DNS 客户端子网暴露检查

这个测试能说明什么

ECS，即 EDNS Client Subnet，让递归 DNS 解析器可向权威服务器转发部分客户端网络地址。这个测试看实际收到的选项，不根据你的 IP 猜测。解析器自身的源地址与它转发的客户端前缀是两项不同数据，/0 也不同于非零前缀。

如何操作

1. 确认收集端可用，选择浏览器模式或指定解析器模式。
2. 发起唯一名称查询，等待收集窗口结束，即使已出现早期观测也要等最终状态。
3. 一起阅读精确选项、源前缀、解析器地址和最终结果。

如何测量

浏览器模式加载唯一主机名上的资源，触发浏览器 DNS 路径；指定模式由我们的服务器向所选解析器发送查询。

权威收集端记录该查询真正收到的 ECS。临时网络观测可包含解析器 IP 及客户端前缀；只有网页界面不能完成这项测量。

解读结果

收到非零前缀

权威端收到 ECS，并显示此查询转发了多少客户端网络地址信息。

零前缀或未见 ECS

ECS /0 不带客户端子网；完成的查询未含 ECS 是另一种观察。两者都不证明解析器对所有域名的行为。

没有观测或选项无效

收集端缺失、查询未到达时结果无法确定。格式错误是协议错误，不是有效的暴露证据。

比较调整前后

1. 保存模式、解析器或浏览器 DNS 设置、前缀和最终收集状态。
2. 只改一个相关 DNS 设置，在同一设备发起新的唯一查询。
3. 只比较同模式下完成的观察；服务器指定查询不能代替浏览器实际解析器的测量。

测试的局限

• ECS 策略可能按目的地不同，也可能随时间改变。
• 资源加载失败不一定是 DNS 失败，关键是收集端是否真正收到查询。

需要时如何调整

非零客户端前缀被转发

查看解析器公开的 ECS 策略，必要时选择合适替代服务，通过目标 DNS 路径重测。

没有权威观测

检查显示的可用性并重试，缺少证据时不要标记为无 ECS。

常见问题

资料与技术参考

• RFC 7871 · ECS