DNS 长期依赖无连接的 UDP 语义：客户端发送单个数据报，接收单个响应。这种模型配合缓存与清晰的管理边界，支撑了 DNS 的规模化增长。但近年问题显现：基于 DNS 的 DDoS 攻击、公网 IP 分片失效，加上 DNS-over-TLS 与 DNS-over-HTTPS 推动加密，UDP 的劣势愈发明显。本文聚焦存根解析器与递归解析器之间的性能，论证持久化连接（以 DNS-over-TLS 为代表）可降低查询延迟。
**性能指标的双重视角**
对终端用户，核心指标是延迟——从发出查询到收到答案的等待时间。浏览器加载网页、邮件服务器查询阻断列表等场景，均在 DNS 响应前无法推进业务逻辑，降低查询延迟直接提升应用响应速度。对递归解析器，关注点在于单硬件成本下能服务多少客户端，以及维持可接受服务等级所需的资源投入。两者目标存在张力：客户端为保时效可激进重传甚至并发查询多个解析器，但这会增加解析器负载，反推高其他客户端的延迟。运维需在客户端体验与基础设施压力间寻找平衡。
**丢包引发的延迟尖峰**
UDP 缺乏内置可靠性机制，丢包直接转化为巨大的延迟抖动。原文未给出具体数据，但指出丢包是导致 DNS 查询异常的主要原因之一。持久化 TLS 连接通过 TCP 的重传与拥塞控制，在丢包场景下能平滑恢复，避免 UDP 依赖应用层超时重传带来的指数级延迟增长。同时，连接复用消除了每次查询的三次握手与 TLS 握手开销，尤其在高并发或长距离链路中，累积收益显著。
**加密与持久化的协同效应**
DNS-over-TLS 强制使用 TCP 并保持长连接，天然规避了 UDP 分片失败与放大攻击风险。加密层虽引入首次握手延迟，但后续查询复用同一连接，边际成本极低。原文未给出具体对比数值，但明确指出：任何支持持久连接的方案（不限于 DoT）均具备改善查询延迟的潜力。这为运维在部署加密 DNS 时提供了性能侧的正向论据，而非单纯的合规成本。
对网络工程师而言，持久化 DNS 连接将“加密部署”与“降低尾部延迟”合二为一：在解析器侧启用 TCP 连接池、调整空闲超时与并发上限，即可在不增加硬件的前提下吸收丢包冲击、压缩重传开销，直接改善终端用户的体验基线。
原文: APNIC Blog（2018-09-19）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog