过去五年 DNS 加密技术从实验走向标准化，IETF DPRIVE 工作组推动 DoT 定稿并分配 853 端口，Android Pie 与 systemd 已部署机会主义 DoT，但主流桌面操作系统仍缺原生支持；DoH 虽未在文中详述，但同属加密 DNS 演进一环，工程师需关注客户端与递归解析器的协同部署进度。
DoT 标准化与端口分配
DoT 研发始于 Snowden 事件后四至五年，IETF 依据 RFC 7258 将普遍监视定性为攻击，成立 DPRIVE 工作组专攻存根到递归解析器的加密链路。经多方案博弈，工作组确立 DoT 方案，并于两年前完成标准化，正式划分 853 端口供 DoT 服务使用。该端口固定化使防火墙与流量识别设备能明确放行或审计加密 DNS 流量，降低了运维侧的部署不确定性。
客户端与服务端部署现状
当前已有二十台测试 DoT 服务器，Quad9 与 Cloudflare 提供公共 DoT 服务。Android Pie 与 systemd-resolved 采用机会主义模式：解析器主动探测 DHCP 获得的递归服务器 853 端口，发现 DoT 则优先使用，否则回退明文 DNS。但 Windows、macOS 与 iOS 仍无原生 DoT 实现，原文未给出具体上线时间表。服务端软件支持较完善，搭建 DoT 服务器有现成指南可循。
加密 DNS 的收益与权衡
加密传输可击败被动监听，并允许客户端通过 PKIX 或 DANE 验证服务器身份，进而阻止重定向劫持。但机会主义模式在未验证证书时仍面临主动中间人风险；严格验证模式则需解决证书分发与吊销的运维成本。工程师在选型时需在部署速度、兼容性与安全等级间权衡，优先在可控网络推行严格验证，公共场景可先启用机会主义平滑过渡。
原文: APNIC Blog（2018-12-07）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog