DNS over HTTPS 与 DNS over TLS 对比

DNS over HTTPS（DoH）和 DNS over TLS（DoT）会对客户端与其所选解析器之间的 DNS 通信进行加密。两者都能保护这一段路径，防止网络上的随意查看和篡改。但它们都无法让网站访问完全不可见或完全匿名。

请求如何传输

DoH 将 DNS 查询和响应映射到 HTTPS 交换上，该协议由 RFC 8484 定义。DoT 在专用 TLS 连接中传输 DNS 消息，由 RFC 7858 规定。两者都需要客户端和解析器的支持，并需要对解析器进行身份验证。仅凭一个名为“安全 DNS”的设置，并不能看出选择的是哪家服务商，也看不出设备是否可能回退到普通 DNS。

DoH 通常内置于浏览器或应用程序中，可能使用普通的 HTTPS 基础设施。DoT 通常由操作系统或网络配置，使用独立的 DNS 连接。这些只是常见模式，并非绝对：实际行为取决于设备、应用程序和网络策略。端口号或协议标签都不能证明某项服务值得信任。

哪些信息仍然可见

所选解析器的运营方会收到应答所需的查询。目标网站会看到一个连接，而其他网络参与方可能看到连接的 IP 地址及其他元数据。加密 DNS 不会清除浏览器历史记录、Cookie、账户登录状态或您提交给网站的信息。在做隐私相关决定时，请审视完整的连接路径以及解析器的数据政策。

DNSSEC 的用途不同。在信任链配置完整的情况下，它可以验证已签名 DNS 数据的来源和完整性；但它不会加密客户端到解析器的查询。DoH 或 DoT 解析器同样可以进行 DNSSEC 验证。这些机制相互补充，不能彼此替代。如果还想再核对，可以使用 2IP DNS 响应时间检测。

检查实际配置

确认浏览器使用的是系统 DNS 配置，还是自己的加密解析器。将预期应答与域名配置检查以及通过所选解析器进行的查询结果进行比较。差异并不总是意味着泄露：CDN 可能会根据解析器位置和其他条件返回不同的应答。还要测试加密解析器不可用时会发生什么。

在受管理的网络中，过滤、内部名称和安全策略可能要求使用特定的解析器。随意更改 DNS 可能导致内部资源无法访问。在调整设置之前，先弄清网络由谁运营、哪些名称必须能够解析，以及是否允许使用其他 DNS 路径。

审慎选择

评估服务商时，应考察其可用性、数据处理方式、DNSSEC 验证和故障时的行为，而不是只看一句隐私承诺。更改设置后，请测试普通网站和必要的内部名称。如果根本问题在于权威记录错误，更换 DNS 传输方式无法解决。