DNS over TLS（DoT）：保护您的域名查询隐私
每当您在浏览器中输入一个网站地址时，您的设备就会发送一条 DNS 查询请求——本质上是在向服务器询问："这个域名对应的 IP 地址是什么？"传统上，这些查询以明文形式在互联网上传输，这意味着您的网络服务提供商、网络管理员，或任何监控您连接的人，都能清楚地看到您正在访问哪些网站。DNS over TLS（通常缩写为 DoT）正是为了解决这一问题而设计的。
什么是 DoT
DNS over TLS 是一种网络协议，它将您的 DNS 查询封装在 TLS（传输层安全）加密连接中——这与保护您的网银网站或电子邮件登录所使用的技术相同。DoT 不会将"这个网站在哪里？"这类请求以明文方式发出，而是确保这些请求在离开您的设备之前就已被加密。该协议于 2016 年依据 RFC 7858 正式标准化，此后已被 Cloudflare（1.1.1.1）、Google（8.8.8.8）等主流 DNS 解析器广泛采用。
工作原理
通常情况下，DNS 流量通过端口 53 运行，使用 UDP 或 TCP 传输，且不经过任何加密。DoT 通过在 853 端口上建立专用 TLS 连接来改变这一现状。其基本流程如下：
- 您的设备（或 DNS 解析器）与 DNS 服务器发起 TLS 握手，通过数字证书验证服务器身份。
- 加密隧道建立后，您的 DNS 查询通过该隧道传输——对外部观察者完全不可见。
- DNS 服务器处理请求，并通过同一加密通道将响应返回给您。
- 您的设备使用返回的 IP 地址连接到目标网站。
由于 DoT 运行在专用端口（853）上，网络管理员和防火墙可以轻松识别其流量，并在需要时选择屏蔽。这是 DoT 与其近亲 DNS over HTTPS（DoH）之间的一个关键区别——DoH 将 DNS 流量与常规网页流量混合在 443 端口上传输，因此更难被屏蔽。
对 VPN 用户的意义
您可能会疑惑：如果我已经在使用 VPN，还需要关注 DoT 吗？这是个合理的问题。在路由配置正确的情况下，VPN 会加密您的所有流量，包括 DNS 查询。但其中存在一些重要的细节值得注意：
- DNS 泄露：如果您的 VPN 客户端配置不当，DNS 请求有时可能会绕过加密的 VPN 隧道，以明文形式直接发送到您 ISP 的解析器。即使您认为自己处于保护之下，DNS 泄露也可能暴露您的浏览活动。DoT 提供了额外的加密层，有助于防范此类问题。
- 未使用 VPN 的环境：并非所有人都会随时使用 VPN。在开放的 Wi-Fi 网络、工作场所或移动数据网络中，DoT 可以独立于 VPN 之外保护您的 DNS 查询。
- ISP 监控与限速：在没有 DNS 加密的情况下，您的 ISP 可以记录您访问的每一个域名，并可能出售这些元数据，或利用它对特定服务进行限速。DoT 可防止其读取这些查询内容。
实际应用场景
家庭网络安全：将路由器或本地 DNS 解析器配置为使用 DoT（指向 Cloudflare 或 Quad9 等注重隐私的解析器），网络中的每台设备都能享受加密 DNS 查询的保护，无需在每台设备上单独安装任何额外软件。
移动端隐私：Android 9 及更高版本内置了原生支持 DoT 的"私人 DNS"功能。您可以在设置中启用该功能，无需任何第三方应用，即可将所有 DNS 查询路由至加密解析器。
企业网络：IT 团队通过部署 DoT，防止网络中的员工或攻击者截获内部 DNS 查询，从而降低 DNS 欺骗或中间人攻击的风险。
记者与活动人士：在网络监控严密的地区，加密 DNS 查询能够提供有意义的隐私保护层，使监控系统更难仅凭 DNS 流量来还原用户的网络行为。
DoT 本身并不是一个完整的隐私解决方案——您的实际网页流量仍需要 HTTPS 或 VPN 才能获得全面保护——但它填补了日常网络安全中一个常被忽视的漏洞。