FABZILLA
Quello che ti sta dicendo è che lato privacy (verso l'ISP) usare un DNS alternativo ti da un falso senso di sicurezza.
Perché:
- senza DoT/DoH il traffico DNS è in chiaro e se un operatore vuole può anche dirottarlo ai suoi server (alcune CPE lo fanno di default)
- anche con DoT/DoH c'è comunque SNI che invia il dominio sostanzialmente in chiaro
- stai dando dati a un'entità in più, che se sta fornendo un servizio gratuito potrebbe anche avere più interessi del tuo ISP a raccogliere statistiche
Per la questione affidabilità stai semplicemente spostando il punto di failure dal tuo ISP a un altro provider. Per come la vedo io è abbastanza equivalente.
Io infatti uso due provider diversi. Sembra una cosa eccessiva ma mi è capitato diverse volte tornasse utile questa cosa.
Per la questione censure, qui c'è poco da dire gli ISP sono obbligati a censurare alcuni domini.
Per la questione cache e CDN, i DNS dell'operatore se ben distribuiti non si battono*.
Per gli alternativi bisogna considerare che ci sono due meccanismi per personalizzare la risposta:
- IP del resolver, ovvero l'indirizzo IP della macchina che risolve le query DNS
- subnet EDNS
Per il primo tipo è importante che il resolver abbia un IP italiano o comunque in una località vicina a dove vi trovate (es. Roma se siete al sud, Torino o Milano se siete al nord).
Per il secondo tipo è ininfluente dove sia geolocalizzato il resolver (vi può penalizzare per i servizi che non usano EDNS), ma deve supportare EDNS.
Di DNS alternativi che supportano EDNS ne ho provati tre:
- Posso dire dalle prove che ho fatto che Google utilizza EDNS per tutti i domini o quasi. Il problema è che di tanto in tanto la sua cache sembra "impazzire" e inizia a dare risposte che si riferiscono a subnet di altri ISP - non proprio bellissimo 😅
- Con Opendns non ho visto i problemi di cache di cui sopra, ma sembra utilizzare EDNS solo per alcuni domini, come se avesse una sorta di whitelist.
- Con Quad9 non ho notato problemi di cache, sembra funzionare con tutti i domini come Google, consente ai client di personalizzare la subnet EDNS, ma non supporta EDNS di Akamai.
EDNS di Akamai richiede infatti un accordo tra le parti, con determinate condizioni che non si sposano con la filosofia di Quad9.
* Non tutte le CDN scelgono il nodo più vicino in base ai DNS, ci sono altri modi come IP Anycast o domini diversi per ciascuno nodo + logica custom. O anche soluzioni ibride
Per il discorso ADS, io preferisco scindere il DNS dal blocco delle pubblicità, principalmente per non creare problemi agli altri utenti in casa.
Una di queste liste che girano su Github ha bloccato parzialmente un sito che gestisco, non oso immaginare quanti altri problemi possano creare...
Io sulla rete di casa utilizzo Quad9 EDNS (risponde da Roma) e OpenDNS (risponde da Milano) in load balancing. Per i domini Akamai, Vowifi W3 e SIP W3 utilizzo i DNS dell'ISP.
Perché non usare i DNS dell'ISP per tutto?
I DNS W3 non supportano NXDOMAIN (va un po' a periodi, ma spesso rispondono con un IP di un servizio W3 che altrettanto spesso nemmeno funziona) e sono soggetti a blocchi/censure.
Mettere i load balancing DNS con visibilità così diverse potrebbe creare problemi, quindi preferisco evitarlo.
Perché proprio OpenDNS?
OpenDNS oltre a supportare EDNS è in grado di risolvere i domini (ritornando risposte in cache) anche in caso di "dns failure". Quindi se Quad9 fallisce, risolve lui.
Perché proprio Quad9?
È l'unica alternativa con buon supporto EDNS che ho trovato. In precedenza utilizzavo Google, che ho rimpiazzato per quei problemi di "cache".
