DNS 科普·DNS 安全
原文中文，约1800字，阅读约需5分钟。
📝
内容提要
本文讨论了DNS安全措施，包括加密通信（如DoT、DoH和DoQ）和HTTPDNS。加密通信通过TLS和HTTPS保护DNS查询，防止中间人攻击；而HTTPDNS则通过HTTP请求直接获取IP，减少劫持风险。总结了DNS安全的重要性及其演进。
🔎
延伸解读
加密DNS的隐私权衡：DoT与DoH的端口差异
DoT使用853端口，流量特征明显，在流量审计时容易被识别和管控；DoH使用443端口，将DNS查询混入普通HTTPS流量中，提高了隐私性。这种端口差异是两者并存的关键原因，反映了安全与隐私之间的取舍。
HTTPDNS如何绕过DNS劫持
传统DNS查询链路长，易被中间商劫持。HTTPDNS通过HTTP请求直接向HTTPDNS服务器获取IP，绕过DNS协议，减少中间环节。实际使用中常配合SDK或软件，确保先请求HTTPDNS再带IP访问业务，降低劫持风险。
DoQ的改进与适用场景
DoQ基于QUIC协议，改善了TCP三次握手和TLS握手时间，并优化拥塞控制。它适合对延迟敏感的场景，但文章未深入讨论其具体部署细节，读者需注意其与DoT、DoH的适用差异。
❓
Q&A
DNS 查询为什么需要加密？
DNS 查询默认是明文的，容易受到中间人攻击，因此需要加密以保护数据的可靠性。
DoT、DoH和DoQ有什么区别？
DoT是基于TLS的加密传输，DoH是基于HTTPS的加密传输，而DoQ是新推出的基于QUIC的加密方式，改善了握手时间。
HTTPDNS是如何减少DNS劫持风险的？
HTTPDNS通过直接请求HTTPDNS服务器获取IP，绕过传统DNS，减少中间商的干扰，从而降低劫持风险。
为什么DoH使用HTTP协议而不是简单的加密？
DoH使用HTTP协议可以将DNS查询流量混合在普通HTTPS流量中，提高隐私加密性，避免被针对性监控。
DNS安全措施有哪些？
主要的DNS安全措施包括加密通信（如DoT、DoH、DoQ）和HTTPDNS，以防止中间人攻击和DNS劫持。
HTTPDNS不是DNS协议的一部分，这意味着什么？
这意味着HTTPDNS是一种应用服务，旨在避免DNS劫持问题，而不是传统DNS协议的扩展。
🏷️
