DNS 代理

DNS 代理是一台中间服务器，它拦截、处理并把客户端设备的 DNS 查询转发给上游 DNS 解析器，充当所有 DNS 流量的网关。它的主要作用是在 DNS 解析请求到达权威 DNS 服务器之前对其进行管理和优化，从而带来更强的安全性、更好的性能以及对 DNS 操作的集中管控。

DNS 解析的工作原理

要理解 DNS 代理，首先必须掌握标准的 DNS 解析流程：

1. 客户端应用（例如网页浏览器）尝试使用主机名访问某个资源（例如 www.example.com）。
2. 客户端操作系统检查本地 DNS 缓存。若未找到记录，它会向已配置的本地 DNS 解析器发送 DNS 查询（该解析器通常由 ISP 提供，或来自 Google DNS、Cloudflare DNS 这类公共 DNS 服务）。
3. 本地 DNS 解析器依次查询根 DNS 服务器、顶级域（TLD）DNS 服务器（例如 .com），最后查询该域名（example.com）的权威 DNS 服务器。
4. 权威 DNS 服务器返回与该主机名对应的 IP 地址。
5. 本地 DNS 解析器缓存该记录，并把它返回给客户端。
6. 客户端收到 IP 地址，并与目标服务器建立连接。

DNS 代理的工作原理

DNS 代理把自己插入到这个流程中。客户端不再直接查询上游 DNS 解析器，而是把所有 DNS 请求发送给代理服务器，后续步骤由代理处理：

1. 客户端查询： 客户端设备被配置为使用 DNS 代理的 IP 地址作为主 DNS 服务器。当客户端需要解析主机名时，它会向代理发送 DNS 查询。
2. 代理处理： 收到查询后，DNS 代理会根据自身配置执行多种操作：
   • 缓存： 在本地缓存中查找所请求的记录。若命中且仍然有效，就直接把缓存记录返回给客户端，跳过上游查询。
   • 过滤／策略执行： 依据既定规则评估查询（例如恶意域名黑名单、家长控制过滤器）。若该域名被拦截，代理可以返回不存在域名（NXDOMAIN）响应、指定错误页面的 IP，或者重定向该查询。
   • 日志记录： 记录查询，用于审计、分析或调试。
   • 协议转换： 可在转发到上游之前，把标准的 UDP DNS 查询（DNS over UDP/TCP）转换为加密 DNS 查询（DNS over HTTPS/TLS）。
   • 负载均衡： 若配置了多个上游解析器，可在它们之间分配查询，以优化性能或保证冗余。
3. 转发： 若记录未被缓存或需要进一步解析，代理会把查询转发给已配置的上游 DNS 解析器。这些上游解析器可以是公共 DNS 服务、ISP 的 DNS 服务器，或企业内部 DNS 服务器。
4. 上游解析： 上游 DNS 解析器执行标准的递归 DNS 解析流程。
5. 响应处理： 上游解析器把 IP 地址返回给 DNS 代理。
6. 代理响应： 代理收到响应后进行缓存（如适用），应用最后的各项策略，然后把 IP 地址返回给最初的客户端。

客户端配置示例（Linux resolv.conf）

一台配置为使用 192.168.1.1 上的 DNS 代理的客户端设备，会有类似这样的条目：

# /etc/resolv.conf
nameserver 192.168.1.1

DNS 代理配置示例（概念性的 dnsmasq）

一份充当缓存和转发 DNS 代理的简单 dnsmasq 配置：

# /etc/dnsmasq.conf
cache-size=10000        # 最多缓存 10,000 条 DNS 记录
listen-address=192.168.1.1 # 在此 IP 上监听查询
server=8.8.8.8          # 把查询转发到 Google Public DNS
server=1.1.1.1          # 使用 Cloudflare DNS 作为备用上游
log-queries             # 记录所有 DNS 查询

主要特性与优势

DNS 代理提供以下几方面优势：

安全性

• 过滤与拦截： 代理可与威胁情报源集成，在 DNS 层面阻断对已知恶意域名（恶意软件、钓鱼、僵尸网络）的访问。
• 策略执行： 落实访问策略，例如拦截特定内容类别或强制启用安全搜索。
• DNSSEC 校验： 部分代理可代客户端执行 DNSSEC 校验，确保 DNS 响应的真实性与完整性。
• 加密 DNS 网关： 作为网关，把客户端未加密的 DNS 查询转换为发往上游解析器的 DNS over HTTPS（DoH）或 DNS over TLS（DoT）查询，加密 DNS 流量并提升隐私性。

性能

• 缓存： 通过缓存高频请求的 DNS 记录，代理减少了查询上游服务器的需要，降低延迟并提升后续请求的解析速度。
• 负载均衡： 把 DNS 查询分散到多个上游解析器，避免单点故障并优化响应时间。
• 降低上游负载： 通过代理集中处理查询，可减轻上游 DNS 服务器直接承受的查询压力。

隐私

• 查询匿名化： 上游 DNS 解析器看到的查询来自代理服务器的 IP 地址，而非各个客户端的 IP，从而提升客户端隐私。
• 加密网关： 如前所述，把客户端未加密的查询在上游转换为 DoH/DoT，可保护 DNS 流量免遭窃听与篡改。

管控与可见性

• 集中管理： 所有 DNS 流量都经过单一节点，简化了配置和管理。
• 日志与审计： 完整的 DNS 查询日志可洞察网络活动、辅助排障并支持合规要求。
• 自定义响应： 为特定查询配置特定响应，例如把内部域名指向私有 IP 地址，或返回自定义错误页面。

DNS 代理的类型

虽然“DNS 代理”一词通常指正向代理，但具体实现各不相同：

• 本地 DNS 代理（客户端侧）： 直接运行在客户端设备上的软件（例如 Linux 上的 systemd-resolved、Windows 上的 DNS 客户端服务），负责缓存查询并转发到已配置的解析器。
• 网络级 DNS 代理（路由器／防火墙）： 集成在路由器、防火墙或专用 DNS 设备等网络设备中，为本地网段内的所有客户端提供服务。
• 云端 DNS 代理： 由第三方服务商提供的服务，在全球范围内拦截并处理 DNS 查询，通常带有高级安全、过滤和性能功能。客户端把 DNS 设置指向该云服务的 IP 地址即可。

DNS 代理与传统 DNS 解析器对比

常见使用场景

• 广告拦截与恶意软件防护： 通过维护广告域名和恶意域名的黑名单，DNS 代理可阻止客户端解析这些域名，从而有效拦截广告并抵御威胁。
• 家长控制与内容过滤： 依据预设规则限制访问特定类别的网站（例如成人内容、社交媒体）。
• 地区解锁（Smart DNS）： 部分代理可修改 DNS 响应，让某些受地区限制的内容看起来可以从另一个位置访问，而无需让全部流量走 VPN。
• 内部网络管理： 在企业环境中，DNS 代理可把内部域名查询转发到权威的内部 DNS 服务器，同时把外部查询导向公共解析器，从而简化混合环境。
• 负载均衡与故障转移： 把 DNS 查询分配到多个上游解析器，确保高可用性和最佳性能。
• 日志与审计： 集中收集 DNS 查询日志，用于安全监控、合规和网络调试。
• DNS over HTTPS/TLS（DoH/DoT）网关： 为不原生支持 DoH/DoT 的设备提供加密 DNS，提升全网流量的隐私性。