深入解析 DNS 与 DoH（DNS over HTTPS）协议

DNS 介绍

DNS（Domain Name System，域名系统）是互联网的一项核心服务，用于将人类可读的域名（如 www.example.com）转换为计算机可识别的 IP 地址（如 192.168.1.1）。DNS 的主要功能是帮助用户通过易于记忆的域名访问网站，而不需要记住复杂的 IP 地址。

DNS 的工作原理：

1. 递归查询：当用户在浏览器中输入一个域名时，用户的设备会向本地 DNS 服务器发送请求。如果本地 DNS 服务器没有缓存该域名的解析结果，它会向根 DNS 服务器发起递归查询。

2. 根服务器：根服务器负责告诉本地 DNS 服务器应该向哪个顶级域（TLD）服务器查询。例如，对于 .com 域名，根服务器会返回 .com TLD 服务器的地址。

3. TLD 服务器：TLD 服务器负责管理特定顶级域（如 .com、.org 等），并返回权威 DNS 服务器的地址。

4. 权威 DNS 服务器：权威 DNS 服务器存储了特定域名的 IP 地址信息，并将最终的解析结果返回给本地 DNS 服务器。

5. 缓存和响应：本地 DNS 服务器将结果缓存并返回给用户的设备，设备随后使用该 IP 地址与目标服务器建立连接。

DNS 的优点：

• 易用性：用户不需要记住复杂的 IP 地址，只需记住域名。
• 分布式架构：DNS 是分布式的，具有高可用性和容错能力。
• 缓存机制：DNS 查询结果可以被缓存，减少网络流量和延迟。

DNS 的缺点：

• 安全性问题：传统的 DNS 查询是明文传输的，容易受到中间人攻击（MITM）、DNS 劫持、DNS 欺骗等安全威胁。
• 隐私问题：由于 DNS 查询是明文的，用户的浏览行为可能会被第三方监控。

---

DoH 介绍

DoH（DNS over HTTPS，基于 HTTPS 的 DNS）是一种通过 HTTPS 协议进行 DNS 查询的技术。它旨在解决传统 DNS 查询中存在的安全性和隐私问题。DoH 将 DNS 请求封装在 HTTPS 请求中，利用 HTTPS 的加密特性来保护 DNS 查询的安全性和隐私。

DoH 的工作原理：

1. HTTPS 加密：DoH 使用 HTTPS 协议来加密 DNS 请求和响应，确保数据在传输过程中不会被窃听或篡改。

2. HTTP 请求：DoH 将 DNS 查询封装为 HTTP 请求，并通过标准的 HTTPS 端口（通常是 443）发送到支持 DoH 的 DNS 服务器。

3. DNS 服务器响应：支持 DoH 的 DNS 服务器接收到加密的 DNS 请求后，解密并处理请求，然后将加密的响应返回给客户端。

DoH 的优点：

1. 增强安全性：由于 DNS 查询通过 HTTPS 加密传输，DoH 可以有效防止中间人攻击、DNS 劫持和 DNS 欺骗等安全威胁。

2. 保护隐私：DoH 防止第三方（如 ISP 或公共 Wi-Fi 提供商）窥探用户的 DNS 查询记录，从而保护用户的隐私。

3. 绕过 DNS 阻断：在某些情况下，ISP 或政府可能会对特定域名进行 DNS 阻断。DoH 可以通过加密的方式绕过这些阻断。

DoH 的缺点：

1. 性能问题：由于 DoH 使用 HTTPS 协议，增加了额外的加密和解密开销，可能会导致 DNS 查询的延迟增加。

2. 集中化风险：DoH 的普及可能导致 DNS 服务进一步集中化，用户可能依赖少数几家大型 DNS 提供商（如 Google、Cloudflare 等），这可能带来单点故障或审查风险。

3. 兼容性问题：并非所有网络设备和应用程序都支持 DoH，尤其是在企业网络或老旧设备中，可能会出现兼容性问题。

DoH 与传统 DNS 的对比：

<

特性	传统 DNS	DoH
传输协议	UDP/TCP	HTTPS
加密	无	有
安全性	易受劫持和篡改	安全性较高
隐私保护	查询内容可能被监控	查询内容加密，保护隐私
性能	较快	可能稍慢，因加密开销