Porque é que as verificações DNS falham a partir da Rússia, China e Taiwan (e como resolvemos isso)
Por vezes, uma verificação DNS não falha por haver algo errado com o próprio DNS. Falha porque o caminho de rede até ao resolvedor está bloqueado antes de a consulta sequer partir — e nenhuma quantidade de novas tentativas ou troca de resolvedores muda isso.
O problema que encontrámos
Testes feitos diretamente a partir do servidor de produção, não apenas em teoria, mostraram que a sua rede bloqueia completamente a porta 53 (UDP e TCP), DoH e DoT para resolvedores na Rússia, China e Taiwan.
A dimensão do problema
40 resolvedores foram afetados — Yandex, 114DNS, AliDNS, Baidu, HiNet, Quad101, Rostelecom, MSK-IX e outros ficaram todos bloqueados até ao tempo limite. Apenas DNSPod e KT responderam diretamente.
Porque é que outra lista de resolvedores não resolveria isto
Isto não é uma questão de quais resolvedores são geralmente fiáveis — é o próprio caminho de rede do servidor até países específicos que está bloqueado a um nível que nenhuma lista branca de resolvedores consegue alcançar. Trocar quais resolvedores são consultados não muda nada quando a própria ligação nunca chega a partir.
A solução real
Um Cloudflare Worker (app/probe-worker) repete a consulta DNS via TCP/53 a partir da própria rede da Cloudflare, que não está sujeita ao mesmo bloqueio, e devolve a resposta em bruto ao nosso backend.
Quais resolvedores passam pelo relay
Sete resolvedores específicos são encaminhados desta forma — Yandex, 114DNS (dois endereços), AliDNS (dois endereços) e HiNet — através de queryViaProbe em probe.go, e apenas quando as variáveis de ambiente PROBE_URL e PROBE_TOKEN estão de facto definidas. Sem elas, nada muda; todos os outros resolvedores são consultados exatamente como antes.
Porque é que isto não é um proxy aberto
O Worker exige um token de portador e só aceita consultas para essa lista fixa de sete resolvedores — não pode ser usado para reencaminhar tráfego DNS arbitrário para outro local.
Os limites do plano gratuito que moldam o desenho
O plano gratuito Workers da Cloudflare permite 100.000 pedidos por dia, 10 ms de tempo de CPU, 50 subpedidos e 6 ligações simultâneas por chamada — o que resulta em cerca de 3.500 verificações por dia com 28 chamadas ao Worker cada uma.
Experimente uma verificação de propagação
Veja a teoria na prática — execute Verificador de propagação DNS para o seu próprio domínio.