DNS 服务商
「DNS 服务商」这一组共 5 家厂商 / 机构，每一家都按 L1～L7 分层整理：那一层它卖什么、哪一层是它的主场。
Verisign
主场：L7 / OPS
L1 物理层
该层为空，没有产品或服务。这个域运营的任播节点确实分布在全球大量站点上，但那些站点是别人的机房（本站 Equinix、Digital Realty 等数据中心域是这类场地的提供方），它不拥有也不出售物理设施。任播节点的分散本身是 L3 的路由机制而不是物理层产品，已在 L3 记录，不在此重复计入。
L2 数据链路层
该层为空，没有产品或服务。这个域不提供任何链路层产品或服务，其服务完全建立在别人提供的网络连通性之上。
L3 网络层
这一层是 DNS 服务能规模化与抗攻击的技术根基，也是「根服务器只有十三台」这个普遍误解的纠正处。任播（anycast）的做法是让同一个 IP 地址从多个地理位置同时通过 BGP 通告出去，路由系统自然把每个查询送到网络上最近的那个节点——它不是应用层技巧而是路由技术，因此归在这一层。两个关键事实。一是「十三个根服务器」指的是十三个标号（字母 a 到 m）而不是十三台机器：每个标号由一家机构独立运营，每家都用任播把服务分散到全球很多站点，所以实际在服务的是数百个节点，这是这套体系极难被整体打瘫的结构性原因（这个域运营其中两个标号，其余由十余家机构分别运营）。
L4 传输层
这一层讲 DNS 查询实际怎么在网络上跑，而它有一处历史包袱值得知道。DNS 传统上主要用 UDP 的 53 端口——因为查询与应答通常很小，用无连接的 UDP 省掉握手开销最合适。但这带来一个长期约束：早期规范下不使用扩展机制时，UDP 应答被限制在 512 字节，超过就必须截断并让客户端改用 TCP 重试。这个限制正是「为什么只有十三个根服务器标号」的直接原因（十三条记录刚好塞进 512 字节）。EDNS0 扩展机制解除了这个限制，允许协商更大的 UDP 应答，这也是 DNSSEC 得以实用的前提——签名让应答显著变大。
L5 会话层
该层为空，没有产品或服务。DNS 查询是无状态的一问一答，不存在需要维护的会话概念；注册商与注册局之间的 EPP 交互虽然是有状态连接，但那属于注册平面的应用层协议（见 L7），不构成这个域单独的会话层产品。
L6 表示层
这一层是 DNSSEC 的位置：它做的是数据来源认证与完整性签名——让解析器能验证「这条应答确实来自该域名的授权持有者，且传输中没被篡改」，属于表示层性质的能力，而不是加密（DNSSEC 不加密内容，只签名）。信任链是自上而下的一条链：根签名根区（其公钥即全球信任锚）→ 根为顶级域的密钥签名 → 顶级域为你的域名的密钥签名 → 你为自己的记录签名。这个域在这条链里承担两个环节：作为根区维护者实施根区签名与发布，以及为 .com、.net 签名。因此你若为自己的域名启用 DNSSEC，信任链里必然有一环由它签发，而顶级域侧的签名或密钥轮换出问题会影响该后缀下所有启用验证的域名（这类事件极少但不是不可能，且同样是你无法做冗余的一环）。
L7 应用层
这是这个域的星标层，也是 DNS 分类的核心概念所在。先讲清注册局与注册商的区别，这是整条解析链路里最容易搞混的一处。注册局只做一件事，但无可替代：它维护一个顶级域的区域文件，也就是「这个后缀下每一个域名的权威服务器是谁」这份委派信息的最终持有方。你在注册商那里改 NS，注册商通过 EPP 协议把变更提交给注册局，只有写进注册局的区域文件之后，全世界的解析器才会把查询指向你的服务器——所以「改 NS 生效」这件事有两段：注册商提交（快）与注册局发布加缓存过期（有时间）。它的规模决定了性质：.com 下的域名数量级为一亿五千万个（以最新披露为准），这个体量使它不是一家供应商而是一段公共基础设施。
跨层：面对买不到的依赖能做什么
这是这个域第二个星标层，也是这一页最实用的部分，因为它回答一个具体问题：面对一个你买不到、做不了冗余、也换不掉的依赖，你还能做什么。答案是三件事，都不是技术手段：选顶级域就是选注册局（这是你对这一环唯一的真实决策，而不同顶级域的运营方、技术水平、政策与司法辖区都不同）；把它写进依赖清单而不是画进冗余方案；以及用上注册局级别的变更锁定（唯一一项由注册局提供而你能实际启用的保护）。这一层还要纠正一处品牌误解：这家公司的证书业务早已卖出（先 Symantec、后 DigiCert），托管 DNS 与 DDoS 防护业务也在 2018 年卖给 Neustar（后成为 Vercara）——它今天既不是证书颁发机构也不卖托管 DNS，仅凭品牌名判断会找错门。
GoDaddy
主场：L7 / OPS
L1 物理层
该层为空，没有产品或服务。这个域不拥有也不出售物理设施，其解析服务运行在租用或自建于他人机房的节点上，不构成物理层产品。
L2 数据链路层
该层为空，没有产品或服务。这个域不提供任何链路层产品或服务。
L3 网络层
任播的机制、以及为什么它同时带来低时延与攻击分散，已在本站 Verisign 域 L3 完整讲清，本文不重复。这个域的托管权威解析同样运行在任播基础设施上，但它在这一层没有独立于通用机制之外的差异化能力，也不把网络层能力作为卖点——它的价值主张在 L7 的「随域名附带、零配置可用」，而不是解析网络本身的规模或调度能力。如实按此记录，不为了填满而复述已在别处讲过的机制。
L4 传输层
该层为空，没有产品或服务。DNS 的传输行为（53 端口的 UDP 与 TCP、EDNS0 与大应答陷阱）是全协议共有的机制，已在本站 Verisign 域 L4 完整讲清，这个域在这一层没有自己的产品或差异化能力，不重复计入。
L5 会话层
该层为空，没有产品或服务。DNS 查询无状态，不存在需要维护的会话概念；账号登录会话属于其控制台的应用层功能，不构成独立的会话层产品。
L6 表示层
这一层内容真实且实用，讲的是证书与 DNS 之间那两处直接连接点，理解它们能避免两类高频事故。第一处是签发验证：用域名验证方式申请证书时要在 DNS 里加一条验证记录，而自动续期会周期性重复这个验证——所以那条验证记录或对应的接口凭据不能删，删了之后症状要等到证书到期才出现，属于典型的延迟爆发型故障。第二处是 CAA 记录：它在 DNS 里声明「只有这几家证书颁发机构可以为我的域名签发证书」，颁发机构签发前必须检查它，所以它能防住「攻击者去另一家机构为你的域名骗一张证书」这类攻击——而这类攻击一旦成功，攻击者就能做出浏览器完全信任的假站点（与 OPS 讲的账号失陷后果同源）。DNSSEC 签名在这个域以托管形态提供，机制与风险见本站 Verisign 域 L6。
L7 应用层
这是这个域的星标层，包含它的两块主业。第一块是注册商业务：代你向注册局提交注册与委派变更（注册局侧机制见本站 Verisign 域 L7）。这里最实际的成本特征是首年促销价与续费价可能差数倍，所以多年预算必须按续费价而不是首年价计算——这正是本站 Verisign 域讲「批发价是所有零售价的地板」时提到的现象：首年价可能低于地板（获客补贴），续费价则明显高于地板。转移要理解三件事：有锁定期（新注册或刚转移的域名一段时间内不能再转，常见 60 天）、需要授权码、以及转移本身不改变 NS 所以不影响解析——但很多人转移时顺手换了 DNS，把两件事的风险叠在一起，正确做法是分两步做、每步之间留观察期。
跨层：账号风险、台账治理与选型判断
这是这个域第二个星标层，也是这一页最实用的部分。核心风险要说到位：注册商账号是整条解析链路上最值得保护的一个凭据，因为它的权限是「改变委派」，而改变委派等于接管这个域名的一切。攻击者拿到账号后可以把 NS 指向自己的服务器；更进一步，他可以用域名验证方式申请到浏览器完全信任的证书，做出用户无法分辨的假站点。而入口只是一次账号失陷。这一层还有两块：台账与到期治理（域名到期忘续费是本行业最经典的自伤事故，而它的成因是治理而非技术）与成本治理（续费价、附加服务累积、组合报价）。最后给出选型判断：注册留在这里通常没问题，解析要不要留在这里取决于你的业务重要性。
Cloudflare DNS
主场：L4 / L7 / OPS
L1 物理层
该层为空，没有产品或服务。它的全球边缘网络确有物理形态，但那属于本站 CDN 与边缘分类里 Cloudflare 域的内容（该域覆盖其边缘平台的完整 L1 到 L7）。这个域刻意收窄在 DNS 主题上，不重复计入同一家公司的物理层内容。
L2 数据链路层
该层为空，没有产品或服务。这个域在 DNS 主题下不提供链路层产品。
L3 网络层
任播的机制已在本站 Verisign 域 L3 完整讲清，本文不重复。这一层对这个域值得单独指出的是它的任播网络同时承担权威解析、递归解析与流量代理三种角色——同一套节点既是你的权威 DNS，也是公共解析器 1.1.1.1 的落点，也是代理模式下用户实际连到的边缘。这带来一个实际后果，与 L7 的代理开关直接相关：开启代理后 DNS 应答里返回的不再是你的源站地址，而是它的边缘任播地址，所以「你的源站地址是否对外可见」这件事由一个 DNS 记录开关决定（完整讨论见 L7）。变更全网生效快是它的长期口碑项，但这在治理上是双刃的（见 OPS）。
L4 传输层
这是这个域的星标层之一，因为它在这一层有一项对整个行业的真实影响：它较早把加密解析（DoH 与 DoT）做成大规模可用的服务，实质推动了这项技术从提案变成默认。DNS 的基础传输行为（53 端口的 UDP 与 TCP、EDNS0 与大应答陷阱）见本站 Verisign 域 L4，不重复。这里要讲清的是加密解析改变了什么。DoT 把 DNS 查询装进 TLS 连接，走 853 端口——它是专用端口，因此网络侧仍能识别「这是 DNS 流量」并选择是否放行。DoH 把查询装进普通 HTTPS 请求，走 443 端口——这一点是关键：它在网络上与普通网页流量无法区分，因此中间设备很难在不做深度干预的情况下识别或阻断它。
L5 会话层
该层为空，没有产品或服务。DNS 查询本身无状态；加密解析建立的 TLS 或 HTTPS 连接属于传输层与表示层机制（见 L4、L6），不构成这个域独立的会话层产品。其零信任接入产品涉及会话概念，但那属于本站 CDN 与边缘分类 Cloudflare 域的范围，不在 DNS 主题下重复计入。
L6 表示层
这一层有两块内容。一是 DNSSEC：它在基础档就提供一键签名并生成需要提交到上级注册局的信任记录，机制、信任链与「换密钥不同步 DS」这个高频事故见本站 Verisign 域 L6，不重复；这里只强调一句实务——一键启用很方便，但真正要确认的是密钥轮换与信任记录同步是否自动可靠。二是加密解析在表示层的意义：L4 讲的是 DoT 与 DoH 在端口与可识别性上的差别，而在这一层要点明它保护的到底是什么——它加密的是查询内容（你在查哪个域名），使路径上第三方无法读取；但它不隐藏「你连到了哪个 IP」，因为后续的实际连接仍然暴露目的地址。这个边界经常被误解：加密解析提升的是查询隐私，不等于访问行为不可见。
L7 应用层
这是这个域的星标层，因为它的四重角色都落在这里。一是按成本价的注册商：按注册局批发成本价销售域名不加价，在一个靠首年低价与续费高价赚差额的市场里是明显的异类（对照本站 GoDaddy 域）——但有一个前提必须先知道：要在这里注册或转入，通常需要把该域名的解析也托管在它这里，所以这个便宜与它的 DNS 业务绑定，不是独立可选的。二是托管权威解析：基础档免费且能力相当强，接口成熟到可纳入自动化流水线。这一节最独特的是代理开关——同一条记录可选「只解析」或「解析并把流量代理经过它的边缘」，这一个开关决定 DNS 应答里返回的是你的源站地址还是它的边缘地址，也就决定了你的源站是否对外可见。
跨层：集中度评估与档位边界
这是这个域第二个星标层，要处理它在这一页上最实质的一个问题：把注册、权威解析、递归解析、流量代理与安全都放在一家，便利是真实的，集中度也是真实的。三块内容。集中度评估（最重要）：它不像本站 GoDaddy 域那样只是「注册与解析在一家」，而是可能连业务流量都经过它，所以一次平台级事件的影响面比多数供应商大。本站的立场不是不用它，而是把「一次平台级事件会同时影响我哪些能力」列成清单——这份清单本身就是集中度评估。档位与计费：免费档能力相当强，但要看清哪些能力在哪个档位，尤其是代理模式下用量口径完全变了（从解析查询变成边缘流量）。变更治理：变更全网生效快是优点，但一次错误配置也会很快全网生效，所以区域即代码与变更评审在这里比在生效慢的平台上更重要。
Quad9
主场：L7 / OPS
L1 物理层
该层为空，没有产品或服务。它不拥有物理设施——它的任播节点很大程度来自非营利伙伴无偿或低成本提供的站点，这个协作模式本身是它能以极低成本运营的原因（机制见 L3），但不构成它自己的物理层产品。
L2 数据链路层
该层为空，没有产品或服务。这个域不提供任何链路层产品。
L3 网络层
任播的机制已在本站 Verisign 域 L3 完整讲清，本文不重复。这一层对这个域值得单独指出的是它的任播覆盖靠协作换来而不是靠资本投入：节点很大程度来自非营利伙伴提供的站点——其中包括为大量国家顶级域提供任播服务的那类机构。这带来一个与商业厂商不同的实际后果：它的覆盖分布不均衡，某些地区节点密度很好，某些地区一般。因此不能按「全球任播」这个说法假设你所在地区一定快，应该实测（换用它前后对比解析时延即可）。这与本站 Cloudflare DNS 域那种靠自有资本铺开的全球网络是两种不同的形成路径，两个域对照读能看出「同样叫任播，覆盖质量的来源可以完全不同」。
L4 传输层
DNS 的基础传输行为见本站 Verisign 域 L4；加密解析（DoT 走专用 853 端口、DoH 走 443 与网页流量无法区分）的完整技术细节与其对企业管控的影响见本站 Cloudflare DNS 域 L4，机制通用，本文不重复。这个域在这一层的事实很简单：它同时提供 DoH 与 DoT 端点，且都免费。值得点明的是它与 Cloudflare DNS 域在这件事上的动机差异：那个域推动加密解析普及的同时也卖企业管控产品（因此处在一种张力里）；这个域是纯粹的非营利公共服务，没有企业管控业务，因此在隐私这一侧的立场不存在内部冲突——这是它的定位带来的一致性，值得对照阅读。
L5 会话层
该层为空，没有产品或服务。DNS 查询无状态；加密解析建立的 TLS 或 HTTPS 连接属于传输层机制（见 L4）。这个域也没有账号体系——它不要求注册、不识别用户，这正是它「不做用户画像」承诺的技术前提之一。
L6 表示层
这一层有一处与本分类其他域角色相反的差异，值得单独指出：本站 Verisign、GoDaddy、Cloudflare DNS 三个域在 DNSSEC 上扮演的是「签名方」（为区域签名），而这个域扮演的是「验证方」——它默认对返回的答案做 DNSSEC 验证，验证不通过就不返回答案。这带来一个非常实用的副产品：它是一个很好的「我的 DNSSEC 是不是配错了」检验工具——如果你的域名在不做验证的解析器上能解析、而在它这里解析失败，那基本就是签名链有问题（最常见的是换密钥后上级 DS 未同步，机制见本站 Verisign 域 L6）。反过来这也是一条风险提示：如果你启用了 DNSSEC 但配置有误，你的域名对使用它的用户就是不可访问的，而你自己的服务器一切正常。
L7 应用层
这是这个域的星标层，也是它的本体。它是一个免费的公共递归解析器，而它与其他公共解析器的差别在默认行为：它默认阻断已知恶意域名。多数公共解析器的定位是「快且不干预」，它的定位是「快、不画像、并且顺手挡掉恶意的」——也就是把保护性解析这件事免费提供给所有人，包括个人用户与没有安全预算的小组织。情报模式也与商业厂商不同：它自己不生产威胁情报，而是汇聚多家安全机构与厂商无偿提供的情报——这决定了它的覆盖面既取决于合作方的意愿与更新节奏，也让它不必自己承担情报成本。这个模式有一个常被忽略的好处：它没有商业指标驱动它去扩大阻断范围，对不希望解析器多管闲事的用户，这一点反而是优点。
跨层：治理、司法辖区、那场诉讼与企业边界
这是这个域第二个星标层，也是这一页真正的价值所在——因为本分类另外四家都是公司，只有这一家是非营利基金会，所以它能展示的是商业厂商页面展示不出来的东西：治理、司法辖区与法律风险。两块内容。一是那场诉讼，本站唯一一处涉及此问题的地方：「一个递归解析器要不要为它解析出来的东西负责？」——被问「这个名字在哪里」是否就使你成为后续行为的参与方？德国曾有权利人对它提起诉讼来追问这个问题，一审对它不利，其后在上诉阶段被推翻（具体法院、时间与最终状态应以最新公开报道为准）。**这个问题潜藏在本站每一个解析器之下，包括那些商业的，而只有在这一页它被真正诉讼过。
Infoblox
主场：L3 / L7 / OPS
L1 物理层
这一层记录它的部署形态，以及一条常被违反的可用性纪律。它有三种形态：物理设备、虚拟设备（数据面在本地，分支与网络受限环境更稳）、以及云管平台（从云端集中管理各站点配置，运维负担低但依赖到云的连通性——网络受限或强隔离环境要评估这一条）。这一层真正重要的是可用性标准，而它应该按「全公司业务的前提」来定而不是按一个普通内部服务来定：内网 DNS 坏了，全公司的登录、文件、打印与内部系统调用会一起出问题。具体要求是至少两个节点、分布在不同故障域（不同虚拟化主机、不同机房或不同可用区）、并且演练过其中一个完全断电——把两个节点放在同一台虚拟化主机上是很常见也很危险的做法，那不算冗余。
L2 数据链路层
该层为空，没有产品或服务。这个域不提供链路层产品，其服务建立在既有网络连通性之上。
L3 网络层
这是这个域的星标层之一，也是它在本分类里的结构性独特之处：另外四个域都只管「名字」，因此内容集中在 L7；只有这个域同时管「地址」——而地址分配（DHCP）与地址空间管理（IPAM）本身就是网络层的事。这一层要解决的问题在多数组织里是同一个：「这个地址是谁在用」答不上来。给一个可以立刻做的测试：随机抽十个内部地址，看你的团队能否说出每个的用途与责任人——多数组织答不上来。答不上来会造成四类持续的低效：排查慢（看到一个地址在制造问题，第一步却要花时间找它是谁的）、网段规划靠猜（不知道真实使用率，结果有的网段早就满了、有的分配了从来没用）、审计过不去（临时整理的清单几个月后又不准）、清理不敢做（不确定还有没有在用，于是地址与记录只增不减）。
L4 传输层
该层为空，没有产品或服务。DNS 的传输行为（53 端口的 UDP 与 TCP、EDNS0 与大应答陷阱）是全协议共有的机制，已在本站 Verisign 域 L4 完整讲清，这个域在这一层没有自己的产品或差异化能力。
L5 会话层
该层为空，没有产品或服务。DNS 查询与 DHCP 交互都不构成需要维护的应用会话；平台管理界面的登录会话属于其自身的管理功能，不构成独立的会话层产品。
L6 表示层
该层为空，没有产品或服务。这个域没有作为独立产品线的加密或签名能力。需要如实说明：其平台可为内部区域启用 DNSSEC 签名，但内网环境启用 DNSSEC 的实际收益有限（内网解析路径可控、攻击面与公网不同），而运维成本与公网场景相同（机制与风险见本站 Verisign 域 L6），因此这不是它的卖点也不构成单独的产品条目。
L7 应用层
这是这个域的星标层，包含两块内容。第一块是内网解析本身，其中最需要讲清的是与目录服务的共存：在有微软域的环境里，域控制器同时是 DNS 服务器（域登录、组策略与域内服务发现都依赖它），而这条路不是选出来的而是域架构带来的。所以现实形态几乎总是「专门平台做主干与真相源、域控负责域相关区域」，两者之间用区域委派或条件转发衔接——而这个衔接处的配置错误是内网解析故障的高发区，其中最难查的一种是转发环路：两台服务器把同一个域互相转发，查询在中间往返直到超时。
跨层：许可口径、设备生命周期与备份恢复
这是这个域第二个星标层，有三条这类平台特有的、容易在预算与运维上出问题的事。一是计费按「受管对象数」而不是按查询量——这与本分类另外四家完全不同：受管对象随你的网络自然增长，所以许可成本会跟着设备数、地址数与站点数一起涨，预算要按三年自然增长预估而不是按当前数量。二是设备生命周期是实打实的运维负担：内网 DNS 的升级窗口比多数系统更难安排（它一停，全公司登录与文件访问一起停），所以升级只能靠冗余节点滚动做并演练过——这也反过来解释了为什么「至少两个节点且在不同故障域」不只是可用性要求，更是可运维性要求。三是备份与恢复必须演练：这个平台里存着你的全部内部命名、地址分配与策略，它的恢复能力就等于你的网络恢复能力——而备份任务显示成功不等于备份能恢复。
