折騰了一圈才明白：自己搭DNS，沒遞歸解析就是白干

我本以為部署自己的DNS服務器，是扔上去就能忘掉的那種活兒。直到幾個方案來回倒騰了幾個月，才琢磨過來一個扎心的事實——每次查詢的最后一步，我的請求還是乖乖跑去了別人家的解析器。為了搞清中間缺的這道環，繞的彎路比預想的多得多。

過去大半年，換DNS服務器跟換衣服一樣勤快。容器還是那些容器，服務也沒變，但底層DNS隔幾天換一個，每次換的時候都覺得自己理由充分——然后隔幾天又發現新的槽點接著換。

入坑是從Pi-hole開始的，說實話當時也沒把它當DNS服務器看，就是沖著廣告攔截去的。前幾個月表現完美，直到翻日志時，注意到網絡元數據的流向看著不太對勁，這才動了加密上游的心思。首選是Cloudflare的DoH代理，結果這東西2025年11月停更了，只能繞道自己搭dnscrypt-proxy跑的DNS代理加密通道。

搞到這一步，已經有兩個容器在干類似的事了。與其伺候兩套東西，不如一刀切全遷到AdGuardHome。界面干凈，上游加密原生支持，管理面板一個入口全搞定，看著確實比之前的碎片化方案舒服太多。上游選了Quad9的加密DNS，部署完就把Pi-hole和dnscrypt-proxy全下了，當時真心覺得這是個大升級，還寫了篇體驗分享。結果評論區的留言讓事情又拐了彎——一堆人在推Technitium這個方案，說這才是正經DNS服務器該有的樣子。

被評論區勾起了好奇，去官網掃了一眼功能列表。太長了，根本看不完，直接挑自己需要的條目對號入座。刷Technitium控制面板的第一印象就截然不同：這東西的氣質根本不是“帶DNS功能的廣告過濾器”，而是個貨真價實的DNS服務器。最讓人意外的是，它原生支持遞歸解析——這意味著Quad9的上游依賴，理論上一刀就能砍掉。但它的功能重到讓人喘不過氣，日常維護要求的DNS知識儲備，超出了我愿意每天操心的工作量。

折騰了Technitium一陣后，還是因為“夠用就行”回到了AGH加Quad9的組合。簡潔壓倒一切。可是這次回去之后，心里有個疙瘩比預期還要戳人：我又重新被綁在了第三方的上游解析器上，而Technitium不經意間給的那個“自己搞定全部解析”的自由，被擱回去了。這事兒越想越煩。

回到AGH的畫風依然穩定：廣告請求攔得很干凈，但每一條沒緩存的查詢都得老老實實跑到Quad9那邊解析，等于我辛辛苦苦自建的門禁，出門后還得蹭別人的車。Technitium給我的東西很清楚——自主權。只是順帶給了太多我不想要的操作復雜度。那能不能只要自主權，少背點復雜度？答案不在“下一款DNS服務器”里，而藏在AGH本身的一個開關：反向代理，把流量引向一個跑在內部的遞歸解析器，而不是外部上游。

這次不換服務器了。只搭一個Unbound，讓AGH把沒緩存的請求發到本地的Unbound，由Unbound自己從根域名服務器開始遞歸查，把最終結果返回去。安裝過程比想象中簡單太多，重點在于配置要卡死幾個關鍵點：監聽地址只綁本機回環接口，別讓外部請求直捅Unbound；開啟DNS緩存并設最小TTL，訪問過的站點響應速度肉眼可見地好；打開預取功能，把快過期的記錄提前續上，避免高峰期卡遞歸延遲；訪問控制只放行AGH所在的本機地址，這扇門絕不能對局域網其他設備敞開。不止這些，QNAME最小化機制讓每步遞歸只暴露最少必要信息，DNSSEC強制校驗保證收到的域名記錄沒被篡改過。還有一個經常被忽略的點——緩存服務過期記錄，如果上游短暫癱了，Unbound能把過期的記錄繼續兜底返回，不耽誤上網。

配完回頭看整個鏈路，清爽多了：客戶端請求送到AGH，匹配廣告黑名單的直接拍掉，合法的放行到本地Unbound遞歸解析，一筆解析都不出這個局域網。廣告攔截歸AGH，域名解析歸Unbound，各司其職。之前每個月外部DNS查詢量是個實打實的數字，現在能給上游Quad9看的請求驟降九成，因為Unbound把大部分活計在內部全跑完了。

這一通操作下來最大的收獲不是“又學會一個工具”，而是搞清楚了自己真正要的是什么。自建DNS不光是搭個過濾網關，查詢的終點要是還拽在第三方手里，那自主就是個殼子。從Pi-hole到AGH到Technitium再回到AGH，和方案本身好不好沒關系，關鍵在于每切換一次，都被“依賴外部解析器”這個源頭問題絆住，而我之前根本沒意識到它的存在。

現在這套組合跑了兩個月沒動過配置，因為確實沒什么想改的了。DNS讓我學到的一件事倒是出奇的樸素：真正的控制權，不體現在搭了多少服務，而是你的最后一跳，到底是自己的，還是別人的。