Минимальная конфигурация для локального компьютера /etc/unbound/unbound.conf.d/z-dns-over-tls.conf:

server:
    interface: 127.0.0.53
    interafce: 0.0.0.0
    access-control: 0.0.0.0/0 allow
    port: 53
    prefetch: yes
    #ssl-upstream: yes #для всех зон

forward-zone:
    name: "."
    forward-ssl-upstream: yes #для этой зоны
    forward-addr: 1.0.0.1@853
    forward-addr: 9.9.9.9@853

Минимальная конфигурация для домена domain.loc с отключённым DNSSEC /etc/unbound/unbound.conf.d/domain.loc.conf:

server:
    domain-insecure: "domain.loc"
    local-zone: "10.168.192.in-addr.arpa" transparent
forward-zone:
    name: "domain.loc."
    forward-addr: 192.168.10.250
    forward-addr: 10.1.30.110
forward-zone:
    name: "10.168.192.in-addr.arpa"
    forward-addr: 192.168.10.250
    forward-addr: 10.1.30.110

Включить управление:

echo "remote-control:" | sudo tee /etc/unbound/unbound.conf.d/control.conf
echo "  control-enable: yes" | sudo tee -a /etc/unbound/unbound.conf.d/control.conf
echo "  control-use-cert: no" | sudo tee -a /etc/unbound/unbound.conf.d/control.conf
sudo systemctl restart unbound

Очистить весь кэш:

unbound-control flush_zone .

Очистить зону:

unbound-control flush_zone domain.loc

https://nlnetlabs.nl/documentation/unbound/unbound.conf/