Numel1 et Aunisien, je verrais plus tard pour votre DNS préféré respectif. Mais je rappelle que ma liste est perso, et n'a pas d'objectif à être exhaustif un jour.

---

Pour revenir à Unbound, il y a un cas pratique pour ceux qui veulent n'avoir aucune requête DNS en clair (le DoT et le DoH s'initialise en requête en clair, généralement, pour le domaine internet).

Pourquoi vouloir l'éviter en France? Bouygues Telecom (réseau mobile) détourne toutes les requêtes du port 53 vers leurs serveur DNS, peu importe nos paramètres DNS.
C'est pour ça que je ne peux pas me passer de DoT et DoH en soit, et pour le moment ça ne bloque par l'initialisation en clair du DoT ou du DoH, ce qui explique que je ne soit pas déjà à nouveau avec Unbound.

Les serveurs root ne sont ni en DoT, ni en DoH.

Par contre, depuis longtemps, Unbound a mis DoT nativement, et c'est devenu complet sous Windows depuis la version 1.10.0 (mais avec les failles de sécurité, il est fortement recommandé de faire toutes le mises à jour).
Son fonctionnement passe par l'initialisation TLS par IP, donc sans requête DNS.

Avec votre DNS intermédiaire préféré et compatible DoT, voici la configuration complète sur cet aspect (exemple avec Google en mode DoT strict, mais prenez le même schéma avec un autre DNS si vous le souhaitez):
server:
        # Requis sous Windows pour valider les certificats TLS via le magasin système
    tls-win-cert: yes

forward-zone:
    name: "."
    forward-tls-upstream: yes
   
    # Les 2 adresses IPv4 de Google DNS avec le DoT (le port 853 est le port par défaut pour le DoT quelque soit le DNS)
    forward-addr: 8.8.8.8@853#dns.google
    forward-addr: 8.8.4.4@853#dns.google
   
    # Les 2 adresses IPv6 de Google DNS avec le DoT (si vous avez un résultat positif avec votre navigateur sur https://ipv6.lafibre.info/ip.php )
    forward-addr: 2001:4860:4860::8888@853#dns.google
    forward-addr: 2001:4860:4860::8844@853#dns.google
Edit de 00h59: grosse correction sur la gestion de l'IPv6.

Edit de 1h13: apparemment, ne pas appliquer cette configuration si votre PC est connecté a du réseau mobile! Du DoH ou DoT classique, avec aussi que des IP pour du DNS en clair est à privilégier!

Il faut pas trop intellectualiser la démarche non plus.

Pour ma part, j'ai configuré plusieurs SFP et jamais eu à gérer le calibrage du laser.

Tu dis que rien n'y fait, mais comme on ne sait pas ce que tu as fait finalement...
Es tu reparti d'une base saine ? Avant de modifier tout ce que tu as modifié, avais tu fait un backup de tes images ? mtd0.bin à mtd5.bin pour restaurer à l'origine ?

C'est sympa de la part d'Unbound d'avoir ajouté les root.

Côté IPv6, en effet, la transition vers IPv6 est terminée (sauf côté serveurs physiques, voir la source en fin de message): https://www.iana.org/domains/root/servers

Par contre, en Europe, les 13 ne sont pas forcément à prendre, même si on a de très bonnes liaisons avec les USA. Certains pools sont USA only, ou très peu présents en Europe: G, H, M, et des soucis avec L (bas de page de https://root-servers.org/ ).

Pour la liste des racines, plus besoin de la tenir à la main : Unbound embarque les adresses des serveurs racine, et on peut récupérer le fichier named.root à jour sur internic.net si on veut le forcer. Côté IPv6, les treize serveurs racine ont tous une adresse IPv6 depuis plusieurs années, donc ça passe aussi en v6 seul.

il reste aussi le résolveur récursif à la maison, Unbound sur le routeur ou sur un Raspberry. Il interroge directement les serveurs racine puis ceux qui font autorité, sans intermédiaire. Le revers, c'est que les requêtes partent en clair et que la première visite d'un domaine est un peu plus lente, le cache rattrape vite ça.

À une époque, j'avais Unbound directement sur mon PC Windows. Ça fonctionne très bien ainsi. Mais en IPv6, il y a une astuce pour l'IP de localhost à mettre sur la carte réseau.

Quant aux root, je ne vous les remets pas ici, pour le moment, car je n'ai pas actualisé cette liste depuis cette époque.
Ce n'est pas à cause des IPv4, qui doivent normalement être "éternelles" sur ce type de services. Mais pour les IPv6 qui n'étaient pas encore sur tout les anycast des root, et dont je ne sais pas si c'est désormais le cas ou pas.