代理环境中的 DNS 污染防御：DoH 与 DoT 协议对比
#DoH#DoT#DNS污染
阅读需 4 分钟||
防范 DNS 污染 是配置透明代理规则最重要的一环。现代代理工具通过 DoH (DNS over HTTPS) 与 DoT (DNS over TLS) 解决明文 DNS 被劫持的问题。
1. 加密 DNS 的技术区别 (RFC 解析)
- DoT (RFC 7858)：直接使用 TLS 对 DNS 报文进行加密（通常运行在专用的 853 端口）。由于避免了 HTTP 头的封装开销，其在资源受限设备上可能具有微小的性能优势。
- DoH (RFC 8484)：将 DNS 查询封装进标准 HTTPS 会话中（端口 443）。这使其更容易与常规网页浏览流量混合，通常能绕过简单的端口阻断防火墙。
2. 隐蔽性与泄漏的边界认知
请勿绝对化理解：DoH 并不能做到“与普通 HTTPS 毫无区别且极难阻断”。由于其指向公共解析端点（如 1.1.1.1、8.8.8.8），针对目标 IP 或 SNI 进行封锁依然非常容易。 同时，使用加密 DNS 并不等同于绝对匿名，也不意味着消除了所有系统层面的 DNS 泄漏问题（若系统代理未接管全部应用请求，依然会有明文 DNS 发出）。
3. 验证与诊断方法
诊断步骤：在确保代理已开启且接管 DNS 的情况下，访问如 dnsleaktest.com 的第三方检测网站。如果测试结果中出现的 ISP 和国家全部为您所连接的节点所在地（而非本地宽带运营商），则初步证明透明代理的 DNS 分流防污染已正确生效。