Nejrychlejší DNS server není vždy ten, který byste měli používat

Již roky používám 1.1.1.1 jako svůj výchozí DNS, protože byl nejrychlejší, a každý test, který jsem po té době dělal, to potvrdil. Co jsem nikdy nezkontroloval, bylo, jestli rychlost je jediná věc, kterou skutečně dělá. Minulý týden jsem spustil skript na 30 známě škodlivých domén, které jsem načetl čerstvé z URLhaus, každý dotaz jsem poslal přes 1.1.1.1 a sledoval, jak všechny 30 se vyřeší čistě. Nejrychlejší DNS na mém počítači byl také ten, který nejvíce ochotně poskytoval malware.

Pak jsem přepnul resolver z 1.1.1.1 na 1.1.1.2 a voilà, 22 z těch 30 domén přestalo být řešeno, s latencí zhruba dva milisekundy navíc. To mě navedlo na zbytek srovnání: Quad9, NextDNS, co každý skutečně dělá kromě odpovídání na dotazy a proč je DNS doporučení, které všichni opakují online, to, které vás chrání nejméně.

Výběr DNS podle rychlosti řeší špatný problém

Rychlé vyřešení neznamená bezpečné vyřešení

Důvod, proč 1.1.1.1 vyhrává v benchmarcích, je ten, že nedělá nic jiného. Řeší cokoliv, co po něm požádáte, tak rychle, jak může, bez jakékoliv filtrační vrstvy. V mém vlastním testu průměrně trvalo 32,4 ms přes 30 dotazů, což je nejrychlejší ze všech resolverů, které jsem zkoušel. Také neblokoval žádnou z 30 škodlivých domén, které jsem mu poslal.

To je kompromis, o kterém téměř nikdo nemluví, když doporučuje 1.1.1.1 v diskusních vláknech. Testy rychlosti měří, jak rychle resolver odpoví, ne to, zda je odpověď bezpečná. Dvoumili-sekundový náskok je pro člověka neviditelný; phishingová stránka, která se načte místo toho, aby byla zablokována, již ne.

Z toho, co vyplývá z té tabulky, není závěr, že 1.1.1.1 je špatný. Je to spíš to, že výběr DNS jen podle latence optimalizuje jedinou metriku, která téměř nemá význam, a ignoruje tu, která skutečně záleží.

Výchozí DNS, které vás chrání, stojí téměř nic na rychlosti

Dvě milisekundy pro 22 méně hrozeb

1.1.1.2 od Cloudflare je stejná síť jako 1.1.1.1 s aktivním filtrováním malwaru. Takže nepotřebuje, abyste si vytvářeli účet, instalovali aplikaci nebo konfigurovali soubor. Všechno, co musíte udělat, je změnit jednu IP adresu na vašem routeru nebo zařízení, a máte hotovo. V mých testech to zvýšilo průměrný čas vyhledávání o 2,3 ms, což je přibližně rozdíl mezi mrknutím a nemrknutím. Z 30 nových domén URLhaus zablokovalo 22.

Quad9 trefil stejných 22 z 30. Z mého místa byl pomalejší, 66,1 ms, téměř jistě proto, že nejbližší uzel Quad9 anycast je dál od mého místa než Cloudflareův. Z Evropy nebo Severní Ameriky se Quad9 obvykle řadí mezi tři nejlepší veřejné resolvery na světě. Podstata je, že i v nejpomalejším režimu je zpoždění při běžném prohlížení webu neviditelné.

NextDNS měl čas 35,7 ms a při svém výchozím nastavení ochrany zablokoval 18 z 30. To je nižší číslo, ale je to jiný typ resolveru, k čemuž se dostanu za chvíli.

To řečeno, stojí za zmínku, že 1.1.1.2 je jediný přednastavený profil. To znamená, že nemůžete přidávat domény na seznam povolených, nemůžete vidět, co bylo zablokováno, a nemůžete ho ladit pro jednotlivá zařízení. Pro většinu lidí je to naprosto v pořádku, protože nabízí výchozí bezpečnost bez údržby.

Soukromí je skutečný rozlišovací faktor mezi poskytovateli DNS

Stejný dotaz, velmi odlišné publikum

Jakmile vyloučíte nefiltrované možnosti, tři chráněné resolvery se liší v přístupu. Cloudflare uchovává data o dotazech po dobu 24 hodin pro prevenci zneužití a poté je maže. Každoročně zveřejňuje audit od KPMG a má smluvní závazky data neprodávat ani nesdílet. Je to model důvěry v audit, a audit je skutečný, ale data stále procházejí prostřednictvím americké společnosti.

Quad9 sedí v opačném rohu. Službu provozuje švýcarská nezisková nadace a vůbec neukládá IP adresy ani osobně identifikovatelná dotazovací data. Na serveru není nic, co by šlo předvolat, což je z hlediska ochrany soukromí strukturálně silnější pozice než jakákoli politika zaznamenávání a následného mazání. Pokud je pro vás důležitá jurisdikce, toto je ta pravá volba.

NextDNS je nejflexibilnější a nejvíce na míru vašim potřebám. Protokoly jsou ve výchozím nastavení vypnuté, ale můžete je zapnout, vybrat, kde budou geograficky ukládány, a zvolit dobu uchovávání od jedné hodiny až po dva roky. Také je můžete kdykoli smazat. Nevýhodou je, že vaše historie DNS existuje někde, pokud se rozhodnete ji zapnout, což u dvou ostatních nikdy nenajdete.

Nejlepší DNS je ta, kterou můžete upravit

Nižší výchozí nastavení, ale vy rozhodujete, co bude blokováno

Na papíře vypadá 18 z 30 u NextDNS jako horší výsledek než u 1.1.1.2 nebo Quad9. V praxi je to ale nejpoužitelnější číslo v tabulce, protože NextDNS je jediný resolver, kde si můžete přesně vybrat, co bude blokováno a co ne, z ovládacího panelu.

Výchozí ochrany pokrývají zjevné hrozby. Skutečně se však osvědčují volitelné vrstvy. Nabízí nativní ochranu proti sledování podle společnosti (Google, Meta, Amazon a tak dále), filtry kategorií pro rodiče, vyhledávání bezpečné pro děti, můžete povolovat a zakazovat seznamy, které spravujete sami, a profily podle zařízení, takže tablet dítěte používá jiná pravidla než váš pracovní notebook. Cloudflare vám poskytuje tři pevné úrovně (.1, .2, .3). Quad9 vám dává jednu. NextDNS vám nabízí posuvník pro každou kategorii.

Existuje však skutečný strop. Pět z 30 domén v mém testu nebylo blokováno nikým. Čtyři byly subdomény u legitimních poskytovatelů hostingu, jako jsou screenconnect.com a plesk.page, a jedna byla IPFS bránou. Filtrace na úrovni DNS nemůže odstranit jednu špatnou subdoménu, aniž by zničila celý nadřazený host, a proto to žádný resolver nechce dělat.

Pokud nikdy neotevřete ovládací panel, NextDNS není správná volba. Pokud ho však budete používat, je to jediný, který umožňuje, aby váš DNS odrážel váš skutečný model hrozeb místo modelu někoho jiného.

Vyberte řešitele podle práce, ne podle milisekundy

Upřímná verze tohoto srovnání je, že 1.1.1.2 je správná volba pro většinu lidí. Je to plug-and-play, je téměř stejně rychlý jako neomezený Cloudflare a blokuje stejné množství hrozeb jako dva další chráněné resolvery. Pokud je pro vás důležitější švýcarská jurisdikce a záruka bez protokolování než rychlost, Quad9 je čistší volba. Pokud ale chcete něco víc praktického a konfigurovatelného, NextDNS si vede lépe.