DNS-over-HTTPS（DoH）和DNS-over-TLS（DoT）都提供了更安全的DNS查询选项，但选择取决于您的需求。DoH通过HTTPS提供更高的隐私保护，适合对隐私要求高的用户。DoT性能更好，更成熟，适合追求性能和可靠性的用户。
加密技术已经成为保护用户隐私和数据安全的关键工具。在这方面，DNS（域名系统）的安全性也备受关注，因为它是互联网上所有网络连接的基础。DNS-over-HTTPS（DoH）和 DNS-over-TLS（DoT）是两种不同的方法，用于保护 DNS 查询的隐私和安全性。但在这两者之间，哪一个更安全呢？本文包小可将深入探讨它们的工作原理、优势、劣势以及安全性方面的比较。
一、DoH 和 DoT 的工作原理
DNS-over-HTTPS（DoH）
- DoH 是一种将 DNS 查询数据通过 HTTPS 协议加密传输的方法。它的工作原理如下：
- 用户设备（例如，计算机或智能手机）发出 DNS 查询请求。
- 这个查询请求被加密，并通过 HTTPS 协议发送到 DNS 服务器。
- DNS 服务器接收请求，解密它，然后执行 DNS 解析。
- 解析结果被重新加密，并通过 HTTPS 返回给用户设备。
- 用户设备解密结果并使用它来建立互联网连接。
DNS-over-TLS（DoT）
DoT 是一种将 DNS 查询数据通过 TLS 协议（类似于 HTTPS 的安全协议）加密传输的方法。它的工作原理如下：
- 用户设备发送 DNS 查询请求。
- 这个查询请求被加密，并通过 TLS 协议发送到 DNS 服务器。
- DNS 服务器接收请求，解密它，然后执行 DNS 解析。
- 解析结果被重新加密，并通过 TLS 返回给用户设备。
- 用户设备解密结果并使用它来建立互联网连接。
二、DoH 和 DoT 的优势
DoH 的优势：
- 隐私保护：DoH 使用 HTTPS 加密，使 DNS 查询对于中间人攻击者更难窃听。这有助于保护用户的隐私。
- 防止劫持：由于数据被加密，DoH 可以更有效地防止 DNS 查询被篡改或劫持，确保用户连接的目标网站是真实的。
- 跨平台支持：由于 DoH 使用 HTTPS，它通常不依赖于特定的 DNS 客户端，因此支持各种不同的设备和操作系统。
DoT 的优势：
- 成熟度：DoT 比 DoH 成熟得多，因为它已经存在更长时间，有更多的 DNS 服务器和客户端支持。
- 低延迟：DoT 的性能通常比 DoH 更好，因为它使用较少的计算资源，减少了连接建立时间。
- 更容易部署：对于已经运行 DNS 服务器的组织来说，将其升级为支持 DoT 通常比实施 DoH 更容易。
三、DoH 和 DoT 的劣势
DoH 的劣势：
- 中心化：DoH 通常将 DNS 流量路由到大型互联网公司的服务器，这可能导致数据集中化和隐私问题。
- DNS 服务器支持不足：虽然 DoH 在一些知名的 DNS 服务器上得到了广泛支持，但并不是所有 DNS 服务器都支持它。
- 配置复杂性：对于某些用户，配置 DoH 可能会比较复杂，特别是在某些操作系统上。
DoT 的劣势：
- 运营商干预：某些互联网服务提供商可能会干扰 DoT 连接，从而导致连接问题。
- 较少的服务器支持：尽管 DoT 有一些大型 DNS 服务器的支持，但它的服务器支持相对较少，因此可能不如 DoH 广泛可用。
- 配置复杂性：与 DoH 一样，配置 DoT 也可能会对某些用户来说比较复杂。
四、DoH 和 DoT 的安全性比较
DoH 的安全性：
- 隐私：DoH 通过 HTTPS 加密 DNS 查询，提供了较高的隐私保护，使中间人攻击更加困难。
- 劫持防护：由于加密，DoH 有效地防止了 DNS 查询的篡改或劫持。
- 威胁模型：DoH 更适合用户对于隐私和安全性有更高要求的威胁模型。
DoT 的安全性：
- 隐私：DoT 同样通过 TLS 提供了良好的隐私保护，但与 DoH 相比，它可能更容易受到 SNI（Server Name Indication）泄露的影响。
- 劫持防护：DoT 同样可以有效地防止 DNS 查询的篡改或劫持。
- 威胁模型：DoT 适用于对隐私和安全性要求较高的威胁模型，但与 DoH 相比，它可能稍显不足。
五、如何选择合适的加密 DNS 协议
在选择适合您的加密 DNS 协议时，需要考虑以下因素：
- 隐私需求：如果您对隐私有较高的要求，DoH 可能更适合，因为它提供了更强的隐私保护。
- 性能：如果您更注重性能，DoT 可能更合适，因为它通常具有较低的延迟。
- 支持和可用性：查看您的 DNS 服务器和 DNS 客户端是否支持您选择的协议。如果您需要广泛的支持，DoT 可能是更好的选择，因为它在市场上存在更长时间。
- 配置复杂性：考虑您的技术水平。某些用户可能发现配置 DoT 更容易，而另一些用户可能更喜欢 DoH 的简单性。
- 网络环境：您的互联网服务提供商是否会干扰特定的 DNS 加密协议可能也是一个考虑因素。
结论：无论您选择 DoH 还是 DoT，都可以提高您的 DNS 查询的隐私和安全性。它们都有各自的优势和劣势，因此选择取决于您的具体需求和威胁模型。总的来说，DoH 通常提供更好的隐私保护，而 DoT 则更强调性能和成熟度。无论您选择哪种协议，都应该确保使用受信任的 DNS 服务器，并随时保持您的 DNS 客户端和服务器软件更新，以弥补潜在的漏洞。综上所述，随着网络攻击的不断演变，选择一个加密 DNS 协议以提高您的在线安全性已经变得至关重要。
