blog.6admin.io
guest@6admin.io:~$
dns, network

OpenDNS : les DNS libres

OpenDNS (208.67.222.222 et 208.67.220.220) est un résolveur DNS public et gratuit, apparu avant les résolveurs des grands acteurs. Le principe: vous remplacez les DNS de votre FAI par les leurs et votre résolution passe par leurs serveurs au lieu des vôtres.

Pourquoi

Trois raisons que les gens invoquent:

  • Le DNS du FAI est lent, tombe en panne ou ment (le portail captif qui résout tout vers sa page de login);
  • OpenDNS filtre les domaines de phishing et de malware (leur base de domaines malveillants, mise à jour en continu);
  • OpenDNS fait du caching et le cache est plus rapide que le resolver du FAI.

Comment

# Dans /etc/resolv.conf
nameserver 208.67.222.222
nameserver 208.67.220.220

Ou dans le DHCP du réseau pour que tous les postes en profitent.

Ce que ça implique

Le résolveur DNS voit TOUTES vos requêtes. Chaque nom que votre machine demande passe par OpenDNS et OpenDNS sait quels domaines vous visitez, à quelle fréquence, depuis quelle IP source. C’est un tiers de confiance et le “trust” dans “trusted third party” est à prendre au sens fort: vous leur donnez l’historique complet de votre navigation DNS.

OpenDNS fait du filtering (les domaines malveillants redirigent vers une page “blocked”), ce qui signifie qu’ils DECIDENT ce que vous pouvez visiter. Le filtering est configurable (désactivable), mais le défaut l’active et le défaut est le comportement que 95% des utilisateurs ne changent jamais.

Ce que ça vaut

Pour le sysadmin qui gère un parc: OpenDNS est un résolveur de secours (le DNS du FAI tombe, OpenDNS prend le relais). Pour le particulier: le filtering est un plus, mais le tiers de confiance est un coût. La leçon tient en une phrase: le résolveur public est rapide, gratuit et il voit tout.

[edit: 2026] OpenDNS est devenu Cisco OpenDNS (racheté en 2015), Google Public DNS (8.8.8.8) et Cloudflare (1.1.1.1) ont pris le marché et le débat tiers-de-confiance vs FAI vs auto-hébergé est le même. La leçon du DNS-inventory s’applique: votre DNS est votre inventaire et si votre résolveur est un tiers, votre inventaire appartient à ce tiers.