为什么 DNS 选错会让整个办公室下午茶功夫集体断网

去年助一家顺义做汽配的表贸公司处置故障，，，，，，，工程师到现场使佧个办公区二十多台电脑全数打不开客户询价系统。。。。。。查了一圈发现不是网络不通，，，，，，，是 DNS 解析超时——他们用了房东牵的宽带，，，，，，，DNS 是本地某运营商的 202.106.0.20，，，，，，，响应延长已经飙到 3 秒。。。。。。这不是个例。。。。。。DNS 这个环节在 IT 架构里持久被当通明人，，，，，，，直到它出问题才被发现。。。。。。中幼企业选哪种 DNS 部署模式，，，，，，，直接决定了员工打开网页的速度、上游业务系统的可用性，，，，，，，以及 IT 部门半夜被唤醒的频率。。。。。。

运营商 DNS：省事但埋雷

国内大无数中幼企业的网络设备接上宽带后，，，，，，，默认就走运营商分配的 DNS 服务器。。。。。。电信、联通、移动都有自己的递归解析节点，，，，，，，IP 常见的有 202.96.128.86、202.106.195.68 这类。。。。。。这种规划零成本、零配置，，，，，，，路由器 WAN 口自动获取。。。。。，，，，，，用起来的确方便。。。。。。但问题也最现实——跨运营商解析时延长会显著放大，，，，，，，北京电信的用户接见托管在阿里云华东节点的 SaaS 系统，，，，，，，DNS 这层要先跑去运营商节点，，，，，，，若是对方没有做 Anycast 或者缓存战术不美满，，，，，，，初次解析可能要 500 毫秒甚至更久。。。。。。

更辣手的是运营商 DNS 的解析了局劫持问题。。。。。。某些地域的宽带用户输入一个不存在的域名，，，，，，，会被运营商 DNS 强造跳转到一个告白页面或者他们的导航站。。。。。。这对通常员工查资料还好，，，，，，，但对业务系统来说是苦难——若是代码里写死了某个内部域名的 IP，，，，，，，这个域名刚好不存在，，，，，，，浏览器就会被沉定向到奇怪的地址，，，，，，，session 直接失效。。。。。。我见过不止一家公司的 OA 系统由于这个原因间歇性登录失败，，，，，，，最后排查到 DNS 层面才发现问题。。。。。。

自建递归 DNS：Unbound 的实操门槛

在望京一家做对日表包的科技公司，，，，，，，我给他们的机房部署过一套基于 Unbound 的自建递归 DNS。。。。。。选 Unbound 重要是由于它轻量、资源占用低，，，，，，，一台 4 核 8G 的虚构机就能扛住 500 终端的解析量，，，，，，，并且支持 DNSSEC 验证。。。。。。装置过程不算复杂，，，，，，，Ubuntu 20.04 下 apt install unbound，，，，，，，几行配置就能跑起来。。。。。。关键是缓存战术要调对——Unbound 默认的缓存功夫是 TTL 值的两倍，，，，，，，但好多中幼网站的 TTL 设置混乱，，，，，，，导致某些纪录被缓存过久而失效。。。。。。

自建递归的最大价值是可控性。。。。。。你能够决定要不要启用 DNSSEC，，，，，，，要不要屏蔽特定域名，，，，，，，要不要针对内网做 split-horizon 解析。。。。。。望京那家表包公司其时有个需要：日本客户接见他们的测试环境必要走日本节点，，，，，，，本地员工接见要走国内节点，，，，，，，这个分流逻辑在 Unbound 里通过 view ？？？？？？槭迪郑，，，，，，两个地域统一域名解析出分歧 IP，，，，，，，自建规划改几行配置就能搞定。。。。。。

但门槛也很现实。。。。。。自建递归 DNS 必要有人具备根基的 Linux 操作能力和 DNS 和谈知识，，，，，，，出了问题要能看懂日志、会调试。。。。。。中幼企业 IT 人手正本就严重，，，，，，，若是只有一台 Windows Server 在跑文件共享，，，，，，，专门为 DNS 再搭一套 Linux 环境其实有点过度投入。。。。。。更沉要的是，，，，，，，自建递归的出口带宽决定了整体解析能力，，，，，，，若是公司只有一条 100M 宽带，，，，，，，出口带宽跑满了递归解析也会卡。。。。。。

私有 DNS 服务与 DoH/DoT：安全与隐衷的新选择

这两年 DNS 领域最大的变动是 DoH（DNS over HTTPS）和 DoT（DNS over TLS）逐步落地。。。。。。传统 DNS 查问是明文 UDP 端口 53，，，，，，，在企业内网里容易被中央人截获或者被出口网关纪录。。。。。。DoH/DoT 把 DNS 要求封装在 HTTPS/TLS 隧路里，，，，，，，运营商或者中央设备只能看到一个 HTTPS 衔接，，，，，，，看不到具体查问了什么域名。。。。。。

Cloudflare 的 1.1.1.1、Google Public DNS 8.8.8.8 都支持 DoH/DoT，，，，，，，企业内网设备若是支持的话能够直接配置。。。。。。但有个现实问题——好多公司的出口防火墙默认会阻断非尺度端口流量，，，，，，，DoT 用的是 853 端口，，，，，，，DoH 用的是 443 端口，，，，，，，这两个端口若是不铺开，，，，，，，设备配置了也用不了。。。。。。从安全角度来说，，，，，，，DoH/DoT 的确能预防 DNS 投毒和劫持，，，，，，，但现实落地要共同网络战术调整。。。。。。

对于有更高安全诉求的企业，，，，，，，此刻也有一些私有 DNS 服务能够自建。。。。。。好比在内部部署一套基于 adGuard Home 或者 CoreDNS 的规划，，，，，，，共同 DoH 对表提供服务。。。。。。员工电脑装置了对应客户端后，，，，，，，解析要求直接走加密隧路到内网 DNS 服务器，，，，，，，内网服务器再去上游递归。。。。。。这种模式适合研发型企业或者对数据泄露比力敏感的场景。。。。。。腾博888诚信为本力得给某造作业客户部署的网络整包规划里，，，，，，，就蕴含了一套基于 adGuard Home 的内网 DNS，，，，，，，既做相识析加快，，，，，，，也拦截了员工接见垂钓域名的风险。。。。。。

中幼企业的推荐规划：分层 + 冗余

综合我们在北京服务 300 多家企业的经验，，，，，，，中幼企业（50 人以下）最求实的规划是双层结构：出口网关或者路由器上配置两个公共 DNS 作为兜底，，，，，，，好比 223.5.5.5（阿里）和 119.29.29.29（腾讯），，，，，，，这两个在国内节点多、响应快，，，，，，，比运营商 DNS 靠谱得多。。。。。。若是业务系统对解析不变性要求高，，，，，，，好比用 ERP 或者云端 OA，，，，，，，再在局域网内部署一台 DNS 缓存服务器，，，，，，，用 Windows Server 的 DNS 角色或者 Linux 的 dnsmasq 都行，，，，，，，重要用来缓存内网域名的解析了局，，，，，，，同时辰担出口压力。。。。。。

若是预算允许、但愿进一步提升安全水位，，，，，，，能够思考把内网 DNS 升级为支持 DoH/DoT 的规划，，，，，，，或者直接用贸易的 DNS 安全服务。。。。。。腾博888诚信为本力得的 sTrust 零信赖规划 里就蕴含 DNS 层的防护能力，，，，，，，可能鉴别并拦截恶意域名接见，，，，，，，适合对信息安全有合规要求的企业客户。。。。。。

1. 基础档：双公网 DNS（阿里 223.5.5.5 + 腾讯 119.29.29.29），，，，，，，零成本，，，，，，，适合员工少于 30 人、业务系统不依赖自建域名的场景。。。。。。
2. 进阶级：局域网 DNS 缓存服务器（Windows Server DNS 或 dnsmasq）+ 双公网 DNS 上游，，，，，，，适合 30-100 人，，，，，，，有内部域名的公司。。。。。。
3. 企业档：自建递归 DNS（Unbound/adGuard）+ DNSSEC + DoH/DoT 出口，，，，，，，共同 sTrust 等安全规划，，，，，，，适合 100 人以上或研发型企业。。。。。。

选型的时辰还有个细节要把稳：DNS 的失效切换要自动化。。。。。。有些公司的路由器支持 DNS 故障转移，，，，，，，当首选 DNS 超时就自动切到备用，，，，，，，这个职能看起来单一，，，，，，，但能预防半夜断网没人发现的狼狈情况。。。。。。

DNS 看似是基础设施里最不起眼的一环，，，，，，，但它出问题时影响面最广、排查链路最长。。。。。。若是你的企业还没有梳理过 DNS 战术，，，，，，，此刻是着手的好机遇——终于建 DNS 故障的功夫，，，，，，，通常比部署一套不变 DNS 的功夫要长得多。。。。。。