小型 ISP 常将 DNS 解析外包给免费任播服务，但作者指出自建递归解析器可掌控反向查询、记录日志、部署 RPZ 过滤恶意域名，并保持用户数据本地化，避免隐私泄露与外部依赖风险。
控制权与安全机制：
自建解析器让 ISP 能在本地管理 PTR 记录，无论业务是否显性依赖均不可或缺；查询日志可辅助识别网络内异常行为；配合 DNS RPZ（响应策略区）可拦截已知恶意域名。作者强调这些能力无需复杂架构即可实现，且数据不出本地网络，规避了大型解析商对用户行为数据的商业化收集。原文未给出具体部署成本数据。
DNS 故障即网络故障：
行业俗语称“非 MTU 即 DNS”，DNS 与 BGP 同属互联网基石协议，一旦解析失效，用户将无法访问 Google、收发邮件或流媒体，表现为“网络瘫痪”。外包解析将最高可见度的关键路径交给第三方，排查时仍需 ISP 自证非网络层故障。作者曾实测绕过运营商 DNS 超过一年，认为 DoH 等旁路方案是“猫与剃刀的混合体”，Comcast 等大厂虽提供 DoH 选项，但中小提供商缺乏议价能力。
资源约束下的取舍：
原文指出中小 ISP 资源有限，诸多博客推荐终端侧 DoH 绕过运营商解析，但作者经验显示此举引入新风险：加密流量削弱网络侧安全审计，且任播解析器延迟抖动可能劣于本地部署。文中提及的 DNS 延迟监测项目旨在量化该差异，惟原文未给出具体测量数值与对比结果。权威与递归分离部署属另一话题，此处不展开。
运维团队应评估自建解析器的硬件门槛（原文未给出具体规格），优先在核心节点部署递归服务并启用 RPZ 与日志审计，将 DNS 纳入网络可观测体系，而非依赖外部加密通道掩盖解析质量问题。
原文: APNIC Blog（2020-05-29）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog