谷歌DNS在2018年有哪些重要的安全更新？

在互联网的底层架构中,域名系统（DNS）扮演着“电话簿”的角色，负责将我们易于记忆的网址（如www.google.com）翻译成机器能够理解的IP地址，长期以来，谷歌提供的公共DNS服务（以其著名的IP地址8.8.8.8和8.8.4.4为代表）因其高速、稳定和可靠性，成为了全球用户和技术爱好者的首选，在2018年之前，尽管谷歌DNS在性能上表现出色，但其一个根本性的缺陷也一直存在——缺乏加密，这一年，谷歌为DNS服务带来了革命性的更新，彻底改变了网络隐私和安全的格局。

谷歌DNS的基础：速度与可靠性的基石

在深入探讨2018年的重大变革之前,有必要回顾一下谷歌DNS为何能赢得广泛赞誉，自2009年推出以来，谷歌DNS的核心价值主张主要体现在以下几个方面：

• 速度： 谷歌在全球范围内部署了庞大的服务器集群，利用其全球性的网络基础设施，确保用户无论身处何地，都能获得快速的DNS解析响应，这直接缩短了网页加载的等待时间，提升了浏览体验。
• 可靠性： 凭借其强大的技术实力和冗余设计，谷歌DNS的服务可用性极高，几乎不会出现中断，这对于依赖稳定网络连接的企业和个人用户至关重要。
• 安全性： 在2018年之前，谷歌DNS已经具备了一定的安全防护能力，例如会修正一些明显的拼写错误，并阻止访问已知的恶意网站（钓鱼、恶意软件等），为用户提供了一层基础的防护。

这些特性使得8.8.8.8和8.8.4.4这两个数字在技术圈内家喻户晓，用户只需在电脑或路由器的网络设置中填入这两个地址，即可享受到比大多数互联网服务提供商（ISP）默认DNS更优质的服务，这一切都是在“明文”环境下进行的。

2018年的里程碑：引入DNS-over-TLS (DoT)

传统的DNS查询过程是未加密的,这意味着，当您在浏览器中输入一个网址时，您的设备会向DNS服务器发送一个明文请求，询问该网址对应的IP地址，这个请求在传输过程中，任何处于网络路径上的中间方——包括您的ISP、网络管理员，甚至是同一公共Wi-Fi下的黑客——都有可能窥探到您正在访问哪些网站，这不仅构成了严重的隐私泄露风险，也为DNS劫持等中间人攻击提供了可乘之机。

2018年4月1日,谷歌宣布为其公共DNS服务提供一项关键性的安全增强功能——DNS-over-TLS（简称DoT），这并非一个愚人节玩笑，而是互联网安全领域的一个重大进步，TLS（传输层安全性协议）正是我们熟悉的HTTPS网站所使用的加密技术，通过将DNS查询封装在TLS连接中，谷歌DNS实现了端到端的加密。

当用户启用支持DoT的谷歌DNS后,所有DNS查询都将通过一个安全的加密隧道进行，外界观察者只能看到您的设备与谷歌DNS服务器之间建立了加密连接，但无法得知您具体查询了哪些域名，这就像给DNS“电话簿”的查询过程加上了一个“保密信封”，确保了查询内容的机密性。

加密带来的核心优势：隐私与安全

引入DoT后,谷歌DNS的核心优势得到了极大的扩展，从单纯的性能工具升级为捍卫用户隐私和安全的重要屏障，下表清晰地对比了传统DNS与启用DoT的谷歌DNS之间的关键区别：

如何启用和使用支持DoT的谷歌DNS

启用DoT比简单地更改IP地址要复杂一些,因为它需要操作系统或应用程序层面的支持，在2018年，主流操作系统的支持尚不普及，但谷歌的推动为后续的普及奠定了基础。

• 传统方式（无加密）： 依然可以在任何设备的网络设置中手动配置DNS服务器为 8.8.8 和 8.4.4。
• 启用DoT的方式：
  • Android系统： Android 9 Pie是首个原生支持“私有DNS”（基于DoT）的主流操作系统，用户可以在“网络和互联网”->“高级”->“私有DNS”设置中，选择“私有DNS提供程序主机名”并输入 dns.google，即可自动启用与谷歌DNS的加密连接。
  • 其他系统： 在2018年，Windows、macOS和iOS系统并未原生支持DoT，用户需要借助第三方VPN客户端或专门的DNS加密客户端应用来实现，这些应用会在设备上建立一个虚拟网络接口，将所有DNS查询通过DoT隧道转发。

2018年的另一项重要更新：全新的管理API

除了面向普通用户的DoT功能,谷歌在2018年还为其DNS服务引入了一个全新的管理API（应用程序编程接口），这个更新主要面向开发者和网络管理员，新的API提供了更精细的控制和更强大的自动化管理能力，允许开发者将谷歌DNS的策略（如阻止特定域名、自定义路由等）集成到自己的应用程序或网络管理工具中，极大地提升了大型网络环境下的DNS管理效率和灵活性。

相关问答FAQs

问：谷歌DNS的DoT（DNS-over-TLS）和后来出现的DoH（DNS-over-HTTPS）有什么区别？

答： DoT和DoH都是旨在加密DNS流量的技术，但它们在工作方式上存在关键区别，DoT使用专用的TCP端口853，其流量特征非常明显，网络管理员可以轻松识别并选择性地允许或阻止，而DoH则将DNS查询伪装成标准的HTTPS流量，使用与网页浏览相同的TCP端口443，这使得它更难被网络防火墙识别和过滤，因此在规避审查和增强隐私方面更具优势，谷歌DNS同时支持这两种协议。

问：切换到谷歌DNS会影响我的网速吗？

答： 这取决于具体情况，谷歌DNS通常能提供更快的“解析速度”，即从查询到获得IP地址的响应时间，这可能会让网页加载的初始阶段感觉更快，它不会改变你的物理带宽（即你的网络套餐提供的下载/上传速度），在某些情况下，如果谷歌DNS的服务器地理位置离你很远，或者你的ISP对其进行了限速，解析速度可能会稍慢于本地ISP的DNS，但总体而言，对于大多数用户，使用谷歌DNS带来的体验是持平或提升的，尤其是在结合DoT后，安全性和隐私性的增益远超可能存在的微小延迟。