DNS (传统DNS) DoH (DNS over HTTPS) DoT (DNS over TLS) ，DNS、DoH 和 DoT 之间区别的表格：

DNS、DoH 和 DoT 之间区别的表格：

特性	DNS (传统DNS)	DoH (DNS over HTTPS)	DoT (DNS over TLS)
协议类型	明文传输（UDP/TCP）	使用 HTTPS（基于 HTTP/2）	使用 TLS（基于 TCP）
加密	无	是（加密传输）	是（加密传输）
端口	53（UDP/TCP）	443（HTTPS）	853（TLS）
隐私保护	不保护隐私（流量明文传输，易被监听）	提供更好的隐私保护（加密，防止流量监听）	提供隐私保护（加密，防止流量监听）
性能	快速，但容易受到中间人攻击和篡改	可能稍慢（因为需要建立 HTTPS 连接）	与传统 DNS 比较，稍慢（需要建立 TLS 连接）
用途	传统 DNS 查询（广泛应用于各类网络）	用于保护 DNS 查询，防止第三方窃听和篡改	用于保护 DNS 查询，防止第三方窃听和篡改
配置复杂度	简单（默认配置即可使用）	需要配置 HTTPS 代理或浏览器支持	需要配置支持 TLS 的 DNS 服务器和客户端
安全性	低（数据可以被截获或篡改）	高（加密保护，避免中间人攻击）	高（加密保护，避免中间人攻击）

 

• 传统 DNS 是最常见的 DNS 查询方式，但没有加密，存在隐私和安全风险。
• DoH 和 DoT 都通过加密协议（HTTPS 和 TLS）来保护 DNS 查询的隐私，但 DoH 使用 HTTPS 端口 443，而 DoT 使用 TLS 端口 853。
• DoH 更常用于 Web 浏览器中，尤其是在隐私保护要求较高时；而 DoT 通常用于整体网络中，尤其是在企业环境中。

---

DNS (传统DNS)、DoH (DNS over HTTPS) 和 DoT (DNS over TLS) 的定义、概念、功能、作用和应用场景的详细对比：

特性	DNS (传统DNS)	DoH (DNS over HTTPS)	DoT (DNS over TLS)
定义	是一种基于 UDP 或 TCP 的域名解析系统，通过明文传输将域名解析为 IP 地址。	在 HTTPS 协议下进行 DNS 查询，使用加密保护数据传输。	通过加密的 TLS 协议传输 DNS 查询，提供加密保护。
概念	将域名映射到 IP 地址的传统方式，通过端口 53 传输 DNS 数据。	使用 HTTPS 作为加密通道，确保 DNS 查询内容在传输过程中不被监听。	使用 TLS 协议加密 DNS 查询，保护数据不被中间人攻击。
功能	提供域名到 IP 地址的转换服务。	提供加密的 DNS 查询，防止数据被窃听或篡改。	提供加密的 DNS 查询，防止数据被窃听或篡改，增加隐私保护。
作用	实现域名解析，保障用户访问网站时将域名解析为正确的 IP 地址。	保护 DNS 查询隐私，防止 ISP 或其他中间人监控用户活动。	保护 DNS 查询隐私，防止 ISP 或其他中间人监控用户活动，确保网络安全。
应用场景	广泛应用于传统的网络设备、路由器和 DNS 服务器中，适用于所有需要域名解析的场景。	适用于对隐私要求较高的用户，特别是在使用公共 Wi-Fi 或不信任的网络环境下的设备。	常见于企业环境和对隐私要求较高的个人用户，特别是在需要确保 DNS 查询安全的网络中。

详细说明：

1. 传统 DNS：

   • 定义与概念：DNS 是一种用于将域名解析为 IP 地址的系统，通常通过端口 53 进行通信。它的主要目的是帮助用户通过人类易记的域名（如 www.example.com）访问网站。
   • 功能与作用：DNS 提供了将用户请求的域名转换为 IP 地址的功能，用户在浏览器中输入域名时，DNS 服务器会将其转换为计算机可理解的 IP 地址。
   • 应用场景：广泛应用于所有类型的网络连接，无论是家庭网络还是企业网络，都是互联网基础设施的重要组成部分。

2. DoH (DNS over HTTPS)：

   • 定义与概念：DoH 是 DNS over HTTPS 的缩写，它通过 HTTPS 协议对 DNS 查询进行加密，使用端口 443 进行通信。这意味着 DNS 查询将通过 HTTPS 通道加密，增加了安全性和隐私保护。
   • 功能与作用：DoH 的主要功能是加密 DNS 查询，防止第三方监听和篡改 DNS 请求。它的作用是保护用户的隐私，尤其是在不安全的网络环境下（如公共 Wi-Fi 网络）避免用户的 DNS 查询被监控。
   • 应用场景：适用于对隐私有较高要求的场景，特别是在公共 Wi-Fi 网络或不信任的网络环境下使用智能手机、浏览器等设备时。DoH 在许多现代浏览器中得到了支持，如 Chrome 和 Firefox。

3. DoT (DNS over TLS)：

   • 定义与概念：DoT 是 DNS over TLS 的缩写，它使用加密的 TLS 协议来保护 DNS 查询的隐私。与 DoH 类似，DoT 也通过加密隧道保护 DNS 数据传输，但是它与 HTTPS 不同，使用的是专门的 DNS 端口 853。
   • 功能与作用：DoT 的功能与 DoH 类似，都是为了加密 DNS 查询，防止数据被中间人监听或篡改。其作用是提供更高的安全性，确保用户的 DNS 查询不被窃听或篡改。
   • 应用场景：DoT 常用于企业环境以及对隐私要求较高的用户，尤其是需要确保 DNS 查询安全的网络中。它可以与 VPN 或企业网络中的 DNS 服务器一起使用，提供安全的 DNS 查询。

 

• DNS (传统 DNS)：提供基础的域名解析功能，但没有隐私保护。
• DoH：通过 HTTPS 协议加密 DNS 查询，防止监听，提升隐私保护，常用于浏览器和个人设备。
• DoT：通过 TLS 协议加密 DNS 查询，提供隐私保护，通常用于企业环境和对 DNS 安全性要求较高的用户。

---

在评估 DNS (传统DNS)、DoH (DNS over HTTPS) 和 DoT (DNS over TLS) 的安全性时，必须考虑其可能的漏洞和每种协议的弱点。以下是对这些协议的漏洞级别的比较：

协议	漏洞类型与风险	漏洞级别
DNS (传统DNS)	1. DNS Spoofing（缓存投毒）：攻击者伪造 DNS 响应，欺骗用户访问恶意网站。 2. DNS Reflection Attack（DNS反射攻击）：通过伪造源地址发起大规模的 DDoS 攻击。 3. DNS Query Interception（DNS查询劫持）：恶意中间人可以拦截并篡改 DNS 查询。	高
DoH (DNS over HTTPS)	1. HTTPS 中间人攻击：如果 HTTPS 证书管理不当，攻击者可能利用中间人攻击（MITM）拦截和篡改 DNS 查询。 2. DDoS 攻击：使用 DoH 服务可能暴露在针对 HTTPS 端口的 DDoS 攻击中。 3. 隐私泄露：如果 DoH 服务提供商收集查询数据，可能导致用户隐私泄露。	中等（依赖服务端的信任性）
DoT (DNS over TLS)	1. TLS 弱点：如果 TLS 配置不当或使用弱加密算法，攻击者可以利用漏洞进行攻击。 2. DDoS 攻击：DoT 也可能成为 DDoS 攻击的目标，尤其是针对 TLS 的攻击。 3. 不受信任的 DNS 服务器：如果 DoT 服务端未经过认证或被篡改，可能导致数据泄露或中间人攻击。	中等（依赖TLS实现的安全性）

详细解释：

1. 传统 DNS：

   • 漏洞：传统 DNS 协议在设计时并没有加密，因此存在诸多漏洞。最常见的漏洞包括：
     • DNS Spoofing（缓存投毒）：攻击者通过伪造 DNS 响应，将恶意 IP 地址返回给受害者，导致用户访问恶意网站。
     • DNS反射攻击：攻击者伪造源地址，利用公开的 DNS 服务器发起大规模的 DDoS 攻击。
     • 查询劫持：恶意的中间人可以通过拦截 DNS 查询，修改查询结果，导致用户访问不安全的资源。
   • 漏洞级别：这些漏洞非常严重，因为传统 DNS 没有加密保护，容易受到各种攻击。

2. DoH (DNS over HTTPS)：

   • 漏洞：DoH 提供了加密保护，但也引入了一些潜在的风险：
     • HTTPS 中间人攻击：尽管 DoH 使用 HTTPS 加密，但如果 HTTPS 配置不当（如 SSL/TLS 证书问题），可能会受到中间人攻击。
     • DDoS 攻击：由于 DoH 使用 HTTPS，攻击者可以将 DDoS 攻击定向到 DoH 服务的端口（通常是 443 端口），从而影响服务的可用性。
     • 隐私泄露：如果 DoH 服务提供商收集用户的 DNS 查询数据，可能会泄露用户的网络行为，尤其是在未对查询内容进行匿名化的情况下。
   • 漏洞级别：虽然 DoH 提供了更好的隐私保护，但仍然存在依赖服务提供商和 HTTPS 配置的潜在风险，漏洞级别相对较中等。

3. DoT (DNS over TLS)：

   • 漏洞：DoT 也通过 TLS 加密传输 DNS 查询，但它同样面临一些潜在的安全问题：
     • TLS 配置弱点：如果使用不安全的 TLS 配置（例如弱加密算法、过期证书等），攻击者可能会利用 TLS 的漏洞对数据进行篡改或窃听。
     • DDoS 攻击：DoT 也会成为 DDoS 攻击的目标，尤其是当攻击者集中攻击 TLS 端口时（通常是 853 端口）。
     • 不受信任的 DNS 服务器：如果 DoT 服务端未经过认证或遭到篡改，可能导致用户数据泄露或中间人攻击。
   • 漏洞级别：DoT 提供了加密保护，相比传统 DNS 安全性更高，但其安全性依赖于 TLS 配置和服务端的信任性，漏洞级别较中等。

 

• 传统 DNS 的漏洞级别较高，易受到缓存投毒、DNS 劫持和 DDoS 攻击的威胁。
• DoH 和 DoT 通过加密提高了安全性，减少了数据泄露和劫持的风险，但也依赖于正确的配置和信任的 DNS 服务提供商，漏洞级别相对中等。

整体来看，DoH 和 DoT 提供了较高的隐私保护和安全性，尤其是在防止中间人攻击和数据篡改方面。但它们仍然可能面临服务端问题、DDoS 攻击等威胁。

---