APNIC 与 Cloudflare 合作分析 1.1.1.1 解析器的传输协议分布，量化 DoH、DoT 等加密 DNS 在公网的实际部署比例，揭示加密会话复用对查询效率的影响。
背景与威胁模型：
递归解析器逐渐远离终端，中间网段暴露明文 DNS 查询，导致被动监听与主动拦截风险。技术对策是引入加密通道：DoT 直接套用 TLS，Android 与 iOS 均支持配置；DoQ 近期标准化，承载于 QUIC；DoH 将 DNS 封装进 HTTP 对象，底层可跑 HTTP/2（TLS）或 HTTP/3（QUIC），兼容两种传输。加密会话有建立开销，复用越久效率越高，恰适合存根解析器与主递归解析器的交互模式。
测量方法与数据来源：
为避免隐私侵入，APNIC 与 Cloudflare 达成协作，获取 1.1.1.1 开放递归解析器的聚合画像数据，不可见单用户查询细节，但包含查询使用的传输协议。需先了解 1.1.1.1 在公网的市场份额，才能将协议分布置于整体语境中解读。原文未给出具体数据。
协议特性对比：
DoT 专用端口（853）易被识别与阻断；DoH 复用 443 端口与 HTTPS 流量混淆，部署阻力较小。DoQ 利用 QUIC 0-RTT 降低延迟，但部署尚早。三者均通过会话复用摊销握手成本，DoH/DoQ 在 HTTP/2、HTTP/3 多路复用基础上进一步减少头部开销。原文未给出具体性能数据。
运维人员在部署加密 DNS 时，需权衡协议可识别性、中间设备兼容性与会话复用策略；监控解析器端的传输协议占比，可及时发现回落明文或异常流量，保障解析链路完整性。
原文: APNIC Blog（2022-09-02）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog