再谈那些不正常的 DNS 行为

乍一看 DoT 与 DoH 好像挺相似，毕竟 HTTPS 就是应用了 SSL/TLS 加密协议的 HTTP 传输协议，但是这两者区别明显。DoT 使用基本 TCP 连接而 DoH 使用 HTTP 与 HTTP/2 连接；DoT 使用自己 853 端口连接而 DoH 使用标准 443 端口连接。这样 DoH 可以伪装成一般的 HTTP 流量，加密后他人也无从知晓里面究竟是什么。而 DoT 使用唯一 853 端口，至少中间人可以知道这是 DNS 请求，尽管他们也无法获得请求内容，所以也不敢随便封禁。

关于「DoT or DoH」的问题一直争论不休。DNS 架构师 Paul Vixie 曾在社交媒体上表态：

“RFC 8484 会给互联网安全带来隐患。抱歉向您泼了冷水。就像一群鸭子一样，囚犯们找到了庇护所。”

“DoH 是企业和其他私有网络的过顶旁路。但是DNS是控制平面的一部分，网络运营商必须能够监视和过滤它。使用 DoT，永远不要使用 DoH。”

然而这场辩论双方都有正当理由，只是取舍不同。DoT 更有利于网络安全，而 DoH 则比较倾向「人权保护」。事实上共识还是存在的，没有人认为 DNS 请求不应被加密，只不过对如何做得更好有不同意见。