تطلب كل نماذج DNS تقريباً عنوانين، ولا يكاد أحد يعرف ما يفعله الثاني. من هنا تأتي تركيبات مثل «Cloudflare أساسي وGoogle ثانوي، فأحصل على أفضل ما في الاثنين»، وهي تبدو منطقية ولا تفعل ما يُظَنّ.
ما يفعله الثانوي فعلاً
يستعلم نظام التشغيل دائماً من الأساسي. ولا يعيد المحاولة مع الثانوي إلا إذا لم يجب ذلك الخادم خلال مهلة (ثانية أو ثانيتان بحسب النظام). لا يتناوب بينهما، ولا يوزّع الحمل، ولا يقارن الإجابات. ما دام الأساسي يجيب، لا يصل إلى الثانوي استعلام واحد.
هناك فروق دقيقة بين الأنظمة: يعود Windows إلى الأساسي بعد فترة؛ وبعض محلّلات Linux تستطيع التناوب إن طُلب منها؛ والراوتر يسلّم العنوانين لكل جهاز ويقرّر كل جهاز بنفسه. لكن الفكرة العامة واحدة في الجميع: الثانوي احتياطي لحالة تعطّل الأساسي أو تعذّر الوصول إليه، لا أكثر.
وتفصيل يُربك: إن أجاب الأساسي بأن «هذا النطاق غير موجود»، فتلك إجابة صحيحة والنظام لا يسأل الثانوي. ينتقل فقط عندما لا تكون هناك إجابة أصلاً.
ماذا تجمع وماذا لا تجمع
من هنا تخرج ثلاث قواعد بسيطة.
الاثنان من المزوّد نفسه. ينشر كل مزوّد عنوانين لهذا الغرض تحديداً: 1.1.1.1 و1.0.0.1، و8.8.8.8 و8.8.4.4، و9.9.9.9 و149.112.112.112، و86.54.11.1 و86.54.11.201. يقعان في شبكتين مختلفتين للمشغّل نفسه، فإن سقطت إحداهما واصلت الأخرى، وكلاهما يطبّق السياسة نفسها.
لا تخلط المفلتر بغير المفلتر. إن وضعت AdGuard أساسياً لإزالة الإعلانات وGoogle ثانوياً «احتياطاً»، فكلما تأخّر AdGuard قليلاً خرج الاستعلام عبر Google بلا فلتر. لن تلاحظ، لكن الحجب سيكون مثقوباً. والأمر نفسه مع الفلتر العائلي: يجب أن يكون الثانوي بمستوى الفلترة نفسه أو من عائلة العناوين نفسها (CleanBrowsing وOpenDNS ينشران زوجاً لكل فلتر).
إن كنت ستخلط، فليكونا بلا فلتر. Cloudflare أساسياً وQuad9 ثانوياً تركيبة معقولة: إن واجه Cloudflare مشكلة أجاب Quad9، ولا يغيّر أيّ منهما نتيجة الاستعلامات العادية (Quad9 يحجب نطاقات البرمجيات الخبيثة فقط).
بأي ترتيب تضعهما
الأساسي هو الذي يعمل، فضع أولاً الأسرع من شبكتك لا الأشهر. اختبار السرعة يخبرك في دقيقتين. من مدريد أجاب Cloudflare وQuad9 وCleanBrowsing وDNS4EU خلال 5 أو 6 ميلي ثوانٍ من الذاكرة المؤقتة؛ ومن مشغّلك قد يكون الترتيب مختلفاً، وفي بلدان الشرق الأوسط يختلف أحياناً حتى بين مشغّلين في المدينة نفسها.
وإن كان راوترك يسمح بعنوان واحد فقط فلا ضير كبير: المحلّلات الكبيرة تعمل بنظام anycast وتحمل التكرار في داخلها. يحمي الثانوي أساساً من مشكلة شبكية بينك وبين ذلك المزوّد.
IPv6 يأتي زوجاً أيضاً
إن كان اتصالك يدعم IPv6 فسيستعلم النظام عبره أيضاً، وهناك يسري زوج IPv6 للمزوّد: 2606:4700:4700::1111 و::1001 لدى Cloudflare، و2001:4860:4860::8888 و::8844 لدى Google، و2620:fe::fe و2620:fe::9 لدى Quad9. إن وضعت IPv4 من مزوّد وIPv6 من آخر عدت إلى مشكلة خلط السياسات. كل صفحة مزوّد تسرد العناوين الأربعة.
«DNS العام» مقابل «DNS الخاص»
تظهر هاتان العبارتان كثيراً جداً في عمليات البحث التي تصل إلى هذا الموقع، وتعنيان أشياء مختلفة بحسب من يستخدمهما.
DNS العام محلّل مفتوح لأي أحد على الإنترنت. Cloudflare وGoogle وQuad9 وDNS4EU وAdGuard كلها عامة: لا تحتاج إلى أن تكون عميلاً لأحد. أما DNS مشغّلك فهو بهذا المعنى خاص: لا يجيب إلا اتصالات عملائه. عندما يقول أحدهم «ضع DNS عاماً» فهو يقصد «توقّف عن استخدام DNS المشغّل».
DNS الخاص قد يعني ثلاثة أشياء:
- إعداد «DNS الخاص» في أندرويد. هو DNS مشفّر (DNS عبر TLS) نحو المزوّد الذي تكتبه، للواي فاي والبيانات. «الخاص» هنا يعني أن المشغّل لا يستطيع قراءة استعلاماتك ولا التلاعب بها. يُملأ باسم (
one.one.one.one،dns.quad9.net) لا بعنوان IP. شرحناه في مقال الهاتف. - محلّل لا يحتفظ بسجلات. بهذا المعنى يصف «الخاص» سياسة المزوّد: Quad9 وCloudflare وMullvad تعلن أنها لا تحتفظ باستعلامات يمكن تحديد هويتها؛ أما OpenDNS وGoogle فتحتفظان بشيء. في المقارنة عمود للسجلات.
- محلّل خاص بك. Pi-hole في المنزل، أو AdGuard Home، أو DNS الشركة: خادم لا يخدم إلا شبكتك. هذا المعنى الأكثر حرفية والأقل شيوعاً في البحث.
إذن «DNS عام مجاني» و«DNS خاص مجاني» غالباً هما البحث نفسه يجريه شخصان: كلاهما يريد محلّلاً ليس محلّل المشغّل، سريعاً ولا يتجسّس. أي محلّل عام بلا سجلات يفي بذلك.
الخلاصة العملية
الأساسي: الأسرع من شبكتك. الثانوي: العنوان الثاني للمزوّد نفسه. IPv6: زوج المزوّد نفسه. بلا خلط فلاتر. وإن تردّدت بين اثنين، فـالمقارنة تضعهما جنباً إلى جنب والأدلة تبيّن مكان كل واحد في Windows وmacOS وأندرويد وiOS والراوتر.