告别明文 DNS 的窃听：深度解析 DoH（DNS over HTTPS）与 DoT（DNS over TLS）

在互联网世界中，网页浏览、视频通话、即时通信等数据绝大多数都经过了 TLS 加密，外人（如运营商、Wi-Fi 管理员或中间人）只能看到你访问了哪个域名，却无法窥探你的具体聊天内容或网页细节。

然而，作为整个互联网访问的“第一步”——DNS（域名系统）查询，长期以来却一直以完全明文的形式裸奔在网络中。

当你兴冲冲地在浏览器里输入一个网址时，你的设备会向 DNS 服务器发送一个明文请求：“请问 example.com 的 IP 地址是多少？”这个请求不仅毫无隐私可言，还极易受到 DNS 劫持、污染（DNS Spoofing/Poisoning） 以及流量审查。

为了夺回 DNS 查询的隐私权与安全性，DoT (DNS over TLS) 与 DoH (DNS over HTTPS) 应运而生。本文将带你深入了解这两种核心技术，看看它们如何重塑现代网络的底座。

一、 为什么传统的 DNS 如此脆弱？

在深入 DoH/DoT 之前，我们先来看看传统 UDP/TCP 53 端口明文 DNS 的痛点：

1. 隐私泄露（裸奔查询）：由于未加密，任何在本地网络、ISP（运营商）或者骨干网上的旁路设备都可以轻而易举地抓包，知道你正在访问什么网站、使用什么 App。哪怕你后续的流量是 HTTPS 加密的，你的浏览足迹也早已在 DNS 阶段暴露无遗。
2. DNS 劫持与篡改：
• 运营商劫持：一些不良宽带运营商会在你访问不存在的网址时强行注入广告页面，或者在查询时返回虚假的 IP。
• 中间人攻击（MITM）：黑客可以在公共 Wi-Fi 环境下篡改你的 DNS 响应，将你导向钓鱼网站。
3. 防火墙审查（SNI 之前的第一道关卡）：通过监控明文 DNS 请求，网络审查机构可以轻松实现域名级别的封锁与干扰。

二、 核心解密：什么是 DoT 与 DoH？

为了解决明文 DNS 的致命缺陷，互联网工程任务组（IETF）推出了两套现代加密 DNS 标准：DoT 和 DoH。它们的共同核心目标是：将传统 DNS 查询内容通过加密通道传输，防止被窃听和篡改。

1. DoT（DNS over TLS）

• 原理：直接将标准的 DNS 查询跑在 TLS（Transport Layer Security）协议之上。
• 端口：通常使用独立的 853 端口。
• 特点：
• 协议纯粹：它在 TCP 的基础上包了一层 TLS，连接建立后，传输的依然是标准的 DNS 报文结构，只是被完全加密了。
• 易于识别与管理：因为占用了专用的 853 端口，网络管理员（如公司网管、校园网运维或防火墙）可以非常轻松地在路由器或防火墙上识别、阻止或放行 DoT 流量。

2. DoH（DNS over HTTPS）

• 原理：将 DNS 查询打包封装在标准的 HTTPS（HTTP/2 或 HTTP/3）协议中，伪装成普通的网页浏览流量发送给 DNS 服务器。
• 端口：复用标准的 443 端口（HTTPS 默认端口）。
• 特点：
• 高度伪装：DoH 的流量从外表看和你在访问普通 HTTPS 网站没有任何区别。它混杂在海量的网页浏览数据中，极难被单独封锁或过滤。
• 浏览器原生支持：现代主流浏览器（Chrome、Firefox、Edge 等）都内置了 DoH 支持，可以直接绕过操作系统底层的 DNS 设置。

三、 DoT vs DoH：优劣势横向对比

维度	DoT (DNS over TLS)	DoH (DNS over HTTPS)
底层协议	TCP + TLS (端口 853)	HTTPS / HTTP/2 / HTTP/3 (端口 443)
隐私保护	强（加密传输，防窃听/篡改）	强（加密传输，且与正常网页流量融为一体）
抗审查与封锁能力	较弱（专用 853 端口容易被运营商/防火墙封锁）	极强（复用 443 端口，封锁将导致正常网页无法访问）
网络管理与审计	对企业网管友好（可精准控制/屏蔽 853 端口）	对企业网管不友好（难以与普通 HTTPS 流量区分）
性能延迟	建立连接需 TCP + TLS 握手，通常较快	依赖 HTTP 栈，若使用 HTTP/2 多路复用性能较好，但初次握手可能稍重

四、 带来的技术挑战与争议

虽然 DoH 和 DoT 极大地提升了用户的隐私和安全，但在推行过程中也引发了网络工程界、安全界和企业 IT 的巨大讨论：

1. 企业内网管控失效（针对 DoH）： 企业通常依靠本地 DNS 服务器来进行内网域名解析、安全审计和内容过滤（如拦截恶意网站、防钓鱼）。如果浏览器绕过系统直接使用公开的 DoH（如 Cloudflare 1.1.1.1 或 Google 8.8.8.8），企业的安全边界防护就会形同虚设。
2. CDN 调度准确性下降： 传统的 DNS 解析通常会根据用户的本地运营商递归 DNS 服务器的 IP 来返回就近的 CDN 节点 IP。如果用户改用了远端的公共 DoH/DoT 服务（例如北京联通的用户用了谷歌的 DoH），CDN 可能会把用户调度到远离本地的节点，导致访问延迟变高。
3. “中心化”隐忧： 目前全球绝大多数主流 DoH/DoT 服务被 Cloudflare、Google、Quad9 等少数巨头把持。这在一定程度上造成了 DNS 基础设施的中心化，引发了关于数据主权和垄断的担忧。

五、 如何在日常生活中启用 DoH / DoT？

好消息是，现代操作系统和主流软件大都原生支持了这两项技术，普通用户无需复杂的配置即可开启：

• 操作系统层面：
• Android 9+：可在“设置” -> “网络和互联网” -> “高级” -> “专用 DNS”中，填入支持 DoT 的主机名（例如 one.one.one.one 或 dns.google）。
• Windows 11 / iOS：均已在系统网络设置中加入了 DoH 的图形化配置开关。
• 浏览器层面：
• 在 Firefox / Chrome / Edge 的隐私安全设置中，都可以找到“使用安全 DNS”选项，你可以将其切换为 Cloudflare、阿里 DNS、腾讯 DNS 等服务商提供的 DoH 地址。
• 软路由/进阶玩家：
• 可以在 domácí (Home) 软路由上部署 AdGuard Home 或 SmartDNS，配合 stubby 或内置的 DoH/DoT 转发功能，实现全屋设备的加密 DNS 递归解析。

六、 总结

DoH 与 DoT 作为 DNS 演进史上的里程碑，其本质是将互联网隐私的底线向前推了一大步。

• 如果你追求网络管理的纯粹性或者在安全的内网环境中，DoT 是一个结构清晰、易于管控的选择。
• 如果你更看重绝对的隐私、抗审查能力以及无缝的生态整合，DoH 则是大势所趋。

当我们在享受明文 DNS 时代不曾拥有的隐私安全时，也正在经历网络治理、分发效率与中心化权力的全新博弈。无论如何，让 DNS 穿上“加密外衣”，已经是不可逆转的未来。