谷歌公共DNS

谷歌公共DNS是谷歌为全球互联网用户提供的免费递归域名系统服务。该服务于2009年12月3日宣布，谷歌将其定位为旨在使网页访问更快、更可靠、更安全的努力。与面向开发者和组织的权威DNS托管产品Google Cloud DNS不同，谷歌公共DNS代表最终用户和网络运营商解析域名查询。 该服务主要通过IPv4解析器地址8.8.8.8和8.8.4.4访问。它还提供IPv6解析器地址和面向使用NAT64的网络的DNS64服务，允许仅IPv6客户端访问IPv4目的地。谷歌使用任播路由，以便发送到公共地址的请求被定向到通常靠近查询用户的操作解析器位置。该服务设计为在非常大的全球基础设施上扩展，根据百科记录中引用的描述，到2018年成为全球最大的公共DNS服务，每天处理超过一万亿次查询。 谷歌公共DNS使用自定义解析器实现，而不是传统的BIND等软件部署。该实现遵循互联网工程任务组DNS标准，并包括旨在减少缓存中毒、欺骗、拒绝服务暴露和其他针对递归解析器的攻击的措施。对于不存在的域，它还返回正常的NXDOMAIN响应，而不是将用户重定向到广告页面，这是商业DNS提供商有时采用的做法。 安全能力随时间发展。最初的服务可以携带DNSSEC相关记录，但不验证客户端的签名。谷歌在2013年初开始暴露DNSSEC验证信息，当客户端明确请求时，并于2013年5月默认进行DNSSEC验证，除非客户端选择退出。2014年6月，该服务开始检测支持EDNS客户端子网的权威服务器，并在适当情况下向这些服务器发送ECS信息，该机制旨在改善地理优化响应，同时引发额外的隐私考虑。2019年1月，谷歌公共DNS采用DNS over TLS，为用户提供解析器流量的加密传输选项。 隐私一直是该服务公开文档的重要方面。谷歌表示，查询IP地址仅保留有限时间，描述为大约24至48小时，而某些互联网服务提供商和位置信息保留更长时间。该服务还因为公共解析器可以帮助用户绕过基于DNS的封锁而受到关注。在土耳其，当局于2014年3月封锁了谷歌公共DNS，此前活动人士推广使用该服务绕过法院对Twitter的限制。这一事件说明了该服务的覆盖范围以及独立DNS解析的政治敏感性。 谷歌公共DNS仍然定位为通用基础设施工具，而不是消费者订阅产品。它被个人用户、应用程序、网络管理员和组织用作互联网服务提供商默认解析器的替代方案。其主要差异化因素是全球规模、简单易记的地址、标准支持、安全功能以及与谷歌更广泛网络基础设施的集成。

谷歌公共DNS于2009年作为谷歌进入公共递归DNS领域的产品出现，该领域是互联网基础设施的一部分，通常由互联网服务提供商或本地网络管理员提供。谷歌于2009年12月3日通过其官方博客和Google Code相关的帖子宣布了该服务。此次发布为互联网用户提供了一个简单的替代默认解析器的选择，并促进了更快浏览、提高可靠性和更强安全性的目标。 该服务围绕全球分布的解析器基础设施设计，而不是一组传统的DNS服务器。用户向易记的IPv4地址（主要是8.8.8.8和8.8.4.4）发送查询，而任播路由将流量引导到可用的操作位置。谷歌还提供了IPv6解析器地址，并后来引入了面向使用NAT64的网络的DNS64端点。这种架构使谷歌公共DNS能够服务非常大的国际用户群，并帮助其成为最广泛使用的公共DNS服务之一。到2018年，参考资料将其描述为最大的公共DNS服务，每天处理超过一万亿次查询。 谷歌选择了自定义解析器实现，而不是依赖标准的BIND部署。该实现旨在符合IETF DNS标准，同时融入谷歌的大规模运营经验。安全文档描述了针对缓存中毒（包括与Kaminsky漏洞相关的攻击）的防御措施，以及旨在减轻拒绝服务和查询重定向风险的措施。该服务还通过返回NXDOMAIN来区分于将不存在域的查询重定向到广告页面的提供商。 DNSSEC支持分阶段发展。在发布时，解析器可以转发DNSSEC格式的信息，但不执行完整验证，并且未设置认证数据指示符。2013年1月28日，当客户端明确设置DNSSEC OK标志时，谷歌开始提供DNSSEC验证信息。2013年5月6日，验证成为默认行为，但客户端可以选择退出。这一转变使服务在返回结果之前更能检测伪造或篡改的DNS数据。 2014年6月，谷歌公共DNS增加了对EDNS客户端子网的自动处理。解析器以低速率探测权威服务器以识别支持该选项的服务器，然后在进行适当查询时包含ECS信息。ECS可以帮助内容分发和地理分布服务提供位置适当的答案，尽管它也会产生额外的隐私考虑，因为更多客户端网络上下文可能与权威基础设施共享。 该服务于2014年3月在土耳其具有政治意义。在法院对Twitter实施限制后，用户发现更改DNS设置可以绕过简单的基于域的封锁机制。活动人士传播谷歌公共DNS地址，包括在公共场所书写。土耳其当局随后封锁了谷歌公共DNS本身。这一事件表明，当互联网控制依赖于DNS操纵时，独立的公共解析器如何作为规避工具，同时也表明解析器的可访问性可以在网络层面受到限制。 谷歌公共DNS后来于2019年1月采用DNS over TLS。加密的DNS传输有助于防止中间人检查或修改传输中的查询，尽管它不会使DNS活动完全匿名。谷歌发布的隐私立场声明，查询IP地址在大约24至48小时后删除，而互联网服务提供商和位置信息保留更长时间。谷歌公共DNS仍然区别于Google Cloud DNS：前者是面向最终用户的公共递归解析器，而后者是权威托管DNS服务。其持续角色是作为基于易记地址、广泛标准支持、安全功能和高运营规模的免费全球基础设施服务。

• 2019

  采用DNS over TLS

  [1]Google Public DNSen.wikipedia.org

  谷歌公共DNS增加了DNS over TLS支持，为兼容的DNS客户端启用加密传输。

• 2014

  添加EDNS客户端子网支持

  [1]Google Public DNSen.wikipedia.org

  解析器开始识别支持EDNS客户端子网的权威服务器，并在适当时发送启用ECS的查询。

• 2014

  服务在土耳其被封锁

  [1]Google Public DNSen.wikipedia.org

  土耳其封锁了谷歌公共DNS，因为用户使用它绕过通过DNS封锁实施的Twitter限制。

• 2013

  引入DNSSEC验证

  [1]Google Public DNSen.wikipedia.org

  谷歌首先为请求的客户端提供DNSSEC验证信息，然后在同年晚些时候默认启用完整验证。

• 2009

  公共DNS服务发布

  [1]Google Public DNSen.wikipedia.org

  谷歌于2009年12月3日宣布谷歌公共DNS，将其定位为旨在提高浏览性能、可用性和安全性的免费递归解析器。

作为ISP提供的DNS解析器的免费、全球可访问替代方案，强调速度、可用性、标准合规性、安全性以及可预测的非重定向错误响应。

• 公共递归DNS · 2009

  谷歌公共DNS IPv4

  核心公共解析器服务可通过易记的IPv4地址8.8.8.8和8.8.4.4访问。查询通过谷歌的分布式任播基础设施处理，该基础设施将流量引导到可用的解析器位置。该服务支持普通递归解析、DNSSEC验证、针对缓存中毒的保护，以及对不存在域返回正常的NXDOMAIN响应，而不是广告重定向。

• 公共递归DNS

  谷歌公共DNS IPv6

  谷歌公共DNS还为使用IPv6连接的网络和设备提供IPv6解析器端点。这些端点将相同的公共递归解析模型扩展到IPv4之外，并作为谷歌全球分布式DNS基础设施的一部分运行。

• DNS64解析器

  谷歌公共DNS64

  DNS64变体面向使用NAT64的仅IPv6环境。它合成DNS响应，允许IPv6客户端访问仅通过IPv4可用的服务，为标准公共端点提供了专门的解析器选项。

• 加密DNS传输 · 2019

  谷歌公共DNS over TLS

  DNS over TLS允许兼容客户端通过加密连接发送解析器流量。该功能于2019年为谷歌公共DNS引入，旨在减少中间人的拦截和篡改，同时保留服务的递归DNS功能。

• 2019

  采用DNS over TLS新品

  背景

  传统的DNS查询通常在没有传输加密的情况下发送，可能被中间人查看或修改。

  采取的行动

  谷歌公共DNS于2019年1月为兼容客户端增加了DNS over TLS支持。

  后续影响

  用户获得了DNS查询的加密传输选项，尽管加密本身并不提供完全匿名或隐藏所有后续网络活动。

  来源

• 2014

  支持EDNS客户端子网感知解析其他

  背景

  地理分布的网站和内容分发系统可能根据客户端位置返回不同的答案。谷歌公共DNS识别支持EDNS客户端子网选项的权威服务器。

  采取的行动

  该服务开始探测ECS能力，并向符合条件的权威名称服务器发送启用ECS的查询。

  后续影响

  该功能可以改善地理答案选择，同时也要求用户和运营商考虑共享额外网络位置上下文的隐私影响。

  来源

• 2013

  默认进行DNSSEC验证其他

  背景

  在发布时，谷歌公共DNS可以携带DNSSEC记录而不完全验证。谷歌随后为设置DNSSEC OK标志的客户端提供验证信息。

  采取的行动

  谷歌于2013年1月首先启用验证信息，然后于2013年5月6日将DNSSEC验证设为默认，除非客户端明确选择退出。

  后续影响

  这一变化增强了解析器拒绝伪造或篡改DNS数据的能力，并使DNSSEC保护无需每个客户端手动请求即可使用。

  来源

• 2019

  谷歌公共DNS增加DNS over TLS[1]Google Public DNSen.wikipedia.org

  产品发布 · 产品换代

  谷歌公共DNS采用DNS over TLS，为兼容客户端和解析器服务之间的DNS查询提供加密传输方法。

• 2014

  谷歌公共DNS采用EDNS客户端子网支持[1]Google Public DNSen.wikipedia.org

  产品换代

  谷歌公共DNS开始检测支持EDNS客户端子网的权威名称服务器，并在适当时使用该选项以改善位置敏感的DNS响应。

• 2014

  谷歌公共DNS在土耳其被封锁[1]Google Public DNSen.wikipedia.org

  监管 · 其他

  土耳其封锁了谷歌公共DNS，因为用户使用该服务绕过Twitter限制。该事件发生在解析器IP地址作为域级封锁的变通方法公开传播之后。

• 2013

  谷歌公共DNS增加DNSSEC验证[1]Google Public DNSen.wikipedia.org

  产品换代 · 其他

  该服务从传递DNSSEC记录发展到提供验证信息，然后默认验证DNSSEC响应。

• 2009

  谷歌宣布推出谷歌公共DNS[1]Google Public DNSen.wikipedia.org

  产品发布

  谷歌推出了一项免费的公共递归DNS服务，使用易记的解析器地址，并将其定位为改善网页速度和安全的努力。

1. 1Google Public DNSen.wikipedia.org
2. 2Google Public DNS official documentationdevelopers.google.com