Pokud máte vypnuté forwardování, DNS server „bere“ DNS záznamy přímo u zdroje, tedy z autoritativních serverů.
Když budete resolvovat třeba www.turris.cz, váš Turris se nejprve zeptá kořenových DNS serverů, ty mu odpoví že o CZ doménu se starají servery CZ.NIC, takže se zeptá jich a ty mu (v tomto konkrétním případě) rovnou odpoví IP adresou, protože na nich shodou okolností je hostována i doména turris.cz. Pak se ještě provede DNSSEC validace, která postupuje odspodu nahoru, takže se Unbound zeptá na klíč domény turris.cz, zkontruluje jeho otisk v doméně cz, zeptá se na klíč domény cz, zkontroluje jeho otisk v kořenové doméně, zeptá se na klíč kořenové domény a porovná jeho otisk s tím, který je uložený v souboru /etc/unbound/root.key.

Celý proces je samozřejmě o něco složitější a uplatňují se v něm cache, v každém případě DNS servery vašeho ISP do něj vstupují jen v případě, že se ptáte na doménu, kterou váš ISP hostuje.