在Debian服务器或桌面环境中，DNS解析链路往往依赖运营商或公共DNS服务器。每次访问新域名时，系统都需要向外部服务器发起递归查询，这个过程可能受到网络延迟、上游限速甚至DNS污染的影响。dnsmasq是一个轻量级的网络服务，它既可以作为DHCP服务器，也可以作为DNS转发器和缓存器。将dnsmasq部署在本机后，第一次解析结果会被缓存在内存中，后续相同查询可以直接从本地返回，不仅显著缩短解析时间，还能减少对外部DNS的依赖。对于频繁访问固定域名、运行爬虫或容器集群的场景，本地DNS缓存层能带来稳定的收益。
一、准备环境与安装dnsmasq
Debian的软件仓库默认包含dnsmasq，使用apt即可完成安装。安装前建议先确认当前DNS解析是由哪个组件负责，因为在默认的桌面或服务器安装中，systemd-resolved常常已经占用了53端口。使用ss -ulnp | grep :53或sudo lsof -i :53可以查看端口占用情况。若看到systemd-resolve监听在127.0.0.53:53，就需要在配置dnsmasq前决定是共存还是停用systemd-resolved，否则dnsmasq启动时会报Address already in use。
sudo apt update sudo apt install dnsmasq -y
安装完成后，服务通常会自动启动并设置为开机自启。可以使用systemctl status dnsmasq检查运行状态。dnsmasq的主配置集中在/etc/dnsmasq.conf，该文件包含大量带注释的示例参数，实际生效的配置很少。Debian还会读取/etc/default/dnsmasq中的启动选项，例如是否启用DHCP、是否读取额外的配置目录。为了避免误改大文件，许多管理员选择在主配置末尾追加自定义参数，或者创建/etc/dnsmasq.d/下的独立配置文件。无论采用哪种方式，修改后都需要执行sudo systemctl restart dnsmasq使配置生效。
二、配置本地DNS缓存与上游服务器
要让dnsmasq承担本地缓存任务，首先要让它监听在本机回环地址。配置文件中最关键的几项包括no-resolv和server。no-resolv告诉dnsmasq不要读取/etc/resolv.conf中的上游DNS，避免把本机系统当前使用的DNS再次作为转发目标，从而可能形成循环。而server=114.114.114.114则指定上游DNS服务器。若希望使用多个上游，可以写多行server，dnsmasq会根据响应速度和可用性进行选择。
# /etc/dnsmasq.conf 追加配置 listen-address=127.0.0.1 bind-interfaces no-resolv server=114.114.114.114 server=8.8.8.8 cache-size=1000 min-cache-ttl=3600 max-cache-ttl=86400
缓存大小由cache-size控制，默认值通常是150，这个数字表示可缓存的不同域名记录数量，并不是字节大小。对于个人电脑或小型服务器，设置为1000或2000通常够用；对于访问大量不同域名的爬虫或网关设备，可以提高到10000以上。另外，min-cache-ttl和max-cache-ttl分别限制缓存条目的最短和最长生存时间。很多公共DNS返回的TTL较短，例如60秒，如果不想频繁刷新，可以把min-cache-ttl设置为3600，让本地缓存至少保留一个小时。这种配置在DNS结果相对稳定时能明显提升命中率，但如果某些域名频繁变更IP，则不建议把TTL拉得过高，否则可能出现解析到旧地址的问题。
另一个容易忽视的是负缓存。dnsmasq默认会缓存NXDOMAIN结果，也就是不存在的域名，缓存时长由neg-ttl控制。这在恶意软件频繁查询随机域名时可以减少上游压力，但有时也会让误拼域名在一段时间内无法解析。若需要立即让新域名生效，可以清空缓存或重启服务。
三、处理systemd-resolved冲突与resolv.conf
在多数Debian版本中，/etc/resolv.conf实际上是一个软链接，指向/run/systemd/resolve/stub-resolv.conf或类似位置，由systemd-resolved动态管理。若dnsmasq要监听53端口，而systemd-resolved已经占用127.0.0.53:53，两者不会默认共存。最简单的做法是禁用systemd-resolved的DNS监听，而不是卸载整个服务。修改/etc/systemd/resolved.conf，将DNSStubListener设置为no，然后重启systemd-resolved服务。此时本机的53端口会释放，dnsmasq可以正常绑定。
# /etc/systemd/resolved.conf [Resolve] DNS=127.0.0.1 DNSStubListener=no
随后需要让系统实际使用127.0.0.1作为DNS服务器。可以直接编辑/etc/resolv.conf，将nameserver写成127.0.0.1，并设置search域。但要注意NetworkManager或systemd-resolved可能会在重启后覆盖该文件。如果使用NetworkManager，可以在连接配置中把DNS设置为手动，并填写127.0.0.1；如果没有桌面网络管理器，可以使用resolvconf包管理，或者编写systemd服务在启动时写入resolv.conf。也可以为/etc/resolv.conf设置chattr +i防止被覆盖，但要记住后续修改前先chattr -i。
如果希望保留systemd-resolved而让dnsmasq仅做缓存，可以改变端口，例如让dnsmasq监听127.0.0.1:5353，并把系统DNS指向127.0.0.1:5353。不过多数客户端DNS设置不接受非标准端口，所以这种方案更适用于自定义应用。对大多数用户来说，直接停用systemd-resolved的stub listener更为直观。
四、验证缓存效果与性能测试
配置完成后，先使用dig命令测试解析。dig可以通过@参数指定测试哪台DNS服务器。第一次执行dig @127.0.0.1 www.google.com时，dnsmasq需要向上游服务器转发查询，Query time可能与上游延迟相当；紧接着再执行一次相同命令，如果命中缓存，Query time通常会降到0毫秒，同时输出中会显示SERVER: 127.0.0.1#53。这个差异是验证缓存生效最直接的方法。
dig @127.0.0.1 www.google.com +stats # 第一次 Query time: 35 msec dig @127.0.0.1 www.google.com +stats # 第二次 Query time: 0 msec # SERVER: 127.0.0.1#53
除了单次对比，还可以使用dig +stats多次查询，观察平均耗时。如果发现第二次之后查询时间没有变化，需要检查缓存大小、TTL以及是否存在多个dnsmasq实例。dnsmasq还支持通过信号输出统计信息，使用sudo kill -USR1 $(pgrep dnsmasq)后，统计会写入系统日志。journalctl -u dnsmasq -e或/var/log/syslog中可以看到cache size、queries forwarded、queries answered locally等字段。answered locally的比例越高，说明缓存命中率越高。若想查看具体哪些域名被缓存或转发，可以临时在配置中启用log-queries并把log-facility指向自定义文件，但要注意日志量会快速增长，生产环境建议仅在排查时开启。
故障排查时，首先确认dnsmasq是否绑定在预期地址上，使用ss -ulnp | grep dnsmasq。然后确认/etc/resolv.conf中第一个nameserver是否为127.0.0.1。如果本机应用仍走systemd-resolved，可能因为某些程序硬编码使用127.0.0.53，需要保证stub listener已关闭或/etc/resolv.conf链接正确。可以使用resolvectl status查看systemd-resolved状态，如果输出中DNS Server不是127.0.0.1，说明系统解析没有切到dnsmasq。最后检查防火墙规则，本机回环查询一般不受影响，但如果dnsmasq同时监听局域网地址为其他机器服务，需要放行TCP和UDP的53端口。
五、安全与维护建议
dnsmasq作为常驻服务，虽然资源占用很低，但仍需注意安全。如果只为本机提供缓存，务必只监听127.0.0.1，不要使用listen-address=0.0.0.0暴露到公网，否则可能成为开放DNS解析器而被滥用。上游DNS的选择应优先使用可信的加密DNS或内网DNS，例如通过server=指定。若内网有权威DNS域，可以使用server=/internal.ippipp.com/192.168.1.1将特定域转发到对应服务器。
缓存数据存储在内存中，重启服务会清空全部缓存。升级dnsmasq包后，Debian的apt会尝试保留配置文件，但若主配置文件被修改过，升级时可能提示差异。建议备份/etc/dnsmasq.conf和/etc/dnsmasq.d目录。若在网关设备上启用DHCP功能，还需要关注DHCP租约文件路径和权限。对于纯DNS缓存场景，关闭DHCP可以减小攻击面，只需在配置中不启用dhcp-range即可。