DNS透传

DNS透传，说白了就是把本该被运营商或公共DNS服务器拦截、改写、污染的那些域名解析请求，原封不动地送到真正的权威服务器那里去。这技术听着冷门，但每个翻过墙、绕过封锁、或者在公司内网里折腾过的人，都跟它打过交道。

我印象最深的一次，是帮朋友调试一台老掉牙的打印机。那打印机连不上公司Wi-Fi，折腾半天发现是DNS解析出了问题——公司内网的打印机域名被路由器挡了。路由器里写着“禁止解析非白名单域名”，这打印机偏偏要访问一个外部更新服务器。最后我在路由器上开了个DNS透传，把内网域名和外部域名分开走，打印机瞬间就活了。那一刻我才意识到，这技术不是给黑客用的，它就是个日常网络里的小扳手。

原理其实不复杂。正常上网时，你的设备发出DNS查询，这个查询会先到本地配置的DNS服务器（比如运营商给的），再由它往上递归查询。透传呢，就是让这个查询跳过中间那些可能做手脚的节点，直接以原始格式、原始请求内容，打到目标权威服务器上。关键在“透”字——不加密、不修改、不缓存，像一根透明管子把请求送过去。

但问题也出在这个“透”上。DNS默认走UDP 53端口，明文传输，任何人都能看。透传等于把查询内容赤裸裸地暴露在网络上。你访问了什么域名，一目了然。有些安全软件会警告你“DNS泄露”，指的就是这个。更麻烦的是，有些网络环境会故意丢弃非标准端口的DNS请求，透传反而成了靶子。所以现在很多方案都改用DoH（DNS over HTTPS）或DoT（DNS over TLS），把查询包在加密隧道里，那就不叫透传了，叫“暗传”。

个人体验里，最爽的用法是配合自建DNS服务器。我在家里树莓派上跑了个Unbound，开启转发模式，把上游请求直接透传到根服务器。效果立竿见影——广告过滤规则不用了，因为很多广告域名在根服务器阶段就被解析成0.0.0.0；访问国外网站的速度也快了，因为绕过了本地DNS的缓存污染。但代价是，一旦网络波动，DNS查询会超时，网页打开就卡。这时候你会怀念运营商DNS的“智能”缓存，虽然它偶尔给你插播广告。

别把透传神化。它解决的是“被欺骗”的问题，解决不了“被封锁”的问题。如果运营商直接把53端口流量全掐了，透传也没辙。而且，完全透明的DNS会让你的浏览记录暴露给所有中间节点——这比被运营商记录还危险。所以我的建议是：小范围、特定场景用透传，比如内网调试、绕过本地DNS劫持；真要追求隐私，还是上加密DNS吧。

技术这东西，从来不是越透明越好。透传像一把直尺，量得准但藏不住；加密DNS像一把卷尺，能弯能收但读数费劲。用哪个，取决于你手里拿的是图纸，还是地图。