از مقادیر اندازه کلید و تعداد تکرار، جداشده با فاصله، احاطه‌شده با علامت‌های نقل‌قول.
این حداکثر تعداد تکرار مجاز NSEC3 را پیش از اینکه یک پیام به جای انجام تکرارهای متعدد درهم‌سازی صرفاً ناامن علامت‌گذاری شود تعیین می‌کند.
فهرست باید به ترتیب صعودی باشد و حداقل یک ورودی داشته باشد.
اگر آن را روی \(dq1024 65535\(dq تنظیم کنید، هیچ محدودیتی برای مقادیر تکرار NSEC3 وجود نخواهد داشت.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
این جدول باید کوتاه نگه داشته شود؛ یک فهرست بسیار طولانی می‌تواند باعث کندی عملیات شود.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: \(dq1024 150 2048 150 4096 150\(dq
.UNINDENT
.INDENT 0.0
.TP
.B zonemd\-permissive\-mode: \fI<yes or no>\fP
در صورت فعال بودن، شکست‌های تأیید ZONEMD تنها ثبت لاگ می‌شوند و باعث مسدود شدن ناحیه و بازگرداندن تنها servfail نمی‌شوند.
برای آزمودن اینکه آیا کار می‌کند، یا اگر اپراتور فقط می‌خواهد بدون اختلال در سرویس از یک مشکل مطلع شود مفید است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B add\-holddown: \fI<seconds>\fP
به سازوکار پروب
\fI\%auto\-trust\-anchor\-file\fP
برای به‌روزرسانی‌های اعتماد خودکار
\fI\%RFC 5011\fP
دستور می‌دهد لنگرهای اعتماد جدید را تنها پس از اینکه برای این مدت قابل مشاهده بودند اضافه کند.
.sp
پیش‌فرض: 2592000 (30 روز بر اساس RFC)
.UNINDENT
.INDENT 0.0
.TP
.B del\-holddown: \fI<seconds>\fP
به سازوکار پروب
\fI\%auto\-trust\-anchor\-file\fP
برای به‌روزرسانی‌های اعتماد خودکار
\fI\%RFC 5011\fP
دستور می‌دهد لنگرهای اعتماد باطل‌شده را پس از نگهداری در فهرست باطل‌شده برای این مدت حذف کند.
.sp
پیش‌فرض: 2592000 (30 روز بر اساس RFC)
.UNINDENT
.INDENT 0.0
.TP
.B keep\-missing: \fI<seconds>\fP
به سازوکار پروب
\fI\%auto\-trust\-anchor\-file\fP
برای به‌روزرسانی‌های اعتماد خودکار
\fI\%RFC 5011\fP
دستور می‌دهد لنگرهای اعتماد مفقود را پس از دیده نشدن برای این مدت حذف کند.
اگر ناحیه هدف اقدام به ابطال لنگر اعتماد نکند، این پرونده وضعیت را پاکسازی می‌کند، بنابراین باعث می‌شود سازوکار پروب خودکار با ناحیه‌هایی که تعویض‌های منظم (غیر 5011) انجام می‌دهند کار کند.
مقدار 0 لنگرهای مفقود را بر اساس RFC حذف نمی‌کند.
.sp
پیش‌فرض: 31622400 (366 روز)
.UNINDENT
.INDENT 0.0
.TP
.B permit\-small\-holddown: \fI<yes or no>\fP
گزینه اشکال‌زدایی که به تایمرهای تعویض 5011 اعتماد خودکار اجازه می‌دهد مقادیر بسیار کوچکی به خود بگیرند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B key\-cache\-size: \fI<number>\fP
تعداد بایت‌های اندازه کش کلید.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B key\-cache\-slabs: \fI<number>\fP
تعداد اسلب‌ها در کش کلید.
اسلب‌ها رقابت قفل توسط نخ‌ها را کاهش می‌دهند.
باید روی توانی از 2 تنظیم شود.
تنظیم (نزدیک) به تعداد پردازنده‌ها تنظیم نسبتاً مناسبی است.
اگر بدون پیکربندی رها شود، در محیط‌های چندنخی به‌طور خودکار روی توانی از 2 نزدیک به تعداد نخ‌های پیکربندی‌شده تنظیم می‌شود.
.sp
پیش‌فرض: (پیکربندی‌نشده)
.UNINDENT
.INDENT 0.0
.TP
.B neg\-cache\-size: \fI<number>\fP
تعداد بایت‌های اندازه کش منفی تهاجمی.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
.sp
پیش‌فرض: 1m
.UNINDENT
.INDENT 0.0
.TP
.B unblock\-lan\-zones: \fI<yes or no>\fP
در صورت فعال بودن، جستجوهای معکوس برای فضای آدرس خصوصی دیگر فیلتر نمی‌شوند.
این به Unbound اجازه می‌دهد زمانی که به عنوان سرویس dns روی میزبانی اجرا می‌شود که برای آن خدمات ارائه می‌دهد، تمام پرس‌وجوها را برای بالادست \(aqlan\(aq ارسال کند.
هنگام فعال بودن، تنها ناحیه‌های معکوس localhost، \fB127.0.0.1\fP و معکوس \fB::1\fP با ناحیه‌های محلی پیش‌فرض پیکربندی می‌شوند.
زمانی که Unbound به عنوان یک تحلیل‌کننده شبکه DNS (همراه با DHCP) برای گروهی از دستگاه‌ها اجرا می‌شود این گزینه را غیرفعال کنید، جایی که چنین جستجوهایی باید فیلتر شوند (سازگاری با RFC)؛ این کار همچنین از نشت احتمالی داده‌های مربوط به شبکه محلی به سرورهای DNS بالادست جلوگیری می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B insecure\-lan\-zones: \fI<yes or no>\fP
در صورت فعال بودن، جستجوهای معکوس در فضای آدرس خصوصی اعتبارسنجی نمی‌شوند.
این مورد معمولاً هر زمان که
\fI\%unblock\-lan\-zones\fP
استفاده می‌شود مورد نیاز است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B local\-zone: \fI<zone> <type>\fP
پیکربندی یک ناحیه محلی.
نوع، پاسخی را که در صورت عدم تطابق از
\fI\%local\-data\fP
باید داده شود تعیین می‌کند\&.
انواع عبارتند از
\fI\%deny\fP،
\fI\%refuse\fP،
\fI\%static\fP،
\fI\%transparent\fP،
\fI\%redirect\fP،
\fI\%nodefault\fP،
\fI\%typetransparent\fP،
\fI\%inform\fP،
\fI\%inform_deny\fP،
\fI\%inform_redirect\fP،
\fI\%always_transparent\fP،
\fI\%block_a\fP،
\fI\%block_aaaa\fP،
\fI\%block_a_wdata\fP،
\fI\%block_aaaa_wdata\fP،
\fI\%always_refuse\fP،
\fI\%always_nxdomain\fP،
\fI\%always_null\fP،
\fI\%noview\fP،
و در زیر توضیح داده شده‌اند.
پس از آن تنظیمات پیش‌فرض فهرست شده‌اند.
از
\fI\%local\-data\fP
برای وارد کردن داده‌ها به ناحیه محلی استفاده کنید.
پاسخ‌ها برای ناحیه‌های محلی، پاسخ‌های معتبر DNS هستند.
به‌طور پیش‌فرض ناحیه‌ها در کلاس IN هستند.
.sp
اگر به داده‌های مرجع پیچیده‌تر، همراه با ارجاعات، کاراکترهای عمومی، پشتیبانی CNAME/DNAME، یا سرویس مرجع DNSSEC نیاز دارید، یک
\fI\%stub\-zone\fP
برای آن طبق جزئیات بخش ناحیه خرد در زیر راه‌اندازی کنید.
از یک
\fI\%stub\-zone\fP
می‌توان استفاده کرد تا unbound پرس‌وجوها را به سرور دیگری، یک سرور مرجع، برای واکشی اطلاعات بفرستد.
با یک
\fI\%forward\-zone\fP،
unbound پرس‌وجوها را به سروری که یک سرور بازگشتی است می‌فرستد تا اطلاعات را واکشی کند.
با یک
\fI\%auth\-zone\fP
می‌توان یک ناحیه را از پرونده بارگذاری کرد و استفاده نمود؛ می‌توان از آن مانند یک ناحیه محلی برای کاربران پایین‌دست استفاده کرد، یا می‌توان از اطلاعات
\fI\%auth\-zone\fP
برای واکشی اطلاعات هنگام تفکیک استفاده نمود، گویی که یک سرور بالادست است.
گزینه‌های
\fI\%forward\-zone\fP
و
\fI\%auth\-zone\fP
در بخش‌های مربوط به خود در زیر شرح داده شده‌اند.
اگر می‌خواهید پالایش اطلاعاتی را که کاربران می‌توانند واکشی کنند انجام دهید، عبارت‌های
\fI\%local\-zone\fP
و
\fI\%local\-data\fP
این امکان را فراهم می‌کنند، اما همچنین قابلیت
\fI\%rpz\fP
را نیز می‌توان استفاده کرد که در بخش RPZ شرح داده شده است.
.INDENT 7.0
.TP
.B deny
پاسخی ارسال نمی‌کند، پرس‌وجو را دور می‌اندازد.
اگر تطابقی از داده‌های محلی وجود داشته باشد، به پرس‌وجو پاسخ داده می‌شود.
.UNINDENT
.INDENT 7.0
.TP
.B refuse
یک پاسخ پیام خطا با rcode REFUSED ارسال می‌کند.
اگر تطابقی از داده‌های محلی وجود داشته باشد، به پرس‌وجو پاسخ داده می‌شود.
.UNINDENT
.INDENT 7.0
.TP
.B static
اگر تطابقی از داده‌های محلی وجود داشته باشد، به پرس‌وجو پاسخ داده می‌شود.
در غیر این صورت، به پرس‌وجو با NODATA یا NXDOMAIN پاسخ داده می‌شود.
برای یک پاسخ منفی، در صورتی که SOA به عنوان
\fI\%local\-data\fP
برای دامنه رأس ناحیه موجود باشد، در پاسخ گنجانده می‌شود.
.UNINDENT
.INDENT 7.0
.TP
.B transparent
اگر تطابقی از
\fI\%local\-data\fP
وجود داشته باشد، به پرس‌وجو پاسخ داده می‌شود.
در غیر این صورت اگر پرس‌وجو نام متفاوتی داشته باشد، پرس‌وجو به طور عادی تفکیک می‌شود.
اگر پرس‌وجو برای نامی باشد که در
\fI\%local\-data\fP
داده شده اما چنین نوع داده‌ای در localdata داده نشده باشد، پاسخ NOERROR NODATA بازگردانده می‌شود.
اگر هیچ
\fI\%local\-zone\fP
داده نشود،
\fI\%local\-data\fP
به طور پیش‌فرض باعث ایجاد یک ناحیه شفاف می‌شود.
.UNINDENT
.INDENT 7.0
.TP
.B typetransparent
اگر تطابقی از داده‌های محلی وجود داشته باشد، به پرس‌وجو پاسخ داده می‌شود.
اگر پرس‌وجو برای نام متفاوتی باشد، یا برای همان نام اما برای نوع متفاوتی باشد، پرس‌وجو به طور عادی تفکیک می‌شود.
بنابراین مشابه
\fI\%transparent\fP
است اما نوع‌هایی که در داده‌های محلی فهرست نشده‌اند به طور عادی تفکیک می‌شوند؛ بنابراین اگر یک رکورد A در داده‌های محلی باشد، باعث ایجاد پاسخ NODATA برای پرس‌وجوهای AAAA نمی‌شود.
.UNINDENT
.INDENT 7.0
.TP
.B redirect
به پرس‌وجو از روی داده‌های محلی برای نام ناحیه پاسخ داده می‌شود.
ممکن است هیچ داده محلی در زیر نام ناحیه وجود نداشته باشد.
این گزینه به پرس‌وجوهای مربوط به ناحیه و تمام زیردامنه‌های ناحیه با داده‌های محلی مربوط به ناحیه پاسخ می‌دهد.
می‌توان از آن برای هدایت مجدد یک دامنه جهت بازگرداندن یک رکورد آدرس متفاوت به کاربر نهایی استفاده کرد:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dqexample.com.\(dq redirect
local\-data: \(dqexample.com. A 127.0.0.1\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
پرس‌وجوها برای \fBwww.example.com\fP و \fBwww.foo.example.com\fP هدایت مجدد می‌شوند، به طوری که کاربران دارای مرورگر وب نمی‌توانند به سایت‌هایی با پسوند example.com دسترسی پیدا کنند.
.sp
یک رکورد \fBCNAME\fP نیز می‌تواند از طریق local\-data ارائه شود:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dqexample.com.\(dq redirect
local\-data: \(dqexample.com. CNAME www.example.org.\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
در این حالت، \fBCNAME\fP تفکیک شده و پاسخ رکوردهای هدف تفکیک‌شده را نیز شامل می‌شود.
رکورد \fBCNAME\fP باید با نام ناحیه local\-zone باشد، و می‌تواند یک CNAME وجود داشته باشد، نه بیشتر.
رکورد \fBCNAME\fP باید در رأس ناحیه \fBredirect\fP باشد، سپس برای هدایت مجدد استفاده می‌شود.
تفکیک با تفکیک DNS بالادست ادامه می‌یابد، و این شامل جستجو در ناحیه‌های محلی نمی‌شود.
بنابراین رکورد قادر به اشاره به درون ناحیه‌های محلی نیست، اما می‌تواند به پاسخ‌های DNS بالادست اشاره کند.
.sp
تفکیک \fBCNAME\fP تنها در local\-zone از نوع \fBredirect\fP، و در local\-zone از نوع \fBinform_redirect\fP پشتیبانی می‌شود.
.sp
متفاوت از رکوردهای \fBCNAME\fP که در جاهای دیگر استفاده می‌شوند، در local\-zone از نوع \fBredirect\fP، پشتیبانی می‌شود که در هدف رکورد یک برچسب کاراکتر عمومی به نام پرس‌وجو بسط یابد، برای نمونه: \fBexample.com. CNAME *.foo.net.\fP به \fBwww.example.com. CNAME www.example.com.foo.net.\fP بسط می‌یابد\&.
.UNINDENT
.INDENT 7.0
.TP
.B inform
به پرس‌وجو به طور عادی پاسخ داده می‌شود، مشابه
\fI\%transparent\fP\&.
آدرس IP کلاینت (portnumber@) در پرونده لاگ چاپ می‌شود.
پیام لاگ به این صورت است:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
timestamp, unbound\-pid, info: zonename inform IP@port queryname type class.
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
از این گزینه می‌توان برای تفکیک عادی استفاده کرد، اما دستگاه‌هایی که به دنبال نام‌های آلوده می‌گردند ثبت لاگ می‌شوند، برای نمونه برای اجرای ضدویروس روی آن‌ها.
.UNINDENT
.INDENT 7.0
.TP
.B inform_deny
پرس‌وجو دور انداخته می‌شود، مانند
\fI\%deny\fP،
و در لاگ ثبت می‌شود، مانند
\fI\%inform\fP\&.
یعنی یافتن دستگاه‌های آلوده بدون پاسخ دادن به پرس‌وجوها.
.UNINDENT
.INDENT 7.0
.TP
.B inform_redirect
پرس‌وجو هدایت مجدد می‌شود، مانند
\fI\%redirect\fP،
و در لاگ ثبت می‌شود، مانند
\fI\%inform\fP\&.
یعنی پاسخ به پرس‌وجوها با داده‌های ثابت و همچنین ثبت لاگ دستگاه‌هایی که درخواست داده‌اند.
.UNINDENT
.INDENT 7.0
.TP
.B always_transparent
مانند
\fI\%transparent\fP،
اما داده‌های محلی را نادیده گرفته و به طور عادی تفکیک می‌کند.
.UNINDENT
.INDENT 7.0
.TP
.B block_a
مانند
\fI\%transparent\fP،
اما داده‌های محلی را نادیده می‌گیرد و تمام انواع پرس‌وجو به جز A را به طور عادی تفکیک می‌کند.
برای پرس‌وجوهای A بدون قید و شرط NODATA بازمی‌گرداند.
در مواردی مفید است که نیاز به وادار کردن صریح تمام برنامه‌ها به استفاده از پروتکل IPv6 و اجتناب از هرگونه پرس‌وجو به IPv4 وجود دارد.
.UNINDENT
.INDENT 7.0
.TP
.B block_aaaa
مانند
\fI\%transparent\fP
یا
\fI\%block_a\fP،
اما داده‌های محلی را نادیده می‌گیرد و تمام انواع پرس‌وجو به جز AAAA را به طور عادی تفکیک می‌کند.
برای پرس‌وجوهای AAAA بدون قید و شرط NODATA بازمی‌گرداند.
در مواردی مفید است که نیاز به وادار کردن صریح تمام برنامه‌ها به استفاده از پروتکل IPv4 و اجتناب از هرگونه پرس‌وجو به IPv6 وجود دارد.
.UNINDENT
.INDENT 7.0
.TP
.B block_a_wdata
مانند
\fI\%block_a\fP،
اما در صورت وجود از داده‌های محلی استفاده می‌کند.
اگر داده محلی وجود داشته باشد بازگردانده می‌شود، و مانند transparent عمل می‌کند.
برای پرس‌وجوهای A مقدار NODATA بازمی‌گرداند.
.UNINDENT
.INDENT 7.0
.TP
.B block_aaaa_wdata
مانند
\fI\%block_aaaa\fP،
اما در صورت وجود از داده‌های محلی استفاده می‌کند.
اگر داده محلی وجود داشته باشد بازگردانده می‌شود، و مانند transparent عمل می‌کند.
برای پرس‌وجوهای AAAA مقدار NODATA بازمی‌گرداند.
.UNINDENT
.INDENT 7.0
.TP
.B always_refuse
مانند
\fI\%refuse\fP،
اما داده‌های محلی را نادیده گرفته و پرس‌وجو را رد می‌کند.
این نوع همچنین پرس‌وجوهای نوع DS را برای نام ناحیه مسدود می‌کند.
این امر می‌تواند زنجیره اعتماد DNSSEC را بشکند، اما در هر حال رد می‌شود.
مسدودسازی برای نوع DS به مسدود کردن کامل‌تر ناحیه کمک می‌کند.
.UNINDENT
.INDENT 7.0
.TP
.B always_nxdomain
مانند
\fI\%static\fP،
اما داده‌های محلی را نادیده گرفته و NXDOMAIN را برای پرس‌وجو بازمی‌گرداند.
.UNINDENT
.INDENT 7.0
.TP
.B always_nodata
مانند
\fI\%static\fP،
اما داده‌های محلی را نادیده گرفته و NODATA را برای پرس‌وجو بازمی‌گرداند.
.UNINDENT
.INDENT 7.0
.TP
.B always_deny
مانند
\fI\%deny\fP،
اما داده‌های محلی را نادیده گرفته و پرس‌وجو را دور می‌اندازد.
.UNINDENT
.INDENT 7.0
.TP
.B always_null
همیشه \fB0.0.0.0\fP یا \fB::0\fP را برای هر نامی در ناحیه بازمی‌گرداند.
مانند
\fI\%redirect\fP
با داده صفر برای A و AAAA.
داده‌های محلی در ناحیه را نادیده می‌گیرد.
برای برخی فهرست‌های مسدودسازی استفاده می‌شود.
.UNINDENT
.INDENT 7.0
.TP
.B noview
از آن نما خارج شده و برای پاسخ به پرس‌وجو به سمت ناحیه‌های محلی سراسری حرکت می‌کند.
اگر
\fI\%view\-first\fP
مقدار no باشد، به طور عادی تفکیک خواهد شد.
اگر
\fI\%view\-first\fP
فعال باشد، آن مرحله را انجام داده و پاسخ‌های سراسری را بررسی می‌کند.
برای زمانی است که نما دارای بازنویسی‌های مخصوص نما است اما یک ناحیه باید از محتوای ناحیه محلی سراسری پاسخ داده شود.
.UNINDENT
.INDENT 7.0
.TP
.B nodefault
برای خاموش کردن محتویات پیش‌فرض ناحیه‌های AS112 استفاده می‌شود.
انواع دیگر نیز محتویات پیش‌فرض را برای ناحیه خاموش می‌کنند.
گزینه
\fI\%nodefault\fP
هیچ تأثیر دیگری جز خاموش کردن محتویات پیش‌فرض برای ناحیه داده‌شده ندارد.
اگر دقیقاً از همان ناحیه استفاده می‌کنید از
\fI\%nodefault\fP
استفاده کنید، اگر می‌خواهید از یک زیرناحیه استفاده کنید، از
\fI\%transparent\fP
استفاده نمایید\&.
.UNINDENT
.sp
ناحیه‌های پیش‌فرض عبارتند از localhost، معکوس \fB127.0.0.1\fP و \fB::1\fP، ناحیه‌های \fBhome.arpa\fP، \fBresolver.arpa\fP، \fBservice.arpa\fP، \fBonion\fP، \fBtest\fP، \fBinvalid\fP و ناحیه‌های AS112.
ناحیه‌های AS112 ناحیه‌های معکوس DNS برای استفاده خصوصی و آدرس‌های IP رزروشده هستند که سرورهای روی اینترنت نمی‌توانند پاسخ‌های صحیحی برای آن‌ها ارائه دهند.
آن‌ها به طور پیش‌فرض پیکربندی شده‌اند تا پاسخ‌های NXDOMAIN (بدون اطلاعات معکوس) ارائه دهند.
.sp
پیش‌فرض‌ها را می‌توان با تعیین
\fI\%local\-zone\fP
خودتان با آن نام، یا استفاده از نوع
\fI\%nodefault\fP
خاموش کرد.
در زیر فهرستی از محتویات ناحیه پیش‌فرض آورده شده است.
.INDENT 7.0
.TP
.B localhost
اطلاعات IPv4 و IPv6 لوکال‌هاست ارائه می‌شود.
رکوردهای NS و SOA برای کامل بودن و ارضای برخی ابزارهای به‌روزرسانی DNS ارائه شده‌اند.
محتوای پیش‌فرض:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dqlocalhost.\(dq redirect
local\-data: \(dqlocalhost. 10800 IN NS localhost.\(dq
local\-data: \(dqlocalhost. 10800 IN SOA localhost. nobody.invalid. 1 3600 1200 604800 10800\(dq
local\-data: \(dqlocalhost. 10800 IN A 127.0.0.1\(dq
local\-data: \(dqlocalhost. 10800 IN AAAA ::1\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 7.0
.TP
.B reverse IPv4 loopback
محتوای پیش‌فرض:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dq127.in\-addr.arpa.\(dq static
local\-data: \(dq127.in\-addr.arpa. 10800 IN NS localhost.\(dq
local\-data: \(dq127.in\-addr.arpa. 10800 IN SOA localhost. nobody.invalid. 1 3600 1200 604800 10800\(dq
local\-data: \(dq1.0.0.127.in\-addr.arpa. 10800 IN PTR localhost.\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 7.0
.TP
.B reverse IPv6 loopback
محتوای پیش‌فرض:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dq1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa.\(dq static
local\-data: \(dq1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa. 10800 IN NS localhost.\(dq
local\-data: \(dq1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa. 10800 IN SOA localhost. nobody.invalid. 1 3600 1200 604800 10800\(dq
local\-data: \(dq1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa. 10800 IN PTR localhost.\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 7.0
.TP
home.arpa (\fI\%RFC 8375\fP)
محتوای پیش‌فرض:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dqhome.arpa.\(dq static
local\-data: \(dqhome.arpa. 10800 IN NS localhost.\(dq
local\-data: \(dqhome.arpa. 10800 IN SOA localhost. nobody.invalid. 1 3600 1200 604800 10800\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 7.0
.TP
resolver.arpa (\fI\%RFC 9462\fP)
محتوای پیش‌فرض:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dqresolver.arpa.\(dq static
local\-data: \(dqresolver.arpa. 10800 IN NS localhost.\(dq
local\-data: \(dqresolver.arpa. 10800 IN SOA localhost. nobody.invalid. 1 3600 1200 604800 10800\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 7.0
.TP
.B service.arpa (draft\-ietf\-dnssd\-srp\-25)
محتوای پیش‌فرض:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dqservice.arpa.\(dq static
local\-data: \(dqservice.arpa. 10800 IN NS localhost.\(dq
local\-data: \(dqservice.arpa. 10800 IN SOA localhost. nobody.invalid. 1 3600 1200 604800 10800\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 7.0
.TP
onion (\fI\%RFC 7686\fP)
محتوای پیش‌فرض:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dqonion.\(dq static
local\-data: \(dqonion. 10800 IN NS localhost.\(dq
local\-data: \(dqonion. 10800 IN SOA localhost. nobody.invalid. 1 3600 1200 604800 10800\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 7.0
.TP
test (\fI\%RFC 6761\fP)
محتوای پیش‌فرض:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dqtest.\(dq static
local\-data: \(dqtest. 10800 IN NS localhost.\(dq
local\-data: \(dqtest. 10800 IN SOA localhost. nobody.invalid. 1 3600 1200 604800 10800\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 7.0
.TP
invalid (\fI\%RFC 6761\fP)
محتوای پیش‌فرض:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: \(dqinvalid.\(dq static
local\-data: \(dqinvalid. 10800 IN NS localhost.\(dq
local\-data: \(dqinvalid. 10800 IN SOA localhost. nobody.invalid. 1 3600 1200 604800 10800\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 7.0
.TP
reverse local use zones (\fI\%RFC 1918\fP)
داده‌های معکوس برای ناحیه‌های \fB10.in\-addr.arpa\fP، \fB16.172.in\-addr.arpa\fP تا
\fB31.172.in\-addr.arpa\fP، \fB168.192.in\-addr.arpa\fP\&.
گزینه
\fI\%local\-zone\fP
به صورت static تنظیم شده و رکوردهای SOA و NS به عنوان
\fI\%local\-data\fP
ارائه می‌شوند.
.UNINDENT
.INDENT 7.0
.TP
special\-use IPv4 Addresses (\fI\%RFC 3330\fP)
داده‌های معکوس برای ناحیه‌های \fB0.in\-addr.arpa\fP (این)، \fB254.169.in\-addr.arpa\fP (link\-local)،
\fB2.0.192.in\-addr.arpa\fP (TEST NET 1)، \fB100.51.198.in\-addr.arpa\fP
(TEST NET 2)، \fB113.0.203.in\-addr.arpa\fP (TEST NET 3)،
\fB255.255.255.255.in\-addr.arpa\fP (broadcast).
و از \fB64.100.in\-addr.arpa\fP تا \fB127.100.in\-addr.arpa\fP (فضای آدرس اشتراکی).
.UNINDENT
.INDENT 7.0
.TP
reverse IPv6 unspecified (\fI\%RFC 4291\fP)
داده‌های معکوس برای ناحیه
\fB0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa.\fP
.UNINDENT
.INDENT 7.0
.TP
reverse IPv6 Locally Assigned Local Addresses (\fI\%RFC 4193\fP)
داده‌های معکوس برای ناحیه \fBD.F.ip6.arpa\fP\&.
.UNINDENT
.INDENT 7.0
.TP
reverse IPv6 Link Local Addresses (\fI\%RFC 4291\fP)
داده‌های معکوس برای ناحیه‌های \fB8.E.F.ip6.arpa\fP تا \fBB.E.F.ip6.arpa\fP\&.
.UNINDENT
.INDENT 7.0
.TP
.B reverse IPv6 Example Prefix
داده‌های معکوس برای ناحیه \fB8.B.D.0.1.0.0.2.ip6.arpa\fP\&.
این ناحیه برای آموزش‌ها و مثال‌ها استفاده می‌شود.
می‌توانید مسدودسازی این ناحیه را بردارید با:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-zone: 8.B.D.0.1.0.0.2.ip6.arpa. nodefault
.ft P
.fi
.UNINDENT
.UNINDENT
.UNINDENT
.sp
همچنین می‌توانید به طور انتخابی بخشی از ناحیه را با شفاف کردن آن بخش با استفاده از یک عبارت
\fI\%local\-zone\fP
رفع انسداد کنید.
این برای سایر ناحیه‌های پیش‌فرض نیز کار می‌کند.
.UNINDENT
.INDENT 0.0
.TP
.B local\-data: \fI\(dq<resource record string>\(dq\fP
پیکربندی داده‌های محلی، که در پاسخ به پرس‌وجوهای مربوط به آن ارائه می‌شود.
پرس‌وجو باید دقیقاً مطابقت داشته باشد مگر اینکه
\fI\%local\-zone\fP
را به صورت redirect پیکربندی کنید.
در صورت عدم تطابق دقیق، نوع
\fI\%local\-zone\fP
پردازش بیشتر را تعیین می‌کند.
اگر
\fI\%local\-data\fP
پیکربندی شود که زیردامنه یک
\fI\%local\-zone\fP
نباشد، یک
\fI\%transparent local\-zone\fP
پیکربندی می‌شود.
برای انواع رکورد مانند TXT، از نقل‌قول تکی استفاده کنید:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
local\-data: \(aqexample. TXT \(dqtext\(dq\(aq
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
اگر به داده‌های مرجع پیچیده‌تر، همراه با ارجاعات، کاراکترهای عمومی، پشتیبانی CNAME/DNAME، یا سرویس مرجع DNSSEC نیاز دارید، یک
\fI\%stub\-zone\fP
برای آن طبق جزئیات بخش ناحیه خرد در زیر راه‌اندازی کنید.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B local\-data\-ptr: \fI\(dqIPaddr name\(dq\fP
پیکربندی کوته‌نوشت داده محلی برای یک رکورد PTR با آدرس معکوس‌شده IPv4 یا IPv6 و نام میزبان.
برای مثال \fB\(dq192.0.2.4 www.example.com\(dq\fP\&.
مقدار TTL را می‌توان این‌گونه درج کرد: \fB\(dq2001:db8::4 7200 www.example.com\(dq\fP
.UNINDENT
.INDENT 0.0
.TP
.B local\-zone\-tag: \fI<zone> <\(dqlist of tags\(dq>\fP
تخصیص برچسب‌ها به ناحیه‌های محلی.
ناحیه‌های محلی برچسب‌گذاری‌شده تنها زمانی اعمال خواهند شد که عنصر
\fI\%access\-control\fP
استفاده‌شده دارای برچسب منطبق باشد.
برچسب‌ها باید در
\fI\%define\-tag\fP
تعریف شده باشند\&.
فهرست برچسب‌ها را در علامت‌های نقل‌قول (\fB\(dq\(dq\fP) قرار دهید و میان برچسب‌ها فاصله بگذارید.
هنگامی که چندین برچسب وجود دارد، بررسی می‌کند که آیا اشتراک فهرست برچسب‌ها برای پرس‌وجو و
\fI\%local\-zone\-tag\fP
غیرخالی است یا خیر.
.UNINDENT
.INDENT 0.0
.TP
.B local\-zone\-override: \fI<zone> <IP netblock> <type>\fP
بازنویسی نوع ناحیه محلی برای پرس‌وجوها از آدرس‌های منطبق بر بلوک شبکه.
صرف‌نظر از نوع پیکربندی‌شده برای ناحیه محلی (هم برچسب‌دار و هم بدون برچسب) و صرف‌نظر از نوع پیکربندی‌شده با استفاده از
\fI\%access\-control\-tag\-action\fP،
از این نوع ناحیه محلی استفاده می‌کند\&.
.UNINDENT
.INDENT 0.0
.TP
.B response\-ip: \fI<IP\-netblock> <action>\fP
این گزینه نیازمند استفاده از ماژول \fBrespip\fP است.
.sp
اگر آدرس IP در یک رکورد منبع AAAA یا A در بخش پاسخ یک جواب با بلوک شبکه IP مشخص‌شده مطابقت داشته باشد، اقدام مشخص‌شده اعمال خواهد شد.
مقدار \fI<action>\fP عموماً دارای همان معنایی است که برای
\fI\%access\-control\-tag\-action\fP
وجود دارد، اما برخی استثناها وجود دارد.
.sp
اقدامات برای
\fI\%response\-ip\fP
با اقدامات برای
\fI\%local\-zone\fP
متفاوت هستند زیرا در مورد اول شرایطی مانند «پرس‌وجو با آن مطابقت دارد اما داده محلی وجود ندارد» بی‌معنی است.
به دلیل این تفاوت، معنای اقدامات
\fI\%response\-ip\fP
به شرح زیر اصلاح یا ساده‌سازی شده است: اقدامات \fIstatic\fP، \fIrefuse\fP، \fItransparent\fP،
\fItypetransparent\fP و \fInodefault\fP برای \fIresponse\-ip\fP نامعتبر هستند\&.
استفاده از هر یک از این‌ها باعث رد پیکربندی به عنوان معیوب خواهد شد.
اقدام \fIdeny\fP غیرمشروط است، یعنی همیشه منجر به دور انداختن پرس‌وجوی مربوطه می‌شود.
نتیجه تفکیک پیش از اعمال اقدام \fIdeny\fP همچنان کش می‌شود و می‌تواند برای پرس‌وجوهای دیگر استفاده شود.
.UNINDENT
.INDENT 0.0
.TP
.B response\-ip\-data: \fI<IP\-netblock> <\(dqresource record string\(dq>\fP
این گزینه نیازمند استفاده از ماژول \fBrespip\fP است.
.sp
این گزینه داده‌های اقدام را برای
\fI\%response\-ip\fP
مشخص می‌کند که اقدام آن هدایت مجدد بر اساس
\fI<\(dqresource record string\(dq>\fP
است\&.
مقدار \fI<\(dqResource record string\(dq>\fP مشابه مقدار
\fI\%access\-control\-tag\-data\fP
است، اما باید از یکی از انواع AAAA، A یا CNAME باشد.
اگر \fI<IP\-netblock>\fP یک پیشوند IPv6/IPv4 باشد، رکورد باید به ترتیب AAAA/A باشد، مگر اینکه CNAME باشد (که می‌تواند برای هر دو نسخه بلوک شبکه IP استفاده شود).
اگر CNAME باشد نباید بیش از یک
\fI\%response\-ip\-data\fP
برای همان
\fI<IP\-netblock>\fP
وجود داشته باشد\&.
همچنین بر اساس قوانین معمول رکوردهای CNAME، رکورد CNAME و سایر انواع رکورد نباید برای همان
\fI<IP\-netblock>\fP
همزیستی داشته باشند.
نام متنی دامنه برای CNAME لازم نیست به طور صریح با یک نقطه (\fB\(dq.\(dq\fP) پایان یابد؛ نام ریشه مبدأ آن نام فرض می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B response\-ip\-tag: \fI<IP\-netblock> <\(dqlist of tags\(dq>\fP
این گزینه نیازمند استفاده از ماژول \fBrespip\fP است.
.sp
تخصیص برچسب‌ها به \fI<IP\-netblock>\fP پاسخ\&.
اگر آدرس IP در یک رکورد منبع AAAA یا A در بخش پاسخ یک جواب با \fI<IP\-netblock>\fP مشخص‌شده مطابقت داشته باشد، برچسب‌های مشخص‌شده به آدرس IP تخصیص می‌یابند.
سپس، اگر یک
\fI\%access\-control\-tag\fP
برای کلاینت تعریف شده باشد و شامل یکی از برچسب‌های IP پاسخ باشد،
\fI\%access\-control\-tag\-action\fP
مربوطه اعمال خواهد شد.
قاعده تطابق برچسب همان قاعده‌ای است که برای
\fI\%access\-control\-tag\fP
و
\fI\%local\-zone\fP
وجود دارد\&.
برخلاف
\fI\%local\-zone\-tag\fP،
\fI\%response\-ip\-tag\fP
می‌تواند برای یک
\fI<IP\-netblock>\fP
تعریف شود حتی اگر هیچ
\fI\%response\-ip\fP
برای آن بلوک شبکه تعریف نشده باشد.
اگر چندین گزینه
\fI\%response\-ip\-tag\fP
برای یک \fI<IP\-netblock>\fP در عبارات مختلف مشخص شوند، همه به جز اولی نادیده گرفته خواهند شد.
با این حال، این به عنوان یک خطای پیکربندی پرچم‌گذاری نمی‌شود، اما نتیجه احتمالاً آن چیزی نیست که مد نظر بوده است.
.sp
اقدامات مشخص‌شده در یک
\fI\%access\-control\-tag\-action\fP
که دارای برچسب منطبق با
\fI\%response\-ip\-tag\fP
است می‌توانند مواردی باشند که برای
\fI\%response\-ip\fP
فهرست‌شده در بالا «نامعتبر» بودند، زیرا
\fI\%access\-control\-tag\-action\fP
می‌تواند با ناحیه‌های محلی به اشتراک گذاشته شود.
برای این اقدامات، اگر در مورد ناحیه‌های محلی بسته به وجود یا عدم وجود داده‌های محلی رفتار متفاوتی داشته باشند، رفتار برای
\fI\%response\-ip\-data\fP
عموماً منجر به NOERROR/NODATA به جای NXDOMAIN خواهد شد، زیرا داده‌های
\fI\%response\-ip\fP
ذاتاً به نوع وابسته هستند و عدم وجود داده هیچ چیزی درباره وجود یا عدم وجود خود qname نشان نمی‌دهد.
برای مثال اگر اقدام برچسب منطبق static باشد اما داده‌ای برای پیکربندی
\fI\%response\-ip\fP
متناظر وجود نداشته باشد، نتیجه NOERROR/NODATA خواهد بود.
تنها حالتی که NXDOMAIN بازگردانده می‌شود زمانی است که اقدام
\fI\%always_nxdomain\fP
اعمال شود.
.UNINDENT
.INDENT 0.0
.TP
.B ratelimit: \fI<number or 0>\fP
محدودسازی نرخ پرس‌وجوهای ارسالی به سرور نام برای انجام بازگشت را فعال می‌کند.
0 این قابلیت را غیرفعال می‌کند.
این گزینه در حال حاضر آزمایشی است.
.sp
محدودیت نرخ بر حسب تعداد پرس‌وجوهای مجاز در ثانیه است.
پرس‌وجوهای بیشتر با یک خطا (SERVFAIL) بازگردانده می‌شوند.
پاسخ‌های کش‌شده توسط این تنظیم محدود نمی‌شوند.
.sp
این امر سیل‌های بازگشتی، مثلاً نام‌های پرس‌وجوی تصادفی، را متوقف می‌کند، اما جلوی سیل‌های بازتابی جعلی را نمی‌گیرد.
ناحیه پرس‌وجو با بررسی سرورهای نام آن تعیین می‌شود؛ نام ناحیه برای پیگیری نرخ استفاده می‌شود.
برای مثال، مقدار 1000 ممکن است مقدار مناسبی برای جلوگیری از بار بیش از حد سرور با نام‌های تصادفی باشد، و مانع از ارسال ترافیک توسط unbound به سرورهای نام آن ناحیه‌ها شود.
.sp
هدف شمارش تعداد پرس‌وجوها به سمت سرورهای نام برای ناحیه و محدود نگه داشتن آن پرس‌وجوها است.
هنگامی که تفویضی وجود دارد که نیازمند جستجوهای زیادی است، آن‌ها در شمارنده‌های مقصد، نام هدف، رکوردهای NS ثبت می‌شوند.
زیرا آنجاست که پرس‌وجوهای جستجوی سرور نام ارسال می‌شوند.
این کار از داشتن پرس‌وجوهای بسیار برای هدف، دامنه قربانی، جلوگیری می‌کند.
با
\fI\%ratelimit\-factor\fP،
برخی پرس‌وجوهای واقعی که به ناحیه هدف نیز ارسال می‌شوند می‌توانند فیلتر شده و عبور کنند، و سپس به کش وارد شوند، جایی که پاسخ‌های واقعی فرصت جمع‌آوری پیدا کرده و سرویس تا حدودی حفظ می‌شود.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
فورواردرهای پیکربندی‌شده از محدودسازی نرخ مستثنی هستند.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B ratelimit\-size: \fI<memory size>\fP
اندازه ساختار داده‌ای را که در آن نرخ‌های جاری ردیابی می‌شوند مشخص کنید.
بر حسب بایت یا از m (مگا)، k (کیلو)، g (گیگا) استفاده کنید.
ساختار ratelimit کوچک است، بنابراین احتمالاً این ساختار داده نیازی به بزرگ بودن ندارد.
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B ratelimit\-slabs: \fI<number>\fP
تعداد اسلب‌ها در ساختار داده ردیابی محدودیت نرخ.
اسلب‌ها رقابت قفل توسط نخ‌ها را کاهش می‌دهند.
باید روی توانی از 2 تنظیم شود.
تنظیم (نزدیک) به تعداد پردازنده‌ها تنظیم نسبتاً مناسبی است.
اگر بدون پیکربندی رها شود، در محیط‌های چندنخی به‌طور خودکار روی توانی از 2 نزدیک به تعداد نخ‌های پیکربندی‌شده تنظیم می‌شود.
.sp
پیش‌فرض: (پیکربندی‌نشده)
.UNINDENT
.INDENT 0.0
.TP
.B ratelimit\-factor: \fI<number>\fP
مقدار پرس‌وجوهایی را که در صورت فراتر رفتن از حد باید محدود شوند تنظیم می‌کند.
اگر روی 0 تنظیم شود، تمام پرس‌وجوها برای دامنه‌هایی که از حد فراتر رفته‌اند دور ریخته می‌شوند.
اگر روی مقدار دیگری تنظیم شود، 1 در آن تعداد اجازه عبور و تکمیل را دارد.
پیش‌فرض 10 است که به 1/10 ترافیک اجازه جریان عادی می‌دهد.
این می‌تواند باعث شود پرس‌وجوهای عادی تکمیل شده (در صورت پرس‌وجوی مکرر) و وارد کش شوند، در حالی که جریان ترافیک را نیز با ضریب ارائه‌شده کاهش می‌دهد.
.sp
پیش‌فرض: 10
.UNINDENT
.INDENT 0.0
.TP
.B ratelimit\-backoff: \fI<yes or no>\fP
در صورت فعال بودن، با محدودیت نرخ به عنوان یک شکست قطعی برخورد می‌شود به جای حداکثر نرخ ثابت مجاز پیش‌فرض.
هنگامی که به حد نصاب برسد، ترافیک محدود شده و تقاضا برای یک پنجره نرخ 2 ثانیه‌ای همچنان پیگیری می‌شود.
هیچ ترافیکی، به جز
\fI\%ratelimit\-factor\fP،
مجاز نخواهد بود تا زمانی که تقاضا برای یک پنجره نرخ 2 ثانیه‌ای به زیر محدودیت نرخ پیکربندی‌شده کاهش یابد.
برای تنظیم
\fI\%ratelimit\fP
روی یک نرخ مشکوک جهت محدودسازی تهاجمی ترافیک غیرعادی بالا مفید است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B ratelimit\-for\-domain: \fI<domain> <number qps or 0>\fP
بازنویسی
\fI\%ratelimit\fP
سراسری برای یک نام دامنه با تطابق دقیق با عدد فهرست‌شده.
می‌توانید این را برای هر تعداد نام مشخص کنید.
برای مثال، برای یک دامنه سطح بالا ممکن است بخواهید محدودیت بالاتری نسبت به سایر نام‌ها داشته باشید.
مقدار 0 محدودیت نرخ را برای آن دامنه غیرفعال می‌کند.
.UNINDENT
.INDENT 0.0
.TP
.B ratelimit\-below\-domain: \fI<domain> <number qps or 0>\fP
بازنویسی
\fI\%ratelimit\fP
سراسری برای یک نام دامنه که به این نام ختم می‌شود.
می‌توانید این را چندین بار وارد کنید؛ در این صورت تنظیمات مختلف در بخش‌های مختلف فضای نام را شرح می‌دهد.
نزدیک‌ترین پسوند منطبق برای تعیین حد qps استفاده می‌شود.
نرخ برای نام دامنه با تطابق دقیق تغییر نمی‌کند، از
\fI\%ratelimit\-for\-domain\fP
برای تنظیم آن استفاده کنید؛ ممکن است بخواهید از تنظیمات متفاوتی برای یک دامنه سطح بالا و زیردامنه‌ها استفاده نمایید.
مقدار 0 محدودیت نرخ را برای نام‌های دامنه‌ای که به این نام ختم می‌شوند غیرفعال می‌کند.
.UNINDENT
.INDENT 0.0
.TP
.B ip\-ratelimit: \fI<number or 0>\fP
محدودسازی نرخ سراسری پرس‌وجوهای پذیرفته‌شده به ازای هر آدرس IP را فعال می‌کند.
این گزینه در حال حاضر آزمایشی است.
محدودیت نرخ بر حسب تعداد پرس‌وجوهای مجاز در ثانیه است.
پرس‌وجوهای بیشتر به طور کامل دور ریخته می‌شوند و پاسخی (SERVFAIL یا غیره) دریافت نخواهند کرد.
محدودسازی نرخ IP پیش از جستجو در کش رخ می‌دهد.
این ممکن است برای کاهش حملات تقویت مفید باشد.
کلاینت‌های دارای یک کوکی معتبر DNS از این محدودیت نرخ عبور خواهند کرد.
اگر همچنان برای چنین کلاینت‌هایی به محدودیت نرخ نیاز باشد، می‌توان از
\fI\%ip\-ratelimit\-cookie\fP
در عوض استفاده کرد.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B ip\-ratelimit\-cookie: \fI<number or 0>\fP
محدودسازی نرخ سراسری پرس‌وجوهای پذیرفته‌شده به ازای هر آدرس IP با یک کوکی معتبر DNS را فعال می‌کند.
این گزینه در حال حاضر آزمایشی است.
محدودیت نرخ بر حسب تعداد پرس‌وجوهای مجاز در ثانیه است.
پرس‌وجوهای بیشتر به طور کامل دور ریخته می‌شوند و پاسخی (SERVFAIL یا غیره) دریافت نخواهند کرد.
محدودسازی نرخ IP پیش از جستجو در کش رخ می‌دهد.
این گزینه می‌تواند در ترکیب با
\fI\%allow_cookie\fP
مفید باشد، در تلاشی برای کاهش سایر حملات تقویت غیر از بازتاب‌های UDP (مانند حملاتی که خود Unbound را هدف قرار می‌دهند) که پیشاپیش با کوکی‌های DNS مدیریت می‌شوند.
در صورت استفاده، پیشنهاد می‌شود مقدار بالاتر از
\fI\%ip\-ratelimit\fP
باشد، برای نمونه ده‌برابر.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B ip\-ratelimit\-size: \fI<memory size>\fP
اندازه ساختار داده‌ای را که در آن نرخ‌های جاری ردیابی می‌شوند مشخص کنید.
بر حسب بایت یا از m (مگا)، k (کیلو)، g (گیگا) استفاده کنید.
ساختار IP ratelimit کوچک است، بنابراین احتمالاً این ساختار داده نیازی به بزرگ بودن ندارد.
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B ip\-ratelimit\-slabs: \fI<number>\fP
تعداد اسلب‌ها در ساختار داده ردیابی محدودیت نرخ IP.
اسلب‌ها رقابت قفل توسط نخ‌ها را کاهش می‌دهند.
باید روی توانی از 2 تنظیم شود.
تنظیم (نزدیک) به تعداد پردازنده‌ها تنظیم نسبتاً مناسبی است.
اگر بدون پیکربندی رها شود، در محیط‌های چندنخی به‌طور خودکار روی توانی از 2 نزدیک به تعداد نخ‌های پیکربندی‌شده تنظیم می‌شود.
.sp
پیش‌فرض: (پیکربندی‌نشده)
.UNINDENT
.INDENT 0.0
.TP
.B ip\-ratelimit\-factor: \fI<number>\fP
مقدار پرس‌وجوهایی را که در صورت فراتر رفتن از حد باید محدود شوند تنظیم می‌کند.
اگر روی 0 تنظیم شود، تمام پرس‌وجوها برای آدرس‌هایی که از حد فراتر رفته‌اند دور ریخته می‌شوند.
اگر روی مقدار دیگری تنظیم شود، 1 در آن تعداد اجازه عبور و تکمیل را دارد.
پیش‌فرض 10 است که به 1/10 ترافیک اجازه جریان عادی می‌دهد.
این می‌تواند باعث شود پرس‌وجوهای عادی تکمیل شده (در صورت پرس‌وجوی مکرر) و وارد کش شوند، در حالی که جریان ترافیک را نیز با ضریب ارائه‌شده کاهش می‌دهد.
.sp
پیش‌فرض: 10
.UNINDENT
.INDENT 0.0
.TP
.B ip\-ratelimit\-backoff: \fI<yes or no>\fP
در صورت فعال بودن، با محدودیت نرخ به عنوان یک شکست قطعی برخورد می‌شود به جای حداکثر نرخ ثابت مجاز پیش‌فرض.
هنگامی که به حد نصاب برسد، ترافیک محدود شده و تقاضا برای یک پنجره نرخ 2 ثانیه‌ای همچنان پیگیری می‌شود.
هیچ ترافیکی، به جز
\fI\%ip\-ratelimit\-factor\fP،
مجاز نخواهد بود تا زمانی که تقاضا برای یک پنجره نرخ 2 ثانیه‌ای به زیر محدودیت نرخ پیکربندی‌شده کاهش یابد.
برای تنظیم
\fI\%ip\-ratelimit\fP
روی یک نرخ مشکوک جهت محدودسازی تهاجمی ترافیک غیرعادی بالا مفید است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B outbound\-msg\-retry: \fI<number>\fP
تعداد تلاش‌های مجدد، به ازای هر سرور نام بالادست در یک تفویض، که Unbound در صورت دریافت پاسخ دورریختنی انجام خواهد داد.
عدم دریافت پاسخ (انقضای مهلت) به شمارنده تلاش مجدد اضافه می‌شود.
اگر از یک ناحیه forward/stub استفاده شود، این تعداد تلاش‌های مجدد به ازای هر سرور نام در ناحیه است.
.sp
پیش‌فرض: 5
.UNINDENT
.INDENT 0.0
.TP
.B max\-sent\-count: \fI<number>\fP
حد قطعی برای تعداد پرس‌وجوهای خروجی که Unbound هنگام تفکیک یک نام انجام خواهد داد، تا اطمینان حاصل شود مجموعه‌های بزرگ NS وارد حلقه نمی‌شوند.
در صورت رسیدن به این حد منجر به SERVFAIL می‌شود.
با راه‌اندازی مجدد پرس‌وجو (مانند CNAME) و ارجاعات ریست می‌شود.
.sp
پیش‌فرض: 32
.UNINDENT
.INDENT 0.0
.TP
.B max\-query\-restarts: \fI<number>\fP
حد قطعی برای تعداد دفعاتی که Unbound مجاز است پس از مواجهه با یک رکورد CNAME یک پرس‌وجو را دوباره آغاز کند.
در صورت رسیدن به این حد منجر به SERVFAIL می‌شود.
این روی رکوردهای زنجیره‌ای CNAME اعمال می‌شود اما نه رکوردهای پراکنده CNAME که ممکن است در طول تلاش تفکیک پرس‌وجو با آن‌ها مواجه شد.
هنگامی که یک زنجیره CNAME به پایان می‌رسد، شمارنده‌ای که این حد را پیگیری می‌کند ریست می‌شود.
تغییر این مقدار نیاز به احتیاط دارد زیرا می‌تواند اجازه دهد زنجیره‌های طولانی CNAME پذیرفته شوند، جایی که Unbound باید هر پیوند را به صورت جداگانه تأیید (تفکیک) کند.
.sp
پیش‌فرض: 11
.UNINDENT
.INDENT 0.0
.TP
.B iter\-scrub\-ns: \fI<number>\fP
محدودیت تعداد رکوردهای NS مجاز در یک rrset از نوع NS، از پاک‌کننده تکرارکننده.
این کار از بخش‌های داخلی تحلیل‌کننده در برابر مجموعه‌های بیش از حد بزرگ NS محافظت می‌کند.
.sp
پیش‌فرض: 20
.UNINDENT
.INDENT 0.0
.TP
.B iter\-scrub\-cname: \fI<number>\fP
محدودیت تعداد رکوردهای CNAME، DNAME در یک پاسخ، از پاک‌کننده تکرارکننده.
این کار از بخش‌های داخلی تحلیل‌کننده در برابر زنجیره‌های بسیار طولانی ارجاع محافظت می‌کند.
باقی‌مانده بسته پاسخ را در آن نقطه قطع می‌کند.
.sp
پیش‌فرض: 11
.UNINDENT
.INDENT 0.0
.TP
.B iter\-scrub\-rrsig: \fI<number>\fP
محدودیت تعداد RRSIGهای مجاز برای یک RRset، از پاک‌کننده تکرارکننده.
این کار در برابر تعداد بیش از حد زیاد RRSIG محافظت می‌کند.
باقی‌مانده فهرست RRSIG را در آن نقطه قطع می‌کند.
.sp
پیش‌فرض: 8
.UNINDENT
.INDENT 0.0
.TP
.B max\-global\-quota: \fI<number>\fP
محدودیت تعداد پرس‌وجوهای بالادست ارسالی برای یک پرس‌وجوی ورودی و زیرپرس‌وجوهای آن از بازگشت.
در طول تفکیک ریست نمی‌شود.
هنگامی که از این حد فراتر رود، پرس‌وجو با شکست مواجه شده و فرآیند جستجو متوقف می‌شود.
.sp
پیش‌فرض: 200
.UNINDENT
.INDENT 0.0
.TP
.B iter\-scrub\-promiscuous: \fI<yes or no>\fP
آیا پاک‌کننده تکرارکننده باید NSهای نامربوط را از پاسخ‌های مثبت حذف کند یا خیر.
این کار در برابر محتویات مسموم محافظت می‌کند، که می‌توانند بر نام‌های موجود در همان ناحیه یک بسته جعلی تأثیر بگذارند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B fast\-server\-permil: \fI<number>\fP
مشخص کنید از هر 1000 بار چند بار از مجموعه سریع‌ترین سرورها انتخاب شود.
0 قابلیت را خاموش می‌کند.
مقدار 900 در 90 درصد مواقع از سریع‌ترین سرورها انتخاب می‌کند و برای زمان باقی‌مانده کاوش عادی سرورهای تصادفی را انجام می‌دهد.
هنگامی که
\fI\%prefetch\fP
(یا
\fI\%serve\-expired\fP)
فعال باشد، چنین پیش‌واکشی‌هایی سرعت داده نمی‌شوند، زیرا هیچ‌کس منتظر آن نیست و زمان مناسبی برای انجام کاوش سرورها فراهم می‌آورد.
از گزینه
\fI\%fast\-server\-num\fP
می‌توان برای تعیین اندازه مجموعه سریع‌ترین سرورها استفاده کرد.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B fast\-server\-num: \fI<number>\fP
تعداد سرورهایی را که باید برای انتخاب سریع سرور استفاده شوند تنظیم می‌کند.
تنها از سریع‌ترین تعداد سرورهای مشخص‌شده با گزینه
\fI\%fast\-server\-permil\fP
استفاده کنید که این گزینه را روشن یا خاموش می‌کند.
.sp
پیش‌فرض: 3
.UNINDENT
.INDENT 0.0
.TP
.B answer\-cookie: \fI<yes or no>\fP
در صورت فعال بودن، Unbound به درخواست‌های حاوی کوکی‌های DNS همان‌طور که در RFC 7873 و RFC 9018 مشخص شده پاسخ خواهد داد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B cookie\-secret: \fI\(dq<128 bit hex string>\(dq\fP
راز سرور برای تولید کوکی DNS.
برای تنظیم صریح برای سرورها در یک استقرار anycast که نیاز به اشتراک‌گذاری راز دارند تا کوکی‌های سرور یکدیگر را تأیید کنند مفید است.
یک رشته هگزادسیمال نمونه عبارت است از \(dq000102030405060708090a0b0c0d0e0f\(dq.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
اگر یک
\fI\%cookie\-secret\-file\fP
موجود باشد، این گزینه نادیده گرفته می‌شود.
در آن حالت رازهای موجود در آن پرونده در محاسبات کوکی DNS استفاده می‌شوند.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: راز تصادفی 128 بیتی تولیدشده در زمان راه‌اندازی
.UNINDENT
.INDENT 0.0
.TP
.B cookie\-secret\-file: \fI<filename>\fP
پرونده‌ای که رازهای استفاده‌شده در محاسبات کوکی DNS از آن خوانده می‌شوند.
هنگامی که این پرونده وجود دارد، از رازهای درون آن استفاده می‌شود و راز مشخص‌شده توسط گزینه
\fI\%cookie\-secret\fP
نادیده گرفته می‌شود.
آن را با تعیین نام پرونده، مانند
\(dq/usr/local/etc/unbound_cookiesecrets.txt\(dq،
فعال کنید.
محتوای این پرونده باید با دستورات
\fI\%add_cookie_secret\fP،
\fI\%drop_cookie_secret\fP
و
\fI\%activate_cookie_secret\fP
در ابزار
\fI\%unbound\-control(8)\fP
مدیریت شود.
لطفاً آن صفحه راهنما را برای نحوه انجام تعویض امن راز کوکی ببینید.
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B edns\-client\-string: \fI<IP netblock> <string>\fP
یک گزینه EDNS0 حاوی رشته ASCII پیکربندی‌شده را در پرس‌وجوهایی با آدرس مقصد منطبق بر
\fI<IP netblock>\fP
پیکربندی‌شده می‌گنجاند\&.
این گزینه پیکربندی می‌تواند چندین بار استفاده شود.
خاص‌ترین تطابق استفاده خواهد شد.
.UNINDENT
.INDENT 0.0
.TP
.B edns\-client\-string\-opcode: \fI<opcode>\fP
کد گزینه EDNS0 برای گزینه
\fI\%edns\-client\-string\fP،
از 0 تا 65535.
مقداری از محدوده «رزرو شده برای محلی/آزمایشی» (65001\-65534) باید استفاده شود.
.sp
پیش‌فرض: 65001
.UNINDENT
.INDENT 0.0
.TP
.B ede: \fI<yes or no>\fP
در صورت فعال بودن، Unbound با کدهای خطای گسترده DNS
(\fI\%RFC 8914\fP)
پاسخ خواهد داد.
این EDEها اطلاعات اضافی را همراه با پاسخ، عمدتاً اما نه محدود به خطاهای DNS و DNSSEC، ارائه می‌دهند.
.sp
هنگامی که گزینه
\fI\%val\-log\-level\fP
نیز روی \fB2\fP تنظیم شده باشد، پاسخ‌های حاوی خطاهای گسترده DNS مربوط به شکست‌های DNSSEC همچنین شامل یک پیام متنی توصیفی درباره علت شکست خواهند بود.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B ede\-serve\-expired: \fI<yes or no>\fP
در صورت فعال بودن، Unbound یک خطای گسترده DNS
(\fI\%RFC 8914\fP)
با \fIکد 3 \- پاسخ کهنه\fP را به عنوان گزینه EDNS0 به پاسخ منقضی‌شده پیوست می‌کند.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
برای اینکه این گزینه کار کند باید
\fI\%ede: yes\fP
نیز تنظیم شده باشد.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dns\-error\-reporting: \fI<yes or no>\fP
در صورت فعال بودن، Unbound گزارش‌های خطای DNS
(\fI\%RFC 9567\fP)
را ارسال خواهد کرد.
سرورهای نام باید پشتیبانی خود را با پیوست کردن گزینه EDNS0 با عنوان Report\-Channel در پاسخ‌های خود با تعیین عامل گزارش‌دهی برای ناحیه اعلام کنند.
هرگونه خطایی که در حین تفکیک با آن مواجه شود که منجر به تولید یک خطای گسترده DNS
(\fI\%RFC 8914\fP)
توسط Unbound شود، به عامل گزارش‌دهی ناحیه گزارش خواهد شد.
.sp
برای کارکرد این قابلیت نیازی به فعال بودن گزینه
\fI\%ede\fP
نیست.
.sp
توصیه می‌شود که گزینه
\fI\%qname\-minimisation\fP
نیز فعال باشد تا حریم خصوصی در گزارش‌های خروجی افزایش یابد.
.sp
پیش‌فرض: no
.UNINDENT
.SH "گزینه‌های کنترل از راه دور (REMOTE CONTROL OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBremote\-control:\fP هستند و تعاریف مربوط به امکان کنترل از راه دور را تشکیل می‌دهند.
.sp
در صورت فعال بودن این گزینه، ابزار
\fI\%unbound\-control(8)\fP
می‌تواند برای ارسال دستورات به سرور در حال اجرای Unbound استفاده شود.
سرور از این گزینه‌ها برای راه‌اندازی امنیت TLS برای اتصال استفاده می‌کند.
ابزار
\fI\%unbound\-control(8)\fP
نیز این بخش \fBremote\-control:\fP را برای گزینه‌ها می‌خواند.
برای راه‌اندازی گواهی‌های خودامضاشده درست از ابزار
\fBunbound\-control\-setup(8)\fP
استفاده کنید.
.INDENT 0.0
.TP
.B control\-enable: \fI<yes or no>\fP
از این گزینه برای فعال‌سازی کنترل از راه دور استفاده می‌شود.
در صورت خاموش بودن، سرور برای دستورات کنترلی شنود نمی‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B control\-interface: \fI<IP address or interface name[@port] or path>\fP
آدرس‌های IPv4 یا IPv6 یا مسیر سوکت محلی را برای شنود دستورات کنترلی مشخص کنید.
اگر به جای آدرس IP از نام رابط استفاده شود، فهرست آدرس‌های IP روی آن رابط استفاده می‌شود.
.sp
به‌طور پیش‌فرض روی localhost (\fB127.0.0.1\fP و \fB::1\fP) شنود می‌شود.
از \fB0.0.0.0\fP و \fB::0\fP برای شنود روی تمام رابط‌ها استفاده کنید.
اگر این را تغییر دهید و مجوزها سلب شده باشند، برای اعمال تغییر باید سرور را دوباره راه‌اندازی کنید.
.sp
اگر آن را روی یک مسیر مطلق تنظیم کنید، از یک سوکت دامنه یونیکس استفاده می‌شود.
این سوکت از گواهی‌ها و کلیدها استفاده نمی‌کند، بنابراین نیازی به وجود آن پرونده‌ها نیست.
برای محدود کردن دسترسی، Unbound مجوزهای پرونده را برای کاربر و گروهی که پیکربندی شده است تنظیم می‌کند؛ بیت‌های دسترسی طوری تنظیم می‌شوند که به اعضای گروه اجازه دسترسی به پرونده سوکت کنترلی را بدهند.
کاربرانی را که نیاز به دسترسی به سوکت دارند در آن گروه قرار دهید.
برای محدود کردن بیشتر دسترسی، دایرکتوری‌ای برای قرار دادن سوکت کنترلی در آن ایجاد کنید و دسترسی به آن دایرکتوری را محدود نمایید.
.UNINDENT
.INDENT 0.0
.TP
.B control\-port: \fI<port number>\fP
شماره درگاه برای شنود روی رابط‌های کنترلی IPv4 یا IPv6.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
اگر این را تغییر دهید و مجوزها سلب شده باشند، برای اعمال تغییر باید سرور را دوباره راه‌اندازی کنید.
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: 8953
.UNINDENT
.INDENT 0.0
.TP
.B control\-use\-cert: \fI<yes or no>\fP
برای
\fI\%control\-interface\fP
در localhost می‌توانید استفاده از TLS را با تنظیم این گزینه روی \(dqno\(dq غیرفعال کنید.
برای سوکت‌های محلی، TLS غیرفعال است و مقدار این گزینه نادیده گرفته می‌شود.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B server\-key\-file: \fI<private key file>\fP
مسیر کلید خصوصی سرور.
این پرونده توسط ابزار
\fI\%unbound\-control\-setup(8)\fP
تولید می‌شود.
این پرونده توسط سرور Unbound استفاده می‌شود، اما توسط
\fI\%unbound\-control(8)\fP
خیر\&.
.sp
پیش‌فرض: unbound_server.key
.UNINDENT
.INDENT 0.0
.TP
.B server\-cert\-file: \fI<certificate file.pem>\fP
مسیر گواهی خودامضاشده سرور.
این پرونده توسط ابزار
\fI\%unbound\-control\-setup(8)\fP
تولید می‌شود.
این پرونده توسط سرور Unbound و همچنین توسط
\fI\%unbound\-control(8)\fP
استفاده می‌شود\&.
.sp
پیش‌فرض: unbound_server.pem
.UNINDENT
.INDENT 0.0
.TP
.B control\-key\-file: \fI<private key file>\fP
مسیر کلید خصوصی کلاینت کنترل.
این پرونده توسط ابزار
\fI\%unbound\-control\-setup(8)\fP
تولید می‌شود.
این پرونده توسط
\fI\%unbound\-control(8)\fP
استفاده می‌شود\&.
.sp
پیش‌فرض: unbound_control.key
.UNINDENT
.INDENT 0.0
.TP
.B control\-cert\-file: \fI<certificate file.pem>\fP
مسیر گواهی کلاینت کنترل.
این گواهی باید با گواهی سرور امضا شده باشد.
این پرونده توسط ابزار
\fI\%unbound\-control\-setup(8)\fP
تولید می‌شود.
این پرونده توسط
\fI\%unbound\-control(8)\fP
استفاده می‌شود\&.
.sp
پیش‌فرض: unbound_control.pem
.UNINDENT
.SH "گزینه‌های ناحیه خرد (STUB ZONE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBstub\-zone:\fP هستند.
.sp
ممکن است چندین بخش \fBstub\-zone:\fP وجود داشته باشد.
هر کدام با یک
\fI\%name\fP
و صفر یا چند نام میزبان یا آدرس IP.
برای ناحیه خرد این فهرست از سرورهای نام استفاده می‌شود.
کلاس IN فرض می‌شود.
سرورها باید سرورهای مرجع باشند نه بازگشتی؛ Unbound پردازش بازگشتی را خود برای ناحیه‌های خرد انجام می‌دهد.
.sp
از ناحیه خرد می‌توان برای پیکربندی داده‌های مرجع مورد استفاده توسط تحلیل‌کننده استفاده کرد که با استفاده از سرورهای اینترنت عمومی قابل دسترسی نیستند.
این برای داده‌های محلی شرکت یا ناحیه‌های خصوصی مفید است.
یک سرور مرجع روی یک میزبان متفاوت (یا درگاه متفاوت) راه‌اندازی کنید.
یک ورودی پیکربندی برای Unbound با موارد زیر وارد کنید:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
stub\-addr: <ip address of host[@port]>
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
تحلیل‌کننده Unbound می‌تواند سپس به داده‌ها دسترسی پیدا کند، بدون اینکه برای آن به اینترنت عمومی مراجعه نماید.
.sp
این راه‌اندازی اجازه می‌دهد ناحیه‌های امضاشده با DNSSEC توسط آن سرور مرجع ارائه شوند، که در این صورت یک ورودی کلید مورد اعتماد با کلید عمومی می‌تواند در پیکربندی قرار داده شود، به طوری که Unbound بتواند داده‌ها را اعتبارسنجی کرده و بیت AD را در پاسخ‌ها برای ناحیه خصوصی تنظیم کند (سرورهای مرجع بیت AD را تنظیم نمی‌کنند).
این راه‌اندازی Unbound را قادر به پاسخ‌دهی به پرس‌وجوها برای ناحیه خصوصی می‌سازد، و حتی می‌تواند بیت AD («معتبر») را تنظیم کند، اما بیت AA («مرجع») روی این پاسخ‌ها تنظیم نمی‌شود.
.sp
در صورتی که ناحیه یک ناحیه با سرویس‌دهی محلی است، افزودن عبارت‌های
\fI\%server\fP
برای
\fI\%domain\-insecure\fP
و برای
\fI\%local\-zone: <name> nodefault\fP
را برای ناحیه مد نظر قرار دهید.
گزینه
\fI\%domain\-insecure\fP
از بی‌اعتبار کردن ناحیه توسط DNSSEC جلوگیری می‌کند.
گزینه
\fI\%local\-zone: nodefault\fP
(یا
\fI\%transparent\fP)
باعث می‌شود ناحیه (معکوس) از پالایش ناحیه‌های
\fI\%RFC 1918\fP
توسط Unbound عبور کند.
.INDENT 0.0
.TP
.B name: \fI<domain name>\fP
نام ناحیه خرد.
این نام کامل دامنه ناحیه است.
.UNINDENT
.INDENT 0.0
.TP
.B stub\-host: \fI<domain name>\fP
نام سرور نام ناحیه خرد.
پیش از استفاده، ابتدا خودش تفکیک می‌شود.
.sp
\fBCAUTION:\fP
.INDENT 7.0
.INDENT 3.5
اگر دامنه (یا یک زیردامنه) از این ناحیه به عنوان میزبان استفاده شود، به ناچار وابستگی دوری در بازیابی آدرس‌های IP سرور نام ایجاد خواهد کرد.
در آن صورت پیشنهاد می‌شود از
\fI\%stub\-addr\fP
در عوض استفاده کنید.
به عنوان روش دیگر،
\fI\%stub\-first: yes\fP
نیز می‌تواند با تلاش برای تفکیک خارج از این ناحیه، این وابستگی دوری را دور بزند.
با این حال، این هشدار وجود دارد که اجازه فرار از این ناحیه را در صورت شکست هر تلاش تفکیک در داخل این ناحیه می‌دهد.
.UNINDENT
.UNINDENT
.sp
برای استفاده از یک درگاه غیرپیش‌فرض برای ارتباط DNS، علامت \fB\(aq@\(aq\fP را همراه با شماره درگاه الحاق کنید.
.sp
اگر TLS فعال باشد، می‌توانید یک \fB\(aq#\(aq\fP و یک نام الحاق کنید، سپس گواهی‌های احراز هویت TLS را با آن نام بررسی خواهد کرد.
.sp
اگر \fB\(aq@\(aq\fP و \fB\(aq#\(aq\fP را ترکیب کنید، \fB\(aq@\(aq\fP اول می‌آید.
اگر تنها \fB\(aq#\(aq\fP استفاده شود درگاه پیش‌فرض همان
\fI\%tls\-port\fP
پیکربندی‌شده است\&.
.UNINDENT
.INDENT 0.0
.TP
.B stub\-addr: \fI<IP address>\fP
آدرس IP سرور نام ناحیه خرد.
می‌تواند IPv4 یا IPv6 باشد.
.sp
برای استفاده از یک درگاه غیرپیش‌فرض برای ارتباط DNS، علامت \fB\(aq@\(aq\fP را همراه با شماره درگاه الحاق کنید.
.sp
اگر TLS فعال باشد، می‌توانید یک \fB\(aq#\(aq\fP و یک نام الحاق کنید، سپس گواهی‌های احراز هویت tls را با آن نام بررسی خواهد کرد.
.sp
اگر \fB\(aq@\(aq\fP و \fB\(aq#\(aq\fP را ترکیب کنید، \fB\(aq@\(aq\fP اول می‌آید.
اگر تنها \fB\(aq#\(aq\fP استفاده شود درگاه پیش‌فرض همان
\fI\%tls\-port\fP
پیکربندی‌شده است\&.
.UNINDENT
.INDENT 0.0
.TP
.B stub\-prime: \fI<yes or no>\fP
در صورت فعال بودن، آماده‌سازی مجموعه NS را انجام می‌دهد که مشابه هینت‌های ریشه است، جایی که شروع به استفاده از فهرست سرورهای نامی می‌کند که در حال حاضر توسط ناحیه منتشر شده است.
بنابراین، اگر فهرست هینت کمی قدیمی باشد، تحلیل‌کننده فهرست صحیحی را به صورت آنلاین دریافت می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B stub\-first: \fI<yes or no>\fP
در صورت فعال بودن، در صورت شکست، یک پرس‌وجو بدون این بخش stub امتحان می‌شود.
داده‌ها قابل بازیابی نبودند و باعث SERVFAIL می‌شدند زیرا سرورها غیرقابل دسترس هستند، در عوض بدون این بخش stub تلاش می‌شود.
این می‌تواند منجر به استفاده از ناحیه‌های forward/stub/auth پیکربندی‌شده با عمومیت بیشتر در صورت وجود شود، یا در غیر این صورت به تفکیک بازگشتی عادی برای آن پرس‌وجوی خاص ختم شود.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B stub\-tls\-upstream: \fI<yes or no>\fP
استفاده از TLS را برای انتقال در پرس‌وجوها به این stub فعال یا غیرفعال می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B stub\-ssl\-upstream: \fI<yes or no>\fP
نحو جایگزین برای
\fI\%stub\-tls\-upstream\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B stub\-tcp\-upstream: \fI<yes or no>\fP
اگر روی \(dqyes\(dq تنظیم شود، پرس‌وجوهای بالادست بدون در نظر گرفتن فلگ سراسری
\fI\%tcp\-upstream\fP
تنها از TCP برای انتقال استفاده می‌کنند\&.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B stub\-no\-cache: \fI<yes or no>\fP
در صورت فعال بودن، داده‌های درون stub کش نمی‌شوند.
زمانی که می‌خواهید تغییرات فوری قابل مشاهده باشند مفید است.
.sp
پیش‌فرض: no
.UNINDENT
.SH "گزینه‌های ناحیه فوروارد (FORWARD ZONE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBforward\-zone:\fP هستند.
.sp
ممکن است چندین بخش \fBforward\-zone:\fP وجود داشته باشد.
هر کدام با یک
\fI\%name\fP
و صفر یا چند نام میزبان یا آدرس IP.
برای ناحیه فوروارد از این فهرست از سرورهای نام برای فوروارد کردن پرس‌وجوها استفاده می‌شود.
سرورهای فهرست‌شده به عنوان
\fI\%forward\-host\fP
و
\fI\%forward\-addr\fP
باید بازگشت بیشتر را برای پرس‌وجو مدیریت کنند.
بنابراین، آن سرورها سرورهای مرجع نیستند، بلکه (درست مانند Unbound) سرورهای بازگشتی نیز هستند؛ Unbound خودش بازگشت را برای ناحیه فوروارد انجام نمی‌دهد، بلکه اجازه می‌دهد سرور راه دور آن را انجام دهد.
کلاس IN فرض می‌شود.
رکوردهای CNAME توسط خود Unbound دنبال می‌شوند، و از سرور راه دور برای هر نام در زنجیره ارجاع پرسیده می‌شود تا از کش محلی در برابر موارد غیرقانونی ارجاع غیرمستقیم محافظت شود.
یک ورودی
\fI\%forward\-zone\fP
با نام \fB\(dq.\(dq\fP و یک هدف
\fI\%forward\-addr\fP
تمام پرس‌وجوها را به آن سرور دیگر فوروارد می‌کند (مگر اینکه بتواند از کش پاسخ دهد).
.INDENT 0.0
.TP
.B name: \fI<domain name>\fP
نام ناحیه فوروارد.
این نام کامل دامنه ناحیه است.
.UNINDENT
.INDENT 0.0
.TP
.B forward\-host: \fI<domain name>\fP
نام سرور برای فوروارد به آن.
پیش از استفاده، ابتدا خودش تفکیک می‌شود.
.sp
\fBCAUTION:\fP
.INDENT 7.0
.INDENT 3.5
اگر دامنه (یا یک زیردامنه) از این ناحیه به عنوان میزبان استفاده شود، به ناچار وابستگی دوری در بازیابی آدرس‌های IP سرور نام ایجاد خواهد کرد.
در آن صورت پیشنهاد می‌شود از
\fI\%forward\-addr\fP
در عوض استفاده کنید.
به عنوان روش دیگر،
\fI\%forward\-first: yes\fP
نیز می‌تواند با تلاش برای تفکیک خارج از این ناحیه، این وابستگی دوری را دور بزند.
با این حال، این هشدار وجود دارد که اجازه فرار از این ناحیه را در صورت شکست هر تلاش تفکیک در داخل این ناحیه می‌دهد.
.UNINDENT
.UNINDENT
.sp
برای استفاده از یک درگاه غیرپیش‌فرض برای ارتباط DNS، علامت \fB\(aq@\(aq\fP را همراه با شماره درگاه الحاق کنید.
.sp
اگر TLS فعال باشد، می‌توانید یک \fB\(aq#\(aq\fP و یک نام الحاق کنید، سپس گواهی‌های احراز هویت TLS را با آن نام بررسی خواهد کرد.
.sp
اگر \fB\(aq@\(aq\fP و \fB\(aq#\(aq\fP را ترکیب کنید، \fB\(aq@\(aq\fP اول می‌آید.
اگر تنها \fB\(aq#\(aq\fP استفاده شود درگاه پیش‌فرض همان
\fI\%tls\-port\fP
پیکربندی‌شده است\&.
.UNINDENT
.INDENT 0.0
.TP
.B forward\-addr: \fI<IP address>\fP
آدرس IP سرور برای فوروارد به آن.
می‌تواند IPv4 یا IPv6 باشد.
.sp
برای استفاده از یک درگاه غیرپیش‌فرض برای ارتباط DNS، علامت \fB\(aq@\(aq\fP را همراه با شماره درگاه الحاق کنید.
.sp
اگر TLS فعال باشد، می‌توانید یک \fB\(aq#\(aq\fP و یک نام الحاق کنید، سپس گواهی‌های احراز هویت tls را با آن نام بررسی خواهد کرد.
.sp
اگر \fB\(aq@\(aq\fP و \fB\(aq#\(aq\fP را ترکیب کنید، \fB\(aq@\(aq\fP اول می‌آید.
اگر تنها \fB\(aq#\(aq\fP استفاده شود درگاه پیش‌فرض همان
\fI\%tls\-port\fP
پیکربندی‌شده است\&.
.sp
در سطح پرگویی بالا، گواهی TLS را با TLS فعال در لاگ ثبت می‌کند.
اگر \fB\(aq#\(aq\fP و نام احراز هویت را از
\fI\%forward\-addr\fP
حذف کنید، هر نامی پذیرفته می‌شود.
گواهی همچنین باید با یک CA از
\fI\%tls\-cert\-bundle\fP
مطابقت داشته باشد\&.
.UNINDENT
.INDENT 0.0
.TP
.B forward\-first: \fI<yes or no>\fP
اگر یک پرس‌وجوی فورواردشده با خطای SERVFAIL مواجه شود و این گزینه فعال باشد، Unbound به تفکیک با عمومیت بیشتر عقب‌نشینی می‌کند.
این می‌تواند منجر به استفاده از ناحیه‌های forward/stub/auth پیکربندی‌شده با عمومیت بیشتر در صورت وجود شود، یا در غیر این صورت به تفکیک بازگشتی عادی برای آن پرس‌وجوی خاص ختم گردد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B forward\-tls\-upstream: \fI<yes or no>\fP
استفاده از TLS را برای انتقال در پرس‌وجوها به این فورواردر فعال یا غیرفعال می‌کند.
اگر این را فعال کردید، همچنین یک
\fI\%tls\-cert\-bundle\fP
را پیکربندی کنید یا از
\fI\%tls\-win\-cert\fP
برای بارگذاری گواهی‌های CA استفاده کنید، در غیر این صورت اتصالات نمی‌توانند احراز هویت شوند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B forward\-ssl\-upstream: \fI<yes or no>\fP
نحو جایگزین برای
\fI\%forward\-tls\-upstream\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B forward\-tcp\-upstream: \fI<yes or no>\fP
اگر روی \(dqyes\(dq تنظیم شود، پرس‌وجوهای بالادست بدون در نظر گرفتن فلگ سراسری
\fI\%tcp\-upstream\fP
تنها از TCP برای انتقال استفاده می‌کنند\&.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B forward\-no\-cache: \fI<yes or no>\fP
در صورت فعال بودن، داده‌های درون فوروارد کش نمی‌شوند.
زمانی که می‌خواهید تغییرات فوری قابل مشاهده باشند مفید است.
.sp
پیش‌فرض: no
.UNINDENT
.SH "گزینه‌های ناحیه مجاز / مرجع (AUTHORITY ZONE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBauth\-zone:\fP هستند.
.sp
ناحیه‌های مرجع با \fBauth\-zone:\fP پیکربندی می‌شوند و هر کدام باید یک
\fI\%name\fP
داشته باشند\&.
می‌توان چندین مورد را با فهرست کردن چندین بند بخش \fBauth\-zone\fP، هر کدام با نامی متفاوت، مربوط به آن بخش از فضای نام، تعریف کرد.
ناحیه مرجعی با نامی که نزدیک‌ترین تطابق را با نام جستجوشده دارد استفاده می‌شود.
ناحیه‌های مرجع می‌توانند در دو مرحله متمایز، غیرانحصاری و قابل پیکربندی پردازش شوند.
.sp
با
\fI\%for\-downstream: yes\fP
(پیش‌فرض)، ناحیه‌های مرجع پس از \fBlocal\-zones\fP و پیش از کش پردازش می‌شوند.
هنگامی که به این شیوه استفاده شود، Unbound مانند یک سرور مرجع بدون پردازش بیشتر به جز بازگرداندن پاسخ از محتویات ناحیه پاسخ می‌دهد.
یک نمونه قابل توجه در این مورد، رکوردهای CNAME است که به صورت عین کلمه به کلاینت‌های پایین‌دست بدون تفکیک بیشتر بازگردانده می‌شوند.
.sp
با
\fI\%for\-upstream: yes\fP
(پیش‌فرض)، ناحیه‌های مرجع پس از جستجو در کش، درست پیش از رفتن به شبکه برای واکشی اطلاعات جهت بازگشت پردازش می‌شوند.
هنگامی که به این شیوه استفاده شود، آن‌ها یک رونوشت محلی از سرور مرجع فراهم می‌آورند که جستجوها برای آن داده‌ها را در حین تفکیک سرعت می‌بخشد.
.sp
اگر هر دو گزینه فعال باشند (پیش‌فرض)، به پرس‌وجوهای کلاینت برای یک ناحیه مرجع به صورت معتبر از Unbound پاسخ داده می‌شود، در حالی که پرس‌وجوهای داخلی که نیاز به داده‌هایی از ناحیه مرجع دارند به جای رفتن به شبکه، با داده‌های ناحیه محلی مشورت می‌کنند.
.sp
یک پیکربندی جالب
\fI\%for\-downstream: no\fP
و
\fI\%for\-upstream: yes\fP
است که رفتار فوق‌محلی را امکان‌پذیر می‌سازد که در آن هم پرس‌وجوهای کلاینت و هم داخلی هنگام تفکیک با داده‌های ناحیه محلی مشورت می‌کنند.
در این حالت، مثال CNAME مذکور منجر به پاسخی کاملاً تفکیک‌شده خواهد شد.
.sp
ناحیه‌های مرجع را می‌توان از یک zonefile خواند.
و می‌توانند از طریق AXFR و IXFR به‌روز نگه داشته شوند.
پس از به‌روزرسانی، پرونده ناحیه بازنویسی می‌شود.
سازوکار به‌روزرسانی از مقادیر تایمر SOA استفاده کرده و پرس‌وجوهای SOA UDP را برای شناسایی تغییرات ناحیه انجام می‌دهد.
.sp
اگر واکشی به‌روزرسانی با شکست مواجه شود، از تایمرهای موجود در رکورد SOA برای زمان‌بندی تلاش دیگری برای واکشی استفاده می‌شود.
تا زمانی که به تایمر انقضای SOA برسد.
سپس ناحیه منقضی می‌شود.
هنگامی که یک ناحیه منقضی شود، پرس‌وجوها با SERVFAIL پاسخ داده می‌شوند و هر شماره سریال جدیدی از سرور اصلی پذیرفته می‌شود (حتی اگر قدیمی‌تر باشد)، و اگر عقب‌نشینی فعال باشد، عقب‌نشینی برای واکشی از بالادست به جای SERVFAIL فعال می‌شود.
.INDENT 0.0
.TP
.B name: \fI<zone name>\fP
نام ناحیه مرجع.
.UNINDENT
.INDENT 0.0
.TP
.B primary: \fI<IP address or host name>\fP
محل بارگیری یک رونوشت از ناحیه از آن، با AXFR و IXFR.
می‌توان چندین سرور اصلی را مشخص کرد.
اگر یکی با شکست مواجه شود، همه آن‌ها امتحان می‌شوند.
.sp
برای استفاده از یک درگاه غیرپیش‌فرض برای ارتباط DNS، علامت \fB\(aq@\(aq\fP را همراه با شماره درگاه الحاق کنید.
.sp
می‌توانید یک \fB\(aq#\(aq\fP و یک نام الحاق کنید، سپس AXFR روی TLS می‌تواند استفاده شود و گواهی‌های احراز هویت TLS با آن نام بررسی خواهند شد.
.sp
اگر \fB\(aq@\(aq\fP و \fB\(aq#\(aq\fP را ترکیب کنید، \fB\(aq@\(aq\fP اول می‌آید.
اگر آن را به یک نمونه دیگر Unbound نشانه روید، کار نخواهد کرد زیرا از AXFR/IXFR برای ناحیه پشتیبانی نمی‌کند، اما اگر از
\fI\%url\fP
برای دانلود zonefile به عنوان یک پرونده متنی از یک وب‌سرور استفاده کنید کار خواهد کرد.
.sp
\fBCAUTION:\fP
.INDENT 7.0
.INDENT 3.5
اگر نام میزبان را مشخص کنید، نمی‌توانید از دامنه موجود در zonefile استفاده کنید، زیرا ممکن است هنگام بازیابی آن داده‌ها آن را نداشته باشد؛ در عوض از یک آدرس IP ساده برای اجتناب از وابستگی دوری در بازیابی آن آدرس IP استفاده کنید.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B master: \fI<IP address or host name>\fP
نحو جایگزین برای
\fI\%primary\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B url: \fI<URL to zone file>\fP
محل دانلود یک پرونده ناحیه برای ناحیه.
با HTTP یا HTTPS.
یک نمونه برای url:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
http://www.example.com/example.org.zone
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
می‌توان چندین عبارت url داد، آن‌ها به نوبت امتحان می‌شوند.
.sp
اگر فقط urlها داده شوند از تایمر تازه‌سازی SOA برای انتظار جهت انجام دانلودهای جدید استفاده می‌شود.
اگر سرورهای اصلی نیز فهرست شده باشند، سرورهای اصلی ابتدا با پرس‌وجوهای UDP SOA بررسی می‌شوند تا مشخص شود آیا شماره سریال SOA تغییر کرده است یا خیر، که تعداد دانلودها را کاهش می‌دهد.
اگر هیچ‌یک از urlها کار نکنند، سرورهای اصلی با IXFR و AXFR امتحان می‌شوند.
.sp
برای HTTPS، از
\fI\%tls\-cert\-bundle\fP
و نام میزبان برگرفته از url برای احراز هویت اتصال استفاده می‌شود.
.sp
اگر یک نام میزبان در URL مشخص کنید، نمی‌توانید از دامنه موجود در zonefile استفاده کنید، زیرا ممکن است هنگام بازیابی آن داده‌ها آن را نداشته باشد؛ در عوض از یک آدرس IP ساده برای اجتناب از وابستگی دوری در بازیابی آن آدرس IP استفاده کنید.
.sp
با استفاده از نگارشی مانند
\fB\(dqhttp://192.0.2.1/unbound\-primaries/example.com.zone\(dq\fP
با یک آدرس IP صریح، از وابستگی به جستجوهای نام خودداری کنید.
.UNINDENT
.INDENT 0.0
.TP
.B allow\-notify: \fI<IP address or host name or netblockIP/prefix>\fP
با
\fI\%allow\-notify\fP
می‌توانید منابع اضافی اعلام‌ها را مشخص کنید.
هنگام دریافت اعلام، سرور ابتدا تلاش می‌کند پروب انجام دهد و سپس انتقال ناحیه را اجرا کند.
اگر اعلام از یک سرور اصلی باشد، ابتدا آن سرور اصلی را امتحان می‌کند.
در غیر این صورت سرورهای اصلی دیگر امتحان می‌شوند.
اگر هیچ سرور اصلی وجود نداشته باشد، اما فقط urlها باشند، پرونده هنگام دریافت اعلام دانلود می‌شود.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
سرورهای اصلی از عبارت‌های
\fI\%primary\fP
و
\fI\%url\fP
به طور پیش‌فرض مجاز به اعلام هستند.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B fallback\-enabled: \fI<yes or no>\fP
در صورت فعال بودن، Unbound در زمان شکست جستجوها به پرس‌وجو از اینترنت به عنوان یک تحلیل‌کننده برای این ناحیه عقب‌نشینی می‌کند.
برای مثال برای شکست‌های اعتبارسنجی DNSSEC.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B for\-downstream: \fI<yes or no>\fP
در صورت فعال بودن، Unbound پاسخ‌های مرجع را به کلاینت‌های پایین‌دست برای این ناحیه ارائه می‌دهد.
این گزینه باعث می‌شود Unbound برای پرس‌وجوهایی با نام‌های موجود در این ناحیه مانند یکی از سرورهای مرجع برای آن ناحیه رفتار کند.
.sp
اگر می‌خواهید Unbound بازگشت را برای ناحیه فراهم کند اما رونوشت محلی از داده‌های ناحیه داشته باشد، آن را خاموش کنید.
.sp
اگر
\fI\%for\-downstream: no\fP
و
\fI\%for\-upstream: yes\fP
تنظیم شوند، Unbound محتویات ناحیه را پیش از ارائه محتویات ناحیه به کلاینت‌ها با DNSSEC اعتبارسنجی کرده و نتایج اعتبارسنجی را در کش ذخیره می‌کند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B for\-upstream: \fI<yes or no>\fP
در صورت فعال بودن، Unbound داده‌ها را از این مجموعه داده برای پاسخ به پرس‌وجوهای بازگشتی واکشی می‌کند.
به جای ارسال پرس‌وجوها روی اینترنت به سرورهای مرجع برای این ناحیه، داده‌ها را مستقیماً از داده‌های ناحیه واکشی خواهد کرد.
.sp
هنگامی که می‌خواهید Unbound بازگشت را برای کلاینت‌های پایین‌دست فراهم کند و از داده‌های ناحیه به عنوان یک رونوشت محلی برای سرعت بخشیدن به جستجوها استفاده نماید، آن را روشن کنید.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B zonemd\-check: \fI<yes or no>\fP
این گزینه را برای بررسی رکوردهای ZONEMD در ناحیه فعال کنید.
رکورد ZONEMD یک چکسام روی داده‌های ناحیه است.
این شامل داده‌های glue در ناحیه و داده‌های پرونده ناحیه می‌شود و توضیحات پرونده ناحیه را شامل نمی‌شود.
هنگامی که زنجیره اعتماد DNSSEC وجود دارد، امضاهای DNSSEC نیز بررسی می‌شوند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B zonemd\-reject\-absence: \fI<yes or no>\fP
این گزینه را فعال کنید تا عدم وجود رکورد ZONEMD رد شود.
بدون آن، هنگامی که ZONEMD وجود نداشته باشد بررسی نمی‌شود.
.sp
فعال‌سازی برای یک ناحیه امضانشده با DNSSEC مفید است که اپراتور می‌خواهد تأیید یک ZONEMD را الزامی کند، بنابراین فقدان ZONEMD یک شکست محسوب می‌شود.
.sp
اقدام پس از شکست توسط گزینه
\fI\%zonemd\-permissive\-mode\fP
کنترل می‌شود، فقط برای ثبت لاگ یا مسدود کردن ناحیه نیز.
.sp
بدون این گزینه، عدم وجود یک ZONEMD تنها زمانی یک شکست تلقی می‌شود که ناحیه با DNSSEC امضا شده باشد، و ما یک لنگر اعتماد داشته باشیم، و تأیید DNSSEC مبنی بر عدم وجود ZONEMD با شکست مواجه شود.
با فعال بودن این گزینه، عدم وجود ZONEMD همیشه یک شکست است، همچنین برای ناحیه‌های امضانشده با DNSSEC.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B zonefile: \fI<filename>\fP
نام پرونده‌ای که ناحیه در آن ذخیره می‌شود.
اگر داده نشود هیچ پرونده ناحیه‌ای استفاده نمی‌شود.
اگر پرونده وجود نداشته باشد یا خالی باشد، Unbound تلاش خواهد کرد داده‌های ناحیه را واکشی کند (مثلاً از سرورهای اصلی).
.UNINDENT
.INDENT 0.0
.TP
.B max\-transfer\-size: \fI<number>\fP
تعداد بایت‌های اندازه حداکثر انتقال ناحیه.
انتقال‌های بزرگ‌تر، روی AXFR، IXFR و HTTP مجاز نیستند.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
مقدار \fB0\fP این قابلیت را غیرفعال می‌کند.
.sp
تنها برای سرورهای اصلی غیرقابل اعتماد/بدرفتار که می‌توانند منابع را غصب کرده و تحلیل‌کننده را از کار بیندازند مد نظر قرار دهید.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B max\-transfer\-time: \fI<msec>\fP
حداکثر زمان بر حسب میلی‌ثانیه که یک انتقال ناحیه از ابتدا مجاز به طول کشیدن است.
مقدار \fB0\fP این قابلیت را غیرفعال می‌کند.
.sp
تنها برای سرورهای اصلی غیرقابل اعتماد/بدرفتار که می‌توانند منابع را غصب کرده و تحلیل‌کننده را از کار بیندازند مد نظر قرار دهید.
.sp
پیش‌فرض: 0
.UNINDENT
.SH "گزینه‌های نما (VIEW OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBview:\fP هستند.
.sp
ممکن است چندین بخش \fBview:\fP وجود داشته باشد.
هر کدام با یک
\fI\%name\fP
و صفر یا چند گزینه
\fI\%local\-zone\fP
و
\fI\%local\-data\fP.
نماها همچنین می‌توانند شامل گزینه‌های
\fI\%view\-first\fP،
\fI\%response\-ip\fP،
\fI\%response\-ip\-data\fP
و
\fI\%local\-data\-ptr\fP
باشند.
نما را می‌توان با تعیین نام نما در گزینه
\fI\%access\-control\-view\fP
به درخواست‌ها نگاشت کرد.
گزینه‌های حاصل از نماهای منطبق، گزینه‌های سراسری را بازنویسی خواهند کرد.
در صورتی که نمای منطبقی یافت نشود، یا زمانی که نمای منطبق گزینه مشخص‌شده را نداشته باشد، از گزینه‌های سراسری استفاده خواهد شد.
.INDENT 0.0
.TP
.B name: \fI<view name>\fP
نام نما.
باید یکتا باشد.
این نام در گزینه
\fI\%access\-control\-view\fP
استفاده می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B local\-zone: \fI<zone> <type>\fP
عناصر ناحیه محلی ویژه نما.
دارای همان انواع و رفتارهای عناصر
\fI\%local\-zone\fP
سراسری است.
هنگامی که حداقل یک \fIlocal\-zone:\fP مشخص شده باشد و
\fI\%view\-first: no\fP
تنظیم شده باشد، ناحیه‌های محلی پیش‌فرض به این نما اضافه خواهند شد.
پیش‌فرض‌ها را می‌توان با استفاده از نوع nodefault غیرفعال کرد.
هنگامی که
\fI\%view\-first: yes\fP
تنظیم شده باشد یا زمانی که یک نما فاقد
\fI\%local\-zone\fP
باشد، از
\fI\%local\-zone\fP
سراسری شامل ناحیه‌های پیش‌فرض آن استفاده خواهد شد.
.UNINDENT
.INDENT 0.0
.TP
.B local\-data: \fI\(dq<resource record string>\(dq\fP
عناصر داده محلی ویژه نما.
دارای همان رفتار عناصر
\fI\%local\-data\fP
سراسری است.
.UNINDENT
.INDENT 0.0
.TP
.B local\-data\-ptr: \fI\(dqIPaddr name\(dq\fP
عناصر local\-data\-ptr ویژه نما.
دارای همان رفتار عناصر
\fI\%local\-data\-ptr\fP
سراسری است.
.UNINDENT
.INDENT 0.0
.TP
.B response\-ip: \fI<IP\-netblock> <action>\fP
این گزینه نیازمند استفاده از ماژول \fBrespip\fP است.
.sp
مشابه
\fI\%response\-ip\fP
اما تنها روی این نما اعمال می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B response\-ip\-data: \fI<IP\-netblock> <\(dqresource record string\(dq>\fP
این گزینه نیازمند استفاده از ماژول \fBrespip\fP است.
.sp
مشابه
\fI\%response\-ip\-data\fP
اما تنها روی این نما اعمال می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B view\-first: \fI<yes or no>\fP
در صورت فعال بودن، در صورتی که تطابقی در گزینه‌های ویژه نما وجود نداشته باشد، تلاش می‌کند از
\fI\%local\-zone\fP
و
\fI\%local\-data\fP
سراسری استفاده کند.
.sp
پیش‌فرض: no
.UNINDENT
.SH "گزینه‌های ماژول پایتون (PYTHON MODULE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBpython:\fP هستند.
.sp
بخش \fBpython:\fP تنظیمات مربوط به ماژول اسکریپت
\fIpython(1)\fP
را ارائه می‌دهد.
این ماژول روی پرس‌وجوها و پاسخ‌ها مانند ماژول‌های iterator و validator عمل می‌کند.
برای فعال کردن ماژول اسکریپت، باید درون دیمون کامپایل شده باشد و کلمه \fBpython\fP باید در گزینه
\fI\%module\-config\fP
قرار داده شود (معمولاً در ابتدا، یا میان validator و iterator).
نمونه‌های متعدد از ماژول پایتون با افزودن کلمه \fBpython\fP بیش از یک بار پشتیبانی می‌شوند.
.sp
اگر گزینه
\fI\%chroot\fP
فعال باشد، باید اطمینان حاصل کنید که ساختار دایرکتوری کتابخانه پایتون در محیط ریشه جدید bind mount شده است،
\fImount(8)\fP
را ببینید\&.
همچنین مسیر
\fI\%python\-script\fP
باید به عنوان یک مسیر مطلق نسبت به ریشه جدید، یا به عنوان یک مسیر نسبی نسبت به دایرکتوری کاری مشخص شود.
.INDENT 0.0
.TP
.B python\-script: \fI<python file>\fP
پرونده اسکریپت برای بارگذاری.
این گزینه را برای هر نمونه ماژول پایتون اضافه‌شده به گزینه
\fI\%module\-config\fP
تکرار کنید.
.UNINDENT
.SH "گزینه‌های ماژول کتابخانه پویا (DYNAMIC LIBRARY MODULE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBdynlib:\fP هستند.
.sp
بخش \fBdynlib:\fP تنظیمات مربوط به ماژول \fBdynlib\fP را ارائه می‌دهد.
این ماژول تنها یک پوشش بسیار کوچک است که اجازه می‌دهد ماژول‌های پویا در زمان اجرا بارگذاری شوند به جای اینکه درون برنامه کامپایل شوند.
برای فعال‌سازی ماژول dynlib، باید درون دیمون کامپایل شده باشد و کلمه \fBdynlib\fP در گزینه
\fI\%module\-config\fP
قرار داده شود.
نمونه‌های متعدد از کتابخانه‌های پویا با افزودن کلمه \fBdynlib\fP بیش از یک بار پشتیبانی می‌شوند.
.sp
مسیر
\fI\%dynlib\-file\fP
باید به عنوان یک مسیر مطلق نسبت به مسیر جدید تنظیم‌شده توسط
\fI\%chroot\fP،
یا به عنوان یک مسیر نسبی نسبت به دایرکتوری کاری مشخص شود.
.INDENT 0.0
.TP
.B dynlib\-file: \fI<dynlib file>\fP
پرونده کتابخانه پویا برای بارگذاری.
این گزینه را برای هر نمونه ماژول dynlib اضافه‌شده به گزینه
\fI\%module\-config\fP
تکرار کنید.
.UNINDENT
.SH "گزینه‌های ماژول DNS64 (DNS64 MODULE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBserver:\fP هستند.
.sp
ماژول \fBdns64\fP باید در دستورالعمل
\fI\%module\-config\fP
پیکربندی شود، برای نمونه:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
module\-config: \(dqdns64 validator iterator\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
و برای فعال بودن باید درون دیمون کامپایل شده باشد.
.sp
\fBNOTE:\fP
.INDENT 0.0
.INDENT 3.5
در صورت ترکیب ماژول‌های \fBrespip\fP و \fBdns64\fP، ماژول \fBrespip\fP باید پیش از ماژول \fBdns64\fP در گزینه پیکربندی
\fI\%module\-config\fP
ظاهر شود تا فیدهای IP پاسخ و/یا RPZ بتوانند صرف‌نظر از سنتز DNS64، پاسخ‌ها را به درستی فیلتر کنند.
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B dns64\-prefix: \fI<IPv6 prefix>\fP
پیشوند DNS64 مورد استفاده برای سنتز رکوردهای AAAA را تنظیم می‌کند.
باید 96/ یا کوتاه‌تر باشد.
.sp
پیش‌فرض: 64:ff9b::/96
.UNINDENT
.INDENT 0.0
.TP
.B dns64\-synthall: \fI<yes or no>\fP
.sp
\fBWARNING:\fP
.INDENT 7.0
.INDENT 3.5
قابلیت اشکال‌زدایی!
.UNINDENT
.UNINDENT
.sp
در صورت فعال بودن، تمام رکوردهای AAAA را با وجود حضور رکوردهای واقعی AAAA سنتز می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dns64\-ignore\-aaaa: \fI<domain name>\fP
دامنه‌ای را فهرست می‌کند که رکوردهای AAAA آن نادیده گرفته شده و رکورد A توسط پردازش DNS64 در عوض استفاده می‌شود.
می‌تواند چندین بار وارد شود، یک دامنه جدید که روی آن اعمال می‌شود، یک دامنه در هر خط.
همچنین روی نام‌های زیر نام داده‌شده اعمال می‌شود.
.UNINDENT
.SH "گزینه‌های NAT64 (NAT64 OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBserver:\fP هستند.
.sp
عملیات NAT64 اجازه می‌دهد از یک پیشوند NAT64 برای درخواست‌های خروجی به سرورهای فقط IPv4 استفاده شود.
.INDENT 0.0
.TP
.B do\-nat64: \fI<yes or no>\fP
از NAT64 برای دسترسی به سرورهای فقط IPv4 استفاده می‌کند.
همچنین فعال کردن
\fI\%prefer\-ip6\fP
را برای ترجیح اتصالات بومی IPv6 به سرورهای نام در نظر بگیرید.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B nat64\-prefix: \fI<IPv6 prefix>\fP
استفاده از یک پیشوند مشخص NAT64 برای دسترسی به سرورهای فقط IPv4.
طول پیشوند باید یکی از مقادیر 32/، 40/، 48/، 56/، 64/ یا 96/ باشد.
.sp
پیشوند NAT64 توسط گزینه
\fI\%do\-not\-query\-address\fP
مجاز دانسته می‌شود، به طوری که نتیجه مشخصی از آدرس‌ها در هر دو وجود داشته باشد؛ پیشوند NAT64 مجاز است.
آدرس IPv4 در صورت نیاز می‌تواند توسط گزینه
\fI\%do\-not\-query\-address\fP
فیلتر شود.
مجاز شمردن پیشوند NAT64 هنگام استفاده از do\-not\-query\-address برای خوشه‌ای از ماشین‌ها که فقط IPv6 هستند و از NAT64 استفاده می‌کنند اما دسترسی به اینترنت ندارند مفید است.
.sp
پیش‌فرض: 64:ff9b::/96 (مشابه \fI\%dns64\-prefix\fP)
.UNINDENT
.SH "گزینه‌های DNSCRYPT (DNSCRYPT OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBdnscrypt:\fP هستند.
.sp
بخش \fBdnscrypt:\fP تنظیمات کانال dnscrypt را ارائه می‌دهد.
در حالی که این گزینه‌ها در دسترس هستند، تنها در صورتی معنادار هستند که Unbound با \fB\-\-enable\-dnscrypt\fP کامپایل شده باشد\&.
در حال حاضر گواهی و کلیدهای مخفی/عمومی نمی‌توانند توسط Unbound تولید شوند.
می‌توانید از dnscrypt\-wrapper برای تولید آن‌ها استفاده کنید:
\fI\%https://github.com/cofyc/dnscrypt\-wrapper/blob/master/README.md#usage\fP
.INDENT 0.0
.TP
.B dnscrypt\-enable: \fI<yes or no>\fP
اینکه آیا پیکربندی dnscrypt باید فعال باشد یا خیر.
می‌توانید پیکربندی را تعریف کنید اما آن را فعال نکنید.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dnscrypt\-port: \fI<port number>\fP
dnscrypt روی کدام درگاه باید فعال شود.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
باید یک گزینه interface منطبق در بخش
\fI\%server:\fP
برای این درگاه تعریف شده باشد.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B dnscrypt\-provider: \fI<provider name>\fP
نام ارائه‌دهنده مورد استفاده برای توزیع گواهی‌ها.
به این صورت است:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
2.dnscrypt\-cert.example.com.
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
\fBIMPORTANT:\fP
.INDENT 7.0
.INDENT 3.5
نام \fIMUST\fP باید با یک نقطه به پایان برسد.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B dnscrypt\-secret\-key: \fI<path to secret key file>\fP
مسیر پرونده کلید مخفی با محدودیت زمانی.
این گزینه می‌تواند چندین بار مشخص شود.
.UNINDENT
.INDENT 0.0
.TP
.B dnscrypt\-provider\-cert: \fI<path to cert file>\fP
مسیر گواهی مربوط به
\fI\%dnscrypt\-secret\-key\fP\&.
این گزینه می‌تواند چندین بار مشخص شود.
.UNINDENT
.INDENT 0.0
.TP
.B dnscrypt\-provider\-cert\-rotated: \fI<path to cert file>\fP
مسیر گواهی‌ای که باید بتوانیم اتصال موجود را از آن ارائه دهیم اما نمی‌خواهیم از طریق توزیع گواهی‌های رکورد TXT ارائه‌دهنده
\fI\%dnscrypt\-provider\fP
اعلام کنیم.
.sp
یک مورد کاربرد متداول هنگام چرخش گواهی‌ها است، کلاینت‌های موجود ممکن است همچنان از client magic گواهی قدیمی در پرس‌وجوهای خود استفاده کنند تا زمانی که گواهی جدید را واکشی و به‌روزرسانی نمایند.
به همین ترتیب، به فرد اجازه می‌دهد گواهی/کلید جدید را بدون توزیع گواهی جدید آماده کند؛ این می‌تواند هنگام استفاده از شبکه‌ای از سرورها با anycast که در آن‌ها پیکربندی ممکن است در یک زمان دقیقاً یکسان به‌روزرسانی نشود، مفید باشد.
.sp
با آماده‌سازی گواهی، سرورها می‌توانند ترافیک هر دو گواهی قدیمی و جدید را در حین توزیع تنها یکی مدیریت کنند.
.sp
این گزینه می‌تواند چندین بار مشخص شود.
.UNINDENT
.INDENT 0.0
.TP
.B dnscrypt\-shared\-secret\-cache\-size: \fI<memory size>\fP
اندازه ساختار داده‌ای که کلیدهای مخفی مشترک در آن نگهداری می‌شوند را مشخص می‌کند.
بر حسب بایت یا استفاده از m (مگا)، k (کیلو)، g (گیگا).
کش کلید مخفی مشترک زمانی استفاده می‌شود که یک کلاینت یکسان چندین پرس‌وجو را با استفاده از یک کلید عمومی یکسان انجام می‌دهد.
مقدار قابل توجهی از پردازنده را ذخیره می‌کند.
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B dnscrypt\-shared\-secret\-cache\-slabs: \fI<number>\fP
تعداد اسلب‌ها در کش کلیدهای مخفی مشترک dnscrypt.
اسلب‌ها رقابت قفل توسط نخ‌ها را کاهش می‌دهند.
باید روی توانی از 2 تنظیم شود.
تنظیم (نزدیک) به تعداد پردازنده‌ها تنظیم نسبتاً مناسبی است.
اگر بدون پیکربندی رها شود، در محیط‌های چندنخی به‌طور خودکار روی توانی از 2 نزدیک به تعداد نخ‌های پیکربندی‌شده تنظیم می‌شود.
.sp
پیش‌فرض: (پیکربندی‌نشده)
.UNINDENT
.INDENT 0.0
.TP
.B dnscrypt\-nonce\-cache\-size: \fI<memory size>\fP
اندازه ساختار داده‌ای که نانس‌های کلاینت در آن نگهداری می‌شوند را مشخص می‌کند.
بر حسب بایت یا استفاده از m (مگا)، k (کیلو)، g (گیگا).
کش نانس برای جلوگیری از بازپخش پیام‌های dnscrypt استفاده می‌شود.
نانس کلاینت برای هر جفت کلید عمومی کلاینت/کلید خصوصی سرور باید منحصر‌به‌فرد باشد.
.sp
پیش‌فرض: 4m
.UNINDENT
.INDENT 0.0
.TP
.B dnscrypt\-nonce\-cache\-slabs: \fI<number>\fP
تعداد اسلب‌ها در کش نانس dnscrypt.
اسلب‌ها رقابت قفل توسط نخ‌ها را کاهش می‌دهند.
باید روی توانی از 2 تنظیم شود.
تنظیم (نزدیک) به تعداد پردازنده‌ها تنظیم نسبتاً مناسبی است.
اگر بدون پیکربندی رها شود، در محیط‌های چندنخی به‌طور خودکار روی توانی از 2 نزدیک به تعداد نخ‌های پیکربندی‌شده تنظیم می‌شود.
.sp
پیش‌فرض: (پیکربندی‌نشده)
.UNINDENT
.SH "گزینه‌های ماژول زیرشبکه کلاینت EDNS (EDNS CLIENT SUBNET MODULE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBserver:\fP هستند.
.sp
ماژول ECS باید در دستورالعمل
\fI\%module\-config\fP
پیکربندی شود، برای نمونه:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
module\-config: \(dqsubnetcache validator iterator\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
و برای فعال بودن درون دیمون کامپایل شده باشد.
.sp
اگر آدرس مقصد در پیکربندی مجاز باشد، Unbound گزینه EDNS0 حاوی بخش مربوطه از آدرس کلاینت را به پرس‌وجو اضافه می‌کند.
هنگامی که پاسخی حاوی گزینه ECS باشد، پاسخ و گزینه در یک کش اختصاصی قرار می‌گیرند.
اگر مرجع عدم پشتیبانی را نشان دهد، پاسخ در کش معمولی ذخیره می‌شود.
.sp
علاوه بر این، هنگامی که یک کلاینت گزینه را در پرس‌وجوهای خود می‌گنجاند، Unbound هنگام ارسال پرس‌وجو به آدرس‌هایی که صراحتاً در پیکربندی با استفاده از
\fI\%send\-client\-subnet\fP
مجاز شده‌اند، این گزینه را فوروارد می‌کند.
این گزینه بدون توجه به آدرس‌های مجاز، زمانی که
\fI\%client\-subnet\-always\-forward: yes\fP
تنظیم شده باشد، همیشه فوروارد خواهد شد.
در این حالت جستجو در کش معمولی نادیده گرفته می‌شود.
.sp
حداکثر اندازه کش ECS توسط
\fI\%msg\-cache\-size\fP
در پرونده پیکربندی کنترل می‌شود.
علاوه بر آن، برای هر پرس‌وجو تنها ذخیره 100 زیرشبکه مختلف برای هر خانواده آدرس مجاز است.
با فراتر رفتن از این تعداد، ورودی‌های قدیمی‌تر از کش پاکسازی می‌شوند.
.sp
توجه داشته باشید که با توجه به ماهیت نحوه کار زیرشبکه کلاینت EDNS، از طریق جداسازی فضای IP کلاینت به منظور تلاش برای داشتن پاسخ‌های سفارشی‌شده برای پیشوندهایی با اندازه‌های نامشخص، عملکرد تفکیک و پاسخ‌دهی کش در نتیجه تحت تأثیر قرار می‌گیرد.
استفاده از ماژول subnetcache تنها باید در سامانه‌هایی فعال شود که به چنین قابلیتی نیاز دارند جایی که تحلیل‌کننده و کلاینت‌ها متعلق به شبکه‌های متفاوتی هستند.
نمونه‌ای از آن سامانه‌های تحلیل‌کننده باز است.
.sp
این ماژول با گزینه‌های
\fI\%serve\-expired*\fP
و
\fI\%prefetch\fP
تعاملی ندارد.
.INDENT 0.0
.TP
.B send\-client\-subnet: \fI<IP address>\fP
ارسال آدرس مبدأ کلاینت به این مرجع.
برای نشان دادن یک بلوک شبکه واگذاری بدون کلاس، num/ را الحاق کنید، به عنوان مثال مانند
\fB10.2.3.4/24\fP
یا
\fB2001::11/64\fP\&.
می‌تواند چندین بار مشخص شود.
مراجع فهرست‌نشده اطلاعات edns\-subnet را دریافت نخواهند کرد، مگر اینکه دامنه موجود در پرس‌وجو در
\fI\%client\-subnet\-zone\fP
مشخص شده باشد\&.
.UNINDENT
.INDENT 0.0
.TP
.B client\-subnet\-zone: \fI<domain>\fP
ارسال آدرس مبدأ کلاینت در پرس‌وجوها برای این دامنه و زیردامنه‌های آن.
می‌تواند چندین بار مشخص شود.
ناحیه‌های فهرست‌نشده اطلاعات edns\-subnet را دریافت نخواهند کرد، مگر اینکه توسط مرجع مشخص‌شده در
\fI\%send\-client\-subnet\fP
میزبانی شوند\&.
.UNINDENT
.INDENT 0.0
.TP
.B client\-subnet\-always\-forward: \fI<yes or no>\fP
مشخص می‌کند که آیا بررسی آدرس ECS (پیکربندی‌شده با استفاده از
\fI\%send\-client\-subnet\fP)
برای تمام پرس‌وجوها اعمال شود، حتی اگر پرس‌وجوی محرک حاوی یک رکورد ECS باشد، یا تنها برای پرس‌وجوهایی که رکورد ECS برای آن‌ها با استفاده از آدرس پرسشگر تولید شده است (و بنابراین حاوی داده‌های ECS در پرس‌وجوی کلاینت نبوده است).
در صورت فعال بودن، زمانی که پرس‌وجوی کلاینت حاوی یک رکورد ECS باشد از بررسی آدرس صرف‌نظر می‌شود.
و جستجو در کش معمولی نادیده گرفته می‌شود.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B max\-client\-subnet\-ipv6: \fI<number>\fP
حداکثر طول پیشوند آدرس مبدأ کلاینت که مایل به افشای آن برای اشخاص ثالث در IPv6 هستیم را مشخص می‌کند.
.sp
پیش‌فرض: 56
.UNINDENT
.INDENT 0.0
.TP
.B max\-client\-subnet\-ipv4: \fI<number>\fP
حداکثر طول پیشوند آدرس مبدأ کلاینت که مایل به افشای آن برای اشخاص ثالث در IPv4 هستیم را مشخص می‌کند.
.sp
پیش‌فرض: 24
.UNINDENT
.INDENT 0.0
.TP
.B min\-client\-subnet\-ipv6: \fI<number>\fP
حداقل طول پیشوند ماسک مبدأ IPv6 که مایل به پذیرش آن در پرس‌وجوها هستیم را مشخص می‌کند.
ماسک‌های مبدأ کوتاه‌تر منجر به پاسخ‌های REFUSED می‌شوند.
ماسک مبدأ 0 همیشه پذیرفته می‌شود.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B min\-client\-subnet\-ipv4: \fI<number>\fP
حداقل طول پیشوند ماسک مبدأ IPv4 که مایل به پذیرش آن در پرس‌وجوها هستیم را مشخص می‌کند.
ماسک‌های مبدأ کوتاه‌تر منجر به پاسخ‌های REFUSED می‌شوند.
ماسک مبدأ 0 همیشه پذیرفته می‌شود.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B max\-ecs\-tree\-size\-ipv4: \fI<number>\fP
حداکثر تعداد پاسخ‌های ECS زیرشبکه‌ها که در درخت رادیکس ECS نگهداری می‌شوند را مشخص می‌کند.
این عدد برای هر چندتایی qname/qclass/qtype اعمال می‌شود.
.sp
پیش‌فرض: 100
.UNINDENT
.INDENT 0.0
.TP
.B max\-ecs\-tree\-size\-ipv6: \fI<number>\fP
حداکثر تعداد پاسخ‌های ECS زیرشبکه‌ها که در درخت رادیکس ECS نگهداری می‌شوند را مشخص می‌کند.
این عدد برای هر چندتایی qname/qclass/qtype اعمال می‌شود.
.sp
پیش‌فرض: 100
.UNINDENT
.SH "گزینه‌های ماژول پشتیبانی از IPSEC فرصت‌طلبانه (OPPORTUNISTIC IPSEC SUPPORT MODULE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBserver:\fP هستند.
.sp
ماژول IPsec باید در دستورالعمل
\fI\%module\-config\fP
پیکربندی شود، برای نمونه:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
module\-config: \(dqipsecmod validator iterator\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
و برای فعال بودن با استفاده از \fB\-\-enable\-ipsecmod\fP در Unbound کامپایل شده باشد.
.sp
هنگامی که Unbound یک پرس‌وجوی A/AAAA را دریافت می‌کند که در کش نیست و پاسخ معتبری پیدا می‌کند، از بازگرداندن پاسخ خودداری کرده و در عوض یک زیرپرس‌وجوی IPSECKEY برای همان نام دامنه تولید می‌کند.
اگر پاسخی پیدا شد، Unbound یک قلاب خارجی را با انتقال آرگومان‌های زیر فراخوانی می‌کند:
.INDENT 0.0
.TP
.B QNAME
نام دامنه پرس‌وجوی A/AAAA و IPSECKEY.
در قالب رشته.
.TP
.B IPSECKEY TTL
مقدار TTL مجموعه رکورد IPSECKEY.
.TP
.B A/AAAA
رشته‌ای از آدرس‌های IP جداشده با فاصله موجود در مجموعه رکورد A/AAAA.
آدرس‌های IP در قالب رشته هستند.
.TP
.B IPSECKEY
رشته‌ای از RDATAهای IPSECKEY جداشده با فاصله موجود در مجموعه رکورد IPSECKEY.
داده‌های RDATA مربوط به IPSECKEY در قالب نمایش DNS هستند.
.UNINDENT
.sp
سپس پاسخ A/AAAA کش شده و به کلاینت بازگردانده می‌شود.
اگر قلاب خارجی فراخوانی شده باشد، TTL تغییر می‌کند تا اطمینان حاصل شود از
\fI\%ipsecmod\-max\-ttl\fP
فراتر نمی‌رود\&.
.sp
همین رویه زمانی که
\fI\%prefetch: yes\fP
تنظیم شده باشد نیز دنبال می‌شود، اما پاسخ A/AAAA پیش از فراخوانی قلاب به کلاینت داده می‌شود.
گزینه
\fI\%ipsecmod\-max\-ttl\fP
تضمین می‌کند که پاسخ A/AAAA ارائه‌شده از کش همچنان برای IPsec فرصت‌طلبانه مناسب است.
.INDENT 0.0
.TP
.B ipsecmod\-enabled: \fI<yes or no>\fP
مشخص می‌کند که آیا ماژول IPsec فعال است یا خیر.
ماژول IPsec همچنان باید در دستورالعمل
\fI\%module\-config\fP
تعریف شود.
این گزینه روشن/خاموش کردن ماژول را بدون راه‌اندازی مجدد/بارگذاری مجدد Unbound تسهیل می‌کند.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B ipsecmod\-hook: \fI<filename>\fP
قلاب خارجی را مشخص می‌کند که Unbound با
\fIsystem(3)\fP
فراخوانی خواهد کرد\&.
پرونده می‌تواند به عنوان یک مسیر مطلق/نسبی مشخص شود.
پرونده برای اینکه بتواند توسط همان کاربری که Unbound را اجرا می‌کند اجرا شود به مجوزهای مناسب نیاز دارد.
زمانی که ماژول IPsec در دستورالعمل
\fI\%module\-config\fP
تعریف شده باشد باید وجود داشته باشد.
.UNINDENT
.INDENT 0.0
.TP
.B ipsecmod\-strict: \fI<yes or no>\fP
در صورت فعال بودن، Unbound نیازمند آن است که قلاب خارجی مقدار موفقیت 0 را برگرداند.
در صورت عدم موفقیت، Unbound با SERVFAIL پاسخ خواهد داد.
پاسخ A/AAAA نیز کش نخواهد شد.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B ipsecmod\-max\-ttl: \fI<seconds>\fP
حداکثر زمان بقا برای رکوردهای کش‌شده A/AAAA پس از فراخوانی قلاب خارجی.
.sp
پیش‌فرض: 3600
.UNINDENT
.INDENT 0.0
.TP
.B ipsecmod\-ignore\-bogus: \fI<yes or no>\fP
رفتار Unbound را هنگامی که پاسخ IPSECKEY جعلی است مشخص می‌کند.
اگر روی yes تنظیم شود، قلاب فراخوانی می‌شود و پاسخ A/AAAA به کلاینت بازگردانده خواهد شد.
اگر روی no تنظیم شود، قلاب فراخوانی نمی‌شود و پاسخ به پرس‌وجوی A/AAAA خطای SERVFAIL خواهد بود.
عمدتاً برای آزمایش استفاده می‌شود.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B ipsecmod\-allow: \fI<domain>\fP
قابلیت ماژول IPsec را برای دامنه مجاز می‌کند تا منطق ماژول اجرا شود.
می‌تواند چندین بار، برای دامنه‌های مختلف مشخص شود.
اگر گزینه مشخص نشود، با تمام دامنه‌ها به عنوان مجاز برخورد می‌شود (پیش‌فرض).
.UNINDENT
.INDENT 0.0
.TP
.B ipsecmod\-whitelist: \fI<domain>\fP
نحو جایگزین برای
\fI\%ipsecmod\-allow\fP\&.
.UNINDENT
.SH "گزینه‌های ماژول پایگاه‌داده کش (CACHE DB MODULE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBcachedb:\fP هستند.
.sp
ماژول Cache DB باید در دستورالعمل
\fI\%module\-config\fP
پیکربندی شود، برای نمونه:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
module\-config: \(dqvalidator cachedb iterator\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
و با \fB\-\-enable\-cachedb\fP درون دیمون کامپایل شده باشد\&.
.sp
اگر این ماژول فعال و پیکربندی شده باشد، پایگاه‌داده بک‌اند مشخص‌شده به عنوان یک کش سطح دوم عمل می‌کند؛ هنگامی که Unbound نتواند پاسخی برای یک پرس‌وجو در کش درون‌حافظه‌ای توکار خود بیابد، با بک‌اند مشخص‌شده مشورت می‌کند.
اگر پاسخ معتبری در بک‌اند بیابد، Unbound از آن برای پاسخ به پرس‌وجو بدون انجام تفکیک بازگشتی DNS استفاده می‌کند.
اگر Unbound حتی پاسخی در بک‌اند پیدا نکند، پرس‌وجو را مانند معمول تفکیک کرده و پاسخ را در بک‌اند ذخیره می‌کند.
.sp
این ماژول با گزینه‌های \fIserve\-expired\-*\fP تعامل دارد و اگر Unbound برای آن پیکربندی شده باشد، با داده‌های منقضی‌شده پاسخ خواهد داد.
.sp
اگر Unbound با \fB\-\-with\-libhiredis\fP روی سیستمی ساخته شده باشد که کتابخانه کلاینت C ردیس به نام hiredis را نصب کرده است، می‌توان از بک‌اند \fBredis\fP استفاده کرد.
این بک‌اند با سرور Redis مشخص‌شده روی یک اتصال TCP ارتباط برقرار می‌کند تا داده‌های کش را ذخیره و بازیابی کند.
می‌تواند به عنوان یک بک‌اند کش ماندگار و/یا مشترک استفاده شود.
.sp
\fBNOTE:\fP
.INDENT 0.0
.INDENT 3.5
Unbound هرگز داده‌های ذخیره‌شده در سرور Redis را حذف نمی‌کند، حتی اگر برخی از داده‌ها از نظر TTL DNS منقضی شده باشند یا سرور Redis داده‌های بسیار زیادی کش کرده باشد؛ در صورت لزوم سرور Redis باید برای محدود کردن اندازه کش پیکربندی شود، ترجیحاً با نوعی سیاست تخلیه بر مبنای کمترین استفاده اخیر (LRU).
.UNINDENT
.UNINDENT
.sp
علاوه بر این، گزینه
\fI\%redis\-expire\-records\fP
می‌تواند برای تنظیم TTL نسبی DNS پیام به عنوان مهلت زمانی رکوردهای Redis استفاده شود؛ به خاطر داشته باشید که مقداری حافظه اضافی به ازای هر کلید استفاده می‌شود و اطلاعات انقضا به عنوان برچسب‌های زمانی مطلق یونیکس در Redis ذخیره می‌شوند (زمان رایانه باید پایدار باشد).
.sp
این بک‌اند از ارتباط همگام با سرور Redis بر اساس این فرض استفاده می‌کند که ارتباط پایدار و به اندازه کافی سریع است.
نخی که منتظر پاسخ از سرور Redis است نمی‌تواند پرس‌وجوهای دیگر DNS را مدیریت کند.
اگرچه بک‌اند این قابلیت را دارد که در صورت بسته شدن غیرمنتظره اتصال دوباره به سرور متصل شود و یک مهلت زمانی قابل پیکربندی برای مواقعی که سرور بیش از حد کند است یا قفل می‌کند وجود دارد، این موارد بسیار نادر فرض می‌شوند.
اگر بسته شدن اتصال یا انقضای مهلت زمانی بیش از حد رخ دهد، Unbound با این بک‌اند عملاً غیرقابل استفاده خواهد شد.
این مسئولیت مدیر سیستم است که این فرض برقرار بماند.
.sp
بخش \fBcachedb:\fP تنظیمات سفارشی ماژول cache DB را ارائه می‌دهد.
.INDENT 0.0
.TP
.B backend: \fI<backend name>\fP
نام پایگاه‌داده بک‌اند را مشخص می‌کند.
پایگاه‌داده پیش‌فرض بک‌اند درون‌حافظه‌ای به نام \fBtestframe\fP است که همان‌طور که از نامش پیداست کاربرد عملی ندارد.
بسته به پیکربندی زمان ساخت، بک‌اند \fBredis\fP نیز ممکن است همان‌طور که در بالا توضیح داده شد استفاده شود.
.sp
پیش‌فرض: testframe
.UNINDENT
.INDENT 0.0
.TP
.B secret\-seed: \fI\(dq<secret string>\(dq\fP
یک دانه را برای محاسبه مقدار هش از اطلاعات پرس‌وجو مشخص می‌کند.
این مقدار به عنوان کلید پاسخ متناظر برای پایگاه‌داده بک‌اند استفاده خواهد شد و در صورتی که هش نباید از نظر عملیاتی قابل پیش‌بینی باشد می‌تواند سفارشی شود.
اگر پایگاه‌داده بک‌اند توسط چندین نمونه Unbound به اشتراک گذاشته شده باشد، تمام نمونه‌ها باید از همان دانه مخفی یکسان استفاده کنند.
.sp
پیش‌فرض: \(dqdefault\(dq
.UNINDENT
.INDENT 0.0
.TP
.B cachedb\-no\-store: \fI<yes or no>\fP
اگر باید از بک‌اند خوانده شود، اما در آن نوشته نشود.
این باعث می‌شود این نمونه پیام‌های dns را در بک‌اند ذخیره نکند.
اما اگر داده در دسترس باشد بازیابی می‌شود.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B cachedb\-check\-when\-serve\-expired: \fI<yes or no>\fP
در صورت فعال بودن، پایگاه‌داده cachedb پیش از بازگرداندن پاسخ منقضی‌شده بررسی می‌شود.
هنگامی که
\fI\%serve\-expired\fP
بدون
\fI\%serve\-expired\-client\-timeout\fP
فعال باشد، بلافاصله با یک پاسخ منقضی‌شده از کش پاسخ نمی‌دهد، بلکه ابتدا cachedb را برای محتویات معتبر بررسی می‌کند و در این صورت آن را برمی‌گرداند.
اگر cachedb نیز محتوای معتبری نداشته باشد، پاسخ منقضی‌شده ارسال می‌شود.
اگر
\fI\%serve\-expired\-client\-timeout\fP
نیز فعال باشد، پاسخ منقضی‌شده تا زمان به پایان رسیدن مهلت زمانی به تأخیر می‌افتد.
مگر اینکه جستجو در طول مهلت زمانی به نتیجه برسد.
.sp
پیش‌فرض: yes
.UNINDENT
.sp
گزینه‌های زیر در \fBcachedb:\fP ویژه بک‌اند \fBredis\fP هستند.
.INDENT 0.0
.TP
.B redis\-server\-host: \fI<server address or name>\fP
آدرس IP (چه v6 یا v4) یا نام دامنه سرور Redis.
به طور کلی یک آدرس IP باید مشخص شود زیرا در غیر این صورت Unbound باید هر بار که اتصالی به سرور برقرار می‌کند نام سرور را تفکیک نماید.
.sp
پیش‌فرض: 127.0.0.1
.UNINDENT
.INDENT 0.0
.TP
.B redis\-server\-port: \fI<port number>\fP
شماره درگاه TCP سرور Redis.
.sp
پیش‌فرض: 6379
.UNINDENT
.INDENT 0.0
.TP
.B redis\-server\-path: \fI<unix socket path>\fP
مسیر سوکت یونیکس برای اتصال به سرور Redis.
سوکت‌های یونیکس ممکن است بازدهی بهتری نسبت به گزینه آدرس IP داشته باشند.
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B redis\-server\-password: \fI\(dq<password>\(dq\fP
گذرواژه AUTH ردیس برای استفاده در سرور Redis.
تنها در صورتی مرتبط است که Redis برای مجوز گذرواژه کلاینت پیکربندی شده باشد.
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B redis\-timeout: \fI<msec>\fP
مدت زمانی که Unbound منتظر پاسخ از سرور Redis می‌ماند.
اگر این مهلت زمانی منقضی شود، Unbound اتصال را می‌بندد، با آن طوری برخورد می‌کند که گویی سرور Redis داده‌های درخواستی را ندارد، و بعداً تلاش خواهد کرد اتصال جدیدی برقرار کند.
.sp
پیش‌فرض: 100
.UNINDENT
.INDENT 0.0
.TP
.B redis\-command\-timeout: \fI<msec>\fP
مهلت زمانی برای دستورات Redis، بر حسب میلی‌ثانیه.
اگر \fB0\fP باشد، از مقدار
\fI\%redis\-timeout\fP
استفاده می‌کند.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B redis\-connect\-timeout: \fI<msec>\fP
مهلت زمانی برای راه‌اندازی اتصال Redis، بر حسب میلی‌ثانیه.
اگر \fB0\fP باشد، از مقدار
\fI\%redis\-timeout\fP
استفاده می‌کند.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B redis\-expire\-records: \fI<yes or no>\fP
آیا انقضای رکوردهای Redis فعال است یا خیر.
در صورت انتخاب yes، سرور Unbound مهلت زمانی را برای رکوردهای Redis تنظیم می‌کند تا Redis بتواند کلیدهایی را که منقضی شده‌اند به طور خودکار تخلیه کند.
اگر Unbound با
\fI\%serve\-expired\fP
و
\fI\%serve\-expired\-ttl: 0\fP
پیکربندی شده باشد، این گزینه در داخل به \(dqno\(dq بازگردانده می‌شود.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
پشتیبانی از دستور \(dqSET ... EX\(dq در Redis برای این گزینه الزامی است (Redis >= 2.6.12).
.UNINDENT
.UNINDENT
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B redis\-logical\-db: \fI<logical database index>\fP
پایگاه‌داده منطقی در Redis برای استفاده.
این‌ها پایگاه‌های داده در همان نمونه Redis هستند که پیکربندی یکسانی را به اشتراک گذاشته و در همان پرونده RDB/AOF ماندگار می‌شوند.
در صورت تردید در استفاده از این گزینه، مستندات Redis پیشنهاد می‌کند از یک نمونه واحد Redis برای چندین برنامه نامرتبط استفاده نکنید
(\fI\%https://redis.io/commands/select\fP).
پایگاه‌داده پیش‌فرض در Redis برابر با 0 است در حالی که سایر پایگاه‌های داده منطقی پس از اتصال باید صراحتاً با دستور SELECT انتخاب شوند.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B redis\-replica\-server\-host: \fI<server address or name>\fP
آدرس IP (چه v6 یا v4) یا نام دامنه سرور Redis.
به طور کلی یک آدرس IP باید مشخص شود زیرا در غیر این صورت Unbound باید هر بار که اتصالی به سرور برقرار می‌کند نام سرور را تفکیک نماید.
.sp
با این سرور به عنوان یک سرور رونوشت فقط‌خواندنی برخورد می‌شود
(\fI\%https://redis.io/docs/management/replication/#read\-only\-replica\fP).
در صورت مشخص شدن، تمام دستورات خواندن Redis به این سرور رونوشت ارسال می‌شوند، در حالی که دستورات نوشتن به
\fI\%redis\-server\-host\fP
ارسال خواهند شد\&.
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B redis\-replica\-server\-port: \fI<port number>\fP
شماره درگاه TCP سرور رونوشت Redis.
.sp
پیش‌فرض: 6379
.UNINDENT
.INDENT 0.0
.TP
.B redis\-replica\-server\-path: \fI<unix socket path>\fP
مسیر سوکت یونیکس برای اتصال به سرور رونوشت Redis.
سوکت‌های یونیکس ممکن است بازدهی بهتری نسبت به گزینه آدرس IP داشته باشند.
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B redis\-replica\-server\-password: \fI\(dq<password>\(dq\fP
گذرواژه AUTH ردیس برای استفاده در سرور Redis.
تنها در صورتی مرتبط است که Redis برای مجوز گذرواژه کلاینت پیکربندی شده باشد.
.sp
پیش‌فرض: \(dq\(dq (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B redis\-replica\-timeout: \fI<msec>\fP
مدت زمانی که Unbound منتظر پاسخ از سرور رونوشت Redis می‌ماند.
اگر این مهلت زمانی منقضی شود، Unbound اتصال را می‌بندد، با آن طوری برخورد می‌کند که گویی سرور Redis داده‌های درخواستی را ندارد، و بعداً تلاش خواهد کرد اتصال جدیدی برقرار کند.
.sp
پیش‌فرض: 100
.UNINDENT
.INDENT 0.0
.TP
.B redis\-replica\-command\-timeout: \fI<msec>\fP
مهلت زمانی برای دستورات رونوشت Redis، بر حسب میلی‌ثانیه.
اگر \fB0\fP باشد، از مقدار
\fI\%redis\-replica\-timeout\fP
استفاده می‌کند.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B redis\-replica\-connect\-timeout: \fI<msec>\fP
مهلت زمانی برای راه‌اندازی اتصال رونوشت Redis، بر حسب میلی‌ثانیه.
اگر \fB0\fP باشد، از مقدار
\fI\%redis\-replica\-timeout\fP
استفاده می‌کند.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B redis\-replica\-logical\-db: \fI<logical database index>\fP
مشابه
\fI\%redis\-logical\-db\fP
اما برای سرور رونوشت Redis.
.sp
پیش‌فرض: 0
.UNINDENT
.SH "گزینه‌های DNSTAP (DNSTAP OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBdnstap:\fP هستند.
.sp
قابلیت DNSTAP یک قالب لاگ دودویی انعطاف‌پذیر و ساختاریافته برای نرم‌افزارهای DNS است.
هنگامی که با استفاده از \fB\-\-enable\-dnstap\fP کامپایل شده باشد، می‌تواند در بخش \fBdnstap:\fP فعال شود.
این کار یک نخ اضافی را آغاز می‌کند (هنگامی که با پشتیبانی از ریسه‌بندی کامپایل شده باشد) که اطلاعات لاگ را در مقصد می‌نویسد.
اگر Unbound بدون پشتیبانی از ریسه‌بندی کامپایل شده باشد نخی ایجاد نمی‌کند، بلکه به ازای هر پردازش به مقصد متصل می‌شود.
.INDENT 0.0
.TP
.B dnstap\-enable: \fI<yes or no>\fP
اینکه آیا dnstap فعال است یا خیر.
در صورت انتخاب yes، به سرور DNSTAP متصل می‌شود و اگر هر یک از گزینه‌های
\fIdnstap\-log\-..\-messages:\fP
فعال باشد، لاگ‌های مربوط به آن پیام‌ها را به سرور ارسال می‌کند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-bidirectional: \fI<yes or no>\fP
استفاده از جریان‌های فریم در حالت دوطرفه برای انتقال پیام‌های DNSTAP.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-socket\-path: \fI<file name>\fP
نام پرونده سوکت یونیکس را برای اتصال به سروری که به آن سوکت گوش می‌دهد تنظیم می‌کند.
.sp
پیش‌فرض: /etc/unbound/dnstap.sock
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-ip: \fI<IPaddress[@port]>\fP
اگر \fB\(dq\(dq\fP باشد، از سوکت یونیکس استفاده می‌شود؛ اگر با یک آدرس IP (چه IPv4 یا IPv6) تنظیم شود، از آن آدرس برای اتصال به سرور استفاده می‌گردد.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-tls: \fI<yes or no>\fP
این گزینه را برای استفاده از TLS جهت اتصال به سرور مشخص‌شده در
\fI\%dnstap\-ip\fP
تنظیم کنید\&.
اگر روی no تنظیم شود، از TCP برای اتصال به سرور استفاده خواهد شد.
.sp
پیش‌فرض: yes
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-tls\-server\-name: \fI<name of TLS authentication>\fP
نام سرور TLS برای احراز هویت سرور.
هنگامی که
\fI\%dnstap\-tls: yes\fP
تنظیم شده باشد استفاده می‌شود.
اگر \fB\(dq\(dq\fP باشد نادیده گرفته می‌شود.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-tls\-cert\-bundle: \fI<file name of cert bundle>\fP
پرونده pem حاوی گواهی‌ها برای تأیید گواهی سرور TLS.
اگر \fB\(dq\(dq\fP باشد از بسته گواهی پیش‌فرض سرور یا بسته گواهی ویندوز در ویندوز استفاده می‌شود.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-tls\-client\-key\-file: \fI<file name>\fP
پرونده کلید کلاینت برای احراز هویت کلاینت TLS.
اگر \fB\(dq\(dq\fP باشد از احراز هویت کلاینت استفاده نمی‌شود.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-tls\-client\-cert\-file: \fI<file name>\fP
پرونده گواهی کلاینت برای احراز هویت کلاینت TLS.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-send\-identity: \fI<yes or no>\fP
در صورت فعال بودن، هویت سرور در پیام‌های لاگ گنجانده می‌شود.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-send\-version: \fI<yes or no>\fP
در صورت فعال بودن، نسخه سرور در پیام‌های لاگ گنجانده می‌شود.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-identity: \fI<string>\fP
هویتی که با پیام‌ها ارسال می‌شود؛ اگر \fB\(dq\(dq\fP باشد از نام میزبان استفاده می‌شود.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-version: \fI<string>\fP
نسخه‌ای که با پیام‌ها ارسال می‌شود؛ اگر \fB\(dq\(dq\fP باشد از نسخه بسته استفاده می‌شود.
.sp
پیش‌فرض: \(dq\(dq
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-sample\-rate: \fI<number>\fP
نرخ نمونه‌برداری برای لاگ پیام‌ها؛ تنها 1/N پیام‌ها را لاگ می‌کند.
با مقدار 0 غیرفعال می‌شود.
این مورد در محیط‌های با حجم ترافیک بالا مفید است، جایی که قابلیت ثبت لاگ در غیر این صورت قابل اعتماد نخواهد بود.
برای مثال، مقدار 10 تنها 1/10 زمان را صرف ثبت لاگ می‌کند، و مقدار 100 تنها یک صدم زمان را صرف ثبت لاگ خواهد کرد.
.sp
پیش‌فرض: 0 (غیرفعال)
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-log\-resolver\-query\-messages: \fI<yes or no>\fP
فعال‌سازی برای ثبت لاگ پیام‌های پرس‌وجوی تحلیل‌کننده.
این‌ها پیام‌هایی از Unbound به سرورهای بالادست هستند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-log\-resolver\-response\-messages: \fI<yes or no>\fP
فعال‌سازی برای ثبت لاگ پیام‌های پاسخ تحلیل‌کننده.
این‌ها پاسخ‌هایی از سرورهای بالادست به Unbound هستند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-log\-client\-query\-messages: \fI<yes or no>\fP
فعال‌سازی برای ثبت لاگ پیام‌های پرس‌وجوی کلاینت.
این‌ها پرس‌وجوهای کلاینت به Unbound هستند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-log\-client\-response\-messages: \fI<yes or no>\fP
فعال‌سازی برای ثبت لاگ پیام‌های پاسخ کلاینت.
این‌ها پاسخ‌هایی از Unbound به کلاینت‌ها هستند.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-log\-forwarder\-query\-messages: \fI<yes or no>\fP
فعال‌سازی برای ثبت لاگ پیام‌های پرس‌وجوی فورواردر.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B dnstap\-log\-forwarder\-response\-messages: \fI<yes or no>\fP
فعال‌سازی برای ثبت لاگ پیام‌های پاسخ فورواردر.
.sp
پیش‌فرض: no
.UNINDENT
.SH "گزینه‌های ناحیه خط‌مشی پاسخ (RESPONSE POLICY ZONE OPTIONS)"
.sp
این گزینه‌ها بخشی از بخش \fBrpz:\fP هستند.
.sp
ناحیه‌های خط‌مشی پاسخ با بندهای بخش \fBrpz:\fP پیکربندی می‌شوند، و هر کدام باید یک گزینه
\fI\%name\fP
داشته باشند.
می‌توان چندین مورد با فهرست کردن چندین بند بخش \fBrpz:\fP، هر کدام با نامی متفاوت، تعریف کرد.
بخش‌های RPZ به ترتیب پیکربندی اعمال می‌شوند و هرگونه تطابق از یک ناحیه قبلی RPZ به جستجوی RPZ پایان می‌دهد.
توجه داشته باشید که اقدام PASSTHRU همچنان یک تطابق محسوب می‌شود.
.sp
ماژول respip باید به
\fI\%module\-config\fP
اضافه شود، برای نمونه:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
module\-config: \(dqrespip validator iterator\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
\fBNOTE:\fP
.INDENT 0.0
.INDENT 3.5
در صورت ترکیب ماژول‌های \fBrespip\fP و \fBdns64\fP، ماژول \fBrespip\fP باید پیش از ماژول \fBdns64\fP در گزینه پیکربندی
\fI\%module\-config\fP
ظاهر شود تا فیدهای IP پاسخ و/یا RPZ بتوانند صرف‌نظر از سنتز DNS64، پاسخ‌ها را به درستی فیلتر کنند.
.UNINDENT
.UNINDENT
.sp
محرک‌های QNAME، آدرس IP پاسخ، nsdname، nsip و clientip پشتیبانی می‌شوند.
اقدامات پشتیبانی‌شده عبارتند از: NXDOMAIN، NODATA، PASSTHRU، DROP، داده‌های محلی، tcp\-only و drop.
محرک‌های QNAME در RPZ پس از هر
\fI\%local\-zone\fP
و پیش از هر
\fI\%auth\-zone\fP
اعمال می‌شوند\&.
.sp
ناحیه RPZ یک ناحیه معمولی DNS است که مانند معمول با رکورد شروع SOA قالب‌بندی شده است.
عناصر موجود در ناحیه ورودی‌هایی هستند که مشخص می‌کنند روی چه چیزی اقدام شود (محرک) و چه کاری انجام گیرد (اقدام).
محرکی که باید روی آن اقدام شود در نام ثبت می‌شود، اقدامی که باید انجام شود به عنوان رکورد منبع ثبت می‌گردد.
نام‌ها همگی به نام ناحیه ختم می‌شوند، بنابراین می‌توانید نام‌های محرک را بدون نقطه پایانی در zonefile بنویسید.
.sp
یک نمونه رکورد RPZ، که به \fBexample.com\fP با \fBNXDOMAIN\fP پاسخ می‌دهد:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
example.com CNAME .
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
محرک‌ها در نام در سمت چپ کدگذاری می‌شوند:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
name                          query name
netblock.rpz\-client\-ip        client IP address
netblock.rpz\-ip               response IP address in the answer
name.rpz\-nsdname              nameserver name
netblock.rpz\-nsip             nameserver IP address
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
بلوک شبکه به صورت \fB<netblocklen>.<ip address in reverse>\fP نوشته می‌شود\&.
برای IPv6 از \fB\(aqzz\(aq\fP برای \fB\(aq::\(aq\fP استفاده کنید\&.
آدرس‌های تکی را با طول محدوده 32 یا 128 مشخص کنید.
برای مثال، \fB24.10.100.51.198.rpz\-ip\fP همان \fB198.51.100.10/24\fP است و
\fB32.10.zz.db8.2001.rpz\-ip\fP همان \fB2001:db8:0:0:0:0:0:10/32\fP است\&.
.sp
اقدامات با رکورد در سمت راست مشخص می‌شوند:
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
CNAME .                      nxdomain reply
CNAME *.                     nodata reply
CNAME rpz\-passthru.          do nothing, allow to continue
CNAME rpz\-drop.              the query is dropped
CNAME rpz\-tcp\-only.          answer over TCP
A 192.0.2.1                  answer with this IP address
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
سایر رکوردها مانند AAAA، TXT و CNAMEهای دیگر (به جز rpz-..) نیز می‌توانند برای پاسخ دادن به پرس‌وجوها با آن محتوا استفاده شوند.
.INDENT 0.0
.TP
.B name: \fI<zone name>\fP
نام ناحیه مرجع.
.UNINDENT
.INDENT 0.0
.TP
.B primary: \fI<IP address or host name>\fP
محل بارگیری یک رونوشت از ناحیه از آن، با AXFR و IXFR.
می‌توان چندین سرور اصلی را مشخص کرد.
اگر یکی با شکست مواجه شود، همه آن‌ها امتحان می‌شوند.
.sp
برای استفاده از یک درگاه غیرپیش‌فرض برای ارتباط DNS، علامت \fB\(aq@\(aq\fP را همراه با شماره درگاه الحاق کنید.
.sp
می‌توانید یک \fB\(aq#\(aq\fP و یک نام الحاق کنید، سپس AXFR روی TLS می‌تواند استفاده شود و گواهی‌های احراز هویت TLS با آن نام بررسی خواهند شد.
.sp
اگر \fB\(aq@\(aq\fP و \fB\(aq#\(aq\fP را ترکیب کنید، \fB\(aq@\(aq\fP اول می‌آید.
اگر آن را به یک نمونه دیگر Unbound نشانه روید، کار نخواهد کرد زیرا از AXFR/IXFR برای ناحیه پشتیبانی نمی‌کند، اما اگر از
\fI\%url\fP
برای دانلود zonefile به عنوان یک پرونده متنی از یک وب‌سرور استفاده کنید کار خواهد کرد.
.sp
اگر نام میزبان را مشخص کنید، نمی‌توانید از دامنه موجود در zonefile استفاده کنید، زیرا ممکن است هنگام بازیابی آن داده‌ها آن را نداشته باشد؛ در عوض از یک آدرس IP ساده برای اجتناب از وابستگی دوری در بازیابی آن آدرس IP استفاده کنید.
.sp
پس از هر چند انتقال IXFR، یک AXFR کامل انجام می‌شود.
این کار برای تجمیع حافظه rpz است که در غیر این صورت افزایش می‌یابد.
مقدار ثابت پس از 5 انتقال IXFR است.
.UNINDENT
.INDENT 0.0
.TP
.B master: \fI<IP address or host name>\fP
نحو جایگزین برای
\fI\%primary\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B url: \fI<url to zonefile>\fP
محل دانلود یک پرونده ناحیه برای ناحیه.
با HTTP یا HTTPS.
یک نمونه برای url:
.INDENT 7.0
.INDENT 3.5
.sp
.nf
.ft C
http://www.example.com/example.org.zone
.ft P
.fi
.UNINDENT
.UNINDENT
.sp
می‌توان چندین عبارت url داد، آن‌ها به نوبت امتحان می‌شوند.
.sp
اگر فقط urlها داده شوند از تایمر تازه‌سازی SOA برای انتظار جهت انجام دانلودهای جدید استفاده می‌شود.
اگر سرورهای اصلی نیز فهرست شده باشند، سرورهای اصلی ابتدا با پرس‌وجوهای UDP SOA بررسی می‌شوند تا مشخص شود آیا شماره سریال SOA تغییر کرده است یا خیر، که تعداد دانلودها را کاهش می‌دهد.
اگر هیچ‌یک از URLها کار نکنند، سرورهای اصلی با IXFR و AXFR امتحان می‌شوند.
.sp
برای HTTPS، از
\fI\%tls\-cert\-bundle\fP
و نام میزبان برگرفته از url برای احراز هویت اتصال استفاده می‌شود.
.UNINDENT
.INDENT 0.0
.TP
.B allow\-notify: \fI<IP address or host name or netblockIP/prefix>\fP
با
\fI\%allow\-notify\fP
می‌توانید منابع اضافی اعلام‌ها را مشخص کنید.
هنگام دریافت اعلام، سرور ابتدا تلاش می‌کند پروب انجام دهد و سپس انتقال ناحیه را اجرا کند.
اگر اعلام از یک سرور اصلی باشد، ابتدا آن سرور اصلی را امتحان می‌کند.
در غیر این صورت سرورهای اصلی دیگر امتحان می‌شوند.
اگر هیچ سرور اصلی وجود نداشته باشد، اما فقط urlها باشند، پرونده هنگام دریافت اعلام دانلود می‌شود.
.sp
\fBNOTE:\fP
.INDENT 7.0
.INDENT 3.5
سرورهای اصلی از عبارت‌های
\fI\%primary\fP
و
\fI\%url\fP
به طور پیش‌فرض مجاز به اعلام هستند.
.UNINDENT
.UNINDENT
.UNINDENT
.INDENT 0.0
.TP
.B zonefile: \fI<filename>\fP
نام پرونده‌ای که ناحیه در آن ذخیره می‌شود.
اگر داده نشود هیچ پرونده ناحیه‌ای استفاده نمی‌شود.
اگر پرونده وجود نداشته باشد یا خالی باشد، Unbound تلاش خواهد کرد داده‌های ناحیه را واکشی کند (مثلاً از سرورهای اصلی).
.UNINDENT
.INDENT 0.0
.TP
.B rpz\-action\-override: \fI<action>\fP
همیشه از این اقدام RPZ برای تطابق با محرک‌های این ناحیه استفاده شود.
اقدامات ممکن عبارتند از:
\fInxdomain\fP،
\fInodata\fP،
\fIpassthru\fP،
\fIdrop\fP،
\fIdisabled\fP
و
\fIcname\fP\&.
.UNINDENT
.INDENT 0.0
.TP
.B rpz\-cname\-override: \fI<domain>\fP
دامنه مقصد CNAME برای استفاده در صورتی که اقدام cname برای
\fI\%rpz\-action\-override\fP
پیکربندی شده باشد\&.
.UNINDENT
.INDENT 0.0
.TP
.B rpz\-log: \fI<yes or no>\fP
ثبت لاگ تمام اقدامات اعمال‌شده RPZ برای این ناحیه RPZ.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B rpz\-log\-name: \fI<name>\fP
رشته‌ای را برای قرار گرفتن به عنوان بخشی از خط لاگ جهت ارجاع آسان مشخص کنید.
.UNINDENT
.INDENT 0.0
.TP
.B rpz\-signal\-nxdomain\-ra: \fI<yes or no>\fP
علامت‌گذاری هنگام مسدود شدن یک پرس‌وجو توسط RPZ با NXDOMAIN و فلگ تنظیم‌نشده RA.
این به کلاینت‌های خاصی مانند dnsmasq اجازه می‌دهد استنباط کنند که دامنه از خارج مسدود شده است.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B for\-downstream: \fI<yes or no>\fP
در صورت فعال بودن، به ناحیه به صورت معتبر پاسخ داده می‌شود و به پرس‌وجوها برای اطلاعات ناحیه RPZ به کلاینت‌های پایین‌دست پاسخ داده خواهد شد.
این برای اسکریپت‌های مانیتورینگ مفید است که می‌توانند به اطلاعات SOA دسترسی داشته باشند تا بررسی کنند آیا اطلاعات RPZ به‌روز است یا خیر.
.sp
پیش‌فرض: no
.UNINDENT
.INDENT 0.0
.TP
.B tags: \fI\(dq<list of tags>\(dq\fP
محدود کردن خط‌مشی‌های این بخش RPZ به کلاینت‌هایی با یک برچسب منطبق.
.sp
برچسب‌ها باید در
\fI\%define\-tag\fP
تعریف شوند و می‌توانند با استفاده از
\fI\%access\-control\-tag\fP
یا
\fI\%interface\-tag\fP
به آدرس‌های کلاینت اختصاص یابند\&.
فهرست برچسب‌ها را در علامت‌های نقل‌قول (\fB\(dq\(dq\fP) قرار دهید و فاصله‌ها را میان برچسب‌ها بگذارید.
.sp
اگر هیچ برچسبی مشخص نشود، خط‌مشی‌های این بخش برای تمام کلاینت‌ها اعمال خواهد شد.
.UNINDENT
.INDENT 0.0
.TP
.B max\-transfer\-size: \fI<number>\fP
تعداد بایت‌های اندازه حداکثر انتقال ناحیه.
انتقال‌های بزرگ‌تر، روی AXFR، IXFR و HTTP مجاز نیستند.
یک عدد ساده بر حسب بایت است؛ \(aqk\(aq، \(aqm\(aq یا \(aqg\(aq را برای کیلوبایت، مگابایت یا گیگابایت اضافه کنید (1024*1024 بایت در یک مگابایت).
مقدار \fB0\fP این قابلیت را غیرفعال می‌کند.
.sp
تنها برای سرورهای اصلی غیرقابل اعتماد/بدرفتار که می‌توانند منابع را غصب کرده و تحلیل‌کننده را از کار بیندازند مد نظر قرار دهید.
.sp
پیش‌فرض: 0
.UNINDENT
.INDENT 0.0
.TP
.B max\-transfer\-time: \fI<msec>\fP
حداکثر زمان بر حسب میلی‌ثانیه که یک انتقال ناحیه از ابتدا مجاز به طول کشیدن است.
مقدار \fB0\fP این قابلیت را غیرفعال می‌کند.
.sp
تنها برای سرورهای اصلی غیرقابل اعتماد/بدرفتار که می‌توانند منابع را غصب کرده و تحلیل‌کننده را از کار بیندازند مد نظر قرار دهید.
.sp
پیش‌فرض: 0
.UNINDENT
.SH "نمونه کنترل حافظه (MEMORY CONTROL EXAMPLE)"
.sp
در تنظیمات پیکربندی نمونه زیر مصرف حافظه کاهش یافته است.
برخی سطوح سرویس پایین‌تر هستند، به ویژه داده‌های بسیار بزرگ و بار بالای TCP دیگر پشتیبانی نمی‌شوند.
داده‌های بسیار بزرگ و بارهای بالای TCP برای DNS استثنایی هستند.
اعتبارسنجی DNSSEC فعال است، کافی است لنگرهای اعتماد را اضافه کنید.
اگر نیازی به نگرانی در مورد برنامه‌هایی که بیش از 3 مگابایت حافظه مصرف می‌کنند ندارید، مثال زیر برای شما مناسب نیست.
از مقادیر پیش‌فرض برای دریافت خدمات کامل استفاده کنید، که در BSD\-32bit پس از استفاده سنگین حداکثر به 30 الی 40 مگابایت می‌رسد.
.INDENT 0.0
.INDENT 3.5
.sp
.nf
.ft C
# example settings that reduce memory usage
server:
    num\-threads: 1
    outgoing\-num\-tcp: 1 # this limits TCP service, uses less buffers.
    incoming\-num\-tcp: 1
    outgoing\-range: 60  # uses less memory, but less performance.
    msg\-buffer\-size: 8192   # note this limits service, \(aqno huge stuff\(aq.
    msg\-cache\-size: 100k
    msg\-cache\-slabs: 1
    rrset\-cache\-size: 100k
    rrset\-cache\-slabs: 1
    infra\-cache\-numhosts: 200
    infra\-cache\-slabs: 1
    key\-cache\-size: 100k
    key\-cache\-slabs: 1
    neg\-cache\-size: 10k
    num\-queries\-per\-thread: 30
    target\-fetch\-policy: \(dq2 1 0 0 0 0\(dq
    harden\-large\-queries: \(dqyes\(dq
    harden\-short\-bufsize: \(dqyes\(dq
.ft P
.fi
.UNINDENT
.UNINDENT
.SH "فایل‌ها (FILES)"
.INDENT 0.0
.TP
.B /etc/unbound
دایرکتوری کاری پیش‌فرض Unbound.
.TP
.B /etc/unbound
موقعیت پیش‌فرض
\fIchroot(2)\fP\&.
.TP
.B /etc/unbound/unbound.conf
پرونده پیکربندی Unbound.
.TP
.B /run/unbound.pid
پرونده pid پیش‌فرض Unbound حاوی شناسه فرآیند دیمون در حال اجرا.
.TP
.B unbound.log
پرونده لاگ Unbound.
پیش‌فرض ثبت لاگ در
\fIsyslog(3)\fP
است\&.
.UNINDENT
.SH "همچنین ببینید (SEE ALSO)"
.sp
\fI\%unbound(8)\fP,
\fI\%unbound\-checkconf(8)\fP\&.
.SH "نویسنده (AUTHOR)"
توسعه‌دهندگان Unbound در پرونده CREDITS در توزیع ذکر شده‌اند.
.SH "حق نشر (COPYRIGHT)"
1999-2026, NLnet Labs
.\" Generated by docutils manpage writer.
.