DNS-OARC 38 会议聚焦 DNS 核心地位与加密传输演进，AdGuard 披露 DoQ 仅占其流量 1%，DoT 仍是主流加密方案。
**DoQ 技术特性与部署动机：**
AdGuard 于 2018 年 12 月推出公共解析服务，主打广告过滤，是首批支持 DoQ 的开放解析器之一。DoQ 基于 QUIC 传输，将 TCP 与 TLS 融合为单一协议，支持流多路复用，以 UDP 形式呈现于网络层，所有传输控制与载荷均隐藏在加密层后，且握手过程减少一个 RTT，缩短会话建立延迟。用户主动选择 AdGuard 并通过加密会话接入，除避免本地环境窥探 DNS 活动外，还能绕过本地拦截与篡改 DNS 响应的措施。
**AdGuard 流量分布实测数据：**
AdGuard 报告其 DNS 流量构成为：14% 走传统 UDP 53 端口，70% 使用 DoT，15% 使用 DoH，1% 使用 DoQ。考虑到 DoQ 实现尚处早期，即便 1% 占比也反映出部分客户端已开始尝试。原文未给出具体数据说明 DoQ 客户端类型、版本分布或增长趋势。
**加密 DNS 对运维的影响：**
会议强调 DNS 是互联网最后的粘合层，一旦失效整网瘫痪。加密传输虽提升隐私与完整性，但也让网络侧失去基于明文 DNS 的可视性与策略控制能力。AdGuard 作为覆盖层解析器，其用户并非通过运营商默认配置接入，这种“自带加密通道”的模式正在改变流量识别与管理的边界条件。
运维工程师需在防火墙、流量分析与解析策略中纳入 DoQ 识别逻辑，同步评估 DoT、DoH、DoQ 并存带来的证书管理、端口开放与日志关联成本，避免监控盲区扩大。
原文: APNIC Blog（2022-08-04）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog