对于大部分互联网用户来说，“DNS（域名系统）”这个名词稍显陌生。但实际上，作为网络基础设施的重要组成部分，DNS以其“调度员”的角色，将网址/域名解析成 IP 地址，在我们的上网过程中承担着不可或缺的重要地位。

一旦DNS服务器出现故障、被攻击或配置不合理，可能导致网络瘫痪、网站被劫持修改、网速缓慢、弹出广告等种种安全问题。

通常情况下，大家上网都是采用默认的DNS节点，由运营商就近提供。但事实上，为提升上网体验，很多网友都自行选择不错的免费公共DNS，对自己的电脑进行自行设置。目前市面上的公共DNS比较多，良莠不齐，小编特意搜集比较热点的几款公共DNS进行对比，优缺点各异，供大家选择参考。

互联网巨头Google家的公共DNS

首选地址：8.8.8.8

备用地址：8.8.4.4

功能测评：互联网巨头 Google的产品向来是有品质保证的，这个公共DNS也不例外，基本能够满足诸多DNS需求，这个可能也是目前全球范围内使用量最大的公共 DNS。BUT，这个公共DNS的机房在国外，国内没有节点，也就是说，对于国内上网的盆友们，一旦你配置了谷歌的公共DNS，就意味着走了一条“出口转内销”的路线，大大延长了上网速度，实在是不甚友好啊。

国内用户量较大的114DNS

首选地址：114.114.114.114

备选地址：114.114.114.115

功能测评：114 DNS在国内的用户量相当巨大，其 DNS 解析成功率高，同时满足电信、联通、移动各运营商用户，能访问更多的国内外网站。114DNS 做得比较早，有一定的技术积累，稳定性不错，速度虽然没有很优秀但也能让人满意。

我国首个IPv6公共DNS

首选地址：240c::6666

备选地址：240c::6644（仅作为纯IPv6过渡测试使用）

功能测评：这两年，由于国家政策的推动，国内通过IPv6上网的趋势明显增加，所以基于IPv6的公共DNS就显得非常必要。由下一代互联网国家工程中心推出的240c::6666，在安全性、稳定性、防劫持等方面都不错，节点在国内部署比较多，因此访问速度也是可以的。除此之外，为方便IPv6用户访问IPv4相关服务，IPv6公共DNS还有DNS64解析的测试服务，即通过该解析系统同样可以响应纯IPv6用户对纯IPv4网络资源的解析请求，这也在一定程度上避免了IPv4至IPv6过渡期所带来的内容尚未完全改造升级的困扰。

号称全球最快的CloudFlare DNS

首选地址：1.1.1.1

备选地址：1.0.0.1

功能测评：CloudFlare 是全球最大的 CDN / DDOS 防护服务提供商之一，其遍布全球的基础设施资源极其丰富，资金和技术实力相当雄厚，因此CloudFlare DNS 号称是全球最快的公共 DNS 。不过和Google家的公共DNS同理，国内网友只能是可望而不可及。

国内互联网巨头阿里家的AliDNS

首选地址：223.5.5.5

备选地址：223.6.6.6

功能测评：联想到阿里巴巴和阿里云在国内及云领域的技术实力，阿里云推出的免费 DNS 递归解析系统还是值得尝试的，宣称全球数百台服务器组成的集群，拥有充足的带宽资源，目标是成为国内互联网基础设施的组成部分，支持 BGP Anycast 以及 ECS 技术。

当然，除了以上这些，市面上还有很多公共DNS，宣称的功能也大同小异，用户还是要结合自己的实际需要及所处的城市来综合判断。

dns攻击主要有以下这几种方式：DNS缓存感染攻击者使用DNS请求，将数据放入一个具有漏洞的的DNS服务器的缓存当中。这些缓存信息会在客户进行DNS访问时返回给用户，从而把用户客户对正常域名的访问引导到入侵者所设置挂马、钓鱼等页面上，或者通过伪造的邮件和其他的server服务获取用户口令信息，导致客户遭遇进一步的侵害。DNS信息劫持TCP/IP体系通过序列号等多种方式避免仿冒数据的插入，但入侵者如果通过监听客户端和DNS服务器的对话，就可以猜测服务器响应给客户端的DNS查询ID。每个DNS报文包括一个相关联的16位ID号，DNS服务器根据这个ID号获取请求源位置。攻击者在DNS服务器之前将虚假的响应交给用户，从而欺骗客户端去访问恶意的网站。假设当提交给某个域名服务器的域名解析请求的DNS报文包数据被截获，然后按截获者的意图将一个虚假的IP地址作为应答信息返回给请求者。原始请求者就会把这个虚假的IP地址作为它所要请求的域名而进行访问，这样他就被欺骗到了别处而无妨连接想要访问的那个域名。DNS重定向攻击者将DNS名称查询重定向到恶意DNS服务器上,被劫持域名的解析就完全在攻击者的控制之下。ARP欺骗ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。ARP攻击主要是存在于局域网网络中，局域网中若有一台计算机感染ARP病毒，则感染该ARP病毒的系统将会试图通过”ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。ARP欺骗通常是在用户局网中，造成用户访问域名的错误指向。如果IDC机房也被ARP病毒入侵后，则也可能出现攻击者采用ARP包压制正常主机、或者压制DNS服务器，以使访问导向错误指向的情况。本机劫持本机的计算机系统被木马或流氓软件感染后，也可能会出现部分域名的访问异常。如访问挂马或者钓鱼站点、无法访问等情况。本机DNS劫持方式包括hosts文件篡改、本机DNS劫持、SPI链注入、BHO插件等方式。防范Arp攻击、采用UDP随机端口、建立静态IP映射、运行最新版本的BIND、限制查询、利用防火墙进行保护、利用交叉检验、使用TSIG机制、利用DNSSEC机制。下面分别做出说明。防范Arp攻击主要是针对局域网的DNS ID欺骗攻击。如上所述，DNS ID欺骗是基于Arp欺骗的，防范了Arp欺骗攻击，DNS ID欺骗攻击是无法成功实施的。采用UDP随机端口不再使用默认的53端口查询，而是在UDP端口范围内随机选择，可使对ID与端口组合的猜解难度增加6万倍，从而降低使DNS缓存攻击的成功率。建立静态IP映射主要是指DNS服务器对少部分重要网站或经常访问的网站做静态映射表，使对这些网站的访问不再需要经过缓存或者向上一级的迭代查询，从而在机制上杜绝DNS欺骗攻击。运行最新版本的BIND使用最新版本的BIND，可以防止已知的针对DNS软件的攻击(如DoS攻击、缓冲区溢出漏洞攻击等)。应密切关注BIND安全公告，及时打好补丁。限制查询在BIND8和BIND9之后，BIND的allow-query子句允许管理员对到来的查询请求使用基于IP地址的控制策略，访问控制列表可以对特定的区甚至是对该域名服务器受到的任何查询请求使用限制策略。如限制所有查询、限制特定区的查询、防止未授权的区的查询、以最少权限运行BIND等。利用防火墙进行保护这种保护方式可以使受保护的DNS服务器不致遭受分布式拒绝服务攻击、软件漏洞攻击。原理是在DNS服务器主机上建立一个伪DNS服务器共外部查询，而在内部系统上建立一个真实的DNS服务器专供内部使用。配置用户的内部DNS客户机，用于对内部服务器的所有查询，当内部主机访问某个网站时，仅当内部DNS服务器上没有缓存记录时，内部DNS才将查询请求发送到外部DNS服务器上，以保护内部服务器免受攻击。利用交叉检验这种保护方式可以从一定程度上防范DNS欺骗攻击。原理是反向查询已得到的IP地址对应的主机名，用该主机名查询DNS服务器对应于该主机名的IP地址，如果一致，则请求合法，否则非法。使用TSIG机制TSIF(事物签名)机制(RFC2845)通过使用共享密钥(Secret Key)及单向散列函数(One-way hash function)提供信息的验证以及数据的完整性。当配置了TSIG后，DNS消息会增加一个TSIF记录选项，该选项对DNS消息进行签名，为消息发送者和接受者提供共享密钥，从而保证了传输数据不被窃取和篡改。TSIP机制的部署步骤不做赘述，相关RFC文档有详细说明。利用DNSSEC机制为保证客户机发送的解析请求的完整性，保护DNS服务器及其中的信息，防止入侵者冒充合法用户向他人提供虚假DNS信息，IETF(网络工程任务组)提出了DNS安全扩展(DNSSEC)的安全防范思想。1、 DNSSEC工作原理为提高DNS访问数据包的安全性，DNSSEC在兼容现有协议的基础上引入加密和认证体系，在每个区域都有一对区域级的密钥对，密钥对中的公钥对域名记录信息进行数字签名，从而使支持DNSSEC的接收者可以校验应答信息的可靠性。BIND9.0支持DNS的安全扩展功能?。DNSSEC引入两个全新的资源记录类型：KEY和SIG，允许客户端和域名服务器对任何DNS数据来源进行密钥验证。DNSSEC主要依靠公钥技术对于包含在DNS中的信息创建密钥签名，密钥签名通过计算出一个密钥Hash数来提供DNS中数据的完整性，并将该Hash数封装进行保护。私/公钥对中的私钥用来封装Hash数，然后可以用公钥把Hash数翻译出来。如果这个翻译出的Hash值匹配接收者计算出来的Hash数，那么表明数据是完整的、没有被篡改的。2、 DNSSEC的实施1)、创建一组密钥对#cd/vat/named#dnssec -keygen -a RSA -b 512 -n ZONE qfnu.edu.Kqfnu.edu+002+277822)、生成密钥记录#dnssec –makekeyset -t 172802 I3)、发送密钥文件到上一级域管理员，以供签名使用#dnssec -signkey keyset -qfnu.edu Kedu.+002+65396.private然后将返回qfnu.edu.signedkey文件4)、在进行区域签名之前，必须先将密钥记录添加到区域数据文件之中#cat“$include Kqfnn.edu.+002+27782.key”>>db.qfnu.edu5)、对区域进行签名#dnssec –signzone -O qfnu.edu db.qfnu.edu6)、修改named.conf里的zone语句，系统将会载新的区域数据文件3、 DNSSEC的不足一方面，DNSSEC安全性虽然有所提高，但是标记和校验必然产生额外的开销，从而影响网络和服务器的性能，签名的数据量很大，家中了域名服务器对骨干网以及非骨干网连接的负担，同时简明校验也对CPU造成了很大的负担，同时签名和密钥也占用了占用的磁盘空间以及RAM容量。另一方面，安全性能方面的考虑。绝大多数的DNS软件是美国出口的，它们为了通过美国政府的安全规定而被迫降低加密算法和过程的安全强度。第三方面，RSA算法的使用。RSA拥有美国专利，与某些厂商和组织倡导的“免费/开放”目标有所冲突，但是同时又别无选择。在成本方面也是部署中的一个问题。

1、打开DC服务器开始菜单。

2、点击开始菜单中的“Windows Powershell”图标。

3、Windows Powershell程序窗口自动打开。

4、在Powershell程序中输入 dcdiag。

5、点击回车，指令自动运行，并开始对活动目录环境进行测试。

6、从图片中可以看到当前的演示环境没有任何问题。

腾讯 DNS是DNSPod推出的公共域名解析服务，服务IP为119.29.29.29，类似于其他公共DNS（如Google的 8.8.8.8和114dns的114.114.114.114），可以为全网用户提供域名的公共递归解析服务（区别于DNSPod原有的域名授权解析服务）。

使用步骤如下：

1.单击任务栏右下角的网络连接图标，然后单击“打开网络和共享中心”。

2.在网络和共享中心单击左侧的“更改适配器设置”。

3.右键单击正在联网需要更改的有线连接或无线连接，然后单击“属性”。 需要管理员权限，如果系统提示您输入管理员密码或进行确认，请键入该密码或提供确认。

4.在“网络”选项卡，“此连接使用下列项目”下，双击“Internet 协议版本 4 TCP/IPv4)”。

5.在“常规”选项卡，单击“使用下面的 DNS 服务器地址”，然后在“首选 DNS 服务器”中输入119.29.29.29，“备用 DNS 服务器”框中输入182.254.116.116，然后单击“确定”保存退出即可。

一般很少朋友去设置过dns，因为dns默认都是电脑自动获取，下面我们来与大家详细介绍下。以下介绍2种方法，一种是手动设置，另外一种是使用软件来设置。

方法一：手动设置dns

windows 7系统进入dns设置方法如下：

进入方法其实与windows xp是基本一样的，开始 - 控制面板 - 网络和共享中心 - 本地连接后面的查看状态 - （右键）属性 - internet 协议4 （TCP/IPv4）- 属性就可以进入设置了，如下图。

进入设置之后我们就可以手动修改了，开始默认是自动获取，如果我们需要设置dns的话需要选种“使用下面的 DNS 服务器地址（E）”之后才可以填写上dns地址。

方法二；使用软件设置dns

上面介绍的方法很多朋友都觉得有些麻烦，有没更好的方法呢？答案是肯定的，我们可以使用软件才自动设置，就方便多了，还可以自动查找出响应时间最快的附近区域的DNS。使用软件设置对于经常移动出差的朋友十分方便，不必到一个地址就设置一次。

这里推荐大家使用彗星DNS优化器，可在网上下载彗星DNS优化器，安装软件后可实现自动寻找最匹配的dns连接，并自动设置好。

彗星DNS优化器测试dns速度，并可以实现自动连接响应时间最快的dns地址

最下面的状态栏中会显示，“测速正在进行中，请稍候...” ?总共有1919个内置的全球DNS服务器IP地址，整个测试过程大概在2分钟左右完成。然后会自动替你把延时最小的10个地址写入你的系统中，然后提示“自动设置完成”非常方便，可以最大化优化我们网络响应速度。

dns怎么设置就为大家介绍2种方法，对于喜欢DIY电脑操作的朋友建议使用手动设置dns方法，对于怕麻烦，想节约时间的朋友建议彗星DNS优化器来自动设置最佳dns。