DNS 解析器与加密 DNS：8.8.8.8、1.1.1.1 到底做了什么

"把 DNS 改成 8.8.8.8"是很多人装完宽带的第一件事。但改的到底是什么？它如何影响上网速度和隐私？加密 DNS（DoH/DoT）又是什么？这篇把 DNS 解析器这一层讲透。

解析器在 DNS 链路里的位置

一次完整的域名解析有三层角色：

1. 你的设备（stub resolver）：发出"example.com 的 IP 是多少"这个问题
2. 递归解析器（recursive resolver）：接到问题后替你跑完整个查询链——问根服务器"谁管 .com"、问 .com 权威"谁管 example.com"、再问 example.com 的权威要最终答案，然后缓存结果返回给你
3. 权威服务器（authoritative）：真正持有记录的那台，给出最终应答

你设置的"DNS 服务器"就是第 2 层——递归解析器。8.8.8.8 是 Google 的公共递归解析器，1.1.1.1 是 Cloudflare 和 APNIC 合作的，114.114.114.114 是国内的。它们替你跑腿、替你缓存，也看得见你的所有域名查询——这是本篇的核心话题。

公共 DNS 怎么选：三个维度

速度——解析器离你越近，递归查询首跳延迟越低。国内用户用国内公共 DNS（223.5.5.5、119.29.29.29）通常比 8.8.8.8 快，因为 Google 的节点在境外。但注意：解析快 ≠ 访问快，真正影响访问速度的是权威服务器把 CDN 的哪个节点 IP 给你——这就引出 ECS。

ECS（EDNS Client Subnet）——递归解析器把你的网段前缀（通常是 /24）带给权威服务器，CDN 据此返回就近节点。国内递归把你的网段传给国内 CDN，通常能拿到近点；某些境外递归不传 ECS 或者解析链路绕路，CDN 可能把你调度到远端。所以"换 DNS 后某些网站变快/变慢"的现象，多半不是解析本身的问题，而是 ECS 调度结果变了。

隐私——解析器日志里是你完整的上网轨迹（访问过哪些域名、什么时间）。公共 DNS 的隐私政策各不相同，这是选择时最该读的部分。

DoH 与 DoT：给 DNS 查询上锁

传统 DNS 是明文 UDP 查询——同一网络里的任何人（运营商、WiFi 管理员、中间人）都能看到你查询了哪些域名，甚至篡改应答（运营商 DNS 劫持广告就是这么来的）。

加密 DNS 的两条路线：

• DoT（DNS over TLS，端口 853）：把 DNS 包装在 TLS 里，专门的加密通道
• DoH（DNS over HTTPS，端口 443）：把 DNS 包装在普通 HTTPS 流量里，和网页流量混在一起，网络上无法区分"这是 DNS 查询"还是"这是访问网站"

DoH 因为端口与 HTTPS 相同、更难被单独识别和封锁，成了浏览器侧的主流：Chrome、Firefox 都内置了"安全 DNS"开关，默认可能已启用。Android 的 Private DNS（设置里填 dns.google 或 1dot1dot1dot1.cloudflare-dns.com）走的就是 DoT。

加密 DNS 能防什么，不能防什么

能防：本地网络偷看你的查询明文（咖啡店 WiFi 的管理员只能看到你连了加密通道）、运营商基于明文 DNS 的劫持与广告注入。

不能防：递归解析器本身——你只是把"看得见你查询"的角色从运营商换成了 DoH 服务商；SNI 泄露——建立 HTTPS 连接时目标域名仍以明文出现在 TLS ClientHello 里，网络层照样能看到你访问了什么（ECH 普及之前）；以及递归到权威这一段，解析器自己仍然以明文查询权威服务器。

也就是说：加密 DNS 解决的是"最后一公里"的加密，整条链路的隐私是分段改进的。想检查你的环境里 DNS 出口是否和你预期的网络一致（挂代理时 DNS 有没有"绕过"代理直连），跑一次 IPchase 首页的 DNS 泄露检测——原理展开见 DNS 泄露详解。

实操建议

• 国内日常：223.5.5.5 / 119.29.29.29，快且稳，隐私政策自行取舍
• 看重隐私：1.1.1.1 + DoH/DoT（Chrome 开"安全 DNS"或 Android Private DNS）
• 排查解析问题：用 DNS 解析诊断从公共解析器查，绕过本机缓存，对比结果判断是本地缓存、运营商递归还是权威记录的问题
• 企业环境：内网域名的解析依赖内网 DNS，盲目改公共 DNS 会导致内网系统访问异常——这是 IT 报修的经典场景

解析只是第一步，解析出的 IP 是否健康、是否真的是源站，是另一个话题——CDN 的影响见下一篇或直接查看 IP 归属地查询。