DNS 子網路揭露檢查

為什麼要檢查

EDNS Client Subnet，簡稱 ECS，允許 DNS 解析器轉送部分用戶端位址，以協助依地區選答案。接收查詢的 DNS 伺服器也因此可能看到該子網路。此工具讀取真正收到的選項，不從解析器 IP 猜測用戶端前綴。解析器位址與 ECS 是兩種不同資訊，/0 的存在也不同於沒有任何 ECS 選項。

如何操作

1. 選擇要測試的路徑，分清瀏覽器解析與我們的伺服器向指定解析器發送的查詢。
2. 觸發唯一名稱的查詢，等待權威 DNS 收集端確認收到觀測。
3. 分別查看解析器位址、ECS 是否存在、來源前綴與長度。先確認收集完整再解讀。

測量方法

瀏覽器模式載入唯一名稱下的資源以觸發 DNS 解析；指定解析器模式由我們的伺服器向選定 IP 查詢。隨機名稱讓權威收集端對應此次查詢並讀取 ECS。

解析器與收集端收到測試 DNS 請求。若收集端或觀測缺失，結果未知；伺服器模式不能自動代表瀏覽器實際解析器。

解讀結果

收到非零用戶端前綴

解析器在這次查詢轉送了子網路資訊。前綴長度說明可見用戶端位址位元數。

沒有 ECS 或前綴為 /0

兩者不同：前者沒有此選項，後者有選項但此前綴不含用戶端位址位元。

未確認收件

收集端沒有可用觀測，不證明解析器沒有轉送 ECS。

比較變更前後

1. 以同一裝置、設定檔與路徑保存解析器和收到的選項。
2. 變更一項 DNS 或連線設定，再用新的唯一查詢走相同路徑。
3. 比較實際收到的 ECS。不能以伺服器查詢結果代替缺少的瀏覽器路徑，也不要只比較解析器名稱。

測試限制

• 解析器可依目的地與政策決定是否使用 ECS，單次查詢不代表全部流量。
• 快取與不完整收集可能阻止觀測。此測試不評估 DNS 傳輸是否加密。

可採取的調整

轉送了您不希望揭露的前綴。

查閱使用中解析器的 ECS 政策，必要時選擇符合需求的 DNS 設定，再重測同一路徑。

一直沒有確認觀測。

確認所選路徑能產生有效查詢及收集結果。資料不足時不把缺失寫成更好的隱私。

常見問題

資料來源

• RFC 7871 · ECS