Cloudflare DNS 真的免费吗？

Cloudflare目前在所有套餐中提供权威DNS，并表示Free、Pro和Business客户不会按DNS查询收费。辅助DNS等高级功能取决于套餐。

DNS故障转移能替代全局负载均衡器吗？

不一定。DNS故障转移受健康检查间隔和解析器缓存影响，而全局L7负载均衡器通常可以更快做出反应，并针对每个请求进行决策。

生产DNS应该通过Terraform管理吗？

通常应该，但要谨慎导入现有记录，并保护apex、MX、NS和CAA等关键记录免遭意外删除。

DNSSEC会加密DNS吗？

不会。DNSSEC对DNS数据进行认证并保护完整性；它不会加密查询。

2026年Node.js SaaS应用最佳托管DNS提供商

DNS是SaaS基础设施账单中最小的条目之一，却是潜在影响范围最大的组件之一。

如果权威DNS发生故障，无论Node.js API多健康，用户都无法找到它。

如果DNS记录被错误修改，整个生产环境可能看上去离线，尽管所有服务器、数据库和负载均衡器都正常工作。如果多区域故障转移策略出错，流量可能被发往不健康的区域。如果在迁移域名服务器时错误配置DNSSEC，有效的记录也可能变得无法访问。

因此，托管DNS应被视为生产流量控制基础设施，而不是注册商处的一个复选框。

对于2026年的Node.js SaaS团队，最值得评估的提供商是：

Cloudflare DNS
Amazon Route 53
Google Cloud DNS
Azure DNS
IBM NS1 Connect

这五者都能在全球范围内应答权威DNS查询。真正的差异在于定价模式、健康检查、延迟/地理位置路由、多云流量调度、DNSSEC、辅助DNS、私有DNS、可观测性、API/IaC工作流以及云集成。

快速建议

对于许多独立SaaS产品，默认选择 Cloudflare DNS，当你想要简单的经济学、全球任播DNS、DNSSEC、DDoS防护，以及一个不与托管应用的云绑定的干净API时。

当AWS已经是基础设施控制平面时，选择 Amazon Route 53。它尤其擅长指向AWS服务的Alias记录、健康检查、延迟路由、地理位置路由、私有托管区域以及混合云DNS。

当应用主要构建在Google Cloud上，并且你想要低成本权威/私有DNS，并集成GCP中的加权、地理位置、故障转移和健康检查路由时，选择 Google Cloud DNS。

当Azure网络、私有DNS、Entra治理操作和微软企业协议已经定义环境时，选择 Azure DNS。其计费基于区域和DNS查询量。

当DNS本身就是一套复杂的全球流量管理系统时，选择 IBM NS1 Connect。NS1是这里最专业的选择，适用于高级流量调度、基于性能的决策、RUM、多云弹性和辅助DNS设计。

DNS是请求路径的一部分

用户请求在HTTP到达你的Node.js服务之前就已开始：

user
  |
  v
recursive resolver
  |
  v
authoritative DNS
  |
  v
CDN / WAF / load balancer
  |
  v
Node.js service
  |
  v
database / cache / queue

生产事故可能因为域名服务器不可达、区域委派不正确、DS记录错误、CNAME指向已删除服务、Alias记录指向错误负载均衡器、故障转移返回失效端点、TTL不适合迁移，或自动化覆盖了手工记录而发生。这些故障并不一定会表现为Node.js异常。

权威DNS与递归DNS

权威DNS 托管你域名的记录：

api.example.com    -> 203.0.113.20
app.example.com    -> cdn.vendor.example
status.example.com -> status.vendor.example

递归DNS 由客户端或工作负载用于查找域名。例子包括ISP解析器、企业解析器、Cloudflare 1.1.1.1、Google Public DNS和Route 53 Resolver。本指南主要比较权威DNS。

2026年对比表

提供商	最适合	公共DNS定价信号	高级路由	DNSSEC	辅助/多提供商
Cloudflare DNS	简单全球SaaS	Free/Pro/Business不按DNS查询收费	Edge/负载均衡集成	是	辅助DNS在Enterprise；多重签名DNSSEC
Amazon Route 53	AWS原生SaaS	前25个托管区域$0.50/区域；前10亿标准查询$0.40/百万	加权、延迟、故障转移、地理、邻接地理、基于IP	是	强大的混合云DNS模式
Google Cloud DNS	GCP原生SaaS	前25个托管区域$0.20/区域；前10亿标准查询$0.40/百万	加权、地理位置、故障转移+健康检查	是	外部可实现多提供商
Azure DNS	Azure原生SaaS	按区域+查询量计费	通常与Traffic Manager / Front Door配合	是	通过常规DNS架构实现多提供商
IBM NS1 Connect	高级多云流量调度	Essentials $99/月；Standard $349/月	过滤器链、健康/性能/RUM调度	是	高级主/辅助DNS

1. Cloudflare DNS：许多SaaS团队的最佳默认选择

Cloudflare当前的DNS文档说明DNS在所有套餐中可用。对于Free、Pro和Business客户，Cloudflare不收取DNS查询费用，并表示没有DNS查询上限。Enterprise定价可能将每月DNS查询量作为定制合同的一个输入项。

当前Network/CDN套餐背景：

Free：$0
Pro：$20/月按年计费，或$25按月付费
Business：$200/月按年计费，或$250按月付费
Contract：定制

基础权威DNS已包含在内，但高级能力取决于套餐。Cloudflare辅助DNS目前仅限Enterprise。

DNSSEC

Cloudflare支持一键DNSSEC。对于SaaS生产域名，请启用它，但要记住父区域DS记录与权威提供商的签名状态必须保持同步。如果你在旧DS记录仍然生效时迁移域名服务器，验证解析器可能会拒绝原本正确的应答。

Cloudflare还支持多重签名DNSSEC，允许多个权威DNS提供商为同一签名区域提供服务。这对高可用多提供商DNS很有价值。

最适合

当你想让DNS独立于计算云、已经在使用Cloudflare CDN/WAF、想要简单的查询经济学，并且未来可能需要企业级辅助DNS时，使用Cloudflare。

2. Amazon Route 53：最适合AWS原生SaaS

Route 53是AWS中心架构的自然选择，因为Alias记录可以直接指向AWS资源。

api.example.com
  |
  v
Route 53 Alias
  |
  v
Application Load Balancer
  |
  v
ECS / EKS / EC2 Node.js service

托管区域定价

当前公开定价：

前25个托管区域：每个托管区域每月$0.50
额外托管区域：每个托管区域每月$0.10

一个托管区域最多包含10,000条记录。超过10,000条记录目前按每条记录每月$0.0015计费。

查询定价

对于普通AWS区域：

标准：前10亿查询$0.40/百万，之后$0.20/百万
延迟路由：前10亿查询$0.60/百万，之后$0.30/百万
地理位置/邻接地理：前10亿查询$0.70/百万，之后$0.35/百万
基于IP的路由：前10亿查询$0.80/百万，之后$0.40/百万

私有托管区域查询不作为公开权威查询流量计费。对于指向受支持AWS目标（如ELB、CloudFront、API Gateway、App Runner、Global Accelerator及部分其他服务）的特定Alias A/AAAA记录，Route 53也免除DNS查询费用。

路由与故障转移

Route 53支持简单、加权、延迟、故障转移、地理位置、邻接地理、基于IP和多值应答路由。

加权路由可以支持DNS级发布，但它不等同于L7代理精确分配10%请求，因为递归解析器会缓存应答。

基于健康检查的故障转移对主/备架构很有用，但真实RTO包括健康检测 + DNS应答更改 + 解析器TTL + 客户端行为。

2026年重要AWS变化

AWS于2026年3月9日正式发布 Route 53 Global Resolver。它为授权客户端提供可访问互联网的任播递归DNS、私有托管区域解析、过滤和集中式日志。5月8日，AWS添加了动态添加/移除区域参与；6月24日通过RAM实现了AWS账户之间的DNS View共享。

这些是解析器侧功能，而不是公共权威托管，但它们使Route 53在大型混合环境中越来越重要。

3. Google Cloud DNS：最适合GCP原生SaaS

Google Cloud DNS的计费模型简单直接：托管区域 + 查询 + 可选的路由策略/健康检查费用。

托管区域

前25个区域：$0.20/区域/月
26–10,000个：$0.10/区域/月
超过10,000个：$0.03/区域/月

区域存在按小时按比例计费。Cloud DNS没有通用免费套餐。

查询

常规查询：

每月前10亿：$0.40/百万
超过10亿：$0.20/百万

路由策略查询：

前10亿：$0.70/百万
超过10亿：$0.35/百万

Cloud DNS不对DNS查询流量收取数据传输出费用。

路由策略

当前Cloud DNS支持加权轮询、地理位置和故障转移。健康检查可以与路由策略结合，用于受支持的内部负载均衡器和公共外部端点。

对于多区域SaaS：

api.example.com
  |
  v
Cloud DNS geolocation policy
  |
  +--> US   -> us-central backend
  +--> EU   -> europe-west backend
  +--> APAC -> asia-southeast backend

Google的路由策略文档于2026年8月更新，并继续描述受支持端点的健康检查故障转移。

4. Azure DNS：最适合以Azure为中心的企业环境

Azure DNS自然地与Azure虚拟网络、私有DNS、Front Door、Application Gateway、AKS、Container Apps和微软企业治理配合。

Azure DNS权威计费基于托管区域数量和DNS查询。官方定价页面按地区/货币/采购上下文动态渲染准确数值，因此采购应使用实时Azure计算器，而不是硬编码旧的全球数字。

Azure可以管理公共和私有DNS区域。将内部服务发现名称保留在私有DNS中，而不是公开暴露它们。

对于复杂的全球流量调度，Azure通常将Azure DNS与 Traffic Manager 或 Azure Front Door 配合使用。DNS可以提供名称，而Traffic Manager或Front Door负责流量策略。

Azure公共DNS支持DNSSEC签名。与所有提供商一样，在迁移期间将父DS记录视为生产依赖项。

5. IBM NS1 Connect：最适合高级DNS流量调度

IBM NS1 Connect专注于将DNS变成实时全球流量决策层。

2026年公开定价

Essentials

起价 $99/月
约3,000万–8,000万DNS查询/月，取决于购买量
1,000条DNS记录
2个健康检查监控器
1条流量调度过滤器链

Standard

起价 $349/月
更高的查询量，从5,000万到10亿不等，取决于配置
更高的记录/监控器/过滤器链容量

Premium

定制定价
主/辅助DNS
专用DNS、中国DNS、RUM流量调度、DNS洞察及其他附加组件

过滤器链

NS1的关键差异在于过滤器链流量调度：

candidate endpoints
  |
  v
remove unhealthy endpoints
  |
  v
filter by geography
  |
  v
prefer lowest-latency endpoint
  |
  v
apply capacity / business rule
  |
  v
DNS answer

IBM于2025年12月宣布Cloud Sync，用于在NS1 Connect和Route 53之间进行双向同步和策略转换。这直接解决了多云DNS漂移问题。

当DNS是业务关键流量工程，而不仅仅是托管区域数据库时，使用NS1。

DNS TTL是可靠性控制手段

TTL控制递归解析器可以缓存应答的时长。

高TTL减少查询依赖并提高缓存效率，但会减慢迁移和故障转移。低TTL支持更快变更，但增加权威查询负载，并且不保证每个解析器/客户端都完全按预期行事。

一种实用的迁移模式：

正常运维：                根据记录将TTL设为300–3600秒
迁移前24–48小时：          降低TTL
执行迁移
监控
恢复正常TTL

在迁移前五分钟降低TTL并不会使此前使用旧TTL缓存的应答失效。

DNS故障转移不是即时故障转移

如果主区域在10:00:00发生故障，恢复可能需要健康检查检测、路由策略更改、TTL过期和客户端重试。已建立的长期HTTP/TCP连接在重新连接之前可能根本不执行DNS解析。

不要承诺等于TTL的DNS故障转移RTO。测试端到端恢复路径。对于关键API，全局L7负载均衡可能更快地故障转移，因为它可以按请求作出路由决策，而不是按缓存的DNS应答。

Node.js也有DNS行为

Node.js还是数据库、Redis、支付API、邮件API、对象存储、webhook目标和内部服务的DNS客户端。

更改DNS记录不会自动迁移已经建立的PostgreSQL连接。连接池必须检测断开的套接字并重新连接。DNS只是应用恢复的一层。

DNSSEC应成为生产域名的默认设置

DNSSEC为DNS应答提供来源认证和数据完整性。它不会加密DNS。

在迁移域名服务器之前：

记录当前DNSSEC状态
确认目标提供商流程
确定是否支持多重签名迁移
导出区域
测试目标应答
在正确阶段更新DS记录
通过支持DNSSEC的解析器进行验证

DNSSEC错误可能造成服务中断，而普通的非验证工具仍会使记录看起来正确。

将DNS作为代码管理

生产DNS是配置，应该可审查。

Route 53 Terraform示例：

resource "aws_route53_record" "api" {
  zone_id = aws_route53_zone.main.zone_id
  name    = "api.example.com"
  type    = "A"

  alias {
    name                   = aws_lb.app.dns_name
    zone_id                = aws_lb.app.zone_id
    evaluate_target_health = true
  }
}

IaC提供拉取请求审查、变更历史、可重复性和灾难恢复。但要谨慎导入现有区域：如果自动化认为它拥有某个手工创建的记录，就可能删除生产DNS。

DNS自动化需要强大的护栏

DNS API令牌可以重定向网站流量、API、邮件、域名验证和身份验证回调。使用最小权限凭据、按区域/环境分离令牌、保护生产分支、对apex/MX/NS/CAA变更进行审批，并保留审计日志。

对待DNS凭据应类似云管理员凭据。

CAA记录对TLS很重要

CAA记录限制哪些证书颁发机构可以为你的域名签发证书。

example.com CAA 0 issue "letsencrypt.org"

如果你的SaaS使用Cloudflare、AWS ACM、Let’s Encrypt或其他证书系统，请有意地设计CAA。错误的CAA记录可能在导致问题的DNS变更数周后破坏证书续期。

多提供商DNS：什么时候值得？

一个权威DNS提供商对大多数SaaS公司已足够。第二个提供商会增加成本、同步复杂性、DNSSEC复杂性、策略转换和事件运维手册。

当DNS提供商故障超出业务可接受风险、可用性承诺严格、每分钟收入高，或多云主动-主动弹性是正式要求时，使用多提供商DNS。

一种常见模式：

primary DNS
  |
  +--> AXFR/IXFR or synchronization
  |
secondary DNS

记录集必须在所有提供商之间保持一致。

按SaaS阶段推荐的架构

早期SaaS

使用一个托管权威提供商。好的默认选择是Cloudflare DNS、AWS原生栈的Route 53、GCP原生栈的Cloud DNS，或Azure原生栈的Azure DNS。启用DNSSEC并通过IaC/API管理变更。

成长型SaaS

增加健康监控、明确的TTL策略、DNS变更审查、生产区域审计日志、分阶段迁移和事件运维手册。

多区域SaaS

决定全局路由属于DNS、全局L7负载均衡器、CDN还是明确组合。不要让DNS地理路由、CDN地理路由和应用重定向各自独立地互相冲突。

企业/关键任务SaaS

评估辅助DNS、多重签名DNSSEC、提供商多样性、高级流量调度、中国特定需求、正式DNS SLO和外部解析探测。这正是NS1或企业版Cloudflare更有吸引力的场景。

监控DNS

监控权威域名服务器可达性、预期的A/AAAA/CNAME应答、DNSSEC验证、多地理解析、TTL、SOA/版本数据、故障转移结果、可用的NXDOMAIN/SERVFAIL率，以及DNS查询延迟。

使用外部监控，而不是只依赖DNS提供商自己的状态页。

灾难恢复检查清单

在DNS提供商之外保留区域导出，并记录注册商所有权/MFA、域名服务器、DS记录、区域导出、API令牌所有者、Terraform状态、辅助提供商配置和紧急TTL策略。

最糟糕的发现时机是在故障期间发现区域的唯一副本在故障提供商内部。

成本示例

Cloudflare

对于Free/Pro/Business上的基础权威DNS：DNS查询没有按查询收费。

Route 53

10个区域和每月1亿次标准查询：

区域：   10 × $0.50 = $5
查询：   100 × $0.40 = $40
近似总计 = $45/月

这不包括健康检查、Resolver产品、域名注册和其他Route 53功能。

Google Cloud DNS

10个区域和1亿次常规查询：

区域：   10 × $0.20 = $2
查询：   100 × $0.40 = $40
总计 ≈ $42/月

这不包括路由策略和健康检查费用。

IBM NS1 Connect

Essentials起价$99/月；Standard起价$349/月。

这不是同类比较，因为NS1销售的是更丰富的流量调度控制平面。

最终建议

对于2026年大多数Node.js SaaS产品：

选择 Cloudflare DNS 作为独立、全球分布的权威层，具有简单经济学和强大的安全默认设置。
选择 Amazon Route 53 当AWS是基础设施标准，并且DNS应与ALB、CloudFront、API Gateway、私有托管区域和AWS路由策略紧密集成。
选择 Google Cloud DNS 当GCP是主要平台，并且透明的区域/查询定价加上原生加权/地理位置/故障转移路由适合平台。
选择 Azure DNS 当Azure已经是运维环境，并且公共/私有DNS应融入微软网络和治理。
选择 IBM NS1 Connect 当DNS是高级多云流量工程层，而不仅仅是记录存储。

更深层的规则很简单：

DNS是缓存的、对安全敏感的流量控制基础设施。

像管理代码一样管理它。启用DNSSEC。保护API凭据。理解TTL。测试故障转移。导出区域。对于业务关键SaaS，明确决定一个DNS提供商是否是可接受的依赖。