解析器终结点

DNS 位置是 DNS 端点的集合，可映射到办公室、家庭或数据中心等物理实体。

开始过滤来自某个位置的 DNS 查询的最快方法是更改路由器上的 DNS 解析器。

添加 DNS 位置

要向 Gateway 添加 DNS 位置：

在 Cloudflare 仪表板 ↗中，转到 Zero Trust > 流量控制 > 解析器端点。
选择 Add a location（添加位置）。
为您的 DNS 位置选择一个名称。
选择至少一个 DNS 端点来解析组织的 DNS 查询。
（可选）切换以下设置：
- 启用 EDNS 客户端子网 会将用户的 IP 地理位置信息发送到权威 DNS 名称服务器。EDNS 客户端子网 (ECS) 通过将用户路由到最近的源服务器来帮助减少延迟。Cloudflare 不发送用户的确切 IP 地址，而是发送包含该 IP 地址的更大范围中的第一个 /24 范围，从而以保护隐私的方式启用 EDNS。此 /24 范围与用户的确切 IP 地址共享相同的地理位置。
- 设为默认 DNS 位置 将此位置设置为 DNS 查询的默认 DoH 端点。
- 启用 DNS64 会为匹配此位置的查询请求 DNS64 合成。对于通过网络地址转换将 IPv6 转换为 IPv4 (NAT64) 的纯 IPv6 网络，请使用此设置。
选择 Continue（继续）。
（可选）为配置的端点开启源 IP 过滤，然后添加要验证的任何源 IPv4/IPv6 地址。
- 标准 IPv4 地址需要端点身份验证，专用 IPv4 地址则是可选的。
- DoH 端点过滤和身份验证 允许您在 IPv4/IPv6 地址之外，将 DNS 解析限制为仅对有效身份或用户令牌开放。
选择 Continue（继续）。
检查 DNS 位置的设置，然后选择 Done（完成）。

按照 UI 中的设置说明更改您的路由器、浏览器或操作系统上的 DNS 解析器。
选择 Go to DNS Location（转到 DNS 位置）。您的位置将显示在您的位置列表中。

您现在可以使用位置选择器将 DNS 策略应用到您的位置。

DNS 终结点

IPv4 和 IPv6 DNS

Cloudflare 将根据您所在的网络预填 Source IPv4 Address。此外，Enterprise 用户可以使用分配给其账户的专用 DNS 解析器 IP 地址，或他们提供的解析器 IP 地址 (BYOIP)。

如果满足以下条件，您无需配置 IPv4 DNS 终结点：

您的网络仅使用 IPv6。
您的用户将通过浏览器使用 DNS over HTTPS 从该位置发送所有 DNS 请求。
您将部署 Cloudflare One Client。

DNS over TLS (DoT)

DNS over TLS（DoT）是一种使用专用端口（853）和 TLS 加密来加密 DNS 流量的标准。

欲了解更多信息，请参阅 DNS over TLS。

DNS over HTTPS (DoH)

DNS over HTTPS（DoH）是一种通过 HTTPS 协议加密 DNS 流量的标准，可防止 DNS 查询被跟踪和欺骗。

Gateway 对于默认的 DNS 位置需要 DoH 终结点。欲了解更多信息，请参阅 DNS over HTTPS。

DNS64

Gateway 可以为纯 IPv6 网络从 A 记录合成 AAAA 记录。这些网络需要从 IPv6 到 IPv4 的网络地址转换 (NAT64)。

为某个位置开启 Enable DNS64，或为单条查询请求合成。

有关配置和请求示例，请参阅 DNS64。

安全的 DNS 位置

安全的 DNS 位置针对恶意域提供额外保护，以便在保护性 DNS (PDNS) 等服务中使用。为了使 DNS 位置被视为安全，Gateway 要求：

您的 IPv4 和 IPv6 终结点使用您的 BYOIP 地址（如果有）。
为您的 IPv4、IPv6 和 DoT 终结点配置了源网络过滤。
为您的 DoH 终结点配置了源网络过滤或令牌身份验证。
DNS 位置的任何已启用终结点都符合安全权限。

您可以向用户分配 Cloudflare Zero Trust DNS Locations Write 角色，以向其授予创建和编辑安全 DNS 位置的权限。要允许用户查看位置，您还必须分配 Cloudflare Zero Trust Read Only 角色。拥有这些角色的用户可以查看任何 DNS 位置，但只能创建或编辑安全位置。

取代 Cloudflare Zero Trust DNS Locations Write 的角色包括：

Cloudflare Gateway
Cloudflare Zero Trust
Super Administrator

局限性

强制网络门户 (Captive portals)

使用静态 IP 地址部署 Gateway DNS 过滤可能会阻止用户通过强制网络门户连接到公共 Wi-Fi 网络。如果用户遇到与强制网络门户相关的连接问题，应执行以下操作：

从设备中删除静态 IP 地址。
连接到 Wi-Fi 网络。
建立连接后，重新添加静态 IP 地址。

为避免此问题，请使用 Cloudflare One 客户端将您的设备连接到 Cloudflare One。

第三方过滤

Gateway 无法正确过滤通过第三方 VPN 或其他互联网过滤软件（例如 iCloud 专用代理 ↗或 Google Chrome IP 保护 ↗）发送的流量。为确保您的 DNS 策略应用于您的流量，Cloudflare 建议关闭可能会干扰 Gateway 的软件。

要关闭 iCloud 专用代理，请参阅适用于 macOS ↗ 或 iOS ↗ 的 Apple 用户指南。