选择公共 DNS 解析器

原文 ↗ Hacker News 讨论 ↗

公共解析器选择

  • 许多人偏好 Quad9（9.9.9.9）或 Cloudflare（1.1.1.1）；也有人将 Quad9 设为主用，并把 Cloudflare 或 Google（8.8.8.8）作为备用。
  • Quad9：因隐私和所有端点上的 DNSSEC 支持而受到称赞，但也有人批评其恶意软件拦截会产生误报（例如跟踪器、文件共享，甚至大型网站）。
  • Cloudflare：被认为速度快且稳定；批评包括偶发失败（对有效域名返回 NXDOMAIN）、缺少 EDNS client subnet（ECS），以及对美国监控法律的担忧。
  • Google DNS：尽管对隐私有所顾虑，仍有人使用，因为在某些地区它“快、不过滤、从不宕机”。
  • 其他被正面提及的选项包括：NextDNS（高度可配置，可与 VPN 集成）、DNScrypt resolvers、以及像 Canadian Shield 这样的地区性服务。

自托管解析器

  • 有相当一部分人运行本地递归解析器（Unbound、PowerDNS/dnsdist、AdGuard Home、dnsmasq），以获得隐私、控制和可靠性。
  • 使用的技术包括：
    • DNS over HTTPS/TLS/QUIC 前端。
    • 大量缓存、预取，以及“serve-expired”以应对上游中断。
    • 通过 cron 预缓存热门域名；有些人甚至会故意生成“噪声”流量。
    • 大型本地拦截列表，用于广告、跟踪器、恶意软件、钓鱼变体以及同形异义词/Unicode 域名。
  • 提到的缺点：未缓存查询更多（首次查询更慢）、对根服务器/权威服务器流量的负载、复杂性，以及除非通过 DoH/DoT/DoQ 或 VPN/Tor 隧道，否则到根服务器没有加密。

广告/恶意软件拦截的权衡

  • DNS 层面的广告/恶意软件拦截因其速度快、减少杂乱和提升隐私而受到重视，尤其是在移动应用中。
  • 反复出现的担忧是误报会破坏网站、游戏或文件共享；有些人会退回到不过滤的 DNS，或坚持使用他们可以自行管理允许列表的解析器。

性能、ECS 与 CDN

  • ECS 支持被强调为一个缺失但重要的维度：没有它，用户可能被路由到较远的 CDN 节点（例如 YouTube/Google 下载更慢等）。
  • 有些人认为 ISP DNS 通常能提供最好的 CDN 本地性；另一些人则更喜欢第三方 DNS 加本地缓存和广告拦截。
  • Anycast、BGP 路由怪癖以及 ISP 对等互联争议，使“最近就是最快”这一简单假设变得复杂。

隐私、审查与强制门户

  • 加密 DNS（DoH/DoT/dnscrypt）被广泛推荐，用于向 ISP 隐藏查询，尽管 SNI/ECH 的状态仍有争议。
  • 监管环境（例如 GDPR vs. FISA 702）会影响信任决策。
  • 在使用固定的自定义 DNS 时，公共 Wi‑Fi 强制门户仍然令人头痛；有些人依赖操作系统的强制门户机制或直接通过 IP 访问作为变通办法。