在浏览器按下回车前，域名得先翻译成 IP。DNS 像电话簿：你问「example.com 在哪」，解析器记录这个问题，并返回答案。整个过程独立于网页是否使用 HTTPS。
递归解析路径
客户端通常把查询发给递归解析器（路由器、运营商或公共 DNS）。递归器若本地无缓存，会沿层次询问根、顶级域与权威服务器，最终拼出记录。
记录类型与 TTL
A/AAAA指向 IP；CNAME做别名。- TTL 决定缓存多久；过长的 TTL 让故障切换变慢，过短则增加查询量。
加密与隐私边界
DoH/DoT 保护查询在链路上的窃听与篡改，但解析运营方仍能看到你问了哪些名。与 DNS 泄露、IP 地址 话题一并理解更准确。
排错时可对照 家庭网络检查 是否遭劫持解析。
缓存与污染
递归解析器会缓存答案。若攻击者在 TTL 内投毒，短暂地把银行域名指到假 IP，用户即使输入正确网址也会中招。加密 DNS 与 HTTPS 证书校验是双保险。
反向 DNS
邮件服务器常用 PTR 记录证明身份；个人家庭用户很少接触。理解即可知「IP 到名字」是另一条查询方向，与隐私无直接关系。
权威变更传播
网站迁移机房后修改 NS 与 A 记录，全球完全生效可能要数十分钟到数小时。其间部分用户仍访问旧地址，运维窗口要有回滚预案。
私有域与企业内网
内网 .local 或 split-brain DNS 让同域名在公司内外解析到不同 IP。远程办公隧道要一并接管内网 DNS，否则内网服务名无法解析。
DoH 默认策略
浏览器启用 DoH 可能绕过家长路由策略。家庭应在网关层协商一致，而不是悄悄对抗。
ECS 与隐私权衡
部分递归 DNS 会把你的大致子网附带给权威服务器，以返回更近的 CDN 节点。这提升速度也略增隐私暴露，公共解析器政策里会说明是否启用 ECS。
自建 Pi-hole 过滤广告域时，要同步更新威胁情报列表，否则刚刚爆发的跟踪域仍会通过。
日志保留政策
公共 DNS 服务商在隐私政策里声明日志保存多久。选解析器时读这一段，比看响应速度排名更接近真实隐私差异。
企业下发「内外 split DNS」后，私人笔记本接公司隧道，连回家打游戏解析仍可能走公司路径。下班断开隧道并刷新解析缓存，避免游戏服匹配异常。
自建递归 resolver 维护量大，个人更现实是挑选信誉公共 DNS 并锁定，防止恶意 DHCP 临时改解析。