DNS Over TLS (DoT) 和 DNS Over HTTPS (DoH) 概述

什么是DNS Over TLS (DoT)?

DNS Over TLS (DoT) 是一种通过加密方式保护DNS查询隐私的协议。传统的DNS查询是在明文状态下传输的，这意味着中间人可以拦截、监视甚至篡改这些查询。这种缺陷暴露了用户的浏览活动，使其面临隐私泄露和安全风险。DoT 通过将DNS查询封装在TLS（传输层安全）协议中进行加密，有效防止第三方攻击者窃听或篡改DNS流量。

DoT 的工作原理是将DNS查询通过TCP端口853发送，并通过TLS加密连接与DNS服务器进行通信。相比于传统DNS协议中的UDP，DoT 使用TCP，这使得通信更加可靠，但也引入了略高的延迟。TLS协议确保了数据在传输过程中被加密，从而使查询内容对外界不可见。

主要特点：

• 使用专用的端口853进行通信。
• 采用TLS协议提供加密，防止查询被拦截或篡改。
• 适合希望增强网络隐私和安全的用户与服务提供商。

DoT在许多公共DNS服务中得到了支持，如Google DNS、Cloudflare DNS等。尽管DoT增加了一些通信开销，但由于网络现代化基础设施的优化，这些影响对大多数用户而言是可以忽略不计的。

什么是DNS Over HTTPS (DoH)?

DNS Over HTTPS (DoH) 是另一种通过加密方式保护DNS查询隐私的协议，但其不同于DoT之处在于，它将DNS查询通过HTTPS进行传输。DoH 的主要设计目标是让DNS查询看起来像普通的HTTPS流量，从而更加难以区分和拦截。它使用标准的HTTPS端口443进行通信，使其与其他网络请求混合在一起。

与DoT不同，DoH 在通信过程中将DNS查询封装为HTTPS请求。这使得DoH流量与普通的网页浏览流量非常相似，因此更难以进行流量过滤或检测。这对于某些地区的用户尤其重要，特别是在互联网审查严格的环境下，DoH 可以避免DNS拦截。

主要特点：

• 使用HTTPS端口443，难以区分于普通的Web流量。
• 通过HTTPS加密保护DNS查询隐私。
• 适用于需要更高隐蔽性或绕过网络审查的场景。
• 需要更多计算资源和带宽来处理封装的HTTP请求。

DoH 逐渐成为浏览器的默认DNS查询方式，如Mozilla Firefox和Google Chrome已经开始在部分地区启用DoH。对于需要绕过审查或进一步保护隐私的用户，DoH 是一种理想的解决方案。

DoT 和 DoH 的区别

虽然DNS Over TLS (DoT) 和 DNS Over HTTPS (DoH) 都通过加密DNS查询来提高隐私和安全性，但它们的实现方式和适用场景有所不同：

• 传输协议： DoT 使用TLS加密的TCP连接进行通信，而DoH将DNS查询封装为HTTPS请求。
• 端口号： DoT 使用专用端口853，而DoH则使用HTTPS标准端口443，因此DoH更难以被区分。
• 隐蔽性： DoH 的隐蔽性更高，因为它与普通HTTPS流量难以区分，适合绕过网络限制，而DoT容易被识别为DNS流量。
• 性能： DoH由于需要将DNS查询封装在HTTP请求中，可能会比DoT稍微增加延迟，但随着现代互联网技术的发展，这些延迟在大多数场景下是微乎其微的。
• 使用场景： DoT 更适合普通用户和服务提供商，尤其是那些需要特定加密DNS协议的场景；而DoH 更适合希望隐藏DNS查询、避开流量监控和审查的用户。

最终，选择使用DoT还是DoH，取决于用户的具体需求和使用场景。对于大多数家庭用户，DoT已经提供了足够的隐私保护；但对于需要更高隐私保护的用户或在受限网络环境下，DoH 是一个更好的选择。

未来的DNS隐私发展趋势

随着越来越多的用户意识到在线隐私的重要性，加密DNS的技术（包括DoT和DoH）将在未来几年内继续发展。全球范围内的隐私保护政策逐渐完善，推动互联网公司和服务提供商采用更安全的通信方式。

然而，DoT 和 DoH 也引发了一些争议。比如，某些网络管理人员认为DoH的隐蔽性让他们难以对网络流量进行管理和监控。此外，虽然加密DNS能提高隐私保护，但这也可能带来新的问题，例如集中化的问题——大多数用户将依赖少数几个大型DNS提供商，如Google和Cloudflare。

未来，分布式DNS解决方案（如基于区块链的DNS）可能会成为趋势，为用户提供更多去中心化和安全的选择。