DNS-over-TLS (DoT) 与 DNS-over-HTTPS (DoH) 的对比、工作流程与生态影响详解

DNS-over-TLS 和 DNS-over-QUIC 都是用于加密 DNS 查询以增强隐私和安全的技术，但它们在工作层级、端口、实现方式和生态系统支持上存在显著差异。

一、 DNS-over-TLS 详解

1. 概念与核心目标

DNS-over-TLS 是一种通过 TLS 加密标准来保护 DNS 查询和响应的协议。它的主要目标是在传统 DNS 协议之上增加机密性（防止窃听）和完整性（防止篡改）。

2. 工作原理与建立连接

• 工作层级：DoT 运行在传输层（TCP）之上。它将传统的明文 DNS 查询/响应报文，封装在一个经过 TLS 加密的 TCP 连接中进行传输。
• 默认端口：853。这是一个专门为 DoT 分配的端口，便于网络设备识别和管理。
• 连接建立流程：
  1. TCP 握手：DNS 客户端（如操作系统解析器或 Stub Resolver）向 DoT 服务器（如 1.1.1.1 或 8.8.8.8）的 853 端口发起 TCP 连接。
  2. TLS 握手：在 TCP 连接建立后，立即进行 TLS 握手。这个过程会协商加密套件，验证服务器证书（确保你连接的是你想要的 DNS 服务器，而不是中间人），并建立加密密钥。
  3. 加密数据传输：TLS 握手成功后，所有后续的 DNS 查询和响应数据都会在这个加密的 TLS 隧道中传输。
  4. 连接复用：与 HTTP/1.1 的 Keep-Alive 类似，一个 TLS 连接可以用于发送多个 DNS 查询，提高了效率。

3. 特点与优缺点

• 优点：
  • 隐私保护：有效防止本地网络（如咖啡厅Wi-Fi）、ISP 或任何中间人窥探你的 DNS 查询内容。
  • 完整性保证：防止 DNS 响应在传输途中被篡改（如 DNS 劫持）。
  • 易于识别和管控：由于使用特定端口（853），网络管理员可以轻松地允许或阻止 DoT 流量，在企业或校园网络中进行策略管理。
• 缺点：
  • 端口可被屏蔽：防火墙或审查系统可以简单地屏蔽 853 端口来阻止 DoT，使其失效。
  • TLS 开销：TLS 握手和加密/解密过程会引入少量延迟和计算开销。
  • 可能被探测：虽然内容加密，但“在853端口上有加密流量”这一事实本身就可能被检测到。

二、 DNS-over-QUIC 详解

1. 概念与核心目标

DNS-over-QUIC 是较新的协议，它利用 QUIC 传输层协议来承载 DNS 流量。QUIC 本身集成了 TLS 1.3 用于加密。它的目标除了提供与 DoT 相同的隐私和安全性外，还旨在显著降低连接建立的延迟，并更好地处理网络变化。

2. 工作原理与建立连接

• 工作层级：DoQ 运行在基于 UDP 的 QUIC 协议之上。它跳过了传统的 TCP+TLS 栈。
• 默认端口：853 或 784。目前 IETF 标准草案建议使用 853（与 DoT 相同），但配置了不同的应用层协议（ALPN）标识来区分。早期实验也用过 784。
• 连接建立流程：
  1. QUIC 连接建立：客户端向服务器的指定端口发送第一个 QUIC 初始数据包。QUIC 将连接建立、加密协商（TLS 1.3）和应用程序数据传递整合在一起。
  2. 关键优化 - 0-RTT：如果客户端之前连接过同一台服务器，它可以在第一个数据包中就携带加密的 DNS 查询数据（0-RTT 数据）。这意味着查询延迟可以达到和传统明文 DNS（UDP）一样低，甚至理论上更低，因为无需等待 TCP 和 TLS 的多次往返。
  3. 加密传输：所有 DNS 数据在 QUIC 层面就已经被加密和认证。
  4. 更好的连接迁移：QUIC 使用连接ID而非传统的四元组（源IP、源端口、目的IP、目的端口）。当用户设备切换网络（如从Wi-Fi到4G）导致IP地址变化时，QUIC 连接可以无损地迁移，DNS 会话不会中断。

3. 特点与优缺点

• 优点：
  • 极低的连接延迟：0-RTT 特性使其在重复访问时速度极快。
  • 避免队头阻塞：QUIC 在单个连接上支持多路复用的独立流。一个 DNS 查询包的丢失不会阻塞其他查询的响应，解决了 TCP 的队头阻塞问题。
  • 更强的网络适应性：连接迁移特性使其对移动设备更加友好。
  • 同样具备强安全性和隐私性：基于 TLS 1.3。
• 缺点：
  • 协议较新，支持度低：相比 DoT 和 DoH，服务器和客户端支持还不够广泛。
  • 可能被 QoS 策略影响：某些网络可能对非标准端口的 UDP 流量（QUIC 基于 UDP）进行限速或干扰。
  • 部署复杂性：需要同时支持 QUIC 和 DNS 协议栈。

三、 DoT 与 DoQ 的核心对比

四、 应用场景与选择建议

• 选择 DoT：

  • 企业或受控网络环境：网络管理员需要清晰可见的DNS策略，易于通过端口进行管理。
  • 服务器端配置：在服务器之间（如递归解析器与权威服务器之间）进行安全区传输，DoT是一个成熟稳定的选择。
  • 客户端对延迟不敏感：对绝对性能要求不是最高的场景。

• 选择 DoQ：

  • 移动优先应用：用户频繁在Wi-Fi和蜂窝数据间切换，DoQ的连接迁移特性是巨大优势。
  • 追求极致性能：对DNS查询延迟有苛刻要求的应用（如某些游戏、金融应用），DoQ的0-RTT能带来可感知的提升。
  • 高丢包网络环境：QUIC 的流复用和更灵活的拥塞控制能提供更好的体验。
  • 作为技术前沿探索：希望在基础设施中部署最新协议。

总结：
DNS-over-TLS 是当前部署最广泛、最成熟的加密DNS标准，提供了可靠的隐私和安全基础。而 DNS-over-QUIC 代表了下一代的优化方向，它通过整合传输和加密层，在安全性不妥协的前提下，显著提升了速度、效率和移动性。随着 QUIC 协议在 HTTP/3 中的普及，DoQ 的生态支持有望在未来几年快速增长。对于普通用户，如果设备支持，DoQ 能提供更快的上网初体验；对于网络管理者，DoT 目前提供了更好的可控性。