域名系统（DNS）是一个复杂的系统，最近的ICANN DNS Symposium 2019会议几乎完全专注于与DNS解析协议相关的命名空间。DNS查询和响应提供了大量关于互联网及其使用情况的信息，但命名空间的相互依赖关系可能比我们想象的更为复杂。DNS协议同时存在信息泄露和不透明的特点，当一个名称解析查询通过转发器或递归解析器时，原始查询源的身份不会被保留。同时，整个解析过程中使用完整的查询名称，这使得终端用户的DNS流量在各种意想不到的地方暴露出来。
DNS协议的变化
DNS协议近期发生了一些变化，试图逆转上述两种措施的效果。客户子网扩展（Client Subnet extension）的采用使得终端用户在DNS查询中的匿名性受到损害，据称是为了改善基于DNS的客户端引导的准确性。然而，实际上，客户子网扩展的使用已经远远超出了最初的目标。根据经济体的划分，美国、土耳其、伊朗、中国、台湾和英国等经济体的客户子网启用授权服务器数量居于前列。约10%的用户使用递归解析器，这些解析器会在查询中添加有效的客户信息。
信息泄露和隐私保护
与此同时，人们也在努力封闭DNS中的信息泄露点。使用完整的查询名称进行名称服务器发现是一个主要问题，根区服务器和顶级域名服务器的操作员可以看到大量关于终端名称的信息。递归解析器采用查询名称最小化（query name minimization）可以有效地阻止这种信息泄露。这种方法可以帮助保护终端用户的隐私和安全。
结论和意义
对于运维和网络工程师来说，理解DNS协议的复杂性和信息泄露问题至关重要。通过采取措施保护终端用户的隐私和安全，例如使用查询名称最小化和加密技术，可以帮助减少DNS流量中的信息泄露。同时，需要继续监测和评估DNS协议的变化，以确保其能够在保护隐私和安全的同时提供高效的名称解析服务。
原文: APNIC Blog（2019-05-20）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog