opendns

定义

opendns 指一套面向公众和企业开放的递归域名解析服务。域名系统(DNS)的作用类似互联网的电话簿，把便于记忆的域名转换成网站对应的 IP 地址；普通用户每天可能发起上千次这类查询^[3]。opendns 的定位是在这一步查询上增加安全与速度能力，而不只是做地址转换。

使用该服务不需要购买硬件或安装软件，只需把终端设备的 DNS 服务器地址指向其公开的解析器地址，例如 IPv4 的 208.67.222.222 与 208.67.220.220，并可用 208.67.222.123 与 208.67.220.123 启用家庭防护版本^[1]。Windows、macOS、Linux 均可按系统步骤手工设置，路由器侧通过 DHCP 下发也能生效^[1]。

该服务在 2006 年上线时，多数用户使用的是本地互联网服务商自动分配的解析器；opendns 属于较早由第三方独立提供公共解析的案例之一，其设计围绕安全、速度、智能与可靠性四方面展开^[3]。

原理

域名解析的核心是把域名逐级问询后得到 IP 地址。opendns 维护规模很大的递归缓存，缓存中覆盖的域名大多可以直接给出答案，无需再向权威服务器查询，从而缩短响应时间^[3]。

网络层面采用任播(Anycast)路由：同一个解析器地址同时存在于多个数据中心的大量服务器上，由路由把查询送到离用户最近的一处，再在站点内部做负载均衡^[3]。跨三大洲的自愈式网络结构，以及每个站点接入多家运营商、多个区域网络，用来避免单点故障扩散^[3]。

过滤能力在解析环节生效。解析器按策略判定被查域名是否属于恶意或受限类别，命中时返回拦截页面而非地址，未命中则正常返回解析结果；在无线局域网控制器的集成部署中，控制器截获客户端的 DNS 数据包并重定向到云端解析器，同时通过 EDNS 在数据包中携带设备身份标记，使策略可按设备或用户角色分别执行^[4]。

简化表达为：$\text{用户查询} \rightarrow \text{最近任播节点} \rightarrow \text{缓存命中或递归查询} \rightarrow \text{策略判定} \rightarrow \text{返回地址或拦截页}$^[3][4]。

发展历程

该服务由大卫·尤里维奇(David Ulevitch)创立，2006 年 7 月起开始对外提供服务，并获得由 CNET 创始人哈尔西·迈纳(Halsey Minor)所设投资机构的风险投资^[2]。上线后请求量增长很快：7 月 10 日接纳若干大型技术站点作为用户后，日请求数由 7 月 9 日的约一百万次升至 7 月 30 日的约三千万次^[2]。

2006 年 10 月，该服务参与建立反钓鱼信息库 PhishTank，用于收集、整理并公开钓鱼站点信息^[2]。2007 年起，其在西雅图、帕洛阿尔托、纽约、华盛顿和伦敦等地布设节点；2010 年 11 月首个亚洲数据中心在新加坡启用，2012 年 9 月香港成为其第二个亚洲节点^[2]。2014 年，出于商业服务安全考虑，其停止了错误域名页面上的广告^[2]。

2015 年 6 月 30 日，思科系统宣布以约 6.35 亿美元的现金加股票收购该公司^[2]。此后该能力被整合进思科的云安全产品体系，在后续技术文档中以 Umbrella 的名称与 opendns 并列出现^[4]。

应用

个人和家庭用户可把设备解析器改为其公开地址，获得较快的解析速度，并借助过滤器屏蔽钓鱼站点、恶意软件站点与成人内容；家庭防护版本无需配置即可用同一套规则^[1]。

企业环境下的用法更接近策略管控。网络设备把 DNS 流量统一指向云端解析器，按组织预先设定的类别规则决定放行或拦截，并可按身份区分不同用户组、设备类型的访问策略，从而在连接建立之前就完成过滤^[4]。这类部署需要先在云端建立账户，再让控制器完成注册并获取配置^[4]。

在运维和安全分析中，私有 DNS 数据也常被用于观察解析行为、识别异常域名访问，这类数据反映的是查询层面的信息，而非网页内容^[3]。

局限

仅改 DNS 无法取代完整的安全防护。解析层的过滤只能依据域名判定，对同一域名下托管的有害内容、以及不依赖域名解析的攻击手段作用有限；其官方定位也把这项能力比作针对 DNS 的防火墙，而非通用安全网关^[3]。

配置可能被绕过或失效。若浏览器启用了基于 HTTPS 的 DNS(DoH)，系统层面的解析器设置会被跳过，实际查询改由浏览器发出，导致策略预期与实际结果不一致；VPN、移动设备管理配置文件、安全软件以及路由器下发的 DHCP 选项，也会覆盖终端的手工设置^[1]。本地 DNS 缓存同样会让配置变更不能立即体现，需要清空缓存后再验证^[1]。

名称与实际性质存在落差：该服务虽名为“Open”，本身并非开源软件，仅有部分相关项目公开源代码^[2]。企业版功能属于付费订阅范畴，且云端策略依赖设备成功注册与令牌配置，部署链条较长^[4]。

参见

• 域名系统 —— 本词条所依托的基础解析体系。

• 思科系统 —— 2015 年起拥有该服务的公司。

• 公共DNS —— 与本词条同类、面向公众开放的解析服务。

• 基于HTTPS的DNS —— 会绕过系统解析器设置的技术，影响本服务的实际生效。

• 内容过滤 —— 本服务在解析层实现上网管控所依赖的机制。