这是本章节的多页可打印视图。
点击此处打印.
返回页面常规视图.
DNS 入门：互联网的地址簿
DNS 是什么？
欢迎来到我们的 DNS 系列文章！在我们深入探讨技术细节之前，让我们先从一个简单的问题开始：什么是 DNS？
想象一下，你的手机通讯录。你不需要记住每个朋友的电话号码，只需要记住他们的名字。当你想要打电话给朋友“张三”时，你只需在通讯录里找到他的名字，然后点击拨号。你的手机会自动查找“张三”对应的电话号码并拨打出去。
DNS（Domain Name System，域名系统） 就扮演着类似“互联网通讯录”的角色。它负责将我们容易记忆的网站域名（比如 www.google.com）“翻译”成计算机能够理解的 IP 地址（比如 172.217.160.78）。没有 DNS，我们就必须记住一长串毫无规律的数字才能访问网站，这几乎是不可能的。
DNS 如何工作？
这个“翻译”过程通常在幕后飞快地完成。当你-在浏览器中输入一个网址时，大致会发生以下几个步骤：
- 请求：你的电脑或手机会向一个 DNS 解析器（Resolver）发送请求：“
www.example.com 的 IP 地址是什么？”
- 查询：DNS 解析器会像一个侦探一样，通过层层查询（从根服务器到顶级域名服务器，再到权威域名服务器）来找到答案。
- 响应：一旦找到，解析器就会将 IP 地址返回给你的电脑。
- 连接：你的浏览器使用这个 IP 地址与网站的服务器建立连接，最终将网页内容呈现在你面前。
本系列我们将探讨什么？
DNS 的世界远比这个简单的比喻要丰富和复杂。在本系列文章中，我们将带你深入了解 DNS 的方方面面，包括：
- 核心概念：深入理解域名、IP 地址、以及它们之间的关系。
- 记录类型：学习 A 记录、CNAME 记录、MX 记录等不同 DNS 记录的用途。
- 服务器类型：了解递归服务器和权威服务器等不同角色的 DNS 服务器。
- DNS 查询过程：详细拆解一次完整的 DNS 查询是如何进行的。
- DNS 缓存：探索 DNS 缓存如何提高网站访问速度。
- 私有 DNS：如何搭建和使用私有 DNS 服务来增强网络安全和隐私。
无论你是刚刚接触网络知识的新手，还是希望巩固基础知识的开发者，本系列都将为你提供清晰、易懂的指引。
让我们开始 DNS 的探索之旅吧！
1 - DoT vs DoH vs DoQ
DoT
DNS over TLS（DoT）是一种基于 TLS 的 DNS 加密协议。TLS 1.2 至少需要四次往返，TLS 1.3 则至少需要三次往返，而 DNS 请求仅需一次往返。
时间轴
↓
┌───────────────────────────────────────────────────────────────────────┐
│ 客户端 服务器
│ │
│ 客户端发送 SYN 段 │
│ ────────────────────────────────────────────────────────────────────▶│
│ SYN = 1, Seq = x │
│ │
│ ←─────────────────────────────────────────────────────────────────────│
│ 服务器响应 SYN-ACK 段 │
│ SYN = 1, ACK = 1, Seq = y, Ack = x + 1 │
│ │
│ 客户端发送 ACK 段 │
│ ────────────────────────────────────────────────────────────────────▶│
│ ACK = 1, Seq = x + 1, Ack = y + 1 │
│ │
│ TCP 连接建立 │
│ 客户端发送 ClientHello │
│ ────────────────────────────────────────────────────────────────────▶│
│ │
│ ←─────────────────────────────────────────────────────────────────────│
│ 服务器响应 ServerHello │
│ 服务器发送证书链 │
│ │
│ 客户端发送密钥交换消息 │
│ ────────────────────────────────────────────────────────────────────▶│
│ │
│ 服务器发送密钥交换消息 │
│ ←─────────────────────────────────────────────────────────────────────│
│ │
│ 客户端发送 Finished │
│ ────────────────────────────────────────────────────────────────────▶│
│ │
│ 服务器发送 Finished │
│ ←─────────────────────────────────────────────────────────────────────│
│ │
│ TLS 握手完成 │
│ 客户端发送 DNS 查询 │
│ ────────────────────────────────────────────────────────────────────▶│
│ │
│ ←─────────────────────────────────────────────────────────────────────│
│ 服务器响应 DNS 查询 │
│ │
└───────────────────────────────────────────────────────────────────────┘
TLS 1.2 的握手过程需要至少两个往返（RTT），即客户端发送 ClientHello，服务器回复 ServerHello 和证书，然后客户端发送 ClientKeyExchange 和 ChangeCipherSpec，最后服务器发送 Finished。TLS 1.3 将握手过程简化为一个往返（1-RTT）。客户端在发送 ClientHello 时可以包含密钥共享信息（ClientKeyShare），服务器在回复 ServerHello 时也包含密钥共享信息，从而在第一个往返内完成密钥协商和握手。
DoH
DNS over HTTPS（DoH）是一种基于 HTTPS 的 DNS 加密协议。HTTPS 是基于 TCP 的协议，建立连接需要至少三次往返，而 DNS 请求仅需一次往返。因此，DoH 在三种加密 DNS 协议中速度最慢。
相较于 DoT，DoH 的协议开销较大，需要额外的 HTTP 协议头，导致服务略慢于 DoT。其他方面与 DoT 类似。
DoQ
DNS over QUIC（DoQ）是一种基于 QUIC 的 DNS 加密协议。QUIC 是基于 UDP 的协议，建立连接需要两次往返，DNS 请求仅需一次往返。因此，DoQ 是三种加密 DNS 协议中速度最快的。
时间轴
↓
┌───────────────────────────────────────────────────────────────────────┐
│ 客户端 服务器
│ │
│ 客户端发送初始包（Initial Packet） │
│ 包含：QUIC版本号、连接ID、加密握手消息（ClientHello）、可能的应用层数据 │
│ ────────────────────────────────────────────────────────────────────▶│
│ │
│ │
│ ←─────────────────────────────────────────────────────────────────────│
│ 服务器响应初始包（Initial Packet） │
│ 包含：加密握手消息（ServerHello、Certificate、ServerKeyExchange等） │
│ 可能包含对客户端0-RTT数据的确认或拒绝 │
│ │
│ 客户端发送加密握手消息（EndOfEarlyData、Finished） │
│ ────────────────────────────────────────────────────────────────────▶│
│ │
│ 服务器发送加密握手消息（Finished） │
│ ←─────────────────────────────────────────────────────────────────────│
│ │
│ 握手完成 │
│ 连接建立 │
│ 数据传输开始 │
│ ────────────────────────────────────────────────────────────────────▶│
│ ←─────────────────────────────────────────────────────────────────────│
│ 数据传输 │
│ 数据传输 │
│ 数据传输 │
└───────────────────────────────────────────────────────────────────────┘
QUIC 使用 TLS 1.3 或更高版本来保护其连接的安全性。加密握手过程与传统的 TLS 握手相似，但通过 QUIC 的数据包格式进行，允许在握手的同时开始数据传输。如果客户端之前已与服务器建立了 QUIC 连接，则在新的连接尝试中可以立即发送应用层数据，无需等待服务器响应。这种机制称为 0-RTT，可以显著减少交互延迟。然而，0-RTT 数据可能因重放攻击的风险而被服务器拒绝。
QUIC 的设计目标是提供比 TCP 更快的连接建立速度和更好的拥塞控制，同时保持与现有网络基础设施的兼容性。通过上述步骤，QUIC 能够在首次连接时实现快速握手，并在后续连接中利用 0-RTT 进一步减少延迟。
结论
在较为稳定的网络环境中，DoQ 理论上速度最快，这得益于其基于 UDP 和 TLS 1.3 的特性。然而，实际网络中由于 UDP 的无连接状态，业务繁忙时可能会被运营商随机丢弃，导致连接不稳定。DoT 的速度略慢于 DoQ，但基于 TCP，其连接更为稳定。DoH 的速度稍慢，由于基于 HTTP 的协议功能更多，可以在服务后端实现更多功能。应根据自身的网络环境和需求选择合适的加密 DNS 协议。
Reference
2 - 最快的DNS
普通用户通常测量的是明文 DNS 的 IP 的 ping 相应速度，但这很难保证是否是真正到达对应服务器的速度。现代 DNS 至少需要使用加密 DNS 才能确保服务未被劫持。
从客户端到终端通常会经过 5 到 8 个网络设备，在其中任意一个设备上都可以劫持 UDP:53 请求，这种劫持命令非常简单。因此，不要对明文 DNS 抱有任何侥幸的期待，特别是企业用户，基本上都会遭遇劫持。
以下是劫持命令示例：
sudo iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT --to-destination 1.1.1.1:53
设置劫持非常简单，许多企业内网用户的 DNS 速度都在个位数毫秒范围内，而在家庭网络中通常小于 1 毫秒。无论配置什么明文 DNS，最终都是自建的 DNS 服务在响应。
接下来讨论加密 DNS 的速度。在讨论之前，先介绍三种常见的加密 DNS 协议：DNS over TLS (DoT)、DNS over HTTP (DoH) 和 DNS over QUIC (DoQ)。
理论上，三种加密协议和未加密 DNS 的简化实现方式:
- 最快的是 DoQ。QUIC 基于 UDP，建立连接需要一次往返，DNS 请求只需一次往返。
- DoT 建立连接, tls1.2 需要至少四次往返, tls1.3 需要三次往返，略慢于 DoQ，DNS 请求一次往返。
- DoH 基于 HTTPS，建立连接需要至少四次往返, 由于 HTTP 协议较重, 导致服务会略慢于 DoT。
- 传统的 UDP:53 不需要建立连接，只有一次往返。
也就是说，从零开始的 DNS 请求，加密 DNS 的耗时是未加密 DNS 的 2~4 倍左右，但在建立连接后，耗时与未加密 DNS 相同（未考虑连接强制关闭的情况）。
考虑到实际网络情况，运营商在流量繁忙时会随机丢弃 UDP 报文。由于 TCP 有重传机制，丢弃后会再次传输，无法通过丢弃 TCP 来减轻网络负担，因此运营商较少丢弃 TCP 报文。因此，TCP 的 DNS 请求速度会更稳定，特别是在晚间网络高峰时段。
此外，仅关注连接时间不会显著提升上网体验。DNS 协议中包含许多可设置的参数，其中一些参数的合理配置比选择一个服务器更能提升上网体验。
阅读本文的读者可能已经了解，上网大致分为两步：首先请求域名的 IP 地址，然后将实际请求发送到 IP 地址。实际上，这里并不一定是向 DNS 服务器请求 IP 地址，更多的是在本地 DNS 缓存中查询是否已有解析。如果本地没有缓存解析，则需要询问 DNS；有缓存时优先使用缓存，而查询本地缓存的时间只有几纳秒，耗时可以忽略不计。通过设置 DNS 请求响应的 TTL（Time to Live）值，可以控制请求结果的缓存时间。例如，TTL 设置为 600，则 10 分钟内 DNS 响应结果都有效，系统不会再次查询相同域名。许多企业将这个值设置为 10，即 10 秒内不必再查。
如果您有自己的 DNS 服务器，可以自行修改这个值。在www.adguardprivate.com上可以自建一个 DNS 服务，延长 TTL 值，减少 DNS 请求次数，提升上网体验。
除了速度以外，DNS 服务还有许多特性影响上网体验, 这里只讨论了连接速度, 其它特性暂不讨论。