随着互联网的不断发展，DNS（域名系统）的安全问题日益凸显。为了解决这一问题，DNS over HTTPS（DOH）应运而生。DOH旨在通过HTTPS协议，在DNS查询和响应过程中提供加密传输，从而增强DNS的安全性。
DOH的工作原理
DOH通过在HTTPS协议的基础上，对DNS查询和响应进行加密，实现DNS的安全传输。目前，IETF的DOH工作组正在努力标准化DOH，旨在为DNS查询和响应提供一种适合在HTTPS中使用的编码方式。DOH采用了一种混合方法，尽可能地将标准HTTP方法、错误代码和其他语义整合到DNS查询和响应中，同时保留传统DNS名称解析协议的查询响应特性。
DOH的实现方式
DOH使用了一个已知的URI路径“/dns-query”来发送DNS查询。在DOH方案中，DNS查询的格式如下：:method = POST :scheme = https :authority = dnsserver.example.net :path = /dns-query accept = application/dns-message content-type = application/dns-message content-length = 33 <33 bytes represented by the following hex encoding> abcd 0100 0001 0000 0000 0000 0377 7777 0765 7861 6d70 6c65 0363 6f6d 0000 0100 01
这种实现方式使用了现有的二进制DNS在线格式，并使用MIME数据类型“application/dns-message”。当使用“GET”方法时，DNS查询以Base64url编码；而使用“POST”方法时，将二进制DNS查询放置在POSTed HTTP对象的主体中。
DOH的编码方式
虽然IETF正在推进标准化这一技术，但也有一些实现使用JSON编码（定义在RFC 8427中，标记为application/dns+json）。这两种方法在其他方面都是相同的，只是数据格式不同。
结尾：DOH对运维/网络工程师的实际意义
DOH的出现为DNS的安全传输提供了新的解决方案，有助于提升网络安全性。对于运维和网络工程师来说，了解DOH的工作原理和实现方式，有助于他们在实际工作中更好地保障网络的安全性和稳定性。随着DOH技术的不断发展和完善，其在网络安全领域的应用前景值得期待。
原文: APNIC Blog（2018-10-12）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog