DNS 解析器就是你的网络守门人——选错了麻烦大了

每次在浏览器里敲下一个网址，看似简单，背后其实有一套毫秒级的对话：你的设备会问递归 DNS 解析器："这个域名对应的 IP 地址是什么？"

大多数人对这个解析器毫不关心，默认就用运营商塞给你的那个。但说实话，这个选择比你想象的重要得多。

DNS 解析器能看到你查询的每一个域名。它能记录你的浏览历史，决定你能访问什么不能访问什么，甚至——如果安全没做好——让你的查询被人篡改或截获。对于开发者、创业公司，还有所有在乎隐私的人来说，挑一个公共 DNS 解析器属于"配好就不用管"的基建决策，长期收益很明显。

下面来看看研究怎么说，以及怎么根据自己的威胁模型挑对解析器。

公共 DNS 解析器到底是个啥？

公共 DNS 解析器就是任何人都能用的服务，用来替代运营商默认的解析器。Cloudflare（1.1.1.1）、Google（8.8.8.8）、Quad9 这些公司都提供免费的递归 DNS 服务，承诺查询更快、隐私更好、安全性更高。

切换到公共解析器，本质上是做了这么几个选择：

• 谁能看到你的查询 — 运营商看不到了，但解析器运营商能
• 有没有过滤机制 — 有些解析器会屏蔽恶意域名或成人内容
• 查询是否加密 — 明文 DNS 在传输过程中可以被监控
• 你的数据受哪个法律管辖区管辖 — 各国的规定差别很大

正确的选择完全取决于你的优先级。先来看看研究对这些因素的分析。

速度问题：加密 DNS 会拖慢你吗？

开发者们对加密 DNS 最常见的担心就是延迟。DNS-over-HTTPS（DoH）和 DNS-over-TLS（DoT）这些加密传输方式会给每次查询增加加密开销，理论上应该比明文 DNS（53 端口）慢。

但同行评审的 DNS 测量研究告诉我们一个更复杂的情况。加密 DNS 确实会增加单次查询的延迟，但整个页面的加载时间往往和明文 DNS 差不多。实际上产生的额外开销比理论值小得多，对大多数用户来说根本没感觉。

不过在丢包率高或延迟本身就高的网络环境下（比如卫星上网或者拥挤的移动网络），明文 DNS 还是完胜。如果你是在这类场景下追求极致性能，那就还是用明文 DNS 吧。

性能还和地理位置、运营商有很大关系。一个在法兰克福数据中心快如闪电的解析器，放在圣保罗的服务器上可能就慢吞吞的。"最快"的解析器真的是因地而异，值得在你自己实际的网络条件下多测几个。

加密 DNS：不只是防偷窥

很多用户以为加密 DNS 主要就是防止网络上的窥探者——什么 WiFi 蹭网的人、运营商的监控、恶意热点之类的。这没错，但好处不止于此。

规模最大的加密 DNS 端到端研究发现，通过 DoH 和 DoT 传输的查询，被拦截或篡改的概率比明文 DNS 低得多。这种抗篡改能力对安全有重大意义，不只是隐私问题。明文 DNS 的情况下，中间人攻击者可以在传输途中给你返回伪造的 DNS 响应，把你劫持到恶意网站，而你根本察觉不到。

但问题来了：不是所有加密解析器都一样靠谱。同一个研究发现，大约 25% 的 DoT 提供商在提供无效的 TLS 证书——这是严重的配置错误，直接把安全优势给毁了。既然你把 DNS 托付给解析器，那运维质量就得过关。选择那些证书链配置正确的靠谱厂商。

隐私真相：你的解析器该看的还是能看到

这里有个经常被忽视的关键点：加密只是把你的查询从网络上藏起来，并不能从解析器运营商那里藏住。运行你 DNS 解析器的那个实体，照样能看到你查的每一个域名。

如果这让你不安，看两个东西：

不记录日志的政策：有些解析器明确承诺不存储查询日志。比如 Quad9，24 小时内删除所有数据，而且不把查询和用户关联。Cloudflare 的 1.1.1.1 面向消费者的版本也有不记录日志的承诺。

ODoH（Oblivious DNS over HTTPS）：这是更新的设计，在你和使用解析器之间加了一个代理。代理知道你 IP 但不知道你查什么，解析器知道你查什么但不知道你 IP。没有单一实体能同时看到两边。Cloudflare 和苹果都已经部署了 ODoH 基础设施。如果你最看重隐私，这是个有意义的升级。

DNSSEC：真正能防止伪造的验证

DNSSEC（DNS 安全扩展）给 DNS 记录加了加密签名，让解析器能验证响应没有被篡改。没有 DNSSEC 验证，攻击者只要在网络里占据有利位置，就能伪造 DNS 响应把流量劫持走。

只有开启了验证功能的解析器才会检查这些签名。大多数主流公共解析器都有验证 DNSSEC——Google Public DNS、Cloudflare、Quad9 都支持，而且在 2018 年关键根密钥（KSK）轮换时都平稳过渡了，没影响用户。如果你关心数据完整性，DNSSEC 验证应该是选解析器的必备项。

ECS：懂不懂这个利弊权衡很关键

EDNS Client Subnet（ECS）是个协议扩展，会把你的 IP 地址片段发给权威 DNS 服务器（有时候也发给解析器），让 CDN 能返回地理位置更准确的地址，从而加快内容分发速度。

代价是：ECS 提升了 CDN 路由精度，但也把你的网络身份暴露给了更多参与方。Google Public DNS 和 OpenDNS 默认发送 ECS 数据。Cloudflare 和标准版 Quad9 不发送。没有绝对的好坏——就看你更在意 CDN 性能优化还是最小化信息泄露了。

DNS-over-QUIC：新人王来了

DNS-over-QUIC（DoQ）是最新的加密 DNS 传输方式，早期数据很亮眼。2022 年的测量研究发现，DoQ 在很多场景下响应时间已经优于 DoT 和 DoH。QUIC 的连接处理机制和减少握手开销的特性让交换速度更快。

不过有个限制：大约 40% 的握手会被 QUIC 的地址验证机制拖慢，这是为了防止放大攻击的设计，在初始连接时会产生额外延迟。但只要客户端和解析器都支持 DoQ，它就是加密选项里的首选。

目前支持 DoQ 的有：Quad9、AdGuard、NextDNS、Control D、Mullvad DNS、UncensoredDNS 等。如果你的应用或基础设施能用上 DoQ，性能收益是实打实的。

DNSCrypt：老资格加密协议

DNSCrypt 比 DoH 和 DoT 还早——第二代 2013 年就发布了。它从第一个数据包开始就加密 DNS 查询，使用解析器的预共享公钥，这意味着不存在明文的域名查找（不像 DoH，偶尔能被识别为发往已知 DoH 提供商的 HTTPS 流量），也不依赖证书颁发机构体系。

DNSCrypt 在 2019 年还引入了匿名化 DNS 模式，通过中继服务器路由查询，让解析器看不到客户端的真实 IP——理念上类似 ODoH，但实现方式不同。在公共解析器里，Quad9、OpenDNS、AdGuard、NextDNS、Control D 和 Yandex DNS 都支持 DNSCrypt。

它没有 DoH 那么普及，但对某些威胁模型来说，DNSCrypt 的特性确实有价值。

流量分析：加密 DNS 也藏不住

研究有个让人清醒的发现：即便是 DoH，流量分析也能高准确度地识别你在访问哪些域名。标准的 EDNS 填充有点帮助，但不能完全防止指纹识别。

如果你面临的是高级流量分析威胁——比如说，你是在敌对网络环境下工作的记者——别把加密 DNS 当作唯一依靠。配合 Tor 使用，或者用 ODoH 这类匿名化设计，才能对这个攻击向量形成有效防护。

管辖区问题——比你想象的更重要

解析器运营商的法律归属地，决定了数据在什么情况下会被强制提供、能保留多久、执法部门怎么才能访问你的查询记录。这不是纸上谈兵，是实实在在的风险面。

少数几家提供商现在承担着全球递归 DNS 流量的很大份额，这确实带来了集中化的担忧。美国 NSA 也明确警告过，使用外部解析器会绕过组织内部依赖的 DNS 过滤和检查机制。

对企业来说，这不只是隐私问题——是治理问题。你的安全总监可能有合理的理由要求内部 DNS 解析，哪怕它更慢或者隐私保护更弱。

怎么选：实操框架

综合以上因素，到底怎么决策？给你一个实操框架：

如果隐私压倒一切：选一个在有利管辖区、不记录日志的解析器，能用 ODoH 就用，敏感浏览配合 Tor。Quad9 是很强的候选。

如果速度就是一切：在你实际所在的地理位置测试各个解析器，在丢包率高的网络上不要排除明文 DNS。加密选项里，优先选支持 DoQ 的。

如果需要过滤功能：很多解析器提供过滤版本，可以屏蔽恶意软件、广告或成人内容。AdGuard、NextDNS、Control D、CleanBrowsing 都提供细粒度的过滤选项。

如果你是企业：考虑完整的治理图景——管辖区、记录政策、和内部安全工具的集成，以及 NSA 关于绕过内部管控的警告。

如果就想"差不多就行"：Cloudflare 1.1.1.1、Google Public DNS、Quad9 都是靠谱的选择，协议支持广泛，隐私政策合理。日常使用，这三个随便挑哪个都不会踩雷。

最后

DNS 解析器是基础设施级的存在。它一直在线，处理你访问的每一个域名，选谁运营这件事意义重大。好消息是，公共解析器的生态已经成熟很多——加密传输现在是标配而不是例外，DNSSEC 验证广泛可用，各种隐私保护选项对各种威胁模型都存在。

花 30 分钟评估一下选项，配置好你的设备或网络，之后就是长期的收益，还不用持续维护。这是你能用最小精力做出的杠杆最高的基建决策之一。

你的网络体验都要流经那个解析器。确保选一个你信得过的。