DNS 阻擋：最便宜的審查方式如何運作

想像你正在使用網路瀏覽器，輸入一個網址。在你真正連上那個網站之前，會發生一件你看不見的事：你的裝置需要找出那個網址對應的真實位置（一個叫 IP 位址的數字）。這個查詢工作通常由你的網際網路服務商（ISP）完成，透過稱為 DNS 解析器的系統。如果某個政府或 ISP 想要封鎖一個網站，但又不想花太多錢或精力，他們最容易的做法就是：在 DNS 層面說謊。

DNS 阻擋運作的基本原理

DNS 代表「網域名稱系統」，它是網際網路的電話簿。當你輸入「example.com」時，你的瀏覽器不知道怎麼連過去，因為網站不是靠名字識別的——網站靠 IP 位址識別，像是「93.184.216.34」這樣的數字。DNS 解析器的工作就是回答「example.com 的 IP 位址是什麼？」這個問題。

在正常情況下，你的 ISP 的 DNS 解析器會查詢全球的 DNS 資料庫，找到正確的 IP 位址，然後告訴你的瀏覽器。但如果有人想要阻擋一個網站，他們可以修改自己控制的 DNS 解析器，讓它對被禁網站的查詢回傳錯誤的 IP 位址，或者根本不回答。想像一下：如果電話簿上某個號碼被塗掉或者寫上錯誤的號碼，你就根本打不到那個地方。

Why DNS blocking became popular among governments and ISPs

DNS 阻擋之所以廣泛使用，原因很簡單：成本極低、易於部署、也很容易更新。

首先，從成本角度看，政府或 ISP 不需要建立複雜的基礎設施。他們已經在運營 DNS 解析器了，只需要改幾行設定就能開始封鎖。相比之下，其他審查方法（如在邊界路由器上檢查每一個資料包的內容）需要昂貴的設備和大量的計算能力。

其次，DNS 阻擋很容易維護。想要新增一個被禁網站？管理員只需要在清單中添加該域名即可，不需要更新龐大的硬體設備或複雜的軟體。這種便利性意味著審查清單可以快速擴展。

第三，DNS 阻擋對普通使用者是透明的。大多數人不知道 DNS 是什麼，也不知道 DNS 解析發生了，所以他們看到的只是「網頁無法連線」，卻看不到幕後發生了什麼。這讓審查看起來更像是一種技術故障，而不是主動的內容控制。

最後，DNS 阻擋影響面廣。它不針對特定的裝置或使用者，而是在網路運營商層面運作，所以連上該運營商網路的每個人都會受到影響。這種規模的控制力，用其他方法很難達到，卻能透過改一個 DNS 設定實現。

DNS 阻擋為什麼容易被繞過

儘管 DNS 阻擋很普遍，但它有一個致命的弱點：你不一定要使用你 ISP 的 DNS 解析器。

你的裝置是可以被設定成使用任何公開的 DNS 解析器的。最著名的兩個例子是 Google 的 8.8.8.8 和 Cloudflare 的 1.1.1.1。這些解析器不受當地政府或 ISP 的控制，所以它們會回傳正確的 IP 位址，即使那個網站在當地被 DNS 封鎖。

繞過很簡單——在大多數作業系統上，你只需要在網路設定中改變 DNS 伺服器位址，就像改變 WiFi 密碼一樣。一旦完成，你的瀏覽器就會繞過當地的 DNS 封鎖。

此外，還有更進階的方法。DNS-over-HTTPS（DoH）和 DNS-over-TLS（DoT）將 DNS 查詢加密，使得即使你的網路運營商也看不見你在查詢什麼網址。這些協議將 DNS 查詢隱藏在加密的連線內，使得 DNS 層面的審查更難執行。

政府如何對抗這些規避方法

聰明的審查者意識到了 DNS 阻擋的局限性。一些國家開始採取更激進的措施：阻止對外部公開 DNS 解析器的存取。

他們透過在邊界路由器上設定規則，封鎖對著名公開 DNS 伺服器（如 8.8.8.8 和 1.1.1.1）的 UDP 和 TCP 連線。如果你試圖查詢這些服務，你的請求會被丟棄。這提高了規避的技術門檻，但也不是無法突破的——VPN、代理伺服器，或者經過加密通道的 DNS 查詢仍然可以繞過這種限制。

這場貓捉老鼠的遊戲顯示了審查的一個基本真理：你越努力嘗試完全阻止某些內容，所需的技術複雜性和成本就越高。最終，真正有效的審查往往不是技術性的，而是法律性的、社會性的，或者結合多種方法的。

DNS 阻擋所揭示的更大圖景

DNS 阻擋之所以重要，不是因為它技術上有多複雜，而是因為它反映了網際網路運作方式中的一個根本特徵：許多關鍵系統都是建立在信任和合作的基礎上的。你的 ISP 可以改變他們的 DNS 解析器設定，就像他們可以看見你訪問了哪些網站（在 DNS 層面上）一樣。

理解 DNS 阻擋如何運作，能幫你理解網際網路上其他許多審查和隱私的議題。DNS 只是網路層的一層；還有應用層的阻擋、IP 層的過濾、加密的重要性等等。每一層都有自己的權衡和限制。

總結起來，DNS 阻擋之所以流行，是因為它便宜、容易、有效——至少對不知道如何規避的使用者而言。但它也易於被繞過，這導致審查機構必須採取更複雜（也更昂貴）的措施。這個循環本身就說明了一件事：在一個技術開放的網路上，完全控制幾乎是不可能的。