網域名稱伺服器

A DNS 伺服器 是應答網域名稱系統查詢的任何電腦。 DNS 系統具有多種角色——遞歸解析器、權威伺服器、根伺服器、TLD 伺服器——它們共同將名稱轉換為 IP 位址。了解哪個角色執行什麼操作可以明確誰可以看到您的查詢、查詢來自何處以及如何保護它們。

四種 DNS 伺服器類型

• 遞歸解析器。 您的裝置與之通訊的 DNS 伺服器。它的工作包括查找答案、根據需要查詢其他伺服器以及快取結果。範例：1.1.1.1 (Cloudflare)、8.8.8.8 (Google)、您的 ISP 的解析器。
• Root 伺服器。 13 個邏輯根伺服器（每個都有許多實體實例，透過選播） — A 到 M — 知道哪些伺服器處理頂級網域（.com、.org、.uk 等）。由 ICANN 協調組織運作。
• TLD 伺服器。 每個頂級域一台。 .com 由威瑞信營運； .org 由公共利益登記處；國家 NIC 的國家代碼。他們知道哪些伺服器對於其 TLD 下的各個網域具有權威性。
• 權威伺服器。 保存網域實際記錄的 DNS 伺服器（A、AAAA、MX、TXT 等）。例如，權威伺服器是網域名稱擁有者在註冊商配置的伺服器。

A 查詢，逐步

您在瀏覽器中輸入 example.com。會發生什麼事：

1. 您的瀏覽器向作業系統詢問 example.com 的 IP。
2. 作業系統檢查其本機快取；如果未找到，則查詢配置的解析器（通常是您的路由器，轉送到 ISP 的解析器或公共解析器）。
3. 遞歸解析器檢查其快取。如果未找到，則開始尋找。
4. 解析器在 根伺服器 中查詢「.com」。根回覆 .com TLD 伺服器的名稱和 IP。
5. 解析器查詢 .com TLD 伺服器 的 example.com。 TLD 伺服器回覆 example.com 的權威伺服器的名稱和 IP。
6. 解析程式在 權威伺服器 中查詢 example.com 的 A 記錄。權威伺服器回覆 IP。
7. 解析器將 IP 傳回給作業系統，作業系統將其傳回瀏覽器，瀏覽器連線。

大多數步驟都會被快取。像 google.com 這樣的熱門網域 99% 以上的時間都是透過快取提供服務的；只有新鮮的、未快取的查詢才能完成整個過程。

公共 DNS 解析器

主要的免費公共解析器及其提供的功能：

• 1.1.1.1 (Cloudflare) — 快速、注重隱私，由 KPMG 審核。任播部署。
• 8.8.8.8 (Google) — 快速、廣泛使用，Google 保留一些查詢日誌。
• 9.9.9.9 (Quad9) — 基於瑞士，阻止已知惡意域，不記錄查詢content.
• 208.67.222.222 (Cisco OpenDNS)208.67.222.222 (Cisco OpenDNS) — — 主流公用器。提供過濾層。
• NextDNS — 可自訂過濾，為進階用戶付費。
• AdGuard DNS — 在 DNS 層級攔截廣告和追蹤器。

選擇公共解析器與 ISP 的解析器：通常更快，通常更私密（取決於解析器的策略），有時能夠繞過 ISP 級域阻止。

為什麼您的 DNS 選擇對隱私很重要

您的解析器會看到您存取的每個網域。 ISP 解析器歷史記錄了這一點。有些仍然這樣做，有些已經將數據貨幣化。具有強大隱私策略的公共解析器（Cloudflare 的 1.1.1.1、Quad9）是對大多數 ISP 預設值的改進。

加密 DNS — DNS over HTTPS、DNS over TLS、DNSCrypt — 進一步保護您和解析器之間網路上任何人的查詢。如果沒有加密，即使實際網路流量是 HTTPS，您的飯店 Wi-Fi 也會看到普通的 DNS 查詢。

您將遇到的 DNS 記錄

• A — 名稱的 IPv4 位址
• AAAA — IPv6 位址
• CNAME — IPv6 位址
• CNAME —PLZ12X —將一個名稱指向另一個名稱的別名
• MX — 郵件網域的伺服器
• TXT — 任意文字。用於 SPF、DKIM、網域擁有權驗證
• NS — 網域的權威名稱伺服器
• SOA — 授權開始，定義區域的參數
• XPLZ1CAAX30XXPLZ1為網域頒發憑證domain
• HTTPS — 較新的記錄類型，讓瀏覽器在連線之前了解 HTTP/3 支援

如何檢查 DNS

• Z424443X.命令列；徹底的輸出
• dig +trace example.com — 顯示從根到權威的每一步
• nslookup example.com — 舊工具，適用於 WindowsPLZ531 example.com — 更簡單的一行回答
• 我們的DNS洩漏測試告訴您您的裝置實際使用哪個解析器