This paper revisits the issue of the performance of DNS resolution services available to Internet users. While several prior studies addressed this important issue, significant developments, namely, the IPv6 finally getting traction and the adoption of the ECS extension to DNS by major DNS resolution services, warrant a reassessment under these new realities. We find that DNS resolution services differ drastically -- by an order of magnitude in some locations -- in their query response time. We also find established resolvers (Google DNS and OpenDNS) to lag far behind relative newcomers (Cloudflair and Quad9) in terms of DNS latency, and trace the cause to drastically lower cache hit rates, which we further trace to less cache sharing within the resolver platform. In addition, we find that public resolvers have largely closed the gap with ISP resolvers in the quality of CDNs' client-to-edge-server mappings as measured by latency. Finally, in most locations, we observe IPv6 penalty in the latency of client-to-CDN-edge-server mappings produced by the resolvers. Moreover, this penalty, while often significant, still does not rise above typical thresholds employed by the Happy Eyeballs algorithm for preferring IPv4 communication. resolvers. Thus, dual-stacked clients in these locations may experience suboptimal performance.
Measuring DNS over TCP in the Era of Increasing DNS Response Sizes: A View from the Edge
域名系统（DNS）是互联网最重要的组成部分之一。虽然最初的标准定义了DNS over UDP（DoUDP）和DNS over TCP（DoTCP）的使用，但UDP已成为DNS中使用的主要协议。随着新资源记录（RR）的引入，DNS响应的大小大幅增加。由于这可能导致截断或IP碎片，因此标准要求的DoTCP回退通过克服DoUDP的大小限制来确保成功的DNS响应。然而，到目前为止，存根解析器使用DoTCP的影响还没有得到广泛的研究。我们通过从边缘在DoTCP上展示一个视图来缩小这一差距，从2，500个探测器向公共以及探测DNS递归解析器发出12.1M DNS请求。在我们的测量研究中，我们观察到DoTCP通常比DoUDP慢，对于大多数解析器，响应时间的相对增加小于37%。虽然可以利用DoTCP的优化来进一步减少响应时间，但我们表明，对公共解析器的支持仍然缺失，因此为未来的优化留下了空间。此外，我们还发现，公共解析器一般具有可比的可靠性DoTCP和DoUDP。然而，探测解析器显示出明显不同的行为：针对探测解析器的DoTCP查询在4种情况中有3种失败，因此不符合标准。这个问题在未来只会加剧：随着DNS响应大小的不断增长，对DoTCP的需求将更加强烈。
The Closed Resolver Project: Measuring the Deployment of Source Address Validation of Inbound Traffic
源地址验证（SAV）是一种标准，旨在丢弃具有欺骗源IP地址的数据包。传出流量缺乏SAV被认为是分布式拒绝服务（DDoS）攻击的根本原因，并受到广泛关注。虽然不太明显，但缺乏入站过滤使攻击者能够作为网络的内部主机出现，并可能泄露有关网络基础设施的有价值信息。VoIP欺骗可能会放大其他攻击媒介，例如DNS缓存中毒或最近发现的NXNSAttack。在本文中，我们提出了封闭的解析器项目，旨在减轻入站IP欺骗的问题的初步结果。我们进行了第一次互联网范围内的主动测量研究，枚举网络过滤器或不过滤传入的数据包，他们的源地址，为IPv4和IPv6地址空间。为了实现这一目标，我们识别了接受来自其网络外部的欺骗请求的封闭和开放DNS解析器。所提出的方法提供了最完整的图片入站SAV部署的网络提供商。我们的测量覆盖了超过55%的IPv4和27%的IPv6自治系统（AS），并显示其中绝大多数都完全或部分容易受到入站欺骗。通过识别双栈DNS解析器，我们还表明，入站过滤是不经常部署为IPv6比IPv4。总的来说，我们发现了13.9 K IPv6开放解析器，可用于放大DDoS攻击-比以前的工作多13倍。此外，我们还发现了4.25 M IPv4和103 K IPv6易受攻击的封闭解析器，这些解析器只能通过我们的欺骗技术检测到，并且在与NXNSAttack结合使用时会构成重大威胁。
Oblivious DNS over HTTPS (ODoH): A Practical Privacy Enhancement to DNS
域名系统（DNS）是人类可用的互联网的基础，响应客户端对具有相应IP地址和记录的主机名的查询。传统DNS也是未加密的，会将用户信息泄露给网络运营商。最近使用DNS over TLS（DoT）和DNS over HTTPS（DoH）来保护DNS的努力已经获得了越来越多的关注，表面上保护了流量并隐藏了旁观者的内容。然而，对DoT和DoH的批评之一是由于少量的大规模部署（例如，Comcast，Google，Cloudflare）：DNS解析器可以将查询内容与IP地址形式的客户端身份相关联。不经意DNS over HTTPS（ODoH）可防止此问题。在本文中，我们问什么将采取使ODoH实用？我们描述ODoH，一个实用的DNS协议，旨在解决这个问题，保护客户端的内容和身份。我们实现和部署协议，并进行测量，以表明ODoH具有与DoH和DoT等协议相当的性能，这些协议正在获得广泛采用，同时提高客户端隐私，使ODoH成为DNS使用的实用隐私增强替代品。
