Mullvad的战略抉择：停止运营、转而赞助
瑞典知名隐私保护VPN服务商Mullvad近日在官方博客中宣布了一项出乎许多人意料的决定——关闭自家运营的公共加密DNS服务（支持DNS-over-HTTPS和DNS-over-TLS协议），并将其技术与财务资源转向赞助Quad9基金会。Mullvad在公告中写道：「我们希望有一项公共服务能够持续可用。今后，我们将支持Quad9，而不是自己运营。运行一个注重隐私的公共DNS服务是一项高度专业化的事业，而Quad9基金会是这一领域无可争议的领导者。与其复制他们的努力来取得他们工作的部分成果，我们更愿意用这些资源来支持Quad9。」这一声明在技术社区引发了广泛关注。
加密DNS服务运营的现实挑战
Mullvad的决定折射出公共加密DNS服务运营中鲜为人知的复杂性与成本。加密DNS服务需要在全球多个地区维持高可用的服务器集群，处理来自海量用户的递归DNS查询，同时确保查询内容不被记录或泄露。此外，还需要持续应对各种网络层面的干扰、域名封锁以及与各地互联网服务商的技术协调。这些工作要求运营者在基础设施运维、法律合规和隐私保护之间保持精细的平衡。Mullvad作为一家以VPN为核心业务的公司，选择将这部分运营压力转移给专业机构，既是务实的商业决策，也体现了对隐私基础设施可持续发展的长远考量。
Quad9：加密DNS基础设施的核心力量
Quad9基金会是一家总部位于瑞士苏黎世的非营利组织，运营着全球最大的公共加密DNS解析服务之一。其服务同时支持DNS-over-HTTPS（DoH）和DNS-over-TLS（DoT）协议，并内置了基于威胁情报的恶意域名拦截能力。作为被广泛推荐的隐私DNS提供商之一，Quad9此前还曾在欧洲面临过唱片公司的法律挑战——一家奥地利唱片公司曾要求Quad9屏蔽特定域名，这一案件的结果对整个加密DNS行业的合法地位产生了深远影响。Mullvad选择将资源投入Quad9，某种程度上也反映出隐私社区对于维持单一、专业、受监管的基础设施节点而非重复建设的认知正在成熟。
DNSSEC验证之争：谁来校验数据完整性？
Mullvad的博客发布后，Hacker News社区围绕DNSSEC验证架构展开了一场深度技术讨论。一个核心争议点在于：当用户通过转发器（forwarder）将DNS查询发送给Quad9这样的递归解析器时，是否应该在转发器层面也启用DNSSEC验证？支持者认为这能防止上游解析器被恶意篡改后向用户投毒的场景；反对者则指出，若转发器在转发模式下强制要求DNSSEC验证，会产生「双重验证」问题，大幅降低解析性能，并可能因上游响应中的签名格式差异导致误报合法域名「BOGUS」。一位社区成员分享了自己在systemd-resolved中启用DNSSEC验证的实际经历：大部分服务工作正常，但Atlassian的子域名解析出现异常，多次咨询Claude均得到相互矛盾的解释，最终不得不关闭验证功能。
隐私DNS生态系统的分化与整合
Mullvad事件揭示了隐私DNS基础设施领域的一个结构性矛盾：尽管加密DNS用户群体正在快速增长，但运营一个全球级、高可用、注重隐私的DNS服务所需的专业能力和持续投入远超多数VPN服务商的预期。Mullvad在公告中还特意提及Quad9尚未提供带广告拦截功能的DNS服务，这一细节暗示了用户需求与服务提供之间的缺口——并非所有加密DNS用户都满足于Quad9现有功能，部分用户需要更定制化的拦截列表和规则，这为其他小规模加密DNS服务商留下了市场空间。
从整个隐私技术生态的视角审视，Mullvad关闭自有加密DNS服务转而赞助Quad9的做法，可能预示着一个更大的整合趋势：面对全球网络监控和数据收集的不断加强，加密DNS等隐私基础设施需要更强的专业化运营能力和更高的投入门槛，分散运营的小型服务难以长期维持。将资源集中到Quad9这样的专业非营利组织上，既能提升整体服务质量，也能增强抵抗外部压力的能力。但同时也需警惕过度集中带来的单点风险——如果全球大多数加密DNS用户都依赖同一个提供商，那么该提供商的服务中断或政策变动将产生系统性影响。隐私DNS的未来，很可能在专业化整合与适度分散之间寻求一个动态平衡。