Escolhendo um resolvedor DNS público

Artigo original ↗ Discussão no Hacker News ↗

Opções de resolvedores públicos

  • Muitos preferem Quad9 (9.9.9.9) ou Cloudflare (1.1.1.1); alguns combinam Quad9 como primário com Cloudflare ou Google (8.8.8.8) como fallback.
  • Quad9: elogiado pela privacidade e pelo suporte a DNSSEC em todos os endpoints, mas criticado por falsos positivos no bloqueio de malware (por exemplo, rastreadores, compartilhamento de arquivos, até mesmo grandes sites).
  • Cloudflare: visto como rápido e robusto; as críticas incluem falhas ocasionais (NXDOMAIN em domínios válidos), falta de EDNS client subnet (ECS) e preocupações com leis de vigilância dos EUA.
  • Google DNS: usado apesar das reservas de privacidade porque é “rápido, sem bloqueio, nunca cai” em algumas regiões.
  • Outras opções mencionadas positivamente: NextDNS (alta configurabilidade, integra-se com VPNs), resolvedores DNScrypt, serviços regionais como Canadian Shield.

Resolvedores auto-hospedados

  • Uma parcela forte executa resolvedores recursivos locais (Unbound, PowerDNS/dnsdist, AdGuard Home, dnsmasq) por privacidade, controle e confiabilidade.
  • As técnicas incluem:
    • Frontends de DNS over HTTPS/TLS/QUIC.
    • Cache pesado, prefetch e “serve-expired” para sobreviver a interrupções do upstream.
    • Pré-cache dos principais domínios via cron; alguns até geram tráfego de “ruído” intencionalmente.
    • Grandes listas locais de bloqueio para anúncios, rastreadores, malware, variantes de phishing e domínios homoglíficos/unicode.
  • Desvantagens observadas: mais consultas sem cache (primeiras consultas mais lentas), carga de tráfego raiz/autoritativo, complexidade e falta de criptografia até os servidores raiz, a menos que se faça túnel via DoH/DoT/DoQ ou VPN/Tor.

Compromissos no bloqueio de anúncios/malware

  • O bloqueio de anúncios/malware no nível de DNS é valorizado pela velocidade, redução de poluição visual e privacidade, especialmente em apps móveis.
  • Preocupação recorrente com falsos positivos quebrando sites, jogos ou compartilhamento de arquivos; alguns retornam a DNS sem filtragem ou insistem em resolvedores nos quais possam gerenciar listas de अनुमतिção.

Desempenho, ECS e CDNs

  • O suporte a ECS é destacado como uma dimensão ausente, mas importante: sem ele, os usuários podem ser roteados para nós de CDN distantes (downloads do YouTube/Google mais lentos, etc.).
  • Alguns argumentam que o DNS do ISP frequentemente oferece a melhor localidade de CDN; outros preferem DNS de terceiros com cache local e bloqueio de anúncios.
  • Anycast, peculiaridades de roteamento BGP e disputas de peering entre ISPs complicam suposições simples de que “o mais próximo é o mais rápido”.

Privacidade, censura e portais cativos

  • DNS criptografado (DoH/DoT/dnscrypt) é amplamente recomendado para ocultar consultas dos ISPs, embora o status de SNI/ECH seja debatido.
  • O contexto regulatório (por exemplo, GDPR vs. FISA 702) influencia as decisões de confiança.
  • Portais cativos em Wi‑Fi público continuam sendo um problema ao usar DNS personalizado fixo; alguns recorrem aos mecanismos de portal cativo do sistema operacional ou ao acesso direto por IP como contorno.