DNS over HTTPS 与 Anycast IP：增强域名解析的安全性和隐私性
内容提要
DNS over HTTPS (DoH)是一种安全协议，允许客户端通过加密通道查询DNS服务器以获取域名解析信息。它旨在通过加密DNS查询并防止第三方监视用户活动来提高隐私和安全性。Amazon Route 53 Resolver支持DoH并遵循RFC 8484标准。通过将Route 53 Resolver与AWS Global Accelerator结合使用，可以部署支持DoH的全球DNS解析系统。该系统通过使用Anycast IP地址和端到端加密数据来增强安全性和隐私。
延伸解读
DoH 如何解决传统 DNS 的隐私与劫持风险
传统 DNS 查询以明文传输，易被网络运营商或第三方监视，也可能遭中间人劫持，将用户重定向至钓鱼或恶意网站。DoH 通过 HTTPS 加密 DNS 查询，使设备和 DoH 服务器之间的流量无法被窃听或篡改，从而保护用户隐私并降低 DNS 劫持风险。此外，DoH 使用 443 端口，该端口通常用于加密 Web 流量，不易被网络监控或过滤软件识别和阻止。
为何需要 Anycast IP 与 AWS Global Accelerator
使用 DoH 时，客户端通常通过域名访问 DoH 服务器，但该域名本身仍可能被劫持或污染。为彻底解决此问题，可像传统 DNS 一样直接使用 IP 地址访问。AWS Global Accelerator 提供来自边缘站点的静态任播 IP，这些 IP 同时从多个边缘站点播出，使流量从最近边缘节点接入，并经由 AWS 骨干网传输，不暴露于 Internet，从而提升安全性和速度。
部署全球 DoH 解析系统的关键配置要点
要结合 Route 53 Resolver 与 Global Accelerator 部署全球 DoH 系统，需先创建 Route 53 Resolver Inbound Endpoint，并勾选 DoH 协议，安全组需允许 443 端口访问。为高可用，Endpoint 的 IP 应至少选择两个可用区，建议部署在私有子网。随后创建 Target Group（IP 类型、TCP 443），并配置 Internet-facing 的 Network Load Balancer，同时勾选创建 Global Acceler
客户端测试中的证书与请求头注意事项
使用 node.js 和 dohjs 库测试时，需将 DNS 服务器地址设为 Global Accelerator 提供的静态 IP，请求 URL 为 https://dnsServer/dns-query。由于 Route 53 Resolver 证书支持的域名为 route53resolver.amazonaws.com，HTTPS 请求中必须将 Host 头改为该域名。同时，需设置 accept 头为 application/dns-message，以符合 DoH 协议要求。查询可使用 GET 或 POST
Q&A
DNS over HTTPS（DoH）是什么？
DNS over HTTPS（DoH）是一种安全协议，通过加密通道向DNS服务器查询域名解析信息，以提高用户的隐私和安全性。
使用DoH有什么安全优势？
使用DoH可以加密DNS查询，保护用户隐私，防止第三方监视和DNS劫持，减少网络攻击风险。
Amazon Route 53 Resolver如何支持DoH？
Amazon Route 53 Resolver支持DoH协议，并遵循RFC 8484标准，能够安全响应DNS查询。
如何配置Route 53 Resolver以支持DoH？
配置Route 53 Resolver需要设置Inbound Endpoint，确保安全组允许443端口访问，并选择合适的VPC和AZ。
AWS Global Accelerator在DoH中起什么作用？
AWS Global Accelerator提供全球任播IP地址，增强DNS查询的安全性和速度，确保流量从最近的边缘节点接入。
如何使用node.js测试DNS over HTTPS？
可以使用第三方库'dohjs'，通过编写JavaScript代码向支持DoH的DNS服务器发送查询请求，获取域名的解析结果。
