加密DNS(DoH 与 DoT)

加密DNS是指对域名系统查询进行加密传输的技术,主要包括基于 HTTPS 的 DoH(DNS over HTTPS)和基于 TLS 的 DoT(DNS over TLS)。传统 DNS 以明文 UDP 传输,任何处于网络路径上的人都能看到用户访问了哪些域名,甚至篡改解析结果;加密DNS 通过加密通道解决了这一隐私与安全短板。

概述

DNS 是互联网的电话簿,把域名翻译为 IP 地址。由于历史原因它长期以明文传输,导致运营商、公共 WiFi 提供者或攻击者能够监视、记录甚至劫持用户的解析请求。DoT 于 2016 年在 RFC 7858 中标准化,使用独立端口 853 承载 TLS 加密的 DNS;DoH 于 2018 年在 RFC 8484 中标准化,将查询封装进普通 HTTPS 流量,难以被单独识别和封锁。

核心原理

• DoT:在客户端与解析器之间建立 TLS 会话,DNS 查询在加密通道内传输,使用专用端口便于网络管理识别。
• DoH:将 DNS 查询编码为 HTTPS 请求,与普通网页流量混在同一端口,隐蔽性更强。
• 身份验证:客户端可校验解析器证书,防止连接到冒充的恶意解析服务器。
• 防篡改:加密与完整性保护使投毒和劫持难以实施。

应用场景

主流浏览器和操作系统已内置加密DNS 选项,用户可选择可信的公共解析器提升隐私。它在公共网络、审查环境和注重隐私的场景中尤为有用,也被用于绕过基于 DNS 的粗暴劫持。企业则可能结合内部解析策略统一管理。

常见问题

问:用了加密DNS 就完全匿名了吗?答:并非如此。它只加密了解析过程,访问网站的 IP 连接和 TLS 握手中的服务器名等信息仍可能暴露访问目标,且解析服务商本身能看到你的查询。

问:DoH 和 DoT 该选哪个?答:DoH 隐蔽性强、更难被网络封锁,DoT 因端口独立便于企业统一管控。个人隐私优先选 DoH,受控网络管理优先选 DoT。