TLS over DNS（DoT）和TLS over DNS（DoH）是近年来网络安全领域的重要技术进展，它们通过将传统的DNS查询与TLS加密相结合，有效解决了DNS协议在传输过程中存在的安全风险和隐私泄露问题，DNS作为互联网的“电话簿”，负责将人类可读的域名转换为机器可读的IP地址，但其原始设计并未考虑安全性，导致查询内容容易被中间人（如ISP、公共Wi-Fi运营商）窃听或篡改，TLS（传输层安全协议）的引入则为DNS查询提供了端到端的加密保护，确保用户访问网站的隐私和数据的完整性。
DoT（DNS over TLS）和DoH（DNS over HTTPS）的主要区别在于传输层和应用层的实现方式，DoT通过端口853将DNS查询封装在TLS隧道中传输，其协议相对简单，兼容性较好，但需要客户端和服务器同时支持该功能，DoH则利用HTTPS协议（默认端口443）传输DNS数据，可以绕过防火墙对传统DNS端口（53）的封锁，更难被识别和干扰，尤其适用于受网络限制的环境，两种技术均采用X.509证书验证服务器身份，防止DNS欺骗和中间人攻击，同时支持DNSSEC（DNS安全扩展）进一步验证域名解析结果的完整性。
从技术实现来看,DoT的握手过程与标准TLS类似，客户端首先与DNS服务器建立TLS连接，验证证书后发送DNS查询请求，服务器加密返回结果，整个过程在专门的DNS端口上进行，不会影响其他HTTPS流量，而DoH则复用了HTTPS的架构，客户端将DNS查询作为HTTPS请求的载荷发送，服务器通过HTTPS响应返回结果，由于HTTPS流量在网络中普遍存在，DoH能有效隐藏DNS查询行为，避免被深度包检测（DPI）系统识别，当用户通过公共Wi-Fi访问网站时，DoT可以防止本地网络监听者获取其访问的域名列表，而DoH则能进一步规避针对DNS流量的审查或干扰。
性能方面,DoT和DoH相较于传统DNS会增加一定的延迟，主要源于TLS握手和证书验证的开销，随着TLS 1.3的普及，握手时间已大幅缩短，且现代浏览器和操作系统对DoH/DoT进行了优化，通过连接复用和本地缓存机制减少了额外延迟，加密DNS的部署需要服务器端支持，目前主流公共DNS服务（如Cloudflare、Google DNS）均已提供DoT和DoH选项，用户可通过系统设置或浏览器插件启用，Chrome、Firefox等浏览器默认支持DoH，用户可配置为始终使用或仅在特定网络下启用。
安全性上,加密DNS有效解决了DNS劫持、缓存投毒等传统攻击，但仍面临一些挑战，证书验证依赖可信的证书颁发机构（CA），若CA被攻破可能导致中间人攻击；DoH的流量隐蔽性也可能被恶意利用，如隐藏恶意域名的访问行为，部分网络管理员对DoH持保留态度，认为其可能绕过企业安全策略，对此，行业正在探索平衡隐私与监管的方案，如可配置的DoH策略、企业级DoT服务器部署等。
| 特性 | DoT（DNS over TLS） | DoH（DNS over HTTPS） |
|---|---|---|
| 传输协议 | TLS（端口853） | HTTPS（端口443） |
| 兼容性 | 需客户端和服务器同时支持 | 基于现有HTTPS架构，兼容性更广 |
| 隐蔽性 | 流量特征明显，易被识别 | 与普通HTTPS流量混合，难以区分 |
| 适用场景 | 企业网络、需明确控制DNS流量的环境 | 公共网络、受审查环境、移动设备 |
| 性能开销 | TLS握手延迟，但连接复用可优化 | 类似DoT，但HTTPS头部可能增加少量开销 |
相关问答FAQs：
Q1：启用DoT或DoH会影响DNS解析速度吗？
A1：初期可能会有轻微延迟，主要来自TLS握手过程，但现代协议（如TLS 1.3）和连接复用技术已显著减少开销，长期来看，加密DNS可避免DNS劫持导致的解析失败，反而提升稳定性，选择响应速度快的服务器（如Cloudflare 1.1.1.1）可进一步优化体验。
Q2：所有网站和设备都支持加密DNS吗？
A2：目前主流操作系统（Windows、macOS、Android、iOS）和浏览器（Chrome、Firefox）已支持DoT/DoH，但部分老旧设备或嵌入式系统可能不兼容，网站本身与DNS加密无关，只要客户端配置正确即可受益，对于企业环境，需确保内部DNS服务器支持加密协议或部署专用DoT/DoH代理。